一、監管重點
TRAI 在 7 月 23 日拋出的新一輪諮詢，並不是單純重述個資保護，而是重新追問電信鏈路中誰能控制、使用、共享與保存資料，範圍涵蓋用戶資料、通信流量、位置、設備識別碼，以及第三方處理情境。更值得簡訊與 OTT 團隊警惕的是，這份徵詢出現在印度 6 月 23 日公告、6 月 25 日啟用的新電信授權架構之後，代表後續要求很可能不只停留在原則層，而會落到授權條件、稽核留痕與供應商責任分配。
二、對企業的影響
如果企業把簡訊發送日誌、OTP 失敗原因、手機號碼狀態、位置標籤或客服對話摘要，分散在聚合商、CRM、風控與海外雲之間，未來最先暴露的就不會是文案合規，而是資料流向說不清、刪除做不乾淨、委外權限收不住。對跨境 CPaaS 與多通路觸達團隊來說，這會直接影響在地部署、最小權限、存取稽核、資料出境論證，以及與電信商或印度合作方的契約分工；一旦規則細化，能否證明誰持有哪些資料、保存多久、為何共享，會比單純送達率更早決定專案能否上線。
三、操作建議
現在最實用的動作，不是等正式規則落地，而是先依資料對象重畫通信鏈路台帳：把手機號碼、模板回執、失敗碼、設備識別碼、位置欄位、客服訊息紀錄，分別標示來源、用途、保存期限、出境路徑與可存取角色。第二步要把聚合商、雲端服務商、客服委外與風控供應商納入同一套證據體系，至少補齊處理指令、日誌留痕、刪除閉環與異常通報條款；如此一來，一旦印度把隱私義務寫進授權條件或產業規則，企業就不必臨時重構整條簡訊與對話技術棧。
常見問題
我們只做 OTP 與通知簡訊，也要關注這次徵詢嗎？
要。監管討論的不只是行銷內容，而是手機號碼、發送日誌、失敗碼、設備與位置等伴隨資料的控制與共享。即使簡訊內容本身風險較低，只要你的 OTP 依賴聚合商、雲端日誌或跨境維運，就會落入保存、存取與刪除責任的審查範圍。
最先該盤點哪些系統，才能應對後續規則細化？
優先看四類系統：簡訊閘道與回執平台、客服對話或工單系統、風控與手機號碼評分系統、雲端日誌與監控平台。重點不是系統名稱，而是這些系統是否保存手機號碼、模板內容、位置標籤、設備識別碼與存取紀錄，以及刪除與匯出能否形成閉環舉證。
如果我們透過印度在地合作方發簡訊，責任能完全轉給對方嗎？
通常不能完全轉移。合作方可以承擔發送、備案或在地介面義務，但企業仍需說明資料由誰蒐集、誰能存取、誰決定保存期限，以及發生刪除請求或安全事件時由誰執行。若合約只有服務等級，沒有處理指令與稽核條款，後續會很被動。
參考來源
本文僅供資訊參考，不構成法律意見。