La evolución digital de la India y la Urgency for Data Protection

La rápida digitalización de los ciudadanos en la India durante la última década ha transformado casi todos los sectores, desde la banca y la salud hasta el comercio electrónico y la gobernanza. La proliferación de teléfonos inteligentes, planes de datos asequibles y la insignia iniciativa de la India Digital han puesto a millones de ciudadanos en línea por primera vez. Con este aumento digital viene una colección sin precedentes de datos personales.

Fundación Constitucional: Derecho a la Privacidad

El fundamento del viaje de protección de datos de la India es el fallo histórico del Tribunal Supremo en Justice K.S. Puttaswamy (Retd.) vs. Union of India (2017). En una decisión unánime, un banco de nueve jueces declaró que el derecho a la privacidad es un derecho fundamental en virtud del artículo 21 de la Constitución de la India (derecho a la vida y la libertad personal).

Del Comité de Srikrishna a la Ley de Protección de Datos Personales Digitales, 2023

Después del veredicto de Puttaswamy, el gobierno formó un comité de expertos presidido por la Justicia B.N. Srikrishna para redactar un marco de protección de datos.El informe y proyecto de ley del comité de 2018 sentaron las bases para lo que se convertiría en un viaje legislativo prolongado.

Diferencias clave del proyecto de ley anterior

La Ley de PPD es significativamente más concisa que las propuestas anteriores, que contienen sólo 38 secciones en comparación con el 112 del PDP Bill. Entre los cambios notables se incluye un enfoque más agudo en los datos personales digitales, un marco de consentimiento simplificado y la sustitución de la Autoridad de Protección de Datos propuesta con un peso más ligero Junta de Protección de datos de la India.

Disposiciones básicas de la Ley de Protección de Datos Personales Digitales, 2023

Fundamentos para procesar datos personales

En virtud de la Ley sobre el PPD, los datos personales sólo podrán ser tratados en una de dos bases legales: consentimiento] o consentimiento estimado para los usos legítimos especificados en la ley (como el empleo, las emergencias o el cumplimiento legal).

Derechos principales de los datos

Se concede a las personas (principales de datos) un conjunto de derechos que incluyen:

  • Derecho a la información:] Solicitar información sobre las actividades de procesamiento.
  • Derecho a la corrección y la eliminación: Exigir corrección de datos o borrado inexactos cuando se cumple el propósito.
  • Derecho a la reclamación reparable: Presentar quejas con el fiduciario de datos y, si no se resuelve, con la Junta de Protección de Datos.
  • Derecho a nominar: Nombrar un candidato a ejercer derechos en caso de muerte o incapacidad.

Cabe destacar que el derecho a la portabilidad de los datos y el derecho a ser olvidado, en versiones anteriores, no se incluyeron en la Ley final, decisión que ha sido debatida por los defensores de la privacidad.

Obligaciones fiduciarios de datos

Las entidades que recopilan y procesan datos personales (fiduciarios de datos) deben:

  • Procesar datos sólo para fines legales, específicos y necesarios.
  • Aplicar salvaguardias razonables de seguridad para prevenir las infracciones.
  • Notificar a la Junta de Protección de Datos cualquier violación de datos personales, junto con los principales datos afectados.
  • Cese la retención de datos una vez que se cumpla el propósito, a menos que la retención sea requerida por la ley.
  • Publicar un aviso detallado de privacidad y nombrar un oficial de protección de datos en ciertos casos (por ejemplo, “fiduciarios de datos significativos” como lo notificó el gobierno).

Localización de datos y transferencias cruzadas

La Ley del DPDP adopta un enfoque más moderado de la localización de datos en comparación con los proyectos anteriores, que permite la transferencia de datos personales fuera de la India, pero el gobierno puede prescribir ciertas categorías de datos sensibles que deben almacenarse en el país. La ley no ordena la localización completa, un alivio para las empresas mundiales. Sin embargo, el gobierno central mantiene la facultad de restringir las transferencias a países concretos mediante un proceso de notificación.

Marco normativo y de aplicación

La Ley del DPDP establece la Junta de Protección de Datos de la India (la Junta) como órgano principal de adjudicación. A diferencia de la anterior Autoridad de Protección de Datos propuesta, la Junta no es un órgano regulador proactivo sino un órgano cuasijudicial que maneja las denuncias e impone sanciones. Sus funciones incluyen:

  • Inquirir en las infracciones de datos personales y el incumplimiento.
  • Imposiendo sanciones monetarias de hasta 250 millones de dólares de los EE.UU. por violaciones importantes.
  • Dirigir acciones correctivas.

