Konforme Lösung für den Schutz personenbezogener Daten in Indien (PDP)

Was die Gesetze zum Schutz personenbezogener Daten für Indien und den Rest der Welt bedeuten. Wie ist der PDP im Vergleich zur Datenschutz-Grundverordnung (DSGVO)?

Das Gesetz zum Schutz personenbezogener Daten für Indien könnte Änderungen an Ihrem Datenmanagement erfordern und wird nicht direkt durch DSGVO-Konformität gelöst.

Was ist das Personal Data Protection Bill (PDP)?

Das PDP-Gesetz ist Indiens eigenes Gesetz zum Schutz personenbezogener Daten. Es basiert auf der DSGVO und ist dieser sehr ähnlich, weist jedoch einige Unterschiede auf. Der Gesetzentwurf wurde am 11. Dezember 2019 erstmals im indischen Parlament eingebracht; ein erster Entwurf wird noch analysiert und überarbeitet. Das PDP-Gesetz ist ein großer Wandel für Indien, da es zuvor keine eigenständigen Gesetze zum Schutz personenbezogener Daten gab.

Macht mich die DSGVO-Konformität bereits compliant? Wahrscheinlich nicht. Auch wenn das PDP der DSGVO sehr ähnlich ist und als Vorlage dient, gibt es einige Unterschiede hinsichtlich der Verarbeitung und Erhebung von Daten innerhalb Indiens.

Wenn Sie bereits DSGVO-konform sind, ist ein Großteil der für die PDP-Konformität in Indien erforderlichen Arbeit bereits erledigt. Der größte Aufwand entsteht für Unternehmen in Indien, die noch nicht DSGVO-konform sind.

Unterschiede zwischen PDP und DSGVO

Einer der größten Unterschiede zwischen den EU-Datenschutzgesetzen und Indiens PDP besteht darin, dass Daten in drei Kategorien unterteilt wurden:

Personenbezogene Daten
Sensible Daten
Kritische personenbezogene Daten

Jede Kategorie dient dazu, unterschiedliche Vorschriften und die Bedeutung personenbezogener Daten festzulegen. Die Kategorie der kritischen personenbezogenen Daten ist besonders wichtig, da sie derzeit nicht Teil der DSGVO ist und eigene Bedingungen hat, wie etwa die Pflicht zur Datenlokalisierung.

Im Vergleich zur DSGVO hat Indien einen größeren Bereich für sensible personenbezogene Daten definiert. Einige Unternehmen müssen möglicherweise auch dann die Vorschriften einhalten, wenn sie personenbezogene Daten lediglich in Indien verarbeiten und die Daten nicht vor Ort erheben.

Arten personenbezogener Daten

Da das PDP-Gesetz personenbezogene Daten in drei Kategorien unterteilt, gibt es einen definierteren Ansatz dafür, was personenbezogene Daten sind und was mit ihnen geschehen darf. Ein Überblick über die drei Kategorien:

Personenbezogene Daten: Merkmale, Eigenschaften oder Identitätsattribute, die zur Identifizierung einer Person verwendet werden können, online oder offline erhoben
Sensible Daten: Finanzdaten, biometrische Daten, Kaste, religiöse oder politische Überzeugungen oder andere von der Regierung bestimmte Datenkategorien
Kritische personenbezogene Daten: Personenbezogene Daten, die von der Zentralregierung als kritisch eingestuft werden können

Da die letztgenannte Datenkategorie im Vergleich zur DSGVO neu ist, bedeutet dies, dass einige Unternehmen möglicherweise verpflichtet sind, diese Art von Daten ausschließlich in Indien zu verarbeiten und zu speichern, was von der Zustimmung der Regierung oder des Nutzers abhängen kann.

Unternehmen müssen die Genehmigung der indischen Regierung einholen, um bestimmte Informationen außerhalb Indiens zu speichern oder zu verarbeiten.

Anforderung für mehrere Sprachen

Aufgrund der Vielfalt Indiens wird das PDP-Gesetz Unternehmen verpflichten, Allgemeine Geschäftsbedingungen in mehreren Sprachen für Nutzer bereitzustellen.

