Ley de Protección de Datos Personales Digitales de 2023

La Ley de Protección de Datos Personales Digitales de 2023 (también conocida como Ley DPDP o DPDPA-2023 ) es una ley del Parlamento de la India que establece el procesamiento de datos personales digitales de una manera que reconoce tanto el derecho de las personas a proteger sus datos personales como la necesidad de procesar dichos datos personales para fines lícitos y para asuntos relacionados con ellos o incidentales. ^[1] Esta es la primera ley del Parlamento de la India en la que se utilizan los pronombres "ella/su" a diferencia de los pronombres "él/lo" habituales. ^{[2] [3]}

• 18 de noviembre de 2022: El Ministerio de Electrónica y Tecnologías de la Información publicó el Proyecto de Ley de Protección de Datos Personales Digitales de 2022 para consulta pública. ^{[4] [5]}
• 5 de julio de 2023: El Gabinete aprobó el Proyecto de Ley de Protección de Datos Personales Digitales de 2023 , que era la versión revisada del proyecto de ley de 2022. ^[6]
• 3 de agosto de 2023: El Proyecto de Ley de Protección de Datos Personales Digitales de 2023 se presentó en Lok Sabha , la cámara baja del Parlamento de la India . ^[7]
• 7 de agosto de 2023: La Lok Sabha aprobó el Proyecto de Ley de Protección de Datos Personales Digitales de 2023. [ ^8]
• 9 de agosto de 2023: El Proyecto de Ley de Protección de Datos Personales Digitales de 2023 fue presentado y aprobado por Rajya Sabha , la cámara alta del Parlamento de la India. ^[9]
• 11 de agosto de 2023: El Presidente de la India dio su aprobación al Proyecto de Ley de Protección de Datos Personales Digitales de 2023, que lo convirtió en la Ley de Protección de Datos Personales Digitales de 2023. [ ^{10] [11]}

• El 24 de agosto de 2017, la Corte Suprema de la India dictó sentencia sobre el derecho a la privacidad . En el caso del juez KS Puttaswamy (retirado) y otro contra la Unión de la India y otros , la Corte Suprema sostuvo que el derecho a la privacidad es un derecho fundamental protegido por el artículo 21 y la parte III de la Constitución de la India . ^[12]
• Después del veredicto, el Gobierno de la India ha establecido un marco de protección de datos que comenzó a tomar medidas hacia la creación de la legislación de protección de datos después del veredicto sobre privacidad del Tribunal Supremo de la India . ^[4]
• El 22 de diciembre de 2018, se constituye un comité de expertos para deliberar sobre un marco de protección de datos para la India, bajo la presidencia del juez BN Srikrishna. ^[13]
• Después de que el Gobierno de la India constituyó un comité de expertos, el comité solicitó una consulta pública sobre varios libros blancos sobre el marco de protección de datos para la India. ^{[14] [15]}
• Se publicó el borrador del proyecto de ley de protección de datos personales de 2018. ^{[16] [4]}
• El comité de expertos presidido por el juez BN Srikrishna ha publicado su informe del Comité de Protección de Datos. ^{[17] [4]}
• El 14 de agosto de 2018, el Ministerio de Electrónica y Tecnología de la Información solicitó comentarios sobre el proyecto de ley de protección de datos personales. ^[18]
• El 4 de diciembre de 2019, después de más deliberaciones, el proyecto de ley fue aprobado por el gabinete ministerial de la India .
• El 11 de diciembre de 2019, se presentó en la Lok Sabha el Proyecto de Ley de Protección de Datos Personales de 2019 .
• El 11 de diciembre de 2019, el Proyecto de Ley de Protección de Datos Personales de 2019 fue remitido al Comité Parlamentario Conjunto . ^[19]
• El 16 de diciembre de 2021, el comité permanente presentó su informe sobre el proyecto de ley. ^[19]
• El 3 de agosto de 2022 se retiró el Proyecto de Ley de Protección de Datos Personales de 2019. ^[20]
• El 18 de noviembre de 2022, el Ministerio de Electrónica y Tecnologías de la Información publicó el proyecto de ley del marco de protección de datos para consulta pública. ^{[4] [5]}
• El 3 de agosto de 2023 se presentó en la Lok Sabha el Proyecto de Ley de Protección de Datos Personales Digitales de 2023 ^[7].

