Bagaimana Revisi RUU PDP Berdampak pada Startup Teknologi India: Inc42 Dan Hukum Ikigai Kembali Dengan 'Dialog'

Ketentuan ini dapat menghambat jalannya usaha baik korporasi besar, menengah maupun kecil. Secara khusus, startup melakukan upaya yang signifikan untuk mengumpulkan data dan mengembangkan wawasan, dan dengan demikian, persyaratan berbagi wajib dapat mengganggu upaya mereka.

“RUU tersebut harus fokus pada perlindungan data pribadi, dan tidak boleh memasukkan ketentuan untuk mengatur data non-pribadi (NPD). Selain itu, komite pemerintah yang terpisah saat ini sedang mengkaji masalah pengaturan NPD secara komprehensif. Startup harus menawarkan pandangan mereka tentang regulasi NPD kepada komite ini juga,” kata Nehaa Chaudhari, direktur, kebijakan publik, Ikigai Law.

Persyaratan Mengenai Data Anak

RUU PDP mendefinisikan 'anak' sebagai siapa pun yang berusia di bawah 18 tahun, sementara juga mewajibkan entitas untuk memverifikasi usia anak dan mendapatkan persetujuan orang tua sebelum memproses data milik anak tersebut. Cara verifikasi usia dan mendapatkan persetujuan orang tua akan ditetapkan oleh otoritas perlindungan data (DPA).

Persyaratan verifikasi usia berpotensi berdampak pada semua entitas yang menawarkan layanan online—saat berlakunya RUU tersebut akan mewajibkan verifikasi usia setiap pengguna untuk memastikan tidak ada data anak yang sedang diproses. Selain itu, persyaratan persetujuan orang tua dapat mengakibatkan anak-anak kehilangan akses ke layanan berharga—terutama untuk startup di sektor-sektor seperti edtech, healthtech, dan game—karena pemrosesan data anak-anak akan dihadapkan pada peningkatan persyaratan kepatuhan, yang bentuknya belum diketahui.

Keterbatasan Tujuan Dan Koleksi

RUU tersebut mengharuskan entitas untuk mengumpulkan data pribadi untuk tujuan yang jelas, spesifik, sah, dan dikomunikasikan sebelumnya. Hal ini dapat menjadi hambatan bagi startup, yang terkadang mengumpulkan data tanpa tujuan pasti atau untuk tujuan memonetisasi data. Dengan demikian, startup harus mengantisipasi dan mendapatkan persetujuan pengguna sebelum memproses data untuk kasus penggunaan atau tujuan baru.

Persyaratan Pemberitahuan Dan Persetujuan

Untuk memproses data secara sah, entitas harus mematuhi persyaratan persetujuan dan pemberitahuan yang ketat. Startup yang memproses data pribadi berdasarkan persetujuan harus memberikan pemberitahuan ekstensif kepada pengguna pada saat pengumpulan. Memerlukan pemberitahuan rinci pada setiap contoh pengumpulan data dapat menjadi tidak praktis dan mahal, terutama untuk transaksi berulang dan rutin.

Persyaratan beberapa bahasa untuk setiap pemberitahuan mungkin juga rumit dalam praktiknya. Selain itu, banyaknya pemberitahuan dapat menyebabkan kelelahan persetujuan bagi pengguna.

Hak Pengguna

RUU tersebut memberi pengguna beberapa hak atas data mereka, termasuk hak untuk akses data, koreksi data, portabilitas data, dan penghapusan data. Ini akan mengamanatkan entitas untuk merancang sistem mereka dengan cara yang memungkinkan pengguna untuk membuat permintaan tersebut, dan memastikan bahwa permintaan ini dapat dipenuhi.

“Hak yang diberikan kepada pengguna di bawah RUU dapat memiliki dampak komersial yang signifikan pada startup, karena pengerjaan ulang sistem inti mereka untuk mengaktifkan proses tersebut akan meningkatkan biaya bisnis,” kata Vijayant Singh, associate, Ikigai Law.

Kekuasaan Berlebihan Pada DPA Dan Pemerintah?

RUU PDP memberi DPA dan pemerintah pusat kekuasaan yang luas dan menyeluruh. Misalnya, DPA dapat memberitahukan 'significant data fiduciaries' (SDF); memberi tahu alasan baru untuk memproses data pribadi; menentukan bentuk, cara dan prosedur untuk melakukan audit data, dan mungkin mengharuskan entitas untuk menyerahkan kebijakan 'privasi berdasarkan desain' untuk sertifikasi.

Selain itu, pemerintah diberi wewenang untuk menentukan penetapan kategori baru SPD, klasifikasi CPD, dan syarat-syarat transfer data lintas batas dalam kasus-kasus tertentu.

“Mengizinkan Pemerintah untuk memberitahukan kategori SPD dan CPD menyebabkan ketidakpastian bisnis yang signifikan. Sulit untuk memisahkan kumpulan data campuran - secara praktis tidak mungkin untuk menggosok kumpulan data dan menyimpan data tertentu secara lokal sambil mentransfer data lain secara bebas, ”jelas Singh.

Ketentuan Lain Berdasarkan RUU

Selain mencakup semua petunjuk di atas, meja bundar juga akan mencakup masalah-masalah berikut:

• Tidak adanya timeline yang jelas untuk implementasi dan penegakan RUU PDP. Versi sebelumnya yang diusulkan memiliki jadwal khusus untuk implementasi ketentuan termasuk pembatasan transfer lintas batas, pembentukan DPA, dan lainnya. Jangka waktu yang memadai diperlukan bagi perusahaan rintisan untuk membuat penyesuaian yang diperlukan untuk kegiatan pemrosesan mereka dan mematuhi hukum.
• Versi revisi dari RUU tersebut berisi ketentuan pertanggungjawaban pidana untuk identifikasi ulang data pribadi yang tidak teridentifikasi. Ini berpotensi menghalangi startup untuk melakukan operasi pemrosesan data.

Selama edisi terakhir The Dialogue on the PDP Bill, yang diadakan pada September 2018, diskusi tersebut memperjelas bahwa ada kesenjangan yang sangat jelas antara pembuat kebijakan dan startup teknologi. Untuk menjaga momentum dan pertumbuhan ekosistem startup India, kesenjangan ini perlu dijembatani melalui dialog, debat, dan diskusi. Dampak dari RUU tersebut perlu ditonjolkan melalui upaya tersebut.

Dijadwalkan di Delhi, The Dialogue adalah kesempatan sempurna bagi semua pemangku kepentingan dan anggota dari ekosistem startup India untuk berkumpul dan menyuarakan keprihatinan dan pendapat mereka mengenai RUU tersebut. Booking slot anda sekarang sebelum semua seat penuh.

Pembaruan: Karena wabah Coronavirus di Delhi, Inc42 dan hukum Ikigai telah memutuskan untuk menunda acara tersebut. Kami akan memperbarui artikel saat dan ketika tanggal dan tempat untuk hal yang sama diselesaikan.