Indiens DPDP Act, Abschnitt für Abschnitt
Verständliche Zusammenfassungen der zentralen Abschnitte des Digital Personal Data Protection Act - und was jeder davon für Ihre Einwilligungs- und Datenpraxis bedeutet.
Hinweis
Section 5 des DPDP Act verpflichtet eine Data Fiduciary, der betroffenen Person vor oder bei Einholung der Einwilligung einen aufgeschlüsselten Hinweis zu geben. Darin stehen die zu erhebenden personenbezogenen Daten und der Zweck, wie die Person ihre Rechte ausüben und die Einwilligung widerrufen kann und wie sie sich beim Data Protection Board beschweren kann. Der Hinweis muss in klarer, einfacher Sprache verfasst sein und auf Englisch oder in jeder im Eighth Schedule der Verfassung genannten Sprache abrufbar sein.
LesenEinwilligung & Widerruf
Nach Section 6 des DPDP Act muss die Einwilligung freiwillig, spezifisch, informiert, bedingungsfrei und unmissverständlich sein, durch eine eindeutige bestätigende Handlung erfolgen und auf die für den genannten Zweck erforderlichen Daten beschränkt bleiben. Die betroffene Person kann die Einwilligung jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung; nach dem Widerruf müssen die Fiduciary und ihre Auftragsverarbeiter die betreffende Verarbeitung binnen angemessener Frist einstellen. Die Einwilligung kann auch über einen registrierten Consent Manager erteilt, verwaltet und widerrufen werden.
LesenLegitime Nutzungen
Section 7 des DPDP Act nennt bestimmte legitime Nutzungen, bei denen eine Data Fiduciary personenbezogene Daten ohne gesonderte Einwilligung verarbeiten darf: darunter Daten, die die Person freiwillig für einen Zweck bereitgestellt hat, staatliche Leistungen oder Dienste, die Erfüllung gesetzlicher Vorgaben oder gerichtlicher Anordnungen, medizinische Notfälle und Katastrophen sowie bestimmte Beschäftigungszwecke. Es handelt sich um enge Ausnahmen; die meisten üblichen kommerziellen und werblichen Verarbeitungen stützen sich weiterhin auf die Einwilligung nach Section 6.
LesenPflichten der Fiduciary
Section 8 des DPDP Act legt die Kernpflichten einer Data Fiduciary fest: Daten richtig und vollständig halten, soweit sie die betroffene Person oder eine Entscheidung beeinflussen können; angemessene Sicherheitsmaßnahmen gegen Verletzungen treffen; das Data Protection Board und die Betroffenen über eine Verletzung informieren; personenbezogene Daten löschen, sobald der Zweck erfüllt oder die Einwilligung widerrufen ist; eine Kontaktstelle für Rückfragen veröffentlichen; und ein Beschwerdeverfahren vorhalten. Die Fiduciary bleibt auch dann verantwortlich, wenn ein Auftragsverarbeiter die Daten verarbeitet.
LesenDaten von Kindern
Section 9 des DPDP Act verlangt von einer Data Fiduciary eine überprüfbare Einwilligung eines Elternteils oder gesetzlichen Vormunds, bevor personenbezogene Daten eines Kindes (unter 18 Jahren) oder einer Person mit Behinderung mit gesetzlichem Vormund verarbeitet werden. Verboten ist zudem jede Verarbeitung, die dem Wohl eines Kindes voraussichtlich schadet, ebenso Tracking, Verhaltensbeobachtung und zielgerichtete Werbung gegenüber Kindern. In der Praxis bedeutet das eine Altersabfrage und einen überprüfbaren Ablauf für die elterliche Einwilligung.
LesenSignificant Data Fiduciaries
Section 10 des DPDP Act erlaubt der Zentralregierung, bestimmte Data Fiduciaries als Significant Data Fiduciaries (SDFs) einzustufen - anhand von Faktoren wie Umfang und Sensibilität der Daten, Risiko für die betroffenen Personen sowie Auswirkungen auf Souveränität, Wahldemokratie und öffentliche Ordnung. Eine SDF hat zusätzliche Pflichten: Bestellung eines in Indien ansässigen Data Protection Officer, der an den Vorstand berichtet, Bestellung eines unabhängigen Datenauditors sowie regelmäßige Datenschutz-Folgenabschätzungen und Audits.
LesenRechte der Betroffenen
Die Sections 11 bis 14 des DPDP Act geben den betroffenen Personen das Recht auf eine Übersicht über ihre personenbezogenen Daten und die Verarbeitungstätigkeiten (Section 11), das Recht auf Berichtigung, Vervollständigung, Aktualisierung und Löschung (Section 12), das Recht auf Beschwerde bei der Fiduciary oder dem Consent Manager (Section 13) sowie das Recht, eine andere Person zur Ausübung ihrer Rechte im Fall von Tod oder Handlungsunfähigkeit zu benennen (Section 14). Dafür brauchen Sie einen funktionierenden Antragsprozess mit klaren Fristen.
LesenSanktionen
Nach Section 33 des DPDP Act kann das Data Protection Board nach einer Untersuchung Geldbußen verhängen, deren Höhe im Schedule festgelegt ist. Die höchste beträgt bis zu 250 crore Rupien, wenn keine angemessenen Sicherheitsmaßnahmen zur Verhinderung einer Verletzung getroffen wurden, und bis zu 200 crore Rupien bei Verstößen gegen Pflichten im Zusammenhang mit Kindern. Bei der Bemessung berücksichtigt das Board Art, Schwere und Dauer des Verstoßes sowie Maßnahmen zur Schadensminderung.
Lesen