¿Qué es el Proyecto de Ley de Protección de Datos Personales 2019?
El 11 de diciembre de 2019, Ravi Shankar Prasad, ministro de Electrónica y Tecnología de la Información, presentó al Lok Sabha el proyecto de ley de protección de datos personales (proyecto de ley PDP 2019). Esto se produce después de más de dos años de debate sobre las disposiciones del proyecto de ley.
A partir de marzo de 2020, el proyecto de ley está siendo analizado por un Comité Parlamentario Conjunto (JPC) en consulta con expertos de la industria y partes interesadas. El JPC, que se estableció en diciembre de 2019, está encabezado por la diputada del BJP Meenakshi Lekhi.
Si bien se le asignó al JPC un breve plazo para finalizar su informe antes de la Sesión Presupuestaria de 2020, ha buscado más tiempo. Se espera que el informe del JPC se presente en la segunda semana de la próxima sesión del Monzón del Parlamento indio y que se apruebe en 2020.
El proyecto de ley describe los mecanismos para la protección de datos personales sensibles y propone el establecimiento de una nueva autoridad reguladora independiente llamada Autoridad de Protección de Datos (DPA). Además, el proyecto de ley de 2019 tiene disposiciones clave que no estaban en el proyecto de ley de 2018, como que el gobierno central puede eximir a cualquier agencia gubernamental del proyecto de ley y el derecho de borrado de una persona, también conocido como derecho al olvido.
Al igual que muchas leyes de protección de datos, las implicaciones del proyecto de ley van más allá de la India y podrían afectar a cualquier organización que haga negocios en la India. India, gracias al tamaño de su población, su producto interior bruto y su creciente número de usuarios de Internet, tiene una oportunidad única de dar forma a la ley de privacidad mundial, al igual que la Unión Europea lo ha hecho con el GDPR.
Dicho esto, el proyecto de ley ha sido criticado dentro y fuera de la India por sus disposiciones orwellianas, proteccionistas y de tendencia autoritaria. Otros han dicho que el proyecto de ley no hace lo suficiente para proteger la privacidad de un individuo.
¿Por qué se introdujo el proyecto de ley de protección de datos personales de 2019?
En agosto de 2017, el tribunal de nueve jueces de la Corte Suprema de la India confirmó el derecho a la privacidad en el "caso del derecho a la privacidad" de K.S. Puttaswamy contra la Unión de la India (2017). El Tribunal citó el derecho a la vida y a la libertad personal consagrado en el artículo 21 de la Constitución de la India.
Durante el caso, el gobierno indio estableció un Comité de Expertos, presidido por el juez B.N. Srikrishna, para examinar varias cuestiones relacionadas con la protección de datos en la India. Tras la consulta pública del libro blanco, el Comité presentó al Ministerio de Electrónica y Tecnología de la Información un proyecto de ley de protección de datos personales y un informe adjunto titulado Una economía digital libre y justa: protección de la privacidad, empoderamiento de los indios al Ministerio de Electrónica y Tecnología de la Información.
El Proyecto de Ley de Protección de Datos Personales de 2019 se basa en las recomendaciones del Comité de Expertos y las sugerencias recibidas de las partes interesadas dentro y fuera del gobierno central.
¿Cuál es el propósito del Proyecto de Ley de Protección de Datos Personales de 2019?
El proyecto de ley se abre con el siguiente objetivo:
garantizar la protección de la privacidad de las personas en relación con sus datos personales, especificar el flujo y el uso de los datos personales, crear una relación de confianza entre las personas y entidades que procesan los datos personales, proteger los derechos fundamentales de las personas cuyos datos personales se procesan, crear un marco para las medidas organizativas y técnicas en el procesamiento de datos, el establecimiento de normas para el intermediario de redes sociales, la transferencia transfronteriza, la responsabilidad de las entidades que procesan datos personales, los recursos para el procesamiento no autorizado y perjudicial, y para establecer una Autoridad de Protección de Datos de la India para dichos fines y para asuntos relacionados con ellos o incidentales a ellos.
A continuación, se esbozan tres puntos clave:
- El derecho a la privacidad es un derecho fundamental y es necesario proteger los datos personales como una faceta esencial de la privacidad de la información
- El crecimiento de la economía digital ha ampliado el uso de los datos como medio crítico de comunicación entre personas
- Es necesario crear una cultura colectiva que fomente una economía digital libre y justa, que respete la privacidad de la información de las personas y garantice el empoderamiento, el progreso y la innovación a través de la gobernanza y la inclusión digitales y para los asuntos relacionados con ellos o incidentales a ellos.
Como se señaló anteriormente, el proyecto de ley se desarrolló a través de un compromiso y consulta continuos con una serie de partes interesadas, incluidas las fuerzas del orden de la India que desean acceder a los datos almacenados en Estados Unidos durante las investigaciones relacionadas con la seguridad nacional, así como su aversión al "colonialismo de datos" de las grandes empresas tecnológicas occidentales como Google y Facebook.
