印度数据保护制度：你准备好迎接变革了吗？

印度《2019年个人数据保护法》一旦通过，中国投资者将面临何种商机和风险？

印度目前拥有5.6亿网络用户，是仅次于中国的全球第二大互联网市场。随着互联网的日益普及，围绕数据盗窃和隐私的辩论业已成为热门话题，数据保护成为了国家的优先事项。2017年8月24日，在Justice K.S. Puttaswamy (retd.) & Anr vs. Union of India and Ors一案中，印度最高法院在作出判决时将“隐私权”提升至印度宪法所规定的基本权利的地位。三年多后，人们翘首以待的印度首部全面监管数据的法律即将推出。

印度现有的隐私法律义务在《信息技术法》（2000年）中有所规定，涉及到对敏感个人数据或信息的论述，包括财务、身体、健康、生物识别信息等。该法规定了对不遵守隐私义务的民事和刑事制裁。为了更好地保护个人数据，目前印度议会正在审议《2019年个人数据保护草案》（PDP草案）。PDP草案在很大程度上仿照于2018年5月生效的欧盟《通用数据保护条例》（GDPR），而其中一项重大差异是草案对数据本地化的要求和对数据跨境的严格限制。

PDP草案规定了三种数据，即（1）个人数据（其范围足以涵盖包括任何与自然人有关并可识别其身份的所有资料），（2）敏感个人数据（SPD），如财务数据、健康数据、性取向、生物特征数据，和（3）关键个人数据（目前尚未在PDP草案中定义）。草案亦为数据主体（定义为个人数据指向的自然人）赋权，授予他们确认和获取、更正和移除数据的权利，数据可携权和被遗忘权。

此外，PDP草案认可的实体为数据处理人（类似GDPR中的处理人概念）、数据受托人（类似GDPR的数据控制人概念）和重要数据受托人（是数据托管的一类）。PDP草案还提议设立一个专门的监管机构，即被赋予巨大权力的印度数据保护局（DPA），以重点保护在草案未涉及的个人隐私和规范个人数据，为数据主体权利保护、匿名化标准、数据泄露通知等事项设立规定。

PDP草案为维护个人和敏感数据的隐私提供了各种保障，同时它还引入了“匿名数据”的概念，也就是将个人数据转换为无法识别数据委托人身份信息的数据。为保护儿童，草案引入相关规定和保障措施，要求数据受托人核实年龄并获得父母同意以处理儿童数据。PDP草案还规定，敏感个人数据的跨境转移需要得到数据委托人的明确同意，并受DPA批准的合同、方案，以及经DPA批准的国家、实体的要求。

此外，草案还引入了“沙盒”概念，为在人工智能、机器学习和新兴技术领域进行创新的某些数据托管方提供宽限，使其有限度地免于承担PDP草案规定的某些义务，旨在确保技术的提高和发展不受阻碍。

“同意”是PDP草案的核心，但草案许可了同意数据处理的某些例外情况，如履行国家职能、安全措施、医疗紧急状况、防止非