ФГБУ «НИИ «Интеграл»

Закон Индии о защите цифровых персональных данных

Institut Integral·12 Sep 2023

В Индии 11 августа 2023 года принят Закон о защите цифровых персональных данных (Digital Personal Data Protection Act, DPDP). Дата его вступления в силу будет определена правительством страны в течение следующих десяти месяцев, необходимых для завершения подготовительных мероприятий. DPDP дополнит соответствующие положения Закона об информационных технологиях 2000 года и Правила информационных технологий 2011 года, регламентирующие методы и процедуры обеспечения информационной безопасности и защиты конфиденциальных персональных данных (ПД) или сведений.

Контролирующий орган

В целях реализации положений Закона предусматривается учреждение независимого органа – Совета по защите данных Индии (Data Protection Board of India, DPBI), который будет осуществлять контроль за выполнением законодательного акта, налагать штрафные санкции за несоблюдение его требований, принимать меры по устранению нарушений при обработке данных, проводить расследования и реагировать на жалобы. В процессе урегулирования споров DPBI будет выступать в качестве посредника. При этом опротестование принятых решений предполагается осуществлять в Апелляционном трибунале по разрешению споров в сфере телекоммуникаций (Telecom Disputes Settlement and Appellate Tribunal). Однако стоит отметить, что DPBI не наделен полномочиями законодательной инициативы в сфере регулирования обработки ПД. Это исключительная прерогатива правительства Индии, что в условиях динамично развивающихся цифровых технологий может значительно сдерживать своевременную адаптацию соответствующего законодательства.

Сфера применения

Положения нового законодательного акта распространяются на организации и физических лиц, осуществляющих обработку цифровых персональных данных – фидуциары данных. В части касающейся обработки ПД за пределами страны Закон применяется только в том случае, если такая обработка имеет отношение к деятельности, связанной с предложением товаров или услуг субъектам данных на территории Индии. В целом, под действие Закона попадают практически все индийские организации и компании.

Обязанности фидуциаров

Законом определены следующие требования, предъявляемые к обработчикам данных:

  • Получать мотивированное согласие принципалов данных (физические лица, имеющие отношение к данным) для обработки цифровых ПД за исключением законного их использования (например, добровольное предоставление конфиденциальной информации для получения государственных пособий, в случае неотложной медицинской помощи или в связи с трудоустройством) и хранить только такую личную информацию, которая необходима для заявленной цели. Фидуциар должен быть зарегистрирован в DPBI. Субъект данных имеет право давать, управлять, просматривать и отзывать свое согласие.
  • Направлять субъектам данных уведомления, в которых должно быть указано, какие ПД будут собраны, в каких целях они будут обрабатываться, как физические лица могут осуществлять свои права в отношении предоставляемой личной информации и контактные данные сотрудника по защите ПД или обработчика данных, отвечающего за информирование субъектов данных об осуществлении их прав.
  • Вести учет соблюдения требования к уведомлению и согласию.
  • Соблюдать меры безопасности для предотвращения утечки персональных данных.
  • Уведомлять Совет по защите данных и затронутых субъектов данных о фактах компрометации ПД (несанкционированная обработка, раскрытие, изменение, потеря данных или действия, ставящие под угрозу их конфиденциальность, целостность или доступность). Необходимо подчеркнуть, что в соответствии с действующим законодательством такие уведомления должны направляться в национальный центр реагирования на компьютерные инциденты (CERT-In) в течении шести часов с момента обнаружения киберинцидента.
  • Перед обработкой ПД ребенка (до 18 лет) или лица с ограниченными возможностями, фидуциары данных должны получить поддающееся проверке согласие родителя или законного опекуна. Такие формы обработки данных детей как онлайн-отслеживание и поведенческая (целевая) реклама строго запрещены.

Локализация и передача данных

Следует отметить, что в соответствии с Законом цифровые ПД могут передаваться за пределы страны, но за исключением государств, перечень которых будет определяться правительством исходя из национальных интересов. При этом Закон не требует от фидуциаров хранить копии персональных данных на территории Индии.

