Regras DPDP 2025 da Índia — Quadro Nacional de Proteção de Dados de Crianças para Escolas e EdTech

O MeitY (Ministério da Eletrónica e Tecnologias da Informação) notificou as Regras DPDP 2025 no Diário Oficial da Índia a 13 de novembro de 2025, operacionalizando a Lei de Proteção de Dados Pessoais Digitais de 2023 após uma consulta pública sobre a minuta lançada a 3 de janeiro de 2025.

A Regra 10 exige que os responsáveis pelo tratamento de dados obtenham ‘consentimento parental verificável’ para qualquer utilizador com menos de 18 anos, incluindo através de tokens do DigiLocker ligados ao Aadhaar com registos de auditoria; a Regra 11 estabelece disposições especiais para crianças com deficiência, exigindo verificação de tutela legal; as Regras proíbem o rastreio comportamental, a monitorização e a publicidade direcionada a crianças — disposições que se aplicam diretamente a aplicações EdTech, ferramentas de avaliação online e plataformas de IA escolares que servem cerca de 250 milhões de alunos em idade escolar na Índia. A Regra 12 prevê uma exceção limitada que permite às escolas tratar certos dados sem consentimento parental total quando estritamente necessário para saúde, segurança ou serviços educativos essenciais.

A maioria das obrigações só entra em vigor após um período de transição de 18 meses (prazo de conformidade a 13 de maio de 2027), pelo que, à data de redação, ainda não existe historial de aplicação da lei; a força probatória reside no próprio mecanismo estatutário — coimas definidas até 200 crore de rupias por violações de dados de crianças e um Conselho de Proteção de Dados dedicado, com poderes de investigação e de bloqueio de plataformas (Secção 37) — e não ainda num resultado medido.