數據保護法案必須平衡企業利益和個人隱私
已發表: 2020-07-18通俗地說,非個人數據包括由各種移動應用程序、網站和設備聚合和收集的數據集
在印度,有無數的發展問題,推動政策干預的數據集範圍很大
由於數據已被定義為包括“從數據中收集的見解”,因此政府對數據的這種訪問將侵犯知識產權
個人數據包括有關或與可直接或間接通過此類數據識別的個人的所有數據。 一個機構收集的所有不能歸類為某人個人數據的數據都可以稱為非個人數據。 通俗地說,非個人數據包括由互聯網上的各種移動應用程序、網站和設備聚合和收集的數據集,這些數據集來自個人(數據主體)在使用互聯網後留下的數字踪跡。
這可能包括從個人生成的關於他們的行為模式、社交媒體和中介的偏好的數據,這些數據已被收集並進一步匿名。 此外,它還可能包括由天氣應用程序生成的大量氣候趨勢數據、由出租車應用程序生成的交通模式,這些數據是否來自個人,或無法識別給個人。
與可以追溯到個人的個人數據相比,個人數據和非個人數據之間的關鍵區別在於它挑戰了個人對數據的控制的概念,因為個人不太可能知道他們的個人數據是什麼。當與多個其他數據點聚合時,數據可以揭示。
作為一種集體資源,必須利用匯總數據進行更好的治理。 它可以指導政策制定者為現代問題提供創新的解決方案,並將數據作為證據。
2019 年個人數據保護法案
在治理中使用非個人數據
2019 年《個人數據保護法案》賦予政府權力(第 91(1) 條)借助非個人數據制定政策,以促進數字經濟的增長、安全和完整性,並防止數據濫用。 為此,政府還將有權指示任何數據受託人/數據處理器提供非個人數據,以“更好地提供服務或製定循證政策”。
在印度,由於發展問題眾多,數據集在推動政策干預方面可能具有的範圍很大。 例如,健康科技、金融科技和電信等行業已經開始依賴數據集進行創新並提供新時代的解決方案。
根據該條款,政府可以訪問來自數據受託人和數據處理器的數據,其中包括非個人數據或匿名數據。 這破壞了現有的商業慣例,其中數據處理器受數據受託人的合同約束,並且不能共享數據(個人或非個人)或其任何見解,因為它們屬於數據處理實體代表其的數據處理器的客戶正在按照指示和合同進行數據處理活動。
這將對客戶和外國人以及印度數據處理公司的商業信心產生巨大影響,因為他們會擔心政府獲取數據。
為你推薦:
這樣的規定可能會阻礙印度的創新和投資,因為政府要求提供非個人數據以及匿名的個人數據。 還有人擔心商業敏感信息,包括商業秘密,可能會在該法案的範圍內被尋求。
由於數據被定義為包括“從數據中收集的見解”,政府對數據的這種訪問將侵犯公司和其他企業的知識產權。 該條款可能會繞過對數據受託人的控制以及數據處理方在其與數據受託人的合同下的義務。
政府對個人數據進行去匿名化
根據 2019 年個人數據保護法案草案第 91(2) 條,政府在與數據保護局協商後有權指示任何數據受託人提供匿名個人數據,以製定基於證據的政策。 法案中給出的匿名化定義提供了一個不可逆的過程,但鑑於密碼學的性質,匿名化以及數據的去匿名化技術同時也在增長。 儘管目標是實現匿名數據的絕對不可逆性,但不可忽視的是,去匿名化技術也在不斷發展。
此外,該法案的範圍應僅限於保護個人數據和個人隱私。 涉足非個人數據領域不應成為該法案的目的。 因此,在專家委員會關於非個人數據的報告發布之前,應刪除該條款,政府應避免對非個人數據做出任何政策決定。
挑戰與機遇
重要的是,任何處理非個人數據的法規都必須允許其自由流動並提供對數據集的訪問,以實現公共利益和建設數字經濟。 它必須有助於創新和圍繞數據建立更大的生態系統。 允許數據共享框架和數據自由流動允許數據處理服務的用戶使用在不同市場收集的數據來提高他們的生產力和競爭力。
因此,用戶可以充分利用大市場提供的規模經濟,提高其全球競爭力,增加數據經濟的互聯互通。
新法律的目的必須是確保公民保護其個人數據的權利始終得到尊重,包括當他們的數據與其他類型的數據混合時,或者他們的數據被適當地匿名化時。
法律必須在企業利益與個人隱私和安全兩方面取得平衡。 雖然看到政府越來越依賴匯總數據來利用其推動有效政策變革的潛力令人欣慰,但需要一個更強大、更詳細的框架來研究權力過度的可能性及其對市場的影響。
此外,在個人數據保護法案中放置與非個人數據有關的規定是不匹配的。 數據保護機構的任務是規範與用戶隱私和個人數據有關的事項。 在這種背景下,目前尚不清楚該條款將如何實施,沒有授權的監管機構進行檢查。
[本文由對話團隊的 Karthik Venkatesh 和 Kazim Rizvi 共同撰寫]