Comment le projet de loi révisé sur le PDP affecte les startups technologiques indiennes : Inc42 et la loi Ikigai reviennent avec "The Dialogue"

Cette disposition peut entraver les opérations commerciales des grandes, moyennes et petites entreprises. En particulier, les startups déploient des efforts considérables pour collecter des données et développer des informations, et à ce titre, une exigence de partage obligatoire peut nuire à leurs efforts.

« Le projet de loi devrait se concentrer sur la protection des données personnelles et ne devrait pas inclure de dispositions visant à réglementer les données non personnelles (NPD). De plus, un comité gouvernemental distinct examine actuellement la question de la réglementation complète du NPD. Les startups devraient également faire part de leur point de vue sur la réglementation du NPD à ce comité », a déclaré Nehaa Chaudhari, directrice, politique publique, Ikigai Law.

Exigences concernant les données relatives aux enfants

Le projet de loi PDP définit un « enfant » comme toute personne âgée de moins de 18 ans, tout en obligeant également les entités à vérifier l'âge d'un enfant et à obtenir le consentement parental avant de traiter les données appartenant à l'enfant. Les modalités de vérification de l'âge et d'obtention du consentement parental seront fixées par l'autorité de protection des données (DPA).

Les exigences de vérification de l'âge peuvent potentiellement avoir un impact sur toutes les entités offrant des services en ligne, alors qu'en effet le projet de loi exigerait une vérification de l'âge de chaque utilisateur pour s'assurer qu'aucune donnée d'enfant n'est traitée. De plus, l'exigence du consentement parental peut entraîner la perte d'accès des enfants à des services précieux, en particulier pour les startups dans des secteurs tels que l'edtech, la santé et les jeux, car le traitement des données des enfants sera confronté à des exigences de conformité accrues, dont la forme est encore inconnue.

Le but et les limites de la collecte

Le projet de loi oblige les entités à collecter des données personnelles à des fins claires, précises, licites et communiquées à l'avance. Cela peut constituer un frein pour les startups, qui collectent parfois des données sans finalité définitive ou à des fins de monétisation des données. Ainsi, les startups devront anticiper et obtenir le consentement des utilisateurs avant de traiter les données pour tout nouveau cas d'utilisation ou finalité.

Exigences en matière d'avis et de consentement

Afin de traiter légalement les données, les entités doivent se conformer à des exigences strictes en matière de consentement et de notification. Les startups qui traitent des données personnelles sur la base du consentement doivent fournir aux utilisateurs des avis détaillés au moment de la collecte. Exiger des avis détaillés à chaque instance de collecte de données peut s'avérer peu pratique et coûteux, en particulier pour les transactions répétitives et routinières.

L'exigence de plusieurs langues pour chaque avis peut également s'avérer fastidieuse dans la pratique. De plus, le grand nombre d'avis peut entraîner une lassitude du consentement pour les utilisateurs.

Droits des utilisateurs

Le projet de loi confère aux utilisateurs plusieurs droits sur leurs données, notamment des droits d'accès aux données, de correction des données, de portabilité des données et d'effacement des données. Cela obligera les entités à concevoir leurs systèmes de manière à permettre aux utilisateurs de faire de telles demandes et à s'assurer que ces demandes peuvent être satisfaites.

"Les droits accordés à un utilisateur en vertu du projet de loi peuvent avoir un impact commercial significatif sur les startups, car le remaniement de leurs systèmes de base pour permettre de tels processus augmentera les coûts de l'entreprise", a déclaré Vijayant Singh, associé, Ikigai Law.

Pouvoirs excessifs de la DPA et du gouvernement ?

Le projet de loi sur le PDP confère au DPA et au gouvernement central des pouvoirs étendus et généraux. Par exemple, la DPA peut notifier les « fiduciaires de données significatifs » (SDF) ; notifier de nouveaux motifs de traitement de données personnelles ; déterminer la forme, la manière et la procédure de réalisation des audits de données, et peut exiger des entités qu'elles soumettent des politiques de « confidentialité dès la conception » pour certification.

En outre, le gouvernement est habilité à décider de spécifier de nouvelles catégories de DOCUP, de classer les DPC et les conditions de transfert transfrontalier de données dans certains cas.

« Permettre au gouvernement de notifier les catégories de SPD et de CPD entraîne une incertitude commerciale importante. Il est difficile de désagréger des ensembles de données mixtes - il peut être pratiquement impossible de nettoyer les ensembles de données et de stocker certaines données localement tout en transférant librement d'autres données », a expliqué Singh.

Autres dispositions du projet de loi

En plus de couvrir tous les points ci-dessus, la table ronde couvrira également les préoccupations suivantes :

• L'absence d'un calendrier clair pour la mise en œuvre et l'application du projet de loi PDP. La version précédente proposée prévoyait des délais précis pour la mise en œuvre des dispositions, y compris les restrictions aux transferts transfrontaliers, la création de la DPA, etc. Une période de temps adéquate est nécessaire pour que les start-up effectuent les ajustements nécessaires à leurs activités de traitement et se conforment à la loi.
• La version révisée du projet de loi contient des dispositions sur la responsabilité pénale en cas de réidentification de données personnelles anonymisées. Cela a le potentiel de dissuader les startups d'entreprendre des opérations de traitement de données.

Lors de notre dernière édition du Dialogue sur le projet de loi PDP, tenue en septembre 2018, la discussion a clairement montré qu'il existe un fossé très évident entre les décideurs politiques et les startups technologiques. Pour préserver l'élan et la croissance de l'écosystème de démarrage de l'Inde, ce fossé doit être comblé par des dialogues, des débats et des discussions. L'impact du projet de loi doit être mis en évidence à travers de tels efforts.

Prévu à Delhi, The Dialogue est l'occasion idéale pour toutes les parties prenantes et les membres de l'écosystème des startups indiennes de se réunir et d'exprimer leurs préoccupations et leurs opinions concernant le projet de loi. Réservez vos créneaux dès maintenant avant que tous les sièges ne soient complets.

Mise à jour : En raison de l'épidémie de coronavirus à Delhi, Inc42 et la loi Ikigai ont décidé de reporter l'événement. Nous mettrons à jour l'article au fur et à mesure que la date et le lieu seront finalisés.