¿Qué es un Data Principal según la DPDPA de India?
Descubra quién es un Data Principal según la DPDPA de India, qué derechos tiene, cómo funciona la retirada del consentimiento y en qué se diferencia del Data Subject del GDPR.
En términos sencillos, si una organización recoge o trata datos personales sobre ti, tú eres el Data Principal.
La DPDPA es la ley general de protección de datos de India. Regula cómo tratan las organizaciones los datos personales digitales, y el Data Principal es la persona a la que esas obligaciones buscan proteger.
Por ejemplo, cuando crea una cuenta en una tienda online e introduce su nombre, su correo electrónico y su dirección de entrega, usted es el Data Principal y la tienda es el Data Fiduciary que decide por qué y cómo se utiliza esa información.
En el caso de un menor, el término incluye también al padre, madre o tutor legal del menor. En el caso de una persona con discapacidad, incluye al tutor legal que actúa en su nombre.
Los Data Principals tienen derechos conforme a la DPDPA y pueden ejercer control sobre sus datos personales de acuerdo con la ley, incluidos los derechos de acceso a la información, rectificación y supresión, resolución de reclamaciones y designación.
¿Qué significa Data Principal?
El Data Principal es la persona cuyos datos personales se están tratando.
Por ejemplo:
- Un cliente cuyo nombre y correo electrónico recoge una tienda en línea
- Un usuario que crea una cuenta en una plataforma SaaS
- Un paciente cuya información digital trata un servicio sanitario en línea
- Un empleado cuya información personal se trata de forma digital
- Un visitante de un sitio web cuyos datos personales se recogen mediante un formulario en línea
En cada caso, la persona a la que se refieren los datos puede ser el Data Principal.
¿Quién es un Data Principal según la DPDPA?
El Data Principal es, por lo general, la persona cuyos datos personales se recogen, almacenan, usan, comparten o tratan de cualquier otro modo.
Pensemos, por ejemplo, en un sitio de comercio electrónico:
Cliente
Data PrincipalEl nombre, la dirección, el teléfono y otros datos personales del cliente se refieren a esa persona.
Empresa
Data FiduciaryLa empresa determina por qué y cómo se tratan los datos personales.
Proveedor de servicios
Data ProcessorEl proveedor puede tratar los datos personales por cuenta del Data Fiduciary.
Entender estos papeles es importante porque cada uno ocupa una posición distinta bajo la DPDPA.
Data Principal frente a Data Fiduciary
El Data Principal es la persona a la que se refieren los datos personales.
El Data Fiduciary es la persona u organización que determina la finalidad y los medios del tratamiento de esos datos personales.
Las solicitudes de derechos se dirigen al Data Fiduciary, que sigue siendo responsable del tratamiento que realizan sus Data Processors.
Por ejemplo:
| Papel | Ejemplo |
|---|---|
| Data Principal | Un cliente que usa una tienda en línea |
| Data Fiduciary | La empresa que gestiona el sitio web |
| Data Processor | Un proveedor en la nube que trata datos para la empresa |
El Data Principal es la persona cuyos intereses y derechos de privacidad se protegen, mientras que el Data Fiduciary es, por lo general, responsable de cumplir las obligaciones aplicables al tratamiento.
Por qué importa la privacidad del Data Principal según la DPDPA
Detrás de cada registro que guarda una organización hay una persona. El Data Principal es esa persona, y la forma en que se recogen, utilizan y comparten sus datos es justamente en lo que consiste su privacidad.
Saber quién es el Data Principal, y a qué tiene derecho, cambia cómo trata una empresa los datos personales en el día a día. Favorece:
- El control de cada persona sobre sus datos personales
- La transparencia sobre qué se recoge y por qué
- Un tratamiento responsable y limitado a su finalidad
- Opciones reales en lugar de meros formalismos
- Vías claras para ejercer los derechos
- Una base práctica para el cumplimiento de la DPDPA
Así planteada, la privacidad es más fácil de explicar a los Data Principals y más fácil de demostrar, porque los procesos que respetan las decisiones de las personas son los mismos que las registran.
Base jurídica: qué dice la DPDP Act
La Section 2(j) de la Digital Personal Data Protection Act, 2023 define al Data Principal como la persona a la que se refieren los datos personales. Si esa persona es un menor, el término incluye a sus padres o tutor legal; si es una persona con discapacidad, incluye al tutor legal que actúa en su nombre.
La ley reconoce los derechos del Data Principal en las Sections 11 a 14 (acceso a la información, rectificación y supresión, resolución de reclamaciones y designación de un representante), y la Section 6 le permite retirar su consentimiento con la misma facilidad con que lo dio.
La DPDPA también establece deberes para los Data Principals en la Section 15. Por ejemplo, un Data Principal no debe suplantar a otra persona, ocultar información relevante al facilitar datos personales para un documento oficial ni presentar reclamaciones falsas o infundadas, y debe aportar solo información verificablemente auténtica al solicitar una rectificación o supresión.
Las obligaciones que hacen efectivos estos derechos recaen en el Data Fiduciary, y el Data Protection Board of India puede investigar los incumplimientos de la ley.
