Indien hat einen Schritt in Richtung einer angemessenen Datenschutzpolitik unternommen. Das Srikrishna-Komitee, ein zehnköpfiges Expertengremium unter der Leitung des ehemaligen Richters am Obersten Gerichtshof, BN Srikrishna, das im August 2017 von der indischen Regierung mit dem Auftrag eingesetzt wurde, „zentrale Datenschutzfragen zu identifizieren“, legte schließlich einen Bericht und einen Gesetzentwurf vor, der einen rechtlichen Rahmen für den Datenschutz bietet. data privacy im Land Ende Juli.
Die vollständige 213-seitige berichten zusammen mit dem 67-seitigen Gesetzentwurf ist auf der Website des Ministeriums für Elektronik und Informationstechnologie zu lesen und bietet einen detaillierten Einblick in die Konturen des Datenschutzes in Indien. Obwohl alles noch Theorie ist und das Srikrishna-Gremium lediglich einen Gesetzesentwurf vorgelegt hat, der vom Parlament verabschiedet werden muss, wird eine mögliche Politik höchstwahrscheinlich nicht wesentlich von diesem Gesetzentwurf abweichen. Vor diesem Hintergrund ist es für Unternehmen – kleine wie große – wichtig, die Situation zu analysieren, zu verstehen und gegebenenfalls die erforderlichen Änderungen vorzunehmen.
Für Unternehmen sind folgende Kernpunkte zu beachten:
- Der Gesetzesentwurf sieht vor, dass das neue Gesetz für alle in Indien verarbeiteten Daten gelten soll. Auch Datensammler, die im Bericht als „Datentreuhänder“ bezeichnet werden und nicht in Indien ansässig sind, aber Aktivitäten durchführen, die die Datenverantwortlichen betreffen, fallen in den Geltungsbereich dieses Gesetzes.
- Per Gesetz wird eine unabhängige Regulierungsbehörde mit der Bezeichnung „Data Protection Authority“ (DPA) eingerichtet, die für die wirksame Durchsetzung des Gesetzes verantwortlich sein wird.
- Bestimmte Datentreuhänder werden von der Datenschutzbehörde als wichtige Datentreuhänder eingestuft, „da sie durch ihre Datenverarbeitungsaktivitäten den Datenverantwortlichen größeren Schaden zufügen können“. Diese wichtigen Datentreuhänder müssen Verpflichtungen erfüllen wie (i) die Registrierung bei der Datenschutzbehörde; (ii) Datenschutz-Folgenabschätzungen; (iii) die Führung von Aufzeichnungen; (iii) Datenprüfungen; und (iv) die Ernennung eines Datenschutzbeauftragten. Die Datenschutzbehörde kann verlangen, dass auch andere Datentreuhänder diese Verpflichtungen erfüllen.
- Ähnlich wie die Europäische Union Allgemeine Datenschutzverordnung (GDPR/DSGVO)Bei Verstößen gegen Datenschutzgesetze können Datentreuhänder mit Strafen belegt und Datenauftraggebern Schadensersatz zugesprochen werden. Die Strafen können einen Betrag bis zur festgelegten Obergrenze oder einen Prozentsatz des weltweiten Gesamtumsatzes des vorangegangenen Geschäftsjahres betragen, je nachdem, welcher Betrag höher ist.
- Zu den sensiblen personenbezogenen Daten zählen Passwörter, Finanzdaten, Gesundheitsdaten, amtliche Kennungen, Daten zum Sexualleben, zur sexuellen Orientierung, biometrische und genetische Daten sowie Daten, die den Transgender-Status, den Intersex-Status, die Kaste, den Stamm, die religiösen oder politischen Überzeugungen oder Zugehörigkeiten einer Person offenbaren.
- Die Einwilligung ist die Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Sie ist nur gültig, wenn sie „freiwillig, informiert, spezifisch, klar und widerrufbar“ erfolgt.
- Die Verarbeitung personenbezogener Daten durch Datentreuhänder muss stets fair und angemessen erfolgen.
- Für Datentreuhänder gelten Verpflichtungen hinsichtlich der Datenqualität und Speicherbegrenzung.
- Das Recht auf Datenübertragbarkeit sollte, vorbehaltlich begrenzter Ausnahmen, im Gesetz verankert werden.
- Das Recht auf Vergessenwerden kann übernommen werden, wobei die Entscheidungsabteilung der Datenschutzbehörde anhand bestimmter Kriterien über seine Anwendbarkeit entscheidet.
- Personenbezogene Daten, die als kritisch eingestuft werden, unterliegen der Anforderung, sie nur in Indien zu verarbeiten.
- Für andere Arten personenbezogener Daten (nicht kritisch) gilt die Anforderung, mindestens eine Kopie in Indien aufzubewahren.
- Im vorliegenden Gesetzesentwurf wird jede Straftat, die unter diesem Gesetzentwurf strafbar ist, als erkennbar und nicht kautionierbar eingestuft.
Es gibt noch zahlreiche weitere Punkte, aber dies sind die wichtigsten, die sich auf die Geschäftstätigkeit in Indien auswirken werden. Viele multinationale Konzerne wie Facebook, Google oder WhatsApp müssen daher sicherstellen, dass die von indischen Nutzern gesammelten Daten gemäß dem Datenschutzgesetz geschützt sind. Sie müssen außerdem eine Kopie in Indien speichern, was die Serverkosten erhöhen kann.
Ein weiterer wichtiger Aspekt ist, dass sich auch als „bedeutend“ eingestufte Datentreuhänder auf verschiedene Compliance-Maßnahmen einstellen müssen, auf die sie sich ab sofort vorbereiten müssen. Das Datenschutzgesetz 2018 ist zwar noch nicht in Kraft getreten, weist aber den Weg für einen zukünftigen Rahmen der Datenschutzgesetzgebung in Indien. Unternehmen müssen dies beachten und bereits jetzt die Grundlagen schaffen, um bei Inkrafttreten nicht unvorbereitet zu sein.
Als IT-Sicherheitspartner für Ihr Unternehmen Seqrite bietet umfassenden Schutz vor fortgeschrittenen Cyber-Bedrohungen. Um mehr zu erfahren
