India aprueba un nuevo proyecto de ley de protección de datos personales digitales

El presidente indio, Drupadi Murmu, aprobó el viernes el proyecto de ley de protección de datos personales digitales (DPDPB) después de que ambas cámaras del parlamento lo aprobaran por unanimidad la semana pasada, lo que marca un paso significativo hacia la seguridad de la información de las personas.

La tan esperada ley de protección de datos llega meses después de que el Ministerio de Electrónica y Tecnología de la Información (MeitY) publicara una versión preliminar del proyecto de ley en noviembre de 2022. Ha estado en proceso durante más de cinco años, con un primer borrador publicado en julio de 2018 Un año antes, la Corte Suprema de India defendió la privacidad como un derecho fundamental.

El marco legislativo, que se aplica a los datos personales recopilados tanto en línea como fuera de línea (y posteriormente digitalizados) dentro y fuera de la India, exige que la información se procese “solo para un fin lícito con el consentimiento de una persona” y que solo se almacene lo necesario para ese fin. definido.

Las solicitudes de consentimiento explícito de los usuarios deben ir acompañadas o precedidas de un aviso para informar la finalidad para la que se propone tratar los datos personales. “Datos personales” se refiere a “cualquier dato sobre un individuo que sea identificable por o en relación con dichos datos”.

Sin embargo, no se requiere el consentimiento para “ciertos usos legítimos” según los cuales las plataformas pueden procesar datos personales de los usuarios cuando se proporcionan voluntariamente, por ejemplo, al optar por enviar facturas por correo electrónico. También renuncia a los requisitos de cumplimiento para ciertos fiduciarios de datos, como las nuevas empresas.

Además de eso, el procesamiento de datos personales de niños de hasta 18 años o una persona con discapacidad que tiene un tutor legal requiere que las empresas obtengan el consentimiento verificable de sus padres o tutores.

El consentimiento puede ser eximido al examinar si una entidad cubierta prueba suficientemente que el procesamiento de datos personales de niños se realiza de una manera que el gobierno considera “verificablemente segura”.

Las entidades a cargo de la información, están obligadas a mantener la exactitud de los datos, mantenerlos seguros y eliminarlos una vez que se haya cumplido su propósito. También otorga a los usuarios el derecho a obtener información, solicitar corrección y borrado, y reparación de agravios.

Además, la Ley DPDP estipula el establecimiento de una Junta de Protección de Datos (DPB) compuesta por miembros designados por el gobierno para examinar quejas, investigar violaciones de datos e imponer sanciones en función de la gravedad, la duración y la “naturaleza repetitiva” de los incidentes.

Las organizaciones que hacen mal uso o no protegen los datos digitales de las personas o notifican al DPB sobre un ataque pueden enfrentar multas monetarias de hasta 250 millones de rupias (30,1 millones de dólares). Las decisiones de la junta se pueden apelar ante el Tribunal de Apelación y Solución de Controversias de Telecom para su revisión dentro de los 60 días.