Derechos del Data Principal
La DPDPA otorga a los Data Principals derechos relativos a sus datos personales.
Según las disposiciones aplicables, estos incluyen:
Derecho de acceso a la información
El Data Principal puede solicitar determinada información sobre los datos personales tratados y las actividades de tratamiento relacionadas, según lo previsto en la DPDPA.
Esto ayuda a las personas a entender cómo se están gestionando sus datos personales.
Derecho de rectificación y supresión
El Data Principal puede solicitar la rectificación, la complementación, la actualización o la supresión de sus datos personales, con sujeción a los requisitos y excepciones aplicables.
Las organizaciones deben contar con procesos para recibir estas solicitudes y responderlas.
Derecho a la resolución de reclamaciones
El Data Principal tiene derecho a acceder a un mecanismo de resolución de reclamaciones facilitado por el Data Fiduciary o el Consent Manager.
Esto ofrece una vía para plantear inquietudes sobre el tratamiento de datos personales o sobre la gestión de las solicitudes de derechos.
Derecho de designación
El Data Principal puede designar a otra persona para que ejerza los derechos aplicables en determinadas circunstancias previstas por la DPDPA.
Derecho a retirar el consentimiento
Cuando los datos personales se tratan sobre la base del consentimiento, el Data Principal puede retirarlo.
La retirada debe ser tan fácil como el otorgamiento.
El consentimiento y cómo retirarlo
El consentimiento es una de las principales vías por las que pueden tratarse datos personales bajo la DPDPA.
Cuando se recurre al consentimiento, este debe cumplir los requisitos aplicables de la ley, entre ellos ser:
- Libre
- Específico
- Informado
- Incondicional
- Inequívoco
- Prestado mediante un acto afirmativo claro
El Data Principal debe comprender la finalidad para la que se le solicita el consentimiento.
Un proceso de consentimiento sólido debería permitir:
- Informar
- Preguntar
- Recoger
- Registrar
- Aplicar
- Retirar
Esto ayuda a conectar la decisión del usuario con el tratamiento real de los datos personales.
¿Cómo puede un Data Principal retirar su consentimiento?
Cuando el tratamiento se basa en el consentimiento, el Data Principal debe disponer de un mecanismo eficaz para retirarlo.
Una empresa no debe hacer que la retirada resulte innecesariamente difícil o sustancialmente más complicada que el otorgamiento.
Tras la retirada del consentimiento, el Data Fiduciary debe adoptar las medidas necesarias para dejar de tratar los datos personales cuando proceda y gestionar las consecuencias de la retirada conforme a la DPDPA y a los demás requisitos aplicables.
En sitios web y aplicaciones, la retirada del consentimiento puede implicar actualizar las preferencias de consentimiento y asegurarse de que los sistemas conectados respeten la nueva decisión.
Menores y personas con discapacidad
El Data Principal y los datos de menores
La DPDPA establece protecciones adicionales para los datos personales de menores.
Se entiende por menor la persona que no ha cumplido los 18 años.
La DPDPA también fija requisitos específicos sobre el tratamiento de datos personales de menores, incluidos los requisitos de consentimiento parental o del tutor legal en las circunstancias aplicables y restricciones relativas a determinadas formas de tratamiento.
Las empresas que tratan datos personales de menores deben revisar los requisitos concretos que se aplican a sus servicios.
El Data Principal y las personas con discapacidad
La definición legal de Data Principal también contempla las situaciones que afectan a una persona con discapacidad.
De este modo, el marco de la DPDPA reconoce las situaciones en que los derechos sobre datos personales y las acciones relacionadas con el consentimiento deben ejercerse a través de un representante legal autorizado.
Cómo ejerce sus derechos un Data Principal
Las empresas deben ofrecer procesos accesibles para que los Data Principals ejerzan los derechos aplicables.
Un flujo de trabajo habitual puede incluir:
Presentar
Presentar una solicitud a través del mecanismo de privacidad o de reclamaciones disponible.
Verificar
Verificar la solicitud cuando la verificación sea necesaria y adecuada.
Identificar
Identificar los datos personales y la actividad de tratamiento pertinentes.
Evaluar
Evaluar la solicitud conforme a los requisitos legales aplicables.
Actuar
Adoptar la medida necesaria: facilitar información, rectificar datos o suprimirlos cuando proceda.
Registrar
Registrar el resultado y responder por el cauce adecuado.
El procedimiento exacto depende del tipo de solicitud y de las obligaciones de la organización conforme a la DPDPA.
Data Principal vs Data Subject, y el Consent Manager
El término Data Principal se usa en la DPDPA de la India.
El término Data Subject (interesado) se usa habitualmente en marcos de privacidad como el GDPR.
Ambos términos se refieren, por lo general, a la persona a la que se refieren los datos personales, pero pertenecen a marcos jurídicos distintos.
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | Sin equivalente directo |
Las empresas que operan internacionalmente deben emplear la terminología y los requisitos aplicables a cada marco de privacidad.
