一、监管重点
TRAI 在 7 月 23 日抛出的新一轮咨询，不是单纯复述个人信息保护，而是重新追问电信链路里谁能控制、使用、共享和保留数据，范围覆盖订户资料、通信流量、位置、设备标识以及第三方处理场景。更值得短信和 OTT 团队警惕的是，这份征询出现在印度 6 月 23 日通知、6 月 25 日启用的新电信授权框架之后，意味着后续要求很可能不只停留在原则层面，而会落到授权条件、审计留痕和供应商责任分配上。
二、对企业的影响
如果企业把短信发送日志、OTP 失败原因、号码状态、位置标签或客服会话摘要分散在聚合商、CRM、风控和海外云之间，未来最先暴露的就不是文案合规，而是数据流向说不清、删除做不净、外包权限收不住。对跨境 CPaaS 和多通道触达团队来说，这会直接影响本地化部署、最小权限、访问审计、数据出境论证以及与运营商或印度合作方的合同分工；一旦规则细化，能否证明谁持有何种数据、保存多久、为何共享，将比单纯送达率更早决定项目能否上线。
三、操作建议
现在最实用的动作，不是等正式规则落地，而是先按数据对象重画通信链路台账：把号码、模板回执、失败码、设备标识、位置字段、客服消息记录分别标注来源、用途、保留期、出境路径和可访问角色。第二步要把聚合商、云厂商、客服外包和风控供应商纳入同一套证据体系，至少补齐处理指令、日志留痕、删除闭环和异常通报条款；这样一旦印度把隐私义务写进授权条件或行业规则，企业不需要临时重构整条短信与会话栈。
常见问题
我们只做 OTP 和通知短信，也要关注这次咨询吗？
要。监管讨论的不只是营销内容，而是手机号、发送日志、失败码、设备与位置等伴随数据的控制与共享。即便短信内容本身低风险，只要你的 OTP 依赖聚合商、云日志或跨境运维，就会落入留存、访问和删除责任的审查范围。
最先该排查哪些系统，才能应对后续规则细化？
优先看四类系统：短信网关与回执平台、客服会话或工单系统、风控与号码评分系统、云端日志与监控平台。重点不是系统名称，而是这些系统是否存有手机号、模板内容、位置标签、设备标识和访问记录，以及删除和导出是否能闭环举证。
如果我们通过印度本地合作方发短信，责任能完全转给对方吗？
通常不能完全转移。合作方可以承担发送、备案或本地接口义务，但企业仍需解释数据由谁收集、谁能访问、谁决定保留期，以及发生删除请求或安全事件时谁负责执行。合同里若只有服务级别，没有处理指令和审计条款，后续会很被动。
参考来源
本文仅供信息参考，不构成法律意见。