インドの DPDP Act を条文ごとに
Digital Personal Data Protection Act の主要条文をわかりやすく要約し、それぞれが同意とデータの実務に何を意味するかを示します。
通知
DPDP Act の Section 5 は、データ受託者に対し、同意を求める前または同意を求める時点で、データ主体へ明細化された通知を行うことを義務づけています。通知には、収集する個人データとその目的、権利の行使方法と同意の撤回方法、Data Protection Board への申立て方法を記載します。通知は明確で平易な言葉で示し、英語または憲法の Eighth Schedule に掲げるいずれかの言語で参照できるようにしなければなりません。
読む同意と撤回
DPDP Act の Section 6 は、同意が自由・特定的・情報に基づく・無条件かつ明確なものであり、明瞭な積極的行為によって与えられ、明示された目的に必要な個人データに限定されることを求めています。データ主体はいつでも同意を撤回でき、撤回は付与と同じくらい容易でなければなりません。撤回後、受託者およびその処理者は関連する取扱いを合理的な期間内に停止する必要があります。同意は登録済みの Consent Manager を通じて付与・管理・撤回することもできます。
読む正当な利用
DPDP Act の Section 7 は、データ受託者が個別の同意なしに個人データを取り扱える正当な利用を列挙しています。本人が目的のために任意に提供したデータ、国による給付やサービスの提供、法令または裁判所の命令の遵守、医療上の緊急事態や災害への対応、一定の雇用目的などです。これらは限定的な例外であり、通常の商業・マーケティング目的の取扱いの多くは引き続き Section 6 の同意に依拠します。
読む受託者の義務
DPDP Act の Section 8 は、データ受託者の中核的義務を定めています。データ主体や意思決定に影響しうる場合にデータの正確性と完全性を確保すること、侵害を防ぐ合理的な安全管理措置を講じること、侵害時に Data Protection Board と影響を受ける個人へ通知すること、目的達成後または同意撤回後に個人データを消去すること、質問に答えられる担当者の連絡先を公表すること、苦情処理の仕組みを備えることです。処理者がデータを扱う場合でも、受託者は引き続き説明責任を負います。
読む児童のデータ
DPDP Act の Section 9 は、児童（18 歳未満のすべての者）または法定後見人のいる障がいのある方の個人データを取り扱う前に、親権者または法定後見人からの検証可能な同意を得ることをデータ受託者に義務づけています。また、児童の福祉に有害な影響を及ぼすおそれのある取扱いを禁じ、児童を対象とする追跡、行動監視、ターゲティング広告を禁止しています。実務上は、年齢確認と検証可能な保護者同意のフローが必要になります。
読むSignificant Data Fiduciaries
DPDP Act の Section 10 は、データの量と機微性、データ主体へのリスク、主権・選挙民主主義・公共の秩序への影響といった要素に基づき、中央政府が特定のデータ受託者を Significant Data Fiduciaries（SDF）として指定できると定めています。SDF には追加の義務が課されます。インドに拠点を置き取締役会に報告する Data Protection Officer の選任、独立したデータ監査人の選任、そしてデータ保護影響評価と監査の定期的な実施です。
読むデータ主体の権利
DPDP Act の Sections 11 から 14 は、データ主体に対し、自身の個人データと取扱い活動の概要にアクセスする権利（Section 11）、訂正・補完・更新・消去を求める権利（Section 12）、受託者または Consent Manager による苦情処理を受ける権利（Section 13）、死亡または能力喪失の場合に自身の権利を行使する者を指名する権利（Section 14）を与えています。これらに応えるには、明確な期限を備えた実務的な請求対応プロセスが必要です。
読む罰則
DPDP Act の Section 33 に基づき、Data Protection Board は調査を経て金銭的な制裁金を科すことができ、その金額は Schedule に定められています。最も高額なのは、侵害を防ぐ合理的な安全管理措置を怠った場合の最大 250 crore ルピーで、児童に関する義務違反については最大 200 crore ルピーです。金額の決定にあたり、Board は違反の性質・重大性・期間および緩和措置を考慮します。
読む