【印度隐私保护】数据保护法案(PDPB)获得内阁批准，将提交议会

政府实体免受不利后果的豁免可能已被保留

据悉，内阁批准的《2022年数字个人数据保护法案》保留了去年11月提出的立法的原始版本的内容，包括那些被隐私专家标记为红色的内容。

周三(2023年7月5日)，联邦内阁批准了数据保护法案草案，为其在议会季风会议上的引入铺平了道路。如果通过，该法律将成为印度的核心数据治理框架，六年前，最高法院宣布隐私权为一项基本权利。该法案是IT和电信行业四项拟议立法之一，旨在为快速增长的数字生态系统提供框架。

据悉，内阁批准的《2022年数字个人数据保护法案》保留了去年11月提出的立法的原始版本的内容，包括那些被隐私专家标记为红色的内容。中央政府及其机构的广泛豁免保持不变。中央政府有权以国家安全、与外国政府的关系以及维护公共秩序等为由，豁免“国家的任何工具”产生不利后果。

据悉，中央政府在任命数据保护委员会成员方面的控制权也得到了保留。数据保护委员会是一个裁决机构，将处理双方之间与隐私相关的申诉和纠纷。董事会首席执行官将由中央政府任命，中央政府还将决定其服务条款和条件。

新的草案是在经过近四年的酝酿后于去年8月从议会撤回早期版本后发布的，经过了多次迭代、议会联合委员会（JCP）的审查，以及包括科技公司和隐私活动家在内的一系列利益相关者的抵制。

据悉，该法案最终草案的一个关键变化是处理流向国际司法管辖区的跨境数据流的方式——从白名单方法转向黑名单机制。

解释

检修数字框架

《2022年数字个人数据保护法案》是该中心正在建立的技术法规总体框架的关键支柱，其中还包括《数字印度法案》——2000年《信息技术法》的拟议继任者；《2022年印度电信法案》；以及非个人数据管理政策。

《印度快报》早些时候报道称，拟议中的新法律可以允许全球数据默认流向除限制此类传输的特定负面国家名单之外的所有司法管辖区，这基本上是禁止传输的国家的官方黑名单。

该草案于11月发布供公众咨询，称中央政府将通知可以传输印度公民个人数据的国家或地区，即允许数据传输的司法管辖区白名单。

上一份草案中关于“视为同意”的条款可能会被改写，使其对私人实体更加严格，同时允许政府部门在基于国家安全和公共利益处理个人数据时假定同意。

一位高级政府官员表示，该法案预计将允许“自愿承诺”，这意味着违反法律规定的实体可以向数据保护委员会提起诉讼，该委员会可以决定通过接受和解费来禁止对该实体提起诉讼。该官员表示，同样性质的重复犯罪可能会受到更高的经济处罚。

由于未能防止数据泄露，可以对实体征收的最高罚款被规定为每次2.5亿卢比。在非正式对话中，政府官员强调，“每个实例”的定义是主观的，可能意味着数据泄露的实例，也可能意味着受其影响的人数并乘以2.5亿卢比。然而，这些都不是法律规定的，数据保护委员会可以根据具体情况对其进行解释。

他们表示，该法案的实施将是“设计上的数字化”，并坚称政府已为此制定了“先进”计划。该官员表示，该法案下的同意要求还可能迫使公司改变在其网站上提供cookie的方式，在这种情况下，他们必须就cookie如何跟踪用户在其网站的活动征求具体同意。