A DPDP Act da Índia, seção por seção
Resumos claros das principais seções da Digital Personal Data Protection Act e o que cada uma significa para suas práticas de consentimento e dados.
Aviso
A Section 5 da DPDP Act exige que o data fiduciary entregue ao data principal um aviso detalhado, antes ou no momento em que o consentimento é solicitado, informando os dados pessoais a serem coletados e a finalidade, como a pessoa pode exercer seus direitos e revogar o consentimento, e como reclamar ao Data Protection Board. O aviso deve estar em linguagem clara e simples, com a opção de acesso em inglês ou em qualquer idioma listado no Eighth Schedule da Constituição.
LerConsentimento e revogação
A Section 6 da DPDP Act determina que o consentimento seja livre, específico, informado, incondicional e inequívoco, dado por um ato afirmativo claro e limitado aos dados pessoais necessários à finalidade declarada. O data principal pode revogar o consentimento a qualquer momento, e revogar deve ser tão fácil quanto conceder; após a revogação, o fiduciary e seus operadores devem cessar o tratamento correspondente em prazo razoável. O consentimento também pode ser dado, gerenciado e revogado por meio de um Consent Manager registrado.
LerUsos legítimos
A Section 7 da DPDP Act lista certos usos legítimos em que um data fiduciary pode tratar dados pessoais sem consentimento separado, incluindo dados fornecidos voluntariamente para uma finalidade, a prestação de benefícios ou serviços pelo Estado, o cumprimento de lei ou de ordens judiciais, a resposta a emergências médicas e desastres, e determinadas finalidades trabalhistas. São exceções estreitas; a maior parte do tratamento comercial e de marketing comum continua baseada no consentimento da Section 6.
LerDeveres do fiduciary
A Section 8 da DPDP Act define os deveres centrais de um data fiduciary: garantir que os dados sejam exatos e completos quando puderem afetar o data principal ou uma decisão, adotar salvaguardas de segurança razoáveis para evitar violações, notificar o Data Protection Board e as pessoas afetadas em caso de violação, eliminar os dados pessoais quando a finalidade for cumprida ou o consentimento revogado, publicar o contato de uma pessoa apta a responder dúvidas e manter um mecanismo de tratamento de reclamações. O fiduciary continua responsável mesmo quando um operador trata os dados.
LerDados de crianças
A Section 9 da DPDP Act exige que o data fiduciary obtenha consentimento verificável de um dos pais ou responsável legal antes de tratar dados pessoais de uma criança (qualquer pessoa com menos de 18 anos) ou de pessoa com deficiência que tenha responsável legal. Também proíbe tratamento que possa causar efeito prejudicial ao bem-estar de uma criança e veda rastreamento, monitoramento comportamental e publicidade direcionada a crianças. Na prática, isso exige verificação de idade e um fluxo verificável de consentimento parental.
LerSignificant Data Fiduciaries
A Section 10 da DPDP Act permite ao Governo Central classificar determinados data fiduciaries como Significant Data Fiduciaries (SDFs), com base em fatores como volume e sensibilidade dos dados, risco aos data principals e impacto sobre soberania, democracia eleitoral e ordem pública. Um SDF tem deveres adicionais: nomear um Data Protection Officer sediado na Índia e que se reporte ao seu conselho, nomear um auditor de dados independente e realizar periodicamente avaliações de impacto e auditorias.
LerDireitos do data principal
As Sections 11 a 14 da DPDP Act dão aos data principals o direito de acessar um resumo de seus dados pessoais e das atividades de tratamento (Section 11), o direito de correção, complementação, atualização e eliminação (Section 12), o direito ao tratamento de reclamações pelo fiduciary ou pelo Consent Manager (Section 13) e o direito de indicar outra pessoa para exercer seus direitos em caso de morte ou incapacidade (Section 14). É preciso um processo de solicitações funcional, com prazos claros, para atendê-los.
LerPenalidades
Nos termos da Section 33 da DPDP Act, o Data Protection Board pode aplicar penalidades pecuniárias após inquérito, com os valores previstos no Schedule. A maior chega a 250 crore de rupias por não adotar salvaguardas de segurança razoáveis para evitar uma violação, e até 200 crore de rupias por descumprir obrigações relativas a crianças. Ao definir o valor, o Board considera a natureza, a gravidade e a duração da violação, além de eventuais medidas mitigadoras.
Ler