Se espera que la Junta funcione con una estructura relativamente magra, centrándose en la ejecución en lugar de la formulación de normas prescriptivas, lo que ha suscitado discusiones sobre si el marco proporciona orientación suficiente a las empresas o depende demasiado de las sanciones reactivas, y también contiene disposiciones para las actividades voluntarias, lo que permite a las entidades resolver presuntas violaciones antes de los procedimientos formales.

Comparación con el Reglamento General de Protección de Datos (GDPR)

La Ley de PPD de la India se inspira en el RGPD de la Unión Europea, pero se adapta a las prioridades locales y se adapta al ecosistema digital de la India. Algunas comparaciones clave:

  • Alcance territorial: Ambos aplican extraterritorialmente—GDPR a cualquier entidad que procesa los datos de los residentes de la UE; Ley DPDP a entidades que procesan datos de los directores indios en relación con la oferta de bienes o servicios.
  • Modelo de consentimiento:] El RGPD requiere un consentimiento explícito para los datos confidenciales, mientras que la Ley del PPD utiliza un modelo de consentimiento más simple con el consentimiento estimado para usos legítimos.
  • Oficial de Protección de Datos: El RGPD encomienda a la Oficina de Empleo de muchas organizaciones; la Ley del PPD exige únicamente la Oficina de Empleo para fiduciarios de datos importantes.
  • Penalties:] El GDPR multa hasta el 4% de la facturación anual global; la Ley DPDP castiga con una pena de 250 votos crore (alrededor del 0,5% de la facturación para grandes empresas) pero aumenta con violaciones.
  • Rights:] El GDPR incluye la portabilidad y el derecho a ser olvidado; la Ley del DPDP los omite por ahora.
  • Localización de datos: El GDPR no ordena la localización; la Ley del DPDP deja abierta la puerta para futuras órdenes de localización.

Las empresas que ya cumplen el RPDC encontrarán una duplicación significativa con los requisitos de la India, aunque las disposiciones únicas de la Ley del PPD, como el sistema de candidatos y los ajustes de acuerdo que se consideren necesarios.

Sanciones y responsabilidades

Una de las disposiciones más impactantes de la Ley de DPDP es su régimen de sanción, que clasifica diferentes tipos de violaciones y asigna penas máximas:

  • Incumplimiento de las salvaguardias de seguridad: hasta о 250 crore.
  • No notificar una brecha de datos: hasta ο200 crore.
  • Incumplimiento de los derechos de un director de datos: hasta ο200 crore.
  • Otras violaciones: hasta об50 crore por incidente.

Estas sanciones se calculan como porcentaje de la facturación global del fiduciario de datos, caducidad en las cantidades especificadas. Además, la ley prevé responsabilidad penal en los casos de delitos de datos cometidos por empleados de un fiduciario de datos, aunque esta sección ha sido criticada por la posible sobre-criminalización de errores de manejo de datos. La Junta emitirá directrices detalladas sobre el cálculo de la pena, y la ley permite un proceso de apelación al Tribunal Supremo de Telecom Solusión y Apelación.

Problemas y obstáculos de aplicación

A pesar de sus progresos, la Ley sobre el DPDP se enfrenta a varios problemas de aplicación:

  • La Ley faculta al gobierno central para que haga normas sobre múltiples aspectos, incluyendo localización de datos, autenticación de gestores de consentimiento y procedimientos de notificación de incumplimiento. Hasta que se terminen estas normas, las empresas deben operar en un estado de incertidumbre regulatoria.
  • Exenciones para el gobierno: La ley permite al gobierno eximir de sus disposiciones “instrumentalidades del Estado” por razones de seguridad, soberanía o orden público. Los defensores de la privacidad advierten que esto podría crear un sistema de dos niveles donde los datos de los ciudadanos recogidos por el Estado gozan de menos protección.
  • Sensibilización: Muchas pequeñas y medianas empresas de la India carecen de los recursos para aplicar prácticas sólidas de protección de datos. La carga de cumplimiento de la ley puede afectarlas de manera desproporcionada a menos que el gobierno proporcione apoyo para el fomento de la capacidad.
  • Interactuar con las leyes sectoriales: Otros reglamentos, como la Ley de TI de 2000 (a la que sustituirá la Ley de la India digital), los mandatos de localización de datos de la RBI y la Política de Gestión de Datos de Salud, que se superponen a la Ley del DPDP. La coordinación entre los reguladores sigue siendo una labor en curso.
  • Capacidad de ejecución: Se espera que la Junta de Protección de Datos se ocupe de un volumen masivo de denuncias y notificaciones de incumplimiento con recursos limitados, y su eficacia dependerá de la dotación de personal, la tecnología y las normas de procedimiento claras.

