Регистрация компании в Индии претерпела определенных законодательных трансформаций в 2022 году. Одним из таких изменений стало введение правительством Индии законопроекта о защите данных в цифровом формате (DPDP). Важно отметить, что новый законопроект предлагает смешанный пакет для конфиденциальности — с некоторыми требованиями к компаниям получать индивидуальное «согласие», исправлять неточные личные данные и защищать права на данные наряду с положениями о доступе к государственным данным.
В статье рассмотрены некоторые ключевые аспекты нового законодательства, которые представляют собой важное событие в глобальном регулировании данных.
Новый законопроект о защите данных в Индии
Основываясь на передовом опыте таких стран, как Сингапур, Австралия и Европейский Союз, актуальные изменения в требованиях защиты данных в Индии основаны на следующих принципах:
- Законность, справедливость и прозрачность.
- Ограничение цели.
- Минимизация данных.
- Точность.
- Ограничение хранения.
- Подотчетность.
Сфера действия режима защиты данных в Индии ограничена обработкой цифровых персональных данных на территории страны. Таким образом, все личные данные в автономном режиме и все, что не оцифровано, будут исключены из сферы действия этого законодательства. В соответствии с общемировой тенденцией новые требования защиты персональных данных в Индии имеют экстерриториальное действие. Они будут применяться ко всем организациям, обрабатывающим цифровые персональные данные за пределами страны, если такая обработка включает профилирование или предложение товаров и услуг субъектам данных на территории Индии.
Если вы планируете открыть компанию в Индии, примите во внимание, что в новом законопроекте используется уникальный подход к отношениям между субъектами данных и доверенными лицами данных, организациями, определяющими средства и цель сбора, с изложением как обязательств доверенных лиц, так и обязанностей ответственных за данные. Такие обязанности регламентируют, что принципал данных не должен:
- Регистрировать ложную или необоснованную жалобу у доверенного лица данных.
- Предоставлять любые ложные данные или скрывать любую существенную информацию.
- Предоставлять любую информацию, которая не является достоверной, при осуществлении права на исправление или удаление.
Несоблюдение требований о защите персональных данных в Индии может привести к тому, что субъект данных будет подлежать штрафным санкциям в размере до 10 000 рупий (на момент написания статьи около 121 долларов США).
В текущем законопроекте сохранена концепция доверительных собственников важных данных, предложенная в более ранних версиях. Организации будут классифицироваться как хранители важных данных после уведомления центрального правительства. Такие организации должны будут обеспечить следующее:
- Назначить сотрудника по защите данных.
- Назначить независимого аудитора данных, который будет проводить периодическую проверку на соответствие законопроекту.
- Выполнять оценку воздействия на защиту данных.
Новая реформа защиты персональных данных в Индии: локализация данных
Ключевой особенностью предлагаемого подхода является трансграничная передача данных. Предыдущие версии законопроекта подверглись тщательному анализу со стороны различных отраслей за то, что они предлагали локализацию данных, используя «цифровой суверенитет» Индии в качестве аргумента для такого подхода. Однако текущий законопроект отменяет требование локализации, заявляя, что центральное правительство будет уведомлять иностранные государства, которым доверенное лицо данных может передавать личные данные. Условия, регулирующие такие передачи, будут указаны в таких уведомлениях.
К слову, эксперты компании могут подробно разъяснить аспект локализации данных на консультации по защите персональных данных в Индии.
Еще одно отличие от предыдущих версий законопроекта заключается в правах, предоставляемых субъектам данных. Владельцы данных больше не будут иметь права выбирать между различными платформами или указывать доверенному лицу данных ограничивать продолжающееся раскрытие их личных данных. Вместо этого законопроект предоставляет принципалам данных право на рассмотрение жалоб и право выдвигать кандидатуры.
Санкции за несоблюдение режима защиты персональных данных в Индии также претерпели изменения. Текущий законопроект ограничивает штрафы, которые могут быть наложены на доверенное лицо данных, до 5 млрд рупий (на момент написания статьи около 61 млн долларов США). Хотя в законопроекте не излагаются требования соответствия, которые должны применяться к обработчикам данных, было упомянуто, что неспособность обеспечить безопасность персональных данных может привести к штрафу в размере 2,5 млрд рупий (на момент написания статьи приблизительно 30 млн долларов США) как для обработчика, так и для контроллера данных.
Заключение
Предложенный законопроект был открыт для публичных консультаций до 17 декабря прошлого года. По мере того как Индия продолжает свою цифровую трансформацию, подходы к регулированию конфиденциальности данных будут в значительной степени определять отношения между гражданами и организациями. Внедрение инструментов регулирования необходимо для обеспечения безопасности «цифровых данных».
Мы внимательно следим за обновлениями в этом сфере и по запросу готовы предоставить консультации по регулированию компаний согласно требованиям о защите данных.