El proyecto de ley propone sustituir la Ley de Tecnología de la Información de 2000 (artículo 43-A) suprimiendo las disposiciones relativas a las indemnizaciones pagaderas por las empresas por violaciones de datos y fallos en la privacidad de los datos.
¿Qué contiene el Proyecto de Ley de Protección de Datos Personales de 2019?
Muchas de las disposiciones relacionadas con el consentimiento en el Proyecto de Ley de Protección de Datos Personales son similares a las que se encuentran en el Reglamento General de Protección de Datos (GDPR) de la Unión Europea.
Según el proyecto de ley, los fiduciarios y procesadores de datos deben obtener el consentimiento de los directores de datos antes de procesar sus datos. Los fiduciarios de datos son cualquier persona, incluido el Estado, una empresa, cualquier entidad jurídica o cualquier persona física que, sola o junto con otras, determine la finalidad y los medios del tratamiento de los datos personales. Del mismo modo, los procesadores de datos son cualquier persona, incluido el Estado, una empresa, cualquier entidad jurídica o individuo, que procesa datos personales en nombre de un fiduciario de datos.
Los recopiladores de datos también están sujetos a nuevos requisitos de presentación de informes, como exigir el consentimiento de los padres o tutores para la recopilación de datos pertenecientes a niños.
El proyecto de ley también establece el derecho a los titulares de datos, es decir, a los interesados cuyos datos se recopilan.
En caso de que el proyecto de ley entre en vigor, los fiduciarios y procesadores de datos deberán:
- Notificar a las entidades de seguridad sobre su recopilación de datos
- Solicitar el consentimiento antes del tratamiento de los datos sobre el interesado
- Recopilar y almacenar pruebas de que se dio una notificación y se recibió el consentimiento.
- Permitir a los consumidores retirar su consentimiento, así como acceder, corregir y borrar sus datos
- Permitir que los consumidores transfieran sus datos, incluidas las inferencias realizadas por las empresas sobre dichos datos, a otras empresas.
- Realizar cambios organizativos para proteger los datos, por ejemplo, siguiendo los principios de privacidad desde el diseño y creando medidas de seguridad
El proyecto de ley también exige que todos los "datos personales sensibles" se almacenen en la India y que los "datos personales críticos" no se transfieran fuera de la India. Esto ha sido criticado como proteccionista, ya que distorsionará las decisiones impulsadas por el mercado y obligará a las empresas a utilizar proveedores locales de servicios de almacenamiento de datos.
El DPA puede considerar a un fiduciario de datos o a una clase de fiduciarios de datos como fiduciarios de datos significativos en función de:
- El volumen de datos personales tratados
- La sensibilidad de los datos personales tratados
- Volumen de negocios del fiduciario de datos
- Riesgo de daño por el procesamiento por parte del fiduciario de datos
- Uso de nuevas tecnologías para el procesamiento; y
- Cualquier otro factor que cause daño a partir de dicho procesamiento.
Los fiduciarios de datos importantes deben llevar a cabo tareas adicionales, como auditorías de datos y el nombramiento de responsables de protección de datos.
El proyecto de ley también tiene requisitos de notificación de infracciones. Los fiduciarios de datos deben notificar a la DPA de una violación de datos "lo antes posible" si es "probable que cause daño a cualquier principal de datos". La DPA también puede ordenar al fiduciario de datos que publique sobre la violación en su sitio web (o puede publicar en su propio sitio web).
Dicho esto, el proyecto de ley tiene una serie de excepciones para cuando los fiduciarios de datos no tienen que obtener el consentimiento para recopilar información personal sobre ciudadanos indios. Por ejemplo, existen exenciones de consentimiento para el Estado u otras entidades que cumplan con órdenes judiciales, hagan cumplir la ley, brinden beneficios o servicios públicos y traten emergencias médicas.
Existen otras exenciones de "propósito razonable" para situaciones como la denuncia de irregularidades, fusiones y adquisiciones, la calificación crediticia y el funcionamiento de los motores de búsqueda.
>Por último, el proyecto de ley incluye normas sobre datos no personales. Según el proyecto de ley, el gobierno puede exigir a cualquier empresa que comparta datos no personales valiosos (como datos de movilidad agregados recopilados por Google Maps o Uber) con el gobierno.
¿Qué se considera datos personales en el proyecto de ley de protección de datos personales de 2019?
Los datos se pueden clasificar en dos tipos: datos sensibles y no sensibles. Debido a la introducción de leyes generales de protección de datos a nivel mundial, cada vez más datos personales se consideran confidenciales.
Los datos personales en el Proyecto de Ley de Protección de Datos Personales de 2019 son cualquier dato que se relacione con características, rasgos o atributos que podrían usarse para identificar a un individuo.