El Data Principal y el Consent Manager
La DPDPA define al Consent Manager como una persona registrada que actúa como punto único de contacto para que un Data Principal pueda otorgar, gestionar, revisar y retirar su consentimiento mediante una plataforma accesible, transparente e interoperable.
Este modelo está pensado para dar a los Data Principals un mayor control sobre sus decisiones de consentimiento.
Las empresas deben distinguir el concepto legal de Consent Manager del software general de gestión del consentimiento o de un simple banner de cookies.
Checklist de cumplimiento para empresas
Los sitios web y las aplicaciones pueden tratar datos personales a través de:
- El registro de cuentas
- Los formularios de contacto
- Las suscripciones a newsletters
- Las compras y los pagos
- Los sistemas de atención al cliente
- El uso de aplicaciones móviles
- Las cookies y los identificadores en línea
- Las herramientas de analítica
- Las tecnologías publicitarias
- Otros servicios de terceros
Las empresas deben saber dónde se tratan estos datos para poder responder con eficacia cuando un Data Principal ejerza un derecho aplicable.
Una solicitud de privacidad no puede atenderse eficazmente si la organización no sabe dónde se almacenan los datos personales pertinentes ni qué sistemas y proveedores de servicios los tratan.
Las empresas que tratan datos personales deberían valorar si son capaces de:
- Identificar a los Data Principals pertinentes
- Ofrecer avisos claros de privacidad y consentimiento
- Explicar las finalidades de tratamiento aplicables
- Recoger un consentimiento válido cuando se requiera
- Registrar las decisiones de consentimiento
- Dar soporte a la retirada del consentimiento
- Localizar los datos personales pertinentes
- Rectificar o actualizar los datos cuando sea necesario
- Suprimir los datos cuando proceda
- Ofrecer mecanismos de resolución de reclamaciones
- Tratar adecuadamente los datos personales de menores
- Gestionar las solicitudes presentadas por representantes habilitados
- Conservar registros de las solicitudes y las respuestas
- Asegurar que los sistemas conectados respeten las decisiones de privacidad actualizadas
Cómo ConsentX le ayuda a respetar los derechos del Data Principal
ConsentX ofrece a cada Data Principal una forma clara de dar, revisar y retirar su consentimiento, y a su equipo un registro que presentar en una auditoría.
Consentimiento por finalidad
Solicite un consentimiento independiente para cada finalidad.
Avisos claros
Muestre avisos en lenguaje sencillo antes de recoger datos.
Recibos de consentimiento
Guarde un registro a prueba de manipulaciones de cada decisión.
Retirada
Permita que los usuarios cambien su decisión con la misma facilidad con que la tomaron.
Detección de cookies y bloqueo previo
Localice los rastreadores y mantenga desactivados los no esenciales hasta que el usuario acepte.
Flujos de solicitudes de derechos
Reciba, verifique y responda solicitudes de acceso, rectificación y supresión.
Verificación de edad y consentimiento parental
Cumpla las reglas sobre los datos de menores.
Evidencias listas para auditoría
Conserve en un solo lugar las pruebas de consentimiento y de solicitudes.
Cada decisión queda guardada en sus registros de consentimiento, respaldados por recibos de consentimiento a prueba de manipulaciones que puede exportar para una auditoría. En su sitio web, la detección de cookies y rastreadores muestra qué etiquetas se ejecutan, y el bloqueo previo mantiene desactivadas las no esenciales hasta que el usuario acepte. Las reglas por región le permiten mostrar a los visitantes de la India una experiencia específica de la DPDPA, y nuestra página sobre el consentimiento para visitantes de la India explica cómo funcionan el aviso, el consentimiento y la retirada.
Esto ayuda a las organizaciones a pasar de una política de privacidad estática a sistemas técnicos capaces de recoger, gestionar y demostrar las decisiones de privacidad.
Empiece gratis o reserve una demo para verlo en acción.
Lleva los derechos del Data Principal a la práctica
ConsentX ayuda a las empresas a recoger un consentimiento significativo, gestionar las preferencias de privacidad, dar soporte a la retirada y conservar evidencias de las decisiones de los Data Principals. Empieza gratis con ConsentX.
Términos relacionados
El Data Fiduciary es la persona u organización que determina la finalidad y los medios del tratamiento de datos personales.
El Data Processor trata datos personales por cuenta de un Data Fiduciary.
El marco de protección de datos de la India que rige el tratamiento aplicable de datos personales digitales.
Una plataforma registrada a través de la cual un Data Principal puede otorgar, gestionar, revisar y retirar su consentimiento.
Software que ayuda a las organizaciones a recoger, gestionar, aplicar y documentar las decisiones de privacidad y consentimiento.
Un recibo de consentimiento es el registro de la decisión de consentimiento de un usuario y de la información relacionada.
Derechos a disposición de las personas conforme a la DPDPA, incluidos los relativos a la información, la rectificación, la supresión, la resolución de reclamaciones y la designación.
El consentimiento de cookies ayuda a los sitios web a recoger y gestionar el permiso del usuario para las cookies y tecnologías de rastreo aplicables.
El bloqueo previo es el proceso técnico que mantiene inactivos los rastreadores no esenciales aplicables hasta obtener el consentimiento necesario.