
了解印度的《个人数据保护法案》(DPDPA)
随着隐私问题的加剧,越来越多的国家/地区正在实施强有力的数据保护法规。 2023 年,印度通过了《数字个人数据保护法案》(DPDPA),可谓开创了世界人口大国的先例。
《数字个人数据保护法案》对您的组织意味着什么? 最重要的是,您如何遵守其要求? 继续阅读,了解有关该法律的更多信息以及如何开始。
什么是《数字个人数据保护法案》?
《数字个人数据保护法案》是印度有史以来最全面的数据法规,确认了近 15 亿人的隐私权。 它取代了该国之前零散的数据保护法,其中包括:
- 2000 年颁布的《信息技术法案》第 43A 条和第 87(2)(ob) 条。
- 2011 年颁布的《信息技术(合理安全实践和程序及敏感个人数据或信息)条例》。
在《数字个人数据保护法案》之前,印度没有单一的立法框架来管理数据隐私和保护。 这种情况在 2017 年开始发生变化,当时该国最高法院裁定隐私是一项基本权利,并就相应的法案进行了多年的审议和谈判。
最终,在经过一周多的最终审批后,印度议会于 2023 年 8 月 11 日通过了《数字个人数据保护法案》。 它涵盖了印度境内处理“数字个人数据”的所有实体,无论规模大小或私有状态如何。
什么是数字个人数据?
《数字个人数据保护法案》的名称中特别包含“数字”一词,这是有意为之。 与其他法规不同的是,该法案特别关注数字化个人信息,将其定义为“有关个人的数据,可通过此类数据或与之有关的数据识别个人身份”。 其中包括:
- 姓名
- 地址
- 电话号码
- 出生日期
- 电子邮件地址
- 教育
- 财务详情
- 医疗记录
- 密码
有几种豁免情况,例如根据法律义务公开的数据以及出于研究目的处理的数据。
谁必须遵守《数字个人数据保护法案》?
《数字个人数据保护法案》适用于在印度境内处理个人数据的任何组织,前提是收集的这些信息符合以下要求:
- 采用数字形式,或;
- 采用非数字形式但随后进行数字化处理
此外,与其他主要法规一样,该法案具有治外法权。 这意味着它也适用于处理个人数据以在印度提供商品或服务的任何企业,无论数据收集发生在何处。
不遵守《数字个人数据保护法案》可能会导致重大处罚,包括高达全球年营业额 4% 或 2.5 亿卢比(约 3000 万美元)的罚款(以较高者为准)。
《数字个人数据保护法案》是如何运作的?
我们来详细介绍《数字个人数据保护法案》的主要概念、权利和要求:
《数字个人数据保护法案》中的定义
《数字个人数据保护法案》有几个特有术语,与其他主要法规相似但又有所不同。 其中包括:
- 数据受托人: 这包括负责数据收集和处理活动的任何实体。 这一概念借鉴了《通用数据保护条例》(GDPR),该条例将此实体称为“数据控制者”。
- 重要数据受托人 (SDF): SDF 是印度政府根据数据量、敏感性、风险和国家安全影响专门指定的受托人。 SDF 必须满足其他数据保护要求。
- 数据委托人: 等同于“数据主体”,指的是受托人收集其个人数据的个人。
- 同意管理者: 同意管理者是第三方组织,有权通过透明平台独立管理、审查和撤回数据委托人的同意。 这些实体使受托人更容易遵守其法律要求。
隐私权
《数字个人数据保护法案》确立了标准化的权利,赋予公民控制其个人数据的权利。 这些权利还为数据处理规则和要求设定了主要的法律基准。 其中包括:
- 访问个人信息的权利: 组织必须为数据委托人提供请求访问其个人信息的途径,以确保透明度。
- 请求删除的权利: 个人还可以随时请求受托人删除其数字个人数据。
- 更正错误的权利: 数据委托人可以请求更正或更新不完整或不准确的信息。
- 同意收集数据的权利: 数据受托人必须征得明确且知情的同意,确保个人了解并同意数据收集和处理。
- 申诉补救的权利: 如果个人认为自己的权利受到侵犯,可以提出申诉并寻求补救。
合规性要求
根据 2024 年 1 月的一份报告,85% 的数据受托人已开始采取初步措施,为遵守《数字个人数据保护法案》做好准备,但尚未生效。 但是,“由于缺乏规定,而这些规定又与该条例的许多规则的实质实施相关,因此妨碍了他们的准备工作”。
简而言之,具体要求尚未确定。 尽管如此,一些主要义务已经明确:
- 征得同意: 组织在收集或处理个人数据之前,必须征得个人明确、具体和知情的同意。 这包括通知他们将收集哪些数据、为什么要收集数据以及如何使用这些数据。
- 限制数据收集: 受托人只能收集特定目的所需的数据,不得收集其他数据。
- 确保数据准确性: 企业必须确保收集的数据准确且最新,并在收到个人通知时纠正任何不准确之处。 重要的是,这也意味着他们必须实施允许数据委托人请求更新的机制。
- 实施安全措施: 法律要求受托人采取适当的技术和组织措施,保护个人数据免遭未经授权的访问、泄露和其他安全风险。 这包括加密、公钥基础结构 (PKI) 和类似的保护。
- 数据泄露通知: 如果发生数据泄露,相关实体必须通知数据保护委员会和受影响的个人。 根据《数字个人数据保护法案》,违规行为包括未经授权的数据处理、披露、篡改、丢失或任何损害数据机密性、完整性或可用性的行为。
- 限制数据保留: 除非法律要求,否则受托人保留个人数据的时间不得超过特定目的所需的时间,并且必须删除相应信息。
《数字个人数据保护法案》与 《通用数据保护条例》
《通用数据保护条例》。 但它在如下几个方面与《通用数据保护条例》有所不同:
适用范围
- 《通用数据保护条例》: 适用于欧盟境内个人数据的处理,无论处理发生在何处。
- 《数字个人数据保护法案》: 适用于印度境内的数字个人数据处理,如果处理涉及向印度个人提供商品或服务,则具有治外效力。
敏感性
- 《通用数据保护条例》: 区分个人数据和特殊类别的数据,后者需要更高级别的保护。 它还对不同年龄段(通常在 16 岁以下)的儿童进行了定义,并对他们的数据保护做出了具体规定。
- 《数字个人数据保护法案》: 不区分个人数据和敏感个人数据。 但是,它将儿童定义为 18 岁以下的个人,并规定了更严格的义务,包括禁止跟踪或监控儿童以及针对他们的定向广告。
数据传输
- 《通用数据保护条例》: 需要特定的传输机制,例如将数据传输到欧盟境外的标准合同条款。
- 《数字个人数据保护法案》: 允许跨境数据传输,但印度政府限制的国家/地区除外。
如何为遵守《数字个人数据保护法案》做好准备
Entrust 提供广泛的产品和解决方案,帮助您简化《数字个人数据保护法案》合规性,并保护整个组织的个人数据。