A Índia deu um passo importante rumo à formulação de uma política adequada de proteção de dados. O Comitê Srikrishna, composto por 10 especialistas e liderado pelo ex-juiz da Suprema Corte BN Srikrishna, nomeado pelo governo indiano em agosto de 2017 para "identificar as principais questões de proteção de dados", finalmente apresentou um relatório e um projeto de lei que fornece um arcabouço legal para a proteção de dados. data privacy no país no final de julho.
Entendendo a proposta de estrutura de proteção de dados da Índia
O relatório completo de 213 páginas, juntamente com a minuta do projeto de lei de 67 páginas, pode ser consultado no site do Ministério da Eletrônica e Tecnologia da Informação e oferece uma visão detalhada de como a proteção de dados na Índia poderá ser implementada. Embora tudo ainda esteja em teoria e o painel Srikrishna tenha apresentado apenas uma minuta de projeto de lei que precisa ser aprovada pelo Parlamento, qualquer política que venha a ser implementada provavelmente não se desviará muito do projeto em questão. Nesse contexto, é importante que as empresas, pequenas e grandes, analisem, compreendam e, se necessário, comecem a implementar as mudanças necessárias.
Principais considerações sobre proteção de dados para empresas
Para as empresas, os seguintes pontos-chave precisam ser observados:
- O projeto de lei propõe que a nova lei, em breve em vigor, tenha jurisdição sobre quaisquer dados processados na Índia. Mesmo os coletores de dados, aos quais o relatório se refere como "fiduciários de dados", que não estão presentes na Índia, mas exercem atividades que afetam os titulares dos dados, estariam sob a alçada desta lei.
- Um órgão regulador independente chamado Autoridade de Proteção de Dados (DPA) será criado por lei e será responsável pela aplicação efetiva da lei.
- Certos fiduciários de dados, categorizados pela DPA como fiduciários de dados significativos “com base em sua capacidade de causar maiores danos aos titulares dos dados como consequência de suas atividades de processamento de dados”. Esses fiduciários de dados significativos terão que assumir obrigações como (i) Registro na DPA; (ii) Avaliações de Impacto à Proteção de Dados; (iii) Manutenção de Registros; (iii) Auditorias de dados; e (iv) Nomeação de um Responsável pelo Processamento de Dados. A DPA pode exigir que quaisquer outros fiduciários de dados também assumam essas obrigações.
- Semelhante à União Europeia Regulamento geral de proteção de dados (GDPR), penalidades poderão ser impostas aos fiduciários de dados e indenizações poderão ser concedidas aos titulares de dados por violação da lei de proteção de dados. As penalidades impostas serão um valor até o limite máximo fixado ou uma porcentagem do faturamento mundial total do exercício financeiro anterior, o que for maior.
- Dados pessoais sensíveis incluirão senhas, dados financeiros, dados de saúde, identificador oficial, vida sexual, orientação sexual, dados biométricos e genéticos, e dados que revelem status transgênero, status intersexo, casta, tribo, crenças ou afiliações religiosas ou políticas de um indivíduo.
- O consentimento será a base legal para o tratamento de dados pessoais. Para ser válido, o consentimento deve ser “livre, informado, específico, claro e revogável”.
- Todo processamento de dados pessoais por fiduciários de dados deve ser justo e razoável.
- Haverá obrigações de qualidade de dados e limitação de armazenamento por parte dos fiduciários de dados.
- O direito à portabilidade de dados, sujeito a exceções limitadas, deve ser incluído na lei.
- O direito ao esquecimento pode ser adotado, com a Ala de Adjudicação da DPA determinando sua aplicabilidade com base em certos critérios.
- Os dados pessoais considerados críticos estarão sujeitos à exigência de processamento apenas na Índia
- Outros tipos de dados pessoais (não críticos) estarão sujeitos à exigência de armazenar pelo menos uma cópia de serviço na Índia
- No projecto de lei apresentado, qualquer crime punível por ele foi categorizado como passível de pena de prisão e não passível de fiança.
Existem vários outros pontos, mas estes são os principais que afetarão a forma como as empresas operam na Índia. Portanto, muitas empresas multinacionais, como Facebook, Google ou WhatsApp, terão que garantir que os dados coletados de usuários indianos estejam protegidos pelo dia da proteção de dados. Elas também serão obrigadas a armazenar uma cópia na Índia, o que pode aumentar os custos de servidores.
A outra parte importante é que os fiduciários de dados considerados "significativos" também terão que se preparar para diversas medidas de conformidade, para as quais devem se preparar desde já. O Projeto de Lei de Proteção de Dados de 2018, embora ainda não tenha entrado em vigor, certamente aponta o caminho para uma futura estrutura de legislação de dados na Índia. As empresas devem estar atentas e começar a preparar o terreno desde já, para que não sejam pegas desprevenidas quando ele entrar em vigor.
Como parceiro de segurança de TI para sua empresa, Seqrite oferece segurança abrangente contra ameaças cibernéticas avançadas. Para saber mais
