El gobierno indio ha publicado una versión preliminar de las Normas de Protección de Datos Personales Digitales (DPDP) para consulta pública.
«Los fiduciarios de datos deben proporcionar información clara y accesible sobre cómo se procesan los datos personales, lo que permite el consentimiento informado», dijo la Oficina de Información de Prensa (PIB) de la India en un comunicado publicado el domingo.
«Los ciudadanos tienen derecho a exigir el borrado de datos, designar nominados digitales y acceder a mecanismos fáciles de usar para administrar sus datos».
Las normas, que buscan hacer operativa la Ley de Protección de Datos Personales Digitales de 2023, también otorgan a los ciudadanos un mayor control sobre sus datos, brindándoles opciones para dar un consentimiento informado para el procesamiento de su información, así como el derecho a borrarlos con plataformas digitales y abordar quejas.
Las empresas que operan en la India también deben implementar medidas de seguridad, como cifrado, control de acceso y copias de seguridad de datos, para proteger los datos personales y garantizar su confidencialidad, integridad y disponibilidad.
A continuación se enumeran algunas de las otras disposiciones notables de la Ley DPDP que se espera que cumplan los fiduciarios de datos:
• Implementar mecanismos para detectar y abordar las violaciones y el mantenimiento de registros.
• En caso de una violación de datos, proporcionar información detallada sobre la secuencia de eventos que llevaron al incidente, las medidas adoptadas para mitigar la amenaza y la identidad de la(s) persona(s), si se conoce, dentro de las 72 horas (o más, si está permitido) a la Junta de Protección de Datos (DPB).
• Eliminar los datos personales que ya no se necesitan después de un período de tres años y notificar a las personas 48 horas antes de borrar dicha información.
• Mostrar claramente en sus sitios web/aplicaciones los datos de contacto de un Oficial de Protección de Datos (OPD) designado que sea responsable de abordar cualquier pregunta relacionada con el procesamiento de datos personales de los usuarios.
• Obtener el consentimiento verificable de los padres o tutores legales antes de procesar los datos personales de niños menores de 18 años o personas con discapacidades (las excepciones incluyen a los profesionales de la salud, las instituciones educativas y los proveedores de cuidado infantil, pero solo se limitan a actividades específicas como servicios de salud, actividades educativas, monitoreo de seguridad y transporte Seguimiento).
• Realizar una evaluación de impacto de la protección de datos (DPIA, por sus siglas en inglés) y una auditoría integral una vez al año, e informar los resultados al DPB (limitado únicamente a los fiduciarios de datos considerados «significativos»).
• Cumplir con los requisitos que establece el gobierno federal en lo que respecta a las transferencias de datos transfronterizas (las categorías exactas de datos personales que deben permanecer dentro de las fronteras de la India serán determinadas por un comité especializado).
El borrador de las normas también ha propuesto ciertas salvaguardas para los ciudadanos cuando sus datos sean procesados por agencias gubernamentales federales y estatales, exigiendo que dicho procesamiento se realice de una manera que sea legal, transparente y «en línea con los estándares legales y de políticas».
Las organizaciones que hagan un mal uso o no protejan los datos digitales de las personas o notifiquen al DPB sobre una violación de seguridad pueden enfrentar sanciones monetarias de hasta ₹250 crore (casi $30 millones).
El Ministerio de Electrónica y Tecnología de la Información (MeitY) está solicitando comentarios del público sobre el proyecto de reglamento hasta el 18 de febrero de 2025. También dijo que las presentaciones no se revelarán a ninguna de las partes.
La Ley DPDP se aprobó formalmente en agosto de 2023 después de haber sido reelaborada varias veces desde 2018. La regulación de protección de datos surgió a raíz de un fallo de 2017 del tribunal superior de la India que reafirmó el derecho a la privacidad como un derecho fundamental según la Constitución de la India.