Consecuencias globales y flujos de datos cruzados

La ley de protección de datos de la India forma parte de una tendencia global hacia regímenes de privacidad más fuertes. Las disposiciones de la Ley de DPDP sobre transferencias de datos transfronterizas afectarán a las empresas extranjeras que dependen de datos de usuarios indios. Muchas multinacionales ya han invertido en infraestructura de cumplimiento. India también está negociando el reconocimiento mutuo de los marcos de privacidad con otras jurisdicciones, potencialmente reduciendo los flujos de datos.

Además, la Ley del DPDP influirá en la innovación basada en datos en la India. Las empresas de tecnología y de empresas de tecnología deben incrustar la protección de datos mediante el diseño, lo que podría aumentar los costos pero también fomentar la confianza del consumidor. El ligero toque de la Ley sobre la portabilidad de los datos y la transparencia algorítmica puede considerarse como apoyo a la innovación sobre el control individual, un acto de equilibrio que seguirá evolucionando.

Perspectivas del futuro: enmiendas y paisajes evolucionantes

La Ley sobre el PPD no es una palabra definitiva sino un marco de vida, el Gobierno se ha comprometido a realizar exámenes periódicos y ya ha señalado posibles enmiendas.

  • Aplicación de las reglas: Las Normas Digitales de Protección de Datos Personales, 2024 (proyectos bajo consulta) detallan muchos aspectos operacionales, incluyendo las normas de gestión de consentimiento, los plazos de notificación de incumplimiento de datos y los criterios para los fiduciarios de datos significativos.
  • Ley digital de la India: Se está elaborando una ley digital integral para sustituir la Ley de TI, que abarca la seguridad en línea, la responsabilidad intermedia y los datos no personales, lo que puede interrelacionarse con la Ley del DPDP.
  • Interpretación judicial: Los tribunales probablemente perfeccionarán las disposiciones de la ley, especialmente en lo que respecta a las exenciones gubernamentales y el alcance de los “usos legítimos”. El precedente de Puttaswamy seguirá orientando la revisión judicial.
  • Leyes estatales: Algunos estados han aprobado sus propias leyes de protección de datos (por ejemplo, el proyecto de ley de Karnataka sobre datos no personales). La interacción con el derecho central puede crear complejidad.
  • Convergencia internacional: La Ley del DPDP de la India probablemente se citará en otras naciones en desarrollo que diseñan sus leyes de privacidad. Su influencia se extiende más allá de las fronteras de la India.

Pasos prácticos para que las empresas puedan lograr el cumplimiento

Las organizaciones que procesan datos personales de los residentes indios deben adoptar medidas inmediatas para armonizarlos con la Ley sobre el DPDP:

  1. Conducir una auditoría de datos: Identificar qué datos personales se recopilan, con qué fines, cómo se almacena y con quién se comparte.
  2. Actualizar las políticas de privacidad y los mecanismos de consentimiento: Asegurar que los avisos sean claros, concisos y proporcionados en inglés o en un idioma de elección del usuario. La colección de consentimiento debe cumplir con las normas de la ley de libre, específico e inequívoco.
  3. Protección de seguridad de la implementación: Adoptar un encriptamiento robusto, controles de acceso y planes de respuesta a incidentes. La ley no prescribe normas específicas, sino que espera prácticas de seguridad razonables.
  4. Preparación de notificación de incumplimiento: Desarrollar procedimientos internos para detectar e informar de infracciones a la Junta de Protección de Datos y a los principales datos afectados dentro del plazo requerido (no se especifica en las reglas).
  5. ]Designar un oficial de protección de datos: Si su organización es un “fiduciario de datos significativo” (de ser notificado), designe un DPO residente en la India.
  6. Revisar las transferencias de datos transfronterizas: Mapa donde se envían datos personales indios y evaluar si se aplican restricciones gubernamentales. Prepárese para posibles requisitos de localización.
  7. Train employees:] La conciencia de protección de datos debe extenderse más allá de los equipos legales a los empleados de ingeniería, marketing y atención al cliente.
  8. Inscribirse con los reguladores: Monitorear las actualizaciones del Ministerio de Electrónica y Tecnología de la Información (MeitY) y la Junta de Protección de Datos. Participar en consultas públicas cuando sea posible.

Conclusión

El viaje de protección de datos de la India desde un derecho constitucional a un estatuto amplio es un ejemplo notable de modernización legal en una economía digital de crecimiento rápido. La Ley de Protección de Datos Personales Digitales, 2023, proporciona una base sólida, equilibrando la privacidad individual con las necesidades de negocio y estado. Sin embargo, el éxito de la ley se ocultará en la claridad de la aplicación de las normas, la eficacia de la Junta de Protección de Datos y una cultura de cumplimiento entre las entidades públicas y privadas.

Enlaces externos: