Compliant Solution for India’s Personal Data Protection (PDP)

Lo que las leyes de Protección de Datos Personales significan para la India y el resto del mundo. ¿Cómo se compara la PDP con el Reglamento General de Protección de Datos (RGPD)?

El proyecto de ley de Protección de Datos Personales para la India podría requerir cambios en su gestión de datos y no se resuelve directamente con el cumplimiento del RGPD.

¿Qué es el Proyecto de Ley de Protección de Datos Personales (PDP)?

El proyecto de ley PDP es la propia ley de la India destinada a ayudar a proteger los datos personales. Está basado en el RGPD y es muy similar, pero existen algunas diferencias. El proyecto de ley se presentó por primera vez en el Parlamento indio el 11 de diciembre de 2019, y un primer borrador todavía está siendo analizado y trabajado. El proyecto de ley PDP es un gran cambio para la India, ya que no contaba con leyes independientes de protección de datos personales anteriormente.

¿El cumplimiento del RGPD me hará cumplir automáticamente? No es probable. Aunque la PDP es muy similar al RGPD y se utiliza como modelo, existen algunas diferencias en cómo los datos pueden ser procesados y recopilados dentro de la India.

Al cumplir ya con el RGPD, gran parte del trabajo necesario para cumplir con la PDP en la India ya estará cubierto. La mayor carga de trabajo recae en las empresas dentro de la India que aún no cumplen con el RGPD.

Diferencias entre la PDP y el RGPD

Una de las mayores diferencias entre las leyes de datos de la UE y la PDP de la India es que los datos se han dividido en tres categorías:

Datos personales
Datos sensibles
Datos personales críticos

Cada categoría se utiliza para definir diferentes regulaciones e importancia de los datos personales. La categoría de Datos Personales Críticos es importante porque actualmente no forma parte del RGPD y tiene sus propios términos y condiciones, como la obligación de localización de datos.

En comparación con el RGPD, la India se ha centrado en un área más amplia de lo que constituye datos personales sensibles. Algunas empresas pueden tener que cumplir incluso si simplemente procesan datos personales en la India, sin recopilar los datos localmente.

Tipos de datos personales

Con el proyecto de ley PDP dividiendo los datos personales en tres categorías, existe un enfoque más definido sobre qué son los datos personales y qué se puede hacer con ellos. Una visión general de lo que cuenta como datos personales entre las tres categorías:

Datos personales: características, rasgos o atributos de identidad que pueden utilizarse para identificar a un individuo, recopilados en línea o fuera de línea
Datos sensibles: datos financieros, datos biométricos, casta, creencias religiosas o políticas, o cualquier otra categoría de datos especificada por el gobierno
Datos personales críticos: datos personales que puedan ser notificados por el Gobierno Central como datos personales críticos

Con esta última categoría de datos siendo nueva en comparación con el RGPD, significa que algunas empresas pueden estar obligadas a procesar y almacenar este tipo de datos exclusivamente en la India, lo que puede depender del consentimiento del gobierno o del usuario.

Las empresas deberán obtener permiso del gobierno indio para almacenar o procesar cierta información fuera de la India.

Requisito de múltiples idiomas

Debido a la diversidad de la India, con la entrada en vigor de la PDP se requerirá que las empresas presenten los términos y condiciones en múltiples idiomas para los usuarios.

Sanciones de la PDP

Al igual que el RGPD, viene acompañada de importantes sanciones cuando los datos son mal utilizados o cuando las leyes de privacidad de datos son violadas por una empresa. La PDP es similar pero presenta algunas diferencias:

Por procesar o transferir datos personales en violación del proyecto de ley, se podría imponer una sanción de ₹15 crore o el 4% de la facturación anual, lo que sea mayor
No realizar una auditoría de datos podría resultar en una multa de ₹5 crore o el 2% de la facturación anual, lo que sea mayor
La reidentificación y procesamiento de datos desidentificados sin consentimiento podría resultar en una multa o encarcelamiento de hasta tres años, o ambos

¿Qué significa esto para el consentimiento del usuario?

Con la PDP, se centra en establecer gestores de consentimiento, requiriendo que una empresa utilice uno para cumplir con la normativa. Un usuario puede otorgar o retirar el consentimiento a través de un gestor de consentimiento, mientras que no existe tal disposición bajo el RGPD en comparación con el proyecto de ley PDP.

Retención y gestión de datos

Bajo el RGPD, una empresa puede retener datos del usuario durante un período prolongado si se dan ciertas circunstancias, como ser utilizados para archivo, investigación y análisis estadístico. Sin embargo, la PDP establece que los datos del usuario pueden retenerse durante períodos más largos si el usuario consiente o si es necesario para cumplir con alguna obligación legal, por lo que el usuario puede necesitar acceder a dichas configuraciones a través de un gestor de consentimiento, requerido por el proyecto de ley PDP.

Consentimiento del usuario para el almacenamiento y procesamiento de datos

Dado que el proyecto de ley PDP propone el uso de tres categorías para los datos personales, se debe permitir al usuario o al gobierno controlar dónde se almacenan o procesan los datos personales según las tres categorías del proyecto de ley PDP.

Datos personales: Pueden ser procesados y almacenados fuera de la India
Datos sensibles: Deben almacenarse en la India y pueden transferirse fuera de la India para su procesamiento, si el titular de los datos (usuario) lo consiente explícitamente
Datos personales críticos: Deben almacenarse y procesarse dentro de la India, requieren permiso especial y consentimiento del gobierno indio

En general, ¿qué significa para los usuarios y las empresas?

Usuarios

Mayor privacidad para las personas que son residentes de la India
La información personal de las personas no puede ser recopilada, procesada o compartida sin su consentimiento y permiso
Los datos de un individuo solo pueden utilizarse para propósitos claros y predefinidos y solo se pueden recopilar o monitorear los datos necesarios
Las personas pueden trasladar sus datos de un proveedor a otro y preguntar a cualquier organización sobre los datos que tienen sobre ellos. También pueden solicitar su eliminación e incluso retirar su consentimiento en cualquier momento.

Empresas

También necesitarán establecer límites en la recopilación, procesamiento y almacenamiento de datos.
Las empresas necesitarán construir salvaguardas técnicas de seguridad, como la desidentificación para evitar que la identidad de un individuo se revele inadvertidamente, y también se necesita incorporar cifrado.
Deben informar inmediatamente al regulador en caso de cualquier violación de datos.
Los datos personales sensibles necesitan almacenarse y procesarse en la India y no pueden procesarse fuera de sus fronteras sin la aprobación del regulador.
El gobierno puede solicitar a las empresas que proporcionen datos "anonimizados" o "no personales" para la formulación de políticas u otros bienes públicos.

Utilice una plataforma de gestión de consentimiento como UniConsent para ofrecer a los consumidores control total sobre la recopilación de datos, funciones de exclusión voluntaria y gestión de las comunicaciones de preferencias para el cumplimiento de la PDP junto con el RGPD.