Índia Propõe Regras de Dados Digitais com Penalidades Difíceis e Requisitos de Cibersegurança
O governo indiano tem publicado uma versão preliminar das Regras de Proteção de Dados Pessoais Digitais (DPDP) para consulta pública.
“Os fiduciários de dados devem fornecer informações claras e acessíveis sobre como os dados pessoais são processados, permitindo o consentimento informado”, o Press Information Bureau (PIB) da Índia disse em comunicado divulgado no domingo.
“Os cidadãos têm o direito de exigir o apagamento de dados, nomear candidatos digitais e acessar mecanismos fáceis de usar para gerenciar seus dados.”
As regras, que buscam operacionalizar a Lei de Proteção de Dados Pessoais Digitais, 2023, também dão aos cidadãos maior controle sobre seus dados, proporcionando-lhes opções para dar consentimento informado ao processamento de suas informações, bem como o direito de apagar com plataformas digitais e resolver reclamações.
As empresas que operam na Índia são ainda obrigadas a implementar medidas de segurança, como criptografia, controle de acesso e backups de dados, para proteger os dados pessoais e garantir sua confidencialidade, integridade e disponibilidade.
Algumas das outras disposições notáveis da Lei DPDP que os fiduciários de dados devem cumprir estão listadas abaixo :
- Implementar mecanismos para detectar e tratar violações e manutenção de log
- No caso de uma violação de dados, forneça informações detalhadas sobre a sequência de eventos que levaram ao incidente, as ações tomadas para mitigar a ameaça e a identidade do indivíduo(s), se conhecido, dentro de 72 horas (ou mais, se permitido) ao Conselho de Proteção de Dados (DPB)
- Exclua os dados pessoais que não são mais necessários após um período de três anos e notifique os indivíduos 48 horas antes de apagar essas informações
- Exibir claramente em seus sites/aplicativos os detalhes de contato de um Diretor de Proteção de Dados (DPO) designado, responsável por abordar quaisquer dúvidas sobre o processamento de dados pessoais pelos usuários
- Obter consentimento verificável dos pais ou responsáveis legais antes de processar os dados pessoais de crianças menores de 18 anos ou pessoas com deficiência (as isenções incluem profissionais de saúde, instituições educacionais e prestadores de cuidados infantis, mas apenas restritas a atividades específicas, como serviços de saúde, atividades educacionais, monitoramento de segurança e rastreamento de transporte)
- Realizar uma Avaliação de Impacto de Proteção de Dados (DPIA) e uma auditoria abrangente uma vez por ano, e relatar os resultados ao DPB (limitado a apenas fiduciários de dados considerados “significativos”)
- Aderir aos requisitos que o governo federal define quando se trata de transferências de dados transfronteiriços (as categorias exatas de dados pessoais que devem permanecer dentro das fronteiras da Índia serão determinadas por um comitê especializado)
O projeto de regras também propôs certas salvaguardas para os cidadãos quando seus dados estão sendo processados por agências governamentais federais e estaduais, exigindo que tal processamento aconteça de maneira legal, transparente e “de acordo com os padrões legais e políticos.”
As organizações que abusam ou não salvaguardam os dados digitais dos indivíduos ou notificam o DPB de uma violação de segurança podem enfrentar penalidades monetárias de até ₹250 crore (quase $30 milhões).
O Ministério de Eletrônica e Tecnologia da Informação (MeitY) está solicitando feedback do público sobre os projetos de regulamentação até 18 de fevereiro de 2025. Ele também disse que as submissões não serão divulgadas a nenhuma das partes.
A Lei DPDP foi formalmente aprovada em agosto de 2023, depois de ter sido retrabalhado várias vezes desde 2018. O regulamento de proteção de dados saiu na sequência de uma decisão de 2017 do tribunal superior da Índia, que reafirmou o direito à privacidade como um direito fundamental sob a Constituição da Índia.
O desenvolvimento ocorre mais de um mês após o Departamento de Telecomunicações emitido as Regras de Telecomunicações (Telecom Cyber Security), 2024, sob o Lei das Telecomunicações, 2023proteger as redes de comunicação e impor diretrizes rigorosas de divulgação de violações de dados.
De acordo com as novas regras, uma entidade de telecomunicações deve relatar qualquer incidente de segurança que afete sua rede ou serviços ao governo federal dentro de seis horas após tomar conhecimento dela, com a empresa afetada também compartilhando informações relevantes adicionais dentro de 24 horas.
Além disso, as empresas de telecomunicações são obrigadas a nomear um Chief Telecommunication Security Officer (CTSO) que deve ser um cidadão indiano e um residente da Índia, e compartilhar dados de tráfego – excluindo o conteúdo da mensagem – com o governo federal em um formato especificado para “proteger e garantir a segurança cibernética das telecomunicações.”
A Internet Freedom Foundation (IFF) disse a “fraseamento abrangente” e a remoção da definição de “dados de tráfego” do rascunho poderiam abrir a porta para o uso indevido.