Индийский DPDP Act, раздел за разделом
Понятные краткие изложения ключевых разделов Digital Personal Data Protection Act и того, что каждый из них означает для ваших практик согласия и работы с данными.
Уведомление
Section 5 закона DPDP Act обязывает data fiduciary предоставить субъекту данных детализированное уведомление до или в момент запроса согласия. В нём указываются собираемые персональные данные и цель, порядок реализации прав и отзыва согласия, а также порядок подачи жалобы в Data Protection Board. Уведомление должно быть на ясном и простом языке, с возможностью ознакомиться с ним на английском или на любом языке из Eighth Schedule Конституции.
ЧитатьСогласие и его отзыв
Section 6 закона DPDP Act устанавливает, что согласие должно быть свободным, конкретным, информированным, безусловным и недвусмысленным, выражаться явным утвердительным действием и ограничиваться данными, необходимыми для заявленной цели. Субъект данных может отозвать согласие в любой момент, и отзыв должен быть таким же простым, как и его предоставление; после отзыва fiduciary и его обработчики обязаны прекратить соответствующую обработку в разумный срок. Согласие также можно давать, вести и отзывать через зарегистрированного Consent Manager.
ЧитатьЗаконные варианты использования
Section 7 закона DPDP Act перечисляет отдельные законные варианты использования, при которых data fiduciary может обрабатывать персональные данные без отдельного согласия: данные, добровольно предоставленные для определённой цели, предоставление государством льгот или услуг, исполнение закона или судебных предписаний, реагирование на медицинские чрезвычайные ситуации и катастрофы, а также некоторые цели, связанные с трудовыми отношениями. Это узкие исключения; большинство обычных коммерческих и маркетинговых операций по-прежнему опирается на согласие по Section 6.
ЧитатьОбязанности fiduciary
Section 8 закона DPDP Act определяет ключевые обязанности data fiduciary: обеспечивать точность и полноту данных там, где они могут повлиять на субъекта данных или на решение; принимать разумные меры безопасности для предотвращения нарушений; уведомлять Data Protection Board и затронутых лиц о нарушении; удалять персональные данные после достижения цели или отзыва согласия; публиковать контакт лица, отвечающего на вопросы; и иметь механизм рассмотрения жалоб. Fiduciary остаётся ответственным даже тогда, когда данные обрабатывает сторонний обработчик.
ЧитатьДанные детей
Section 9 закона DPDP Act требует от data fiduciary получить проверяемое согласие родителя или законного опекуна до обработки персональных данных ребёнка (любого лица младше 18 лет) или лица с инвалидностью, имеющего законного опекуна. Кроме того, запрещается обработка, способная причинить вред благополучию ребёнка, а также отслеживание, поведенческий мониторинг и таргетированная реклама, направленная на детей. На практике это означает проверку возраста и проверяемый сценарий родительского согласия.
ЧитатьSignificant Data Fiduciaries
Section 10 закона DPDP Act позволяет центральному правительству относить отдельных data fiduciaries к категории Significant Data Fiduciaries (SDF) с учётом таких факторов, как объём и чувствительность данных, риск для субъектов данных и влияние на суверенитет, избирательную демократию и общественный порядок. У SDF есть дополнительные обязанности: назначить Data Protection Officer, находящегося в Индии и подотчётного совету директоров, назначить независимого аудитора данных и периодически проводить оценки воздействия на защиту данных и аудиты.
ЧитатьПрава субъектов данных
Sections 11–14 закона DPDP Act дают субъектам данных право получить сводку о своих персональных данных и операциях обработки (Section 11), право на исправление, дополнение, обновление и удаление (Section 12), право на рассмотрение жалобы у fiduciary или Consent Manager (Section 13) и право назначить другое лицо для реализации своих прав в случае смерти или недееспособности (Section 14). Чтобы их соблюдать, нужен работающий процесс обработки запросов с чёткими сроками.
ЧитатьШтрафы
Согласно Section 33 закона DPDP Act, Data Protection Board может налагать денежные штрафы по итогам расследования, а размеры установлены в Schedule. Наибольший — до 250 crore рупий за непринятие разумных мер безопасности для предотвращения нарушения и до 200 crore рупий за нарушение обязанностей, связанных с детьми. При определении суммы Board учитывает характер, тяжесть и продолжительность нарушения, а также меры по смягчению последствий.
Читать