El Ministerio de Electrónica y Tecnología de la Información creó un comité para estudiar cuestiones relacionadas con la protección de datos. El comité estuvo presidido por el juez retirado de la Corte Suprema, el juez BN Srikrishna . El comité presentó el borrador de la Ley de Protección de Datos Personales en julio de 2018. ^[21] El informe fue modificado varias veces por el Gobierno de la India y, tras recibir la aprobación del gabinete central, el proyecto de ley se presentó en el Parlamento de la India el 11 de diciembre de 2019. ^[22]

El proyecto de ley tiene por objeto: ^[23]

para proteger la privacidad de las personas en relación con sus datos personales, especificar el flujo y uso de datos personales, crear una relación de confianza entre las personas y las entidades que procesan los datos personales, proteger los derechos fundamentales de las personas cuyos datos personales se procesan, crear un marco para las medidas organizativas y técnicas en el procesamiento de datos, establecer normas para la intermediación de redes sociales, la transferencia transfronteriza, la responsabilidad de las entidades que procesan datos personales, los recursos para el procesamiento no autorizado y perjudicial, y establecer una Autoridad de Protección de Datos de la India para dichos fines y para asuntos relacionados con ellos o incidentales a ellos.

Preveía amplias disposiciones sobre la recogida de consentimiento, la evaluación de conjuntos de datos, los flujos de datos y las transferencias de datos personales, incluso a terceros países, y otros aspectos relacionados con los datos anónimos y no personales. ^[24]

El proyecto de ley revisado de 2019 fue criticado por el juez BN Srikrishna , el redactor del proyecto de ley original, por tener la capacidad de convertir a la India en un " Estado orwelliano ". ^{[a] [25]} En una entrevista con Economic Times, Srikrishna dijo que "el gobierno puede acceder en cualquier momento a datos privados o datos de agencias gubernamentales por motivos de soberanía u orden público. Esto tiene implicaciones peligrosas". ^{[25] [26]}

El papel de los intermediarios de las redes sociales se está regulando de forma más estricta en varios frentes. La Fundación Wikimedia espera que el proyecto de ley del PDP resulte ser un mal menor en comparación con el Proyecto de Normas de Tecnología de la Información [Directrices para intermediarios (modificación)] de 2018. [ ^{27] [28]}

Forbes India informa que "existen preocupaciones de que el proyecto de ley le dé al gobierno poderes generales para acceder a los datos de los ciudadanos". ^[29]

El proyecto de ley, tras su presentación, fue remitido al Comité Parlamentario Conjunto (JPC), presidido por Meenakshi Lekhi . Tras recibir críticas de las partes interesadas, la oposición y los expertos, el proyecto de ley fue retirado del Parlamento de la India el 3 de agosto de 2022. ^[30]

Fuente: ^[31]

El proyecto de ley prevé el procesamiento de datos personales digitales de una manera que reconoce tanto los derechos de las personas a proteger sus datos personales como la necesidad de procesar dichos datos personales para fines lícitos y para asuntos relacionados con ellos o incidentales a ellos.

El Proyecto de Ley de Protección de Datos Personales Digitales de 2023 es la versión preliminar de la Ley de Protección de Datos Personales Digitales de 2023. Inicialmente, el gobierno publicó su Proyecto de Ley de Protección de Datos Personales Digitales de 2022 el 18 de noviembre de 2022 para consulta pública hasta el 2 de enero de 2023 y aprobó la versión revisada del borrador anterior que se publicó para consulta pública, convirtiéndolo en el Proyecto de Ley de Protección de Datos Personales Digitales de 2023. ^{[32] [33]}

• El 18 de noviembre de 2022 se publicó para consulta pública el Proyecto de Ley de Protección de Datos Personales Digitales de 2022; la fecha límite para recibir comentarios fue el 17 de diciembre de 2022.
• El 17 de diciembre de 2022, el Ministerio de Electrónica y Tecnología de la Información ha ampliado el plazo para recibir comentarios públicos hasta el 2 de enero de 2023.
• El 5 de julio de 2023, el Gabinete aprobó el Proyecto de Ley de Protección de Datos Personales Digitales de 2023, que es la versión revisada del proyecto de ley que se sometió a consulta pública anteriormente. ^[6]
• El 3 de agosto de 2023, Ashwini Vaishnaw , Ministro de Electrónica y Tecnología de la Información , presentó en Lok Sabha la versión revisada del Proyecto de Ley de Protección de Datos Personales Digitales de 2022 , que es el Proyecto de Ley de Protección de Datos Personales Digitales de 2023 .
• El 7 de agosto de 2023, el proyecto de ley fue aprobado por la Lok Sabha . ^[34] Luego, el proyecto de ley fue presentado y aprobado en la cámara alta del Parlamento indio, Rajya Sabha, el 9 de agosto de 2023. ^[35]
• El 11 de agosto de 2023, Draupadi Murmu , presidente de la India, dio su aprobación al Proyecto de Ley de Protección de Datos Personales Digitales de 2023, que lo convirtió en la Ley de Protección de Datos Personales Digitales de 2023. ^{[10] [11]}

La Ley protege los datos personales digitales (es decir, los datos mediante los cuales se puede identificar a una persona) al establecer lo siguiente: ^[1]