Права и обязанности субъектов данных

В соответствии с положениями документа субъектам данных предоставляется право доступа к личной информации, включая ее исправление, удаление, а также оспаривание неправомерного использования ПД. Эти права соблюдаются только в том случае, если персональные данные предоставляются добровольно или с согласия. Закон также налагает на субъектов данных обязанность не предоставлять ложную информацию и не подавать необоснованные или ложные претензии к фидуциарам.

Блокировка контента

Закон наделяет правительство полномочиями блокировать доступ общественности к любой информации, обрабатываемой в Индии и имеющей отношение к защите личных данных, после получения соответствующих рекомендаций от DPBI.

Персональные данные иностранных субъектов

Закон в значительной степени не распространяется на конфиденциальную информацию иностранных субъектов, обрабатываемую в Индии, что в перспективе может иметь негативные последствия репутационного, экономического и коммерческого характера.

Значимые фидуциарные данные

В Законе отражена концепция фидуциаров важных данных (SDF), в отношении которых применяются установленные правительством критерии, учитывающие такие факторы, как объем ПД и потенциальные риски для субъектов данных. SDF должен назначить сотрудника по защите персональных данных, который обязан отчитываться перед советом директоров компании. Кроме того, SDF предписано привлекать независимого аудитора для проверки соблюдения Закона и проведения оценки воздействия на неприкосновенность частной жизни.

Конфиденциальность и право на информацию

Документом вносятся изменения в Закон о праве на информацию. В соответствии с новыми положениями персональные данные никогда не могут быть раскрыты в рамках запроса о праве на информацию.

Исключения

Предусмотрено освобождение государственных структур от выполнения предписываемых Законом требований по основаниям (суверенитет, территориальная целостность, национальная безопасность), зафиксированным в Конституции и решениях Верховного суда Индии, при которых могут быть ограничены права на неприкосновенность частной жизни граждан.

Кроме того, в определенных обстоятельствах фидуциары освобождаются от выполнения конкретных обязательств, таких как требования об уведомлении и согласии. К таким случаям, например, относятся: обработка цифровых персональных данных для обеспечения соблюдения законных прав или претензий; использование данных судами, трибуналами или другими регулирующими органами; обработка ПД в интересах выявления, расследования и предотвращения правонарушений; проведение определяемых правительством мероприятий в целях обеспечения национальной безопасности или поддержания общественного порядка.

Правительство также имеет право освобождать определенных фидуциаров данных, в том числе реализующих стартапы, от некоторых положений Закона (право на доступ, требование об уведомлении, ограничения хранения данных).

Штрафы

За несоблюдение требований Закона предусматриваются штрафы в размере до 250 крор рупий (30 млн долларов США).

До вступления DPDP в законную силу организациям и доверенным лицам, обрабатывающим персональные данные индийских граждан, предусматривается проведение необходимых мероприятий по оценке соответствия фактического состояния дел требованиям Закона, а также подготовка плана действий по обеспечению выполнения положений нормы. А именно, предстоит:

  • обозначить, каким образом будет осуществляться сбор цифровых ПД (непосредственно от субъектов или от других обработчиков данных);
  • определить третьи стороны, которые хранят или обрабатывают цифровые персональные данные от их имени;
  • проанализировать текущие политики и процессы обеспечения конфиденциальности данных, включая сроки их хранения;
  • разработать процессы, обеспечивающие соблюдение различных прав субъектов данных;
  • установить процедуры для предотвращения и устранения нарушений при обработке конфиденциальной информации.

В заключение следует отметить, что принятие Закона о защите цифровых персональных данных является очередным важным этапом в технологическом развитии Индии. Сбалансированная защита частной жизни и федерального регулирования для обеспечения безопасности личности и государства – реальное воплощение возможности консенсусного развития нормотворчества в киберпространстве страны.

233 views·4 shares
233 views