India telah mengambil langkah maju dalam menetapkan kebijakan yang tepat untuk perlindungan data. Komite Srikrishna, sebuah komite ahli beranggotakan 10 orang yang dipimpin oleh mantan hakim Mahkamah Agung BN Srikrishna dan ditunjuk oleh pemerintah India pada Agustus 2017 untuk "mengidentifikasi isu-isu utama perlindungan data", akhirnya menyerahkan sebuah laporan dan rancangan undang-undang yang menyediakan kerangka hukum untuk data privacy di negara itu pada akhir Juli.
Laporan lengkap setebal 213 halaman beserta rancangan undang-undang setebal 67 halaman dapat dibaca di situs web Kementerian Elektronik & Teknologi Informasi dan memberikan wawasan terperinci tentang bagaimana perlindungan data di India dapat diterapkan. Meskipun semuanya masih dalam teori dan panel Srikrishna hanya memberikan rancangan undang-undang yang perlu disahkan oleh Parlemen, kebijakan apa pun yang diberlakukan kemungkinan besar tidak akan banyak menyimpang dari rancangan undang-undang tersebut. Dalam konteks itu, penting bagi bisnis, baik kecil maupun besar, untuk menganalisis, memahami, dan jika perlu, mulai melakukan perubahan yang diperlukan.
Bagi bisnis, poin-poin penting berikut perlu diperhatikan:
- RUU ini mengusulkan agar undang-undang baru yang akan datang ini memiliki yurisdiksi atas semua data yang diproses di India. Bahkan pengumpul data, yang disebut dalam laporan sebagai "fidusia data", yang tidak berada di India tetapi menjalankan aktivitas yang memengaruhi prinsipal data, akan berada di bawah cakupan undang-undang ini.
- Badan regulasi independen yang disebut Otoritas Perlindungan Data (DPA) akan dibentuk berdasarkan undang-undang yang akan bertanggung jawab atas penegakan hukum yang efektif.
- Fidusia data tertentu, yang dikategorikan oleh DPA sebagai fidusia data signifikan "berdasarkan kemampuan mereka untuk menyebabkan kerugian yang lebih besar bagi prinsipal data sebagai akibat dari aktivitas pemrosesan data mereka". Fidusia data signifikan ini harus melaksanakan kewajiban seperti (i) Pendaftaran pada DPA; (ii) Penilaian Dampak Perlindungan Data; (iii) Penyimpanan Catatan; (iii) Audit Data; dan (iv) Penunjukan Petugas Pemrosesan Data. DPA dapat mewajibkan fidusia data lain untuk melaksanakan kewajiban ini juga.
- Mirip dengan Uni Eropa Peraturan Perlindungan Data Umum (GDPR), denda dapat dijatuhkan kepada fidusia data dan kompensasi dapat diberikan kepada prinsipal data atas pelanggaran hukum perlindungan data. Denda yang dijatuhkan dapat berupa jumlah hingga batas atas yang ditetapkan atau persentase tertentu dari total omzet global tahun keuangan sebelumnya, mana pun yang lebih tinggi.
- Data pribadi yang sensitif akan mencakup kata sandi, data keuangan, data kesehatan, pengenal resmi, kehidupan seks, orientasi seksual, data biometrik dan genetik, dan data yang mengungkapkan status transgender, status interseks, kasta, suku, keyakinan agama atau politik atau afiliasi seseorang.
- Persetujuan akan menjadi dasar hukum untuk pemrosesan data pribadi. Agar persetujuan dianggap sah, persetujuan tersebut harus "bebas, berdasarkan informasi, spesifik, jelas, dan dapat ditarik kembali".
- Semua pemrosesan data pribadi oleh pemegang amanah data harus adil dan wajar.
- Harus ada kewajiban mengenai kualitas data dan pembatasan penyimpanan pada pihak yang dipercayai data.
- Hak atas portabilitas data, dengan beberapa pengecualian terbatas, harus dimasukkan dalam undang-undang.
- Hak untuk dilupakan dapat diadopsi, dengan Sayap Adjudikasi DPA menentukan penerapannya berdasarkan kriteria tertentu.
- Data pribadi yang dianggap penting akan tunduk pada persyaratan untuk diproses hanya di India
- Jenis data pribadi lainnya (non-kritis) akan tunduk pada persyaratan untuk menyimpan setidaknya satu salinan yang disajikan di India
- Dalam rancangan undang-undang ini, setiap tindak pidana yang dapat dihukum berdasarkan undang-undang ini telah dikategorikan sebagai tindak pidana yang dapat dihukum dan tidak dapat dihukum dengan jaminan.
Ada berbagai poin lain, tetapi poin-poin ini merupakan poin-poin utama yang akan memengaruhi cara bisnis beroperasi di India. Oleh karena itu, banyak perusahaan multinasional seperti Facebook, Google, atau WhatsApp harus memastikan bahwa data yang mereka kumpulkan dari pengguna India dilindungi oleh Undang-Undang Perlindungan Data. Mereka juga diwajibkan menyimpan salinan data di India, yang dapat meningkatkan biaya server.
Bagian penting lainnya adalah bahwa fidusia data yang dianggap "signifikan" juga harus siap menjalani berbagai langkah kepatuhan yang harus mereka persiapkan mulai sekarang. RUU Perlindungan Data 2018, meskipun belum berlaku, jelas menunjukkan jalan bagi kerangka kerja legislasi data di India di masa mendatang. Para pelaku bisnis harus memperhatikan dan mulai mempersiapkan diri dari sekarang agar mereka tidak lengah ketika RUU tersebut mulai berlaku.
Sebagai mitra keamanan TI untuk bisnis Anda, Seqrite menyediakan keamanan komprehensif dari ancaman siber tingkat lanjut. Untuk mengetahui lebih lanjut
