Η Ινδία έχει κάνει ένα βήμα μπροστά προς τη θέσπιση μιας κατάλληλης πολιτικής για την προστασία των δεδομένων. Η Επιτροπή Σρικρίσνα, μια 10μελής επιτροπή εμπειρογνωμόνων με επικεφαλής τον πρώην δικαστή του Ανωτάτου Δικαστηρίου Μπ.Ν. Σρικρίσνα και διορισμένη από την ινδική κυβέρνηση τον Αύγουστο του 2017 για να «εντοπίσει βασικά ζητήματα προστασίας δεδομένων», υπέβαλε τελικά μια έκθεση και ένα σχέδιο νόμου που παρέχει ένα νομικό πλαίσιο για... data privacy στη χώρα στα τέλη Ιουλίου.
Κατανόηση του Προτεινόμενου Πλαισίου Προστασίας Δεδομένων της Ινδίας
Η πλήρης έκθεση των 213 σελίδων μαζί με το νομοσχέδιο των 67 σελίδων είναι διαθέσιμα στον ιστότοπο του Υπουργείου Ηλεκτρονικής και Πληροφορικής και παρέχουν μια λεπτομερή εικόνα για το πώς θα μπορούσε να μοιάζει η προστασία δεδομένων στην Ινδία. Ενώ όλα βρίσκονται ακόμη στη θεωρία και η επιτροπή Srikrishna έχει παράσχει μόνο ένα νομοσχέδιο που πρέπει να ψηφιστεί από το Κοινοβούλιο, οποιαδήποτε πολιτική που θα εφαρμοστεί πιθανότατα δεν θα αποκλίνει πολύ από το εν λόγω νομοσχέδιο. Σε αυτό το πλαίσιο, είναι σημαντικό για τις επιχειρήσεις, μικρές και μεγάλες, να αναλύσουν, να κατανοήσουν και, εάν χρειαστεί, να αρχίσουν να κάνουν τις απαιτούμενες αλλαγές.
Βασικές Παραμέτρους Προστασίας Δεδομένων για Επιχειρήσεις
Για τις επιχειρήσεις, πρέπει να ληφθούν υπόψη τα ακόλουθα βασικά σημεία:
- Το νομοσχέδιο προτείνει ότι ο νέος επικείμενος νόμος θα έχει δικαιοδοσία για οποιαδήποτε δεδομένα υποβάλλονται σε επεξεργασία στην Ινδία. Ακόμη και για τους συλλέκτες δεδομένων, τους οποίους η έκθεση αναφέρει ως «καταπιστευματοδόχους δεδομένων», οι οποίοι δεν υπάρχουν στην Ινδία αλλά ασκούν δραστηριότητες που επηρεάζουν τους εντολείς δεδομένων, θα εμπίπτουν στο πεδίο εφαρμογής αυτού του νόμου.
- Θα συσταθεί με νόμο ένας ανεξάρτητος ρυθμιστικός φορέας, η Αρχή Προστασίας Δεδομένων (ΑΠΔ), ο οποίος θα είναι υπεύθυνος για την αποτελεσματική εφαρμογή του νόμου.
- Ορισμένοι διαχειριστές δεδομένων, οι οποίοι κατηγοριοποιούνται από την DPA ως σημαντικοί διαχειριστές δεδομένων «με βάση την ικανότητά τους να προκαλούν μεγαλύτερη βλάβη στους εντολείς δεδομένων ως συνέπεια των δραστηριοτήτων επεξεργασίας δεδομένων τους». Αυτοί οι σημαντικοί διαχειριστές δεδομένων θα πρέπει να αναλάβουν υποχρεώσεις όπως (i) Εγγραφή στην DPA· (ii) Εκτιμήσεις Επιπτώσεων στην Προστασία Δεδομένων· (iii) Τήρηση Αρχείων· (iii) Έλεγχοι Δεδομένων· και (iv) Διορισμός Υπεύθυνου Επεξεργασίας Δεδομένων. Η DPA μπορεί να απαιτήσει από οποιονδήποτε άλλο διαχειριστή δεδομένων να αναλάβει επίσης αυτές τις υποχρεώσεις.
- Παρόμοια με την Ευρωπαϊκή Ένωση Γενικός κανονισμός προστασίας δεδομένων (GDPR), μπορούν να επιβληθούν κυρώσεις στους διαχειριστές δεδομένων και μπορεί να επιδικαστεί αποζημίωση στους εντολείς δεδομένων για παραβίαση της νομοθεσίας περί προστασίας δεδομένων. Οι επιβαλλόμενες κυρώσεις θα ανέρχονται σε ποσό έως το καθορισμένο ανώτατο όριο ή σε ένα ποσοστό του συνολικού παγκόσμιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, όποιο από τα δύο είναι υψηλότερο.
- Τα ευαίσθητα προσωπικά δεδομένα θα περιλαμβάνουν κωδικούς πρόσβασης, οικονομικά δεδομένα, δεδομένα υγείας, επίσημο αναγνωριστικό, σεξουαλική ζωή, σεξουαλικό προσανατολισμό, βιομετρικά και γενετικά δεδομένα, καθώς και δεδομένα που αποκαλύπτουν την τρανς κατάσταση, την ίντερσεξ κατάσταση, την κάστα, τη φυλή, τις θρησκευτικές ή πολιτικές πεποιθήσεις ή τις πεποιθήσεις ενός ατόμου.
- Η συγκατάθεση θα αποτελεί νόμιμη βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Για να είναι έγκυρη η συγκατάθεση, θα πρέπει να είναι «ελεύθερη, ενημερωμένη, συγκεκριμένη, σαφής και να μπορεί να ανακληθεί».
- Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα από τους διαχειριστές δεδομένων πρέπει να είναι δίκαιη και εύλογη.
- Θα υπάρχουν υποχρεώσεις όσον αφορά την ποιότητα των δεδομένων και τον περιορισμό της αποθήκευσης από τους διαχειριστές δεδομένων.
- Το δικαίωμα στη φορητότητα των δεδομένων, με την επιφύλαξη περιορισμένων εξαιρέσεων, θα πρέπει να συμπεριληφθεί στον νόμο.
- Το δικαίωμα στη λήθη μπορεί να υιοθετηθεί, με την Πτέρυγα Εκδίκασης της Αρχής Προστασίας Δεδομένων (DPA) να καθορίζει την εφαρμογή του βάσει ορισμένων κριτηρίων.
- Τα προσωπικά δεδομένα που κρίνονται κρίσιμα θα υπόκεινται στην απαίτηση επεξεργασίας μόνο στην Ινδία.
- Άλλοι τύποι προσωπικών δεδομένων (μη κρίσιμων) θα υπόκεινται στην απαίτηση αποθήκευσης τουλάχιστον ενός αντιγράφου στην Ινδία.
- Στο προσχέδιο του νομοσχεδίου που παρέχεται, κάθε αδίκημα που τιμωρείται βάσει αυτού έχει κατηγοριοποιηθεί ως γνωστό και μη εγγυητικό.
Υπάρχουν διάφορα άλλα σημεία, αλλά αυτά είναι τα σημαντικότερα σημεία που θα επηρεάσουν τον τρόπο λειτουργίας των επιχειρήσεων στην Ινδία. Ως εκ τούτου, πολλές πολυεθνικές εταιρείες όπως το Facebook, η Google ή το Whatsapp, θα πρέπει να διασφαλίσουν ότι τα δεδομένα που συλλέγουν από τους Ινδούς χρήστες προστατεύονται σύμφωνα με την Ημέρα Προστασίας Δεδομένων. Θα πρέπει επίσης να αποθηκεύουν ένα αντίγραφο στην Ινδία, κάτι που μπορεί να αυξήσει το κόστος των διακομιστών.
Το άλλο σημαντικό μέρος είναι ότι οι φορείς διαχείρισης δεδομένων που θεωρούνται «σημαντικοί» θα πρέπει επίσης να είναι έτοιμοι να υποβληθούν σε διάφορα μέτρα συμμόρφωσης, για τα οποία πρέπει να προετοιμαστούν από τώρα. Ο νόμος περί προστασίας δεδομένων του 2018, αν και δεν έχει τεθεί ακόμη σε ισχύ, σίγουρα δείχνει τον δρόμο για ένα μελλοντικό πλαίσιο νομοθεσίας για τα δεδομένα στην Ινδία. Οι επιχειρήσεις πρέπει να το λάβουν υπόψη και να αρχίσουν να προετοιμάζουν τις βάσεις προς το παρόν, ώστε να μην βρεθούν απροετοίμαστες όταν τεθεί σε ισχύ.
Ως συνεργάτης ασφάλειας IT για την επιχείρησή σας, Seqrite παρέχει ολοκληρωμένη ασφάλεια από προηγμένες κυβερνοαπειλές. Για να μάθετε περισσότερα