• Las obligaciones de los Fiduciarios de Datos (es decir, personas, empresas y entidades gubernamentales que procesan datos) para el procesamiento de datos (es decir, la recolección, almacenamiento o cualquier otra operación sobre datos personales)
• Los derechos y deberes de los titulares de los datos (es decir, la persona a la que se refieren los datos)
• Sanciones económicas por incumplimiento de derechos, deberes y obligaciones
• Creación de la Junta de Protección de Datos de la India

La Ley de Protección de Datos Personales Digitales de 2023 (DPDPA) y el Reglamento General de Protección de Datos (RGPD) de la Unión Europea comparten principios similares, pero difieren en aspectos clave. La DPDPA-2023 se aplica únicamente a los datos personales digitales, mientras que el RGPD cubre todas las formas de datos personales. ^[36] A diferencia del RGPD, la DPDPA-2023 no distingue entre datos personales y datos personales sensibles. ^[37] Ambas leyes otorgan derechos similares a las personas, pero difieren en su enfoque de las bases legales para el procesamiento de datos. ^[36]

En virtud del artículo 18 de la Ley de Protección de Datos Personales Digitales de 2023, se creará la Junta de Protección de Datos de la India, un organismo adjudicador. ^{[38] [39] [40]}

El Ministro de Electrónica y Tecnología de la Información, Ashwini Vaishnaw , y el entonces Ministro de Estado, Rajeev Chandrasekhar, declararon en la prensa que el Gobierno central está creando la Junta de Protección de Datos de la India, que será un organismo de arbitraje. Se trata de un organismo que decide las disputas entre aquellos cuyos datos personales han sido entregados a una plataforma y la plataforma que, a su vez, ha incumplido las obligaciones que le impone la ley. ^{[38] [41] [42]}

• Derecho de acceso a los datos personales ^{[43] [44]}
• Derecho de rectificación y supresión de datos ^{[43] [44]}
• Derecho a revocar el consentimiento ^{[43] [44]}
• Disposiciones especiales para la protección de datos relativos a menores (menores de 18 años) ^{[43] [44]}
• La multa mínima por incumplimiento es de 50 millones de rupias indias ^{[43] [44]}
• Los términos y condiciones y la información relacionada con la recopilación de datos deben estar disponibles en los 22 idiomas del octavo anexo de la Constitución de la India ^{[43] [44]}
• Derecho a la reparación de agravios ^{[43] [44]}
• Derecho a designar a un administrador de consentimiento para gestionar sus solicitudes relacionadas con datos en nombre de un titular de datos (el derecho a designar a una persona para ejercer derechos en caso de muerte o incapacidad) ^{[43] [44]}
• La Ley no permite el procesamiento que sea perjudicial para el bienestar de los niños o que implique su seguimiento, monitoreo del comportamiento o publicidad dirigida ^{[43] [44]}

La Ley ha establecido exenciones ^[45] a las reglamentaciones relacionadas con la Ley, que son:

• El tratamiento de datos personales es necesario para hacer valer cualquier derecho o reclamación legal ^[45]
• El procesamiento de datos personales por cualquier tribunal o juzgado o cualquier otro organismo en la India al que la ley le haya encomendado el desempeño de cualquier función judicial o cuasijudicial o regulatoria o supervisora, cuando dicho procesamiento sea necesario para el desempeño de dicha función ^[45]
• Los datos personales se procesan con el fin de prevenir, detectar, investigar o enjuiciar cualquier delito o contravención de cualquier ley vigente en la India ^[45].
• Los datos personales de titulares de datos que no se encuentran en el territorio de la India se procesan de conformidad con cualquier contrato celebrado con cualquier persona fuera del territorio de la India por cualquier persona con sede en la India ^[45]
• El tratamiento es necesario para un plan de compromiso o arreglo o fusión o amalgama de dos o más empresas o una reconstrucción mediante escisión o de otro modo de una empresa, o transferencia de la empresa de una o más empresas a otra empresa, o que implica la división de una o más empresas, aprobado por un tribunal o juzgado u otra autoridad competente para hacerlo por cualquier ley vigente en el momento ^[45]
• El tratamiento tiene como finalidad determinar la información financiera y los activos y pasivos de cualquier persona que haya incumplido el pago de un préstamo o anticipo obtenido de una institución financiera, siempre que dicho tratamiento se realice de conformidad con las disposiciones sobre divulgación de información o datos contenidas en cualquier otra ley vigente en el momento. ^[45]

La Ley sólo se aplica a los datos recopilados digitalmente y cuando se digitalizan los datos fuera de línea. Se criticó la falta de aplicabilidad a los datos personales fuera de línea, ya que no existe un marco sobre cómo se manejan dichos datos. ^[46]

• Proyecto de ley de protección de datos personales de 2019
• Ley de privacidad de la información
• Ley de Protección de Datos del Reino Unido de 2018
• Reglamento General de Protección de Datos de la UE
• Ley de Protección de Datos del Reino Unido de 1998
• Seguridad de datos