Jak zmieniona ustawa PDP wpływa na indyjskie start-upy technologiczne: Inc42 i Ikigai Law powracają dzięki „Dialogowi”

Przepis ten może utrudniać działalność biznesową zarówno dużych, średnich, jak i małych korporacji. W szczególności startupy dokładają znacznych starań, aby zbierać dane i opracowywać insighty, a zatem obowiązkowy wymóg udostępniania może zaszkodzić ich wysiłkom.

„Ustawa powinna koncentrować się na ochronie danych osobowych i nie powinna zawierać przepisów regulujących dane nieosobowe (NPD). Ponadto odrębna komisja rządowa bada obecnie kwestię kompleksowego uregulowania NPD. Startupy powinny również przedstawiać swoje poglądy na temat regulacji NPD tej komisji” – powiedział Nehaa Chaudhari, dyrektor ds. polityki publicznej w Ikigai Law.

Wymagania dotyczące danych dzieci

Ustawa PDP definiuje „dziecko” jako każdą osobę poniżej 18 roku życia, jednocześnie wymagając od podmiotów weryfikacji wieku dziecka i uzyskania zgody rodziców przed przetwarzaniem danych należących do dziecka. Sposób weryfikacji wieku i uzyskania zgody rodziców określi organ ochrony danych (DPA).

Wymogi dotyczące weryfikacji wieku mogą potencjalnie wpłynąć na wszystkie podmioty oferujące usługi online – gdy w rzeczywistości ustawa wymagałaby weryfikacji wieku każdego użytkownika, aby upewnić się, że żadne dane dzieci nie są przetwarzane. Co więcej, wymóg zgody rodziców może spowodować, że dzieci stracą dostęp do cennych usług – zwłaszcza w przypadku start-upów z sektorów takich jak edtech, healthtech i gaming – ponieważ przetwarzanie danych dzieci będzie podlegało zwiększonym wymogom zgodności, których forma jest jeszcze nieznana.

Cel i ograniczenia pobierania

Ustawa nakłada na podmioty obowiązek gromadzenia danych osobowych w celach, które są jasne, konkretne, zgodne z prawem i wcześniej zakomunikowane. Może to stanowić przeszkodę dla startupów, które czasami zbierają dane bez konkretnego celu lub w celu zarabiania na danych. W związku z tym startupy będą musiały przewidzieć i uzyskać zgodę użytkowników przed przetwarzaniem danych w jakimkolwiek nowym przypadku użycia lub celu.

Wymagania dotyczące powiadomienia i zgody

Aby przetwarzać dane zgodnie z prawem, podmioty muszą przestrzegać ścisłych wymogów dotyczących zgody i powiadomienia. Startupy przetwarzające dane osobowe na podstawie zgody muszą dawać użytkownikom obszerne powiadomienia w momencie ich zbierania. Wymaganie szczegółowych powiadomień w każdym przypadku gromadzenia danych może być niepraktyczne i kosztowne, szczególnie w przypadku powtarzających się i rutynowych transakcji.

Wymóg wielojęzyczności każdego ogłoszenia również może być uciążliwy w praktyce. Co więcej, sama liczba powiadomień może prowadzić do zmęczenia wyrażaniem zgody przez użytkowników.

Prawa Użytkowników

Ustawa zapewnia użytkownikom szereg praw dotyczących ich danych, w tym prawa dostępu do danych, poprawiania danych, przenoszenia danych i usuwania danych. To zobowiąże podmioty do zaprojektowania swoich systemów w sposób, który umożliwi użytkownikom składanie takich żądań i zapewni spełnienie tych żądań.

„Prawa przyznane użytkownikowi na mocy ustawy mogą mieć znaczący wpływ komercyjny na startupy, ponieważ przerobienie ich podstawowych systemów w celu umożliwienia takich procesów zwiększy koszty biznesowe” – powiedział Vijayant Singh, współpracownik w Ikigai Law.

Nadmierne uprawnienia dla organu ochrony danych i rządu?

Ustawa PDP nadaje organowi ochrony danych i rządowi centralnemu szerokie, nadrzędne uprawnienia. Na przykład organ ochrony danych może powiadomić „istotnych powierników danych” (SDF); zgłosić nowe podstawy przetwarzania danych osobowych; określać formę, sposób i procedurę przeprowadzania audytów danych, a także może wymagać od podmiotów przedłożenia polityki „prywatności w fazie projektowania” do certyfikacji.

Ponadto rząd jest upoważniony do określenia nowych kategorii SPD, klasyfikacji doskonalenia zawodowego oraz warunków transgranicznego przekazywania danych w określonych przypadkach.

„Pozwolenie rządowi na powiadamianie kategorii SPD i CPD powoduje znaczną niepewność biznesową. Trudno jest zdezagregować mieszane zestawy danych — przeglądanie zestawów danych i przechowywanie niektórych danych lokalnie przy jednoczesnym swobodnym przesyłaniu innych danych może nie być praktycznie możliwe” — wyjaśnił Singh.

Inne postanowienia wynikające z ustawy

Oprócz omówienia wszystkich powyższych wskazówek, okrągły stół obejmie również następujące kwestie:

• Brak jasnego harmonogramu wdrożenia i egzekwowania ustawy PDP. Poprzednia proponowana wersja miała określone ramy czasowe wdrożenia przepisów, w tym ograniczeń w transferach transgranicznych, ustanowienia organu ochrony danych i innych. Start-upy potrzebują odpowiedniego czasu na dokonanie niezbędnych zmian w zakresie przetwarzania i przestrzeganie przepisów prawa.
• Zmieniona wersja ustawy zawiera przepisy dotyczące odpowiedzialności karnej za ponowną identyfikację danych osobowych pozbawionych elementów identyfikacyjnych. Może to zniechęcić startupy do podejmowania operacji przetwarzania danych.

Podczas naszej ostatniej edycji The Dialogu on the PDP Bill, która odbyła się we wrześniu 2018 r., dyskusja pokazała, że ​​istnieje bardzo wyraźna przepaść między decydentami a startupami technologicznymi. Aby zachować dynamikę i rozwój ekosystemu startupów w Indiach, tę lukę należy wypełnić poprzez dialogi, debaty i dyskusje. Dzięki takim wysiłkom należy podkreślić wpływ ustawy.

Zaplanowany w Delhi Dialog jest doskonałą okazją dla wszystkich interesariuszy i członków indyjskiego ekosystemu startupów do spotkania się i wyrażenia swoich obaw i opinii dotyczących ustawy. Zarezerwuj swoje miejsca już teraz, zanim wszystkie miejsca się zapełnią.

Aktualizacja: Z powodu wybuchu epidemii koronawirusa w Delhi, prawo Inc42 i Ikigai postanowiły odroczyć wydarzenie. Zaktualizujemy artykuł, kiedy i kiedy data i miejsce tego samego zostaną sfinalizowane.