Wie sich das überarbeitete PDP-Gesetz auf Indiens Tech-Startups auswirkt: Inc42 und Ikigai Law kehren mit „The Dialogue“ zurück

Diese Bestimmung kann den Geschäftsbetrieb großer, mittlerer und kleiner Unternehmen gleichermaßen behindern. Insbesondere Startups unternehmen erhebliche Anstrengungen, um Daten zu sammeln und Erkenntnisse zu gewinnen, und daher kann eine obligatorische Freigabepflicht ihren Bemühungen schaden.

„Der Gesetzentwurf sollte sich auf den Schutz personenbezogener Daten konzentrieren und keine Bestimmungen zur Regulierung nicht personenbezogener Daten (NPD) enthalten. Darüber hinaus befasst sich derzeit ein eigener Regierungsausschuss mit der Frage einer umfassenden NPD-Regulierung. Startups sollten diesem Komitee auch ihre Ansichten zur Regulierung der NPD darlegen“, sagte Nehaa Chaudhari, Direktorin für öffentliche Ordnung bei Ikigai Law.

Anforderungen an die Daten von Kindern

Das PDP-Gesetz definiert ein „Kind“ als jeden unter 18 Jahren und verlangt von Unternehmen, das Alter eines Kindes zu überprüfen und die Zustimmung der Eltern einzuholen, bevor Daten verarbeitet werden, die dem Kind gehören. Die Art und Weise der Altersüberprüfung und Einholung der Einwilligung der Eltern wird von der Datenschutzbehörde (DSG) festgelegt.

Die Altersüberprüfungsanforderungen können sich möglicherweise auf alle Unternehmen auswirken, die Online-Dienste anbieten – wenn das Gesetz in Kraft wäre, würde die Altersüberprüfung jedes Benutzers erforderlich sein, um sicherzustellen, dass keine Daten von Kindern verarbeitet werden. Darüber hinaus kann das Erfordernis der elterlichen Zustimmung dazu führen, dass Kinder den Zugang zu wertvollen Diensten verlieren – insbesondere für Startups in Branchen wie Edtech, Healthtech und Gaming – da die Verarbeitung von Kinderdaten mit erhöhten Compliance-Anforderungen konfrontiert wird, deren Form noch unbekannt ist.

Der Zweck und die Sammlungsbeschränkungen

Der Gesetzentwurf verpflichtet Unternehmen, personenbezogene Daten für Zwecke zu erheben, die klar, spezifisch und rechtmäßig sind und im Voraus mitgeteilt werden. Dies kann für Startups hinderlich sein, die Daten manchmal ohne eindeutigen Zweck oder zum Zwecke der Monetarisierung von Daten sammeln. Daher müssen Startups die Zustimmung der Benutzer antizipieren und einholen, bevor sie die Daten für neue Anwendungsfälle oder Zwecke verarbeiten.

Hinweis- und Zustimmungserfordernisse

Um Daten rechtmäßig verarbeiten zu können, müssen Unternehmen strenge Zustimmungs- und Benachrichtigungsanforderungen erfüllen. Startups, die personenbezogene Daten auf Grundlage einer Einwilligung verarbeiten, müssen den Nutzern zum Zeitpunkt der Erhebung umfangreiche Hinweise geben. Die Forderung nach detaillierten Hinweisen bei jeder Instanz der Datenerfassung kann unpraktisch und kostspielig sein, insbesondere bei sich wiederholenden und routinemäßigen Transaktionen.

Das Erfordernis mehrerer Sprachen für jede Bekanntmachung kann sich in der Praxis ebenfalls als umständlich erweisen. Darüber hinaus kann die schiere Anzahl von Hinweisen zu Einwilligungsmüdigkeit bei den Benutzern führen.

Rechte der Benutzer

Der Gesetzentwurf gewährt den Benutzern mehrere Rechte an ihren Daten, einschließlich Rechten auf Datenzugriff, Datenkorrektur, Datenübertragbarkeit und Datenlöschung. Dadurch werden Unternehmen verpflichtet, ihre Systeme so zu gestalten, dass Benutzer solche Anfragen stellen können, und sicherzustellen, dass diese Anfragen erfüllt werden können.

„Die einem Benutzer im Rahmen des Gesetzentwurfs gewährten Rechte können erhebliche wirtschaftliche Auswirkungen auf Startups haben, da die Überarbeitung ihrer Kernsysteme zur Ermöglichung solcher Prozesse die Geschäftskosten erhöhen wird“, sagte Vijayant Singh, Associate bei Ikigai Law.

Übermäßige Befugnisse der DPA und der Regierung?

Das PDP-Gesetz stattet die DPA und die Zentralregierung mit weitreichenden, übergreifenden Befugnissen aus. Beispielsweise kann die Datenschutzbehörde „bedeutende Datentreuhänder“ (SDF) benachrichtigen; neue Gründe für die Verarbeitung personenbezogener Daten melden; legen Form, Art und Verfahren für die Durchführung von Datenprüfungen fest und können von Unternehmen verlangen, „Privacy by Design“-Richtlinien zur Zertifizierung einzureichen.

Darüber hinaus ist die Regierung befugt, in bestimmten Fällen die Festlegung neuer Kategorien von SPD, die Klassifizierung von CPD und die Bedingungen für die grenzüberschreitende Übermittlung von Daten festzulegen.

„Der Regierung zu erlauben, SPD- und CPD-Kategorien zu melden, führt zu erheblicher geschäftlicher Unsicherheit. Es ist schwierig, gemischte Datensätze zu disaggregieren – es ist möglicherweise praktisch nicht möglich, Datensätze zu bereinigen und bestimmte Daten lokal zu speichern, während andere Daten frei übertragen werden“, erklärte Singh.

Sonstige Bestimmungen des Gesetzentwurfs

Abgesehen von allen oben genannten Hinweisen wird der Rundtisch auch die folgenden Anliegen behandeln:

• Das Fehlen eines klaren Zeitplans für die Umsetzung und Durchsetzung des PDP-Gesetzes. Die vorgeschlagene frühere Version hatte spezifische Fristen für die Umsetzung von Bestimmungen, darunter Beschränkungen für den grenzüberschreitenden Transfer, die Einrichtung der DPA und andere. Für Start-ups ist eine angemessene Frist erforderlich, um die erforderlichen Anpassungen ihrer Verarbeitungstätigkeiten vorzunehmen und die Gesetze einzuhalten.
• Die überarbeitete Fassung des Gesetzentwurfs enthält strafrechtliche Haftungsbestimmungen für die Re-Identifizierung anonymisierter personenbezogener Daten. Dies hat das Potenzial, Startups von der Durchführung von Datenverarbeitungsvorgängen abzuhalten.

Während unserer letzten Ausgabe von The Dialogue on the PDP Bill, die im September 2018 stattfand, machte die Diskussion deutlich, dass es eine sehr offensichtliche Kluft zwischen den politischen Entscheidungsträgern und Tech-Startups gibt. Um die Dynamik und das Wachstum des indischen Startup-Ökosystems zu erhalten, muss diese Lücke durch Dialoge, Debatten und Diskussionen überbrückt werden. Die Wirkung des Gesetzentwurfs muss durch solche Bemühungen hervorgehoben werden.

Der in Delhi geplante Dialog ist die perfekte Gelegenheit für alle Interessenvertreter und Mitglieder des indischen Startup-Ökosystems, zusammenzukommen und ihre Bedenken und Meinungen zum Gesetzentwurf zu äußern. Buchen Sie jetzt Ihre Slots, bevor alle Plätze belegt sind.

Update: Aufgrund des Coronavirus-Ausbruchs in Delhi haben Inc42 und Ikigai Law beschlossen, die Veranstaltung zu verschieben. Wir werden den Artikel aktualisieren, sobald das Datum und der Ort dafür feststehen.