印度 DPDPA 中的 Data Principal 是什么？
了解在印度 DPDPA 下谁属于 Data Principal、享有哪些权利、撤回同意如何运作，以及它与 GDPR 中 Data Subject 的区别。
简单来说，如果某个机构收集或处理与你有关的个人数据，你就是 Data Principal。
DPDPA 是印度的综合性数据保护法，规范机构如何处理数字个人数据，而 Data Principal 正是这些义务所要保护的那个人。
举例来说，当你在网店注册账号并填写姓名、电子邮箱和收货地址时，你就是 Data Principal，而决定为何以及如何使用这些信息的网店则是 Data Fiduciary。
对于儿童，该术语还包括其父母或法定监护人。对于残障人士，则包括代其行事的法定监护人。
Data Principal 在 DPDPA 下享有权利，并可依照该法对自己的个人数据行使控制，包括与查阅信息、更正与删除、投诉救济以及指定他人相关的权利。
Data Principal 是什么意思？
Data Principal 是指其个人数据正在被处理的那个人。
例如：
- 被在线商店收集姓名和电子邮件的顾客
- 在 SaaS 平台上创建账户的用户
- 数字信息被在线医疗服务处理的患者
- 个人信息以数字方式被处理的员工
- 通过在线表单被收集个人数据的网站访问者
在上述每种情形中，数据所指向的个人都可能是 Data Principal。
DPDPA 下谁是 Data Principal？
Data Principal 通常是指其个人数据被收集、存储、使用、共享或以其他方式处理的那个人。
以一个电商网站为例：
顾客
Data Principal顾客的姓名、地址、电话号码及其他个人数据都与该个人相关。
企业
Data Fiduciary该企业决定为何以及如何处理这些个人数据。
服务提供方
Data Processor该服务商可能代表 Data Fiduciary 处理这些个人数据。
理解这些角色很重要，因为在 DPDPA 下它们各自的地位并不相同。
Data Principal 与 Data Fiduciary 的区别
Data Principal 是个人数据所涉及的那个人。
Data Fiduciary 是决定这些个人数据处理目的与方式的个人或机构。
权利请求向 Data Fiduciary 提出，Data Fiduciary 仍须对其 Data Processor 所做的处理负责。
例如：
| 角色 | 示例 |
|---|---|
| Data Principal | 使用在线购物网站的顾客 |
| Data Fiduciary | 运营该网站的企业 |
| Data Processor | 为该企业处理数据的云服务商 |
Data Principal 是其隐私利益与权利受到保护的那个人，而 Data Fiduciary 通常负责履行与该处理相关的适用义务。
为何 Data Principal 的隐私在 DPDPA 下很重要
机构保存的每一条记录背后都是一个人。Data Principal 就是这个人，而他的数据如何被收集、使用和共享，正是其隐私的实际内容。
清楚谁是 Data Principal、他有权要求什么，会改变企业日常处理个人数据的方式。这有助于：
- 个人对自身个人数据的掌控
- 对收集什么、为何收集保持透明
- 限定目的、负责任的处理
- 真实有效的选择，而非走过场
- 行使权利的清晰途径
- DPDPA 合规的切实基础
这样处理之后，隐私更容易向 Data Principal 解释，也更容易被证明，因为尊重用户选择的流程，同时也是记录这些选择的流程。
法律依据：DPDP Act 的规定
《Digital Personal Data Protection Act, 2023》Section 2(j) 将 Data Principal 定义为个人数据所指向的个人。该个人为儿童时，包括其父母或法定监护人；为残障人士时，包括代表其行事的法定监护人。
该法在 Sections 11 至 14 中规定了 Data Principal 的权利（获取信息、更正与删除、投诉救济以及指定代理人），Section 6 则允许其像给予同意时一样轻松地撤回同意。
DPDPA 还在 Section 15 中规定了 Data Principal 的义务。例如，Data Principal 不得冒充他人，不得在为官方文件提供个人数据时隐瞒重要信息，不得提出虚假或无理的投诉，并且在申请更正或删除时只能提供可核实的真实信息。
落实这些权利的义务由 Data Fiduciary 承担，Data Protection Board of India 可以对违反该法的行为展开调查。
Data Principal 的权利
DPDPA 赋予 Data Principal 与其个人数据相关的权利。
依据适用条款，这些权利包括：
查阅信息的权利
Data Principal 可依据 DPDPA 的规定，就正在处理的个人数据及相关处理活动索取一定信息。
这有助于个人了解自己的个人数据是如何被处理的。
更正与删除的权利
在适用要求与例外的前提下，Data Principal 可以要求更正、补充、更新或删除个人数据。
机构应当具备接收并回应此类请求的流程。
指定他人的权利
在 DPDPA 规定的特定情形下，Data Principal 可以指定他人代为行使适用的权利。
撤回同意的权利
当个人数据基于同意被处理时，Data Principal 可以撤回该同意。
撤回应当与给予同意一样容易。
同意及如何撤回
同意是 DPDPA 下处理个人数据的主要途径之一。
当以同意为依据时，它应当满足该法的适用要求，包括做到：
- 自由作出
- 具体
- 基于充分信息
- 无附加条件
- 明确
- 通过清晰的肯定性行为作出
Data Principal 应当理解请求同意的具体目的。
一套稳健的同意流程应当能够做到：
- 告知
- 询问
- 采集
- 记录
- 落实
- 撤回
这有助于把用户的决定与个人数据的实际处理连接起来。
Data Principal 如何撤回同意？
当处理以同意为依据时，Data Principal 应当能够使用有效的机制来撤回该同意。
企业不应让撤回变得不必要地困难，或明显比给予同意更为复杂。
同意被撤回后，Data Fiduciary 应当在适用情形下采取必要措施停止处理个人数据，并依照 DPDPA 及其他适用要求处理撤回所带来的后果。
对于网站和应用而言，撤回同意可能意味着更新同意偏好设置，并确保相关联的系统尊重修改后的选择。
儿童与残障人士
Data Principal 与儿童数据
DPDPA 为儿童个人数据提供了额外保护。
儿童是指未满 18 周岁的个人。
DPDPA 还就儿童个人数据的处理设定了具体要求，包括在适用情形下父母或法定监护人的同意要求，以及对某些处理形式的限制。
处理儿童个人数据的企业应当审视适用于其服务的具体要求。
Data Principal 与残障人士
Data Principal 的法定定义也涵盖涉及残障人士的情形。
这确保 DPDPA 的框架承认某些情形：与个人数据相关的权利以及与同意相关的行为，可能需要通过获得授权的法定代表来行使。
Data Principal 如何行使权利
企业应当提供便于使用的流程，让 Data Principal 行使适用的权利。
典型的工作流程可能包括：
提交
通过可用的隐私或投诉渠道提交请求。
核验
在核验必要且适当时，对请求进行核验。
定位
确定相关的个人数据与处理活动。
评估
依据适用的法律要求对请求进行评估。
处理
采取必要行动，例如提供信息、更正数据，或在适用情形下删除数据。
记录
记录处理结果，并通过适当流程作出回应。
具体流程取决于请求的类型以及该机构在 DPDPA 下所负的义务。
Data Principal 与 Data Subject 的区别，以及 Consent Manager
Data Principal 一词用于印度的 DPDPA。
Data Subject（数据主体）一词则常见于 GDPR 等隐私法律框架。
两个术语通常都指个人数据所指向的个人，但分属不同的法律框架。
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | 无直接对应概念 |
跨国经营的企业应当使用各隐私法律框架所适用的术语与要求。
Data Principal 与 Consent Manager
DPDPA 将 Consent Manager 定义为经注册的主体，作为单一联系点，使 Data Principal 能够通过易于使用、透明且可互通的平台给予、管理、查看和撤回同意。
这一模式旨在让 Data Principal 更好地掌控自己的同意决定。
企业应当区分 Consent Manager 这一法定概念与一般的同意管理软件或 Cookie 同意横幅。
企业合规清单
网站和应用可能通过以下方式处理个人数据：
- 账户注册
- 联系表单
- 订阅邮件通讯
- 购买与支付
- 客户支持系统
- 移动应用的使用
- Cookie 与在线标识符
- 分析工具
- 广告技术
- 其他第三方服务
企业应当了解这些数据在何处被处理，以便在 Data Principal 行使适用权利时能够有效回应。
如果机构不知道相关个人数据存放在哪里，也不清楚哪些系统和服务提供商在处理这些数据，就无法有效处理隐私请求。
处理个人数据的企业应当考虑自身是否能够：
- 识别相关的 Data Principal
- 提供清晰的隐私与同意告知
- 说明适用的处理目的
- 在需要时取得有效同意
- 记录同意决定
- 支持同意撤回
- 定位相关的个人数据
- 在需要时更正或更新数据
- 在适用情形下删除数据
- 提供投诉救济机制
- 妥善处理儿童个人数据
- 处理通过适用代表提出的请求
- 保存请求与回应的记录
- 确保相关联的系统尊重更新后的隐私选择
ConsentX 如何帮助你尊重 Data Principal 的权利
ConsentX 为每一位 Data Principal 提供清晰的方式来给予、查看和撤回同意，也为你的团队留下可在审计中出示的记录。
按目的同意
针对每个目的分别征求同意。
清晰的告知
在收集数据之前，以通俗易懂的语言展示告知。
同意回执
为每一项决定保存防篡改记录。
撤回
让用户像给予同意时一样轻松地更改选择。
Cookie 发现与预先拦截
找出追踪器，并在用户同意前让非必要追踪器保持关闭。
权利请求工作流
接收、核验并答复查阅、更正和删除请求。
年龄验证与家长同意
支持儿童数据相关规则。
可供审计的证据
将同意与请求的证据集中保存在一处。
相关术语
Data Fiduciary 是决定个人数据处理目的与方式的个人或机构。
Data Processor 代表 Data Fiduciary 处理个人数据。
印度的数据保护框架，规范数字个人数据的相关处理活动。
一个经注册的平台，Data Principal 可通过它给予、管理、查看和撤回同意。
帮助机构收集、管理、落实并记录隐私与同意选择的软件。
同意凭证是对用户同意决定及相关信息的记录。
DPDPA 赋予个人的权利，包括与信息、更正、删除、投诉救济和指定他人相关的适用权利。
Cookie 同意帮助网站就相关 Cookie 与追踪技术取得并管理用户的许可。
事前拦截是一种技术流程，在取得必要同意之前，让相关的非必要追踪器保持不运行。