印度DPDP跨境传输规则解读：默认允许出境、第16条为「负面清单」而非「白名单」，唯一本地化义务落在重要数据受托人

独立分析站点dpdprules.org于2026年10月2日发布的跨境传输解读提出，印度《数字个人数据保护法》（DPDP Act 2023）框架下个人数据传输默认允许出境。依据DPDP规则第15条，依该法处理的个人数据可被传输至印度境外，但须满足中央政府以一般或特别命令就可能向外国国家、或受该国家控制的主体或机构提供该数据所指定的要求。该条的主句是授权，不设审批、不等待充分性认定，也未规定强制的合同机制。

解读特别提醒注意条件所指向的对象：中央政府可指定的要求针对的是「向外国国家或受其控制的主体和机构提供数据」这一情形，而非普通的商业性跨境委托处理。该站同时列出两点保留：私营公司本身也可能是受国家控制的主体；围绕外国政府访问权设计的命令，仍可能对普通商业传输产生约束。此外，该条下尚未检索到任何已发布的命令，因此上述判断仅属对该条文的解读，而非已生效的监管要求。

在结构上，该站把第16条定性为「负面清单」而非「白名单」：第16(1)条规定中央政府可通过公告限制向特定国家或地区传输个人数据用于处理，即关闭特定目的地，未列入公告的国家保持开放。这与GDPR第五章以充分性认定与保障措施为基础的逻辑正好相反，是从欧洲法域转来的团队最容易误读的一点。该站核对后确认，截至2026年10月2日，MeitY文件库中不存在第16(1)条项下的任何公告。

框架中确实存在的本地化义务来自DPDP规则第13(4)条：一经生效，重要数据受托人（Significant Data Fiduciary）须采取措施，确保中央政府经委员会建议指定的个人数据及其流量数据不被传输至印度境外。该站同时指出，第16条第2款保留任何为数据出境提供更高保护或更严限制的印度法律，且第16条、第13条与第15条同属公告后18个月（推算为2027年5月13日，尚待官方确认）生效的组别。需要说明的是，该站为独立分析站点，其结论属条文解读，不代表印度数据保护委员会的官方立场，也未提出法律意见；企业仍应以MeitY与数据保护委员会的现行公告为准。