Por el contrario, los datos no personales incluyen datos agregados que no pueden identificar a una persona. Por ejemplo, la ubicación de una persona constituiría datos personales, mientras que la información derivada de miles de ubicaciones individuales, como los datos para analizar los flujos de tráfico, no se considera datos personales.
Además de la definición anterior, el proyecto de ley distingue aún más los datos personales sensibles, que son los datos financieros, los datos de salud, el identificador oficial, la vida sexual, la orientación sexual, los datos biométricos, los datos genéticos, la condición transgénero, la condición intersexual, la casta o tribu y las creencias religiosas o políticas.
¿Cómo se regulan actualmente los datos personales en la India?
El uso y la transferencia de datos personales están regulados actualmente por las Reglas de Tecnología de la Información de 2011, en virtud de la Ley de Tecnología de la Información de 2000.
Según las normas actuales, el tratamiento de datos personales significa que las empresas pueden ser consideradas responsables y deben compensar a las personas afectadas si la mala seguridad de los datos conduce a la exposición de datos sensibles.
La razón por la que se ha presentado el proyecto de ley es porque el gobierno cree que el ritmo de desarrollo de la economía digital ha causado que la regulación existente se vuelva incompleta.
Por ejemplo, la definición actual de datos personales confidenciales es limitada y algunas de sus disposiciones pueden ser anuladas por un contacto. Además, la Ley de Tecnología de la Información solo se aplica a las empresas y no al propio gobierno indio.
¿Cuándo entra en vigor el Proyecto de Ley de Protección de Datos Personales 2019?
A partir de marzo de 2020, el proyecto de ley todavía está siendo analizado por un Comité Parlamentario Conjunto (JPC) en consulta con expertos y partes interesadas.
El JPC se estableció en diciembre de 2019 y se le asignó un plazo corto para finalizar el proyecto de ley antes de la Sesión Presupuestaria de 2020, pero desde entonces ha solicitado más tiempo para estudiar el proyecto de ley y consultar a las partes interesadas.
Se espera que el JPC presente su informe en la segunda semana de la Sesión Monzónica del Parlamento de la India.
¿Quién tendrá que cumplir con la Ley de Protección de Datos Personales 2019?
El proyecto de ley impone requisitos de protección de datos a la mayoría de las empresas que operan en la India. El proyecto de ley se dirige no solo a las empresas de tecnología, comercio electrónico y redes sociales, sino también a las empresas físicas, inmobiliarias, hospitalarias y farmacéuticas.
Además, también rige a las empresas extranjeras si tratan con datos personales de personas en la India. Esto es similar a otras regulaciones generales de protección de datos como GDPR, PIPEDA, CCPA, The SHIELD Act y FIPA.
Las únicas exentas son las pequeñas entidades, como los minoristas, que recopilan información manualmente y cumplen otras condiciones que especificará la DPA.
¿Cuáles son las sanciones por incumplimiento de la Ley de Protección de Datos Personales?
El proyecto de ley otorga a la DPA el poder de multar a cualquier empresa que no cumpla con el proyecto de ley o las regulaciones elaboradas por la DPA o el gobierno indio.
La multa máxima que se puede imponer es de 150 millones de rupias indias (~2,1 millones de dólares) o el 4 por ciento de la facturación global de la empresa durante el año financiero anterior.
¿Cuáles son las críticas al Proyecto de Ley de Protección de Datos Personales de 2019?
La mayor preocupación sobre el proyecto de ley entre académicos y activistas son las exenciones otorgadas al gobierno. La sección 35 establece que se pueden hacer excepciones a las reglas de recopilación, los requisitos de presentación de informes y otros requisitos siempre que el gobierno lo considere "necesario o conveniente" en "interés de la soberanía e integridad de la India, la seguridad nacional, las relaciones amistosas con estados extranjeros y el orden público".
El juez B.N. Srikrishna, ex juez de la Corte Suprema de la India, ha dicho que el proyecto de ley podría convertir a la India en un "Estado orwelliano". En una entrevista con el Economic Times, Srikrishna dijo: "Han eliminado las salvaguardas. Eso es lo más peligroso. El gobierno puede acceder en cualquier momento a datos privados o a datos de agencias gubernamentales por razones de soberanía u orden público. Esto tiene implicaciones peligrosas".
Dvara Research, una institución de investigación de políticas de sistemas financieros en la India, se hizo eco de la crítica de Srikrishna identificando siete preocupaciones de protección del consumidor que podrían debilitar el derecho a la privacidad de los ciudadanos.
En The Hindu, Apar Gutpa, director ejecutivo de la Fundación para la Libertad de Internet, "la privacidad se menciona solo una vez en este voluminoso documento: 49 menciones a la 'seguridad' y 56 menciones a la 'tecnología'".
Y Foreign Affairs advierte sobre el creciente estado de vigilancia de la India con "nuevas tecnologías que amenazan las libertades en la democracia más grande del mundo".