PDP-Strafen

Wie bei der DSGVO drohen erhebliche Strafen, wenn Daten missbraucht werden oder Datenschutzgesetze von einem Unternehmen verletzt werden. Das PDP ist ähnlich, weist jedoch einige Unterschiede auf:

Für die Verarbeitung oder Übermittlung personenbezogener Daten unter Verstoß gegen das Gesetz droht eine Strafe von 15 Crore Rupien oder 4 % des Jahresumsatzes, je nachdem, welcher Betrag höher ist
Das Versäumnis, ein Datenaudit durchzuführen, kann zu einer Geldstrafe von 5 Crore Rupien oder 2 % des Jahresumsatzes führen, je nachdem, welcher Betrag höher ist
Die Reidentifizierung und Verarbeitung deidentifizierter Daten ohne Einwilligung kann zu einer Geldstrafe oder Freiheitsstrafe von bis zu drei Jahren oder beidem führen

Was bedeutet das für die Nutzereinwilligung?

Das PDP konzentriert sich auf die Einrichtung von Einwilligungsmanagern und verpflichtet Unternehmen, einen solchen zu nutzen, um konform zu sein. Ein Nutzer kann seine Einwilligung über einen Einwilligungsmanager erteilen oder widerrufen, während eine vergleichbare Bestimmung in der DSGVO nicht existiert.

Datenspeicherung und -verwaltung

Unter der DSGVO darf ein Unternehmen Nutzerdaten über einen längeren Zeitraum aufbewahren, wenn bestimmte Umstände vorliegen, etwa für Archivierung, Forschung und statistische Analyse. Das PDP hingegen besagt, dass Nutzerdaten länger aufbewahrt werden dürfen, wenn der Nutzer einwilligt oder wenn dies zur Einhaltung gesetzlicher Pflichten erforderlich ist. Der Nutzer muss möglicherweise über einen Einwilligungsmanager auf solche Einstellungen zugreifen können, wie es das PDP-Gesetz vorschreibt.

Nutzereinwilligung für Datenspeicherung und -verarbeitung

Da das PDP-Gesetz die Verwendung von drei Kategorien für personenbezogene Daten vorschlägt, muss es dem Nutzer oder der Regierung ermöglicht werden, auf Grundlage der drei Kategorien des PDP-Gesetzes zu kontrollieren, wo personenbezogene Daten gespeichert oder verarbeitet werden.

Personenbezogene Daten: Können außerhalb Indiens verarbeitet und gespeichert werden
Sensible Daten: Sollten in Indien gespeichert werden und dürfen nur mit ausdrücklicher Einwilligung des Datensubjekts (Nutzers) zur Verarbeitung außerhalb Indiens übermittelt werden
Kritische personenbezogene Daten: Müssen innerhalb Indiens gespeichert und verarbeitet werden, eine besondere Genehmigung und Zustimmung der indischen Regierung ist erforderlich

Zusammenfassung: Was bedeutet das für Nutzer und Unternehmen?

Nutzer

Besserer Datenschutz für Einwohner Indiens
Persönliche Daten von Personen können nicht ohne deren Einwilligung und Zustimmung erhoben, verarbeitet oder weitergegeben werden
Die Daten einer Person dürfen nur für klare und vorab definierte Zwecke verwendet werden, und es dürfen nur notwendige Daten erhoben oder überwacht werden
Personen können ihre Daten von einem Anbieter zu einem anderen übertragen und jede Organisation nach den über sie gespeicherten Daten fragen. Sie können auch deren Löschung verlangen und ihre Einwilligung jederzeit widerrufen.

Unternehmen

Sie müssen auch Grenzen für die Datenerhebung, -verarbeitung und -speicherung setzen.
Unternehmen müssen technische Sicherheitsvorkehrungen aufbauen, wie z. B. Deidentifizierung, um zu verhindern, dass die Identität einer Person versehentlich offengelegt wird, und auch Verschlüsselung muss integriert werden.
Sie müssen die Aufsichtsbehörde bei jeder Datenschutzverletzung unverzüglich informieren.
Sensible personenbezogene Daten müssen in Indien gespeichert und verarbeitet werden und dürfen ohne Genehmigung der Aufsichtsbehörde nicht außerhalb der Grenzen verarbeitet werden.
Die Regierung kann Unternehmen auffordern, „anonymisierte" oder „nicht-personenbezogene Daten" für die Politikgestaltung oder andere öffentliche Güter bereitzustellen.

Nutzen Sie eine Consent Management Platform wie UniConsent, um Verbrauchern die volle Kontrolle über die Datenerhebung, Opt-out-Funktionen und die Verwaltung der Präferenzkommunikation für PDP-Konformität zusammen mit der DSGVO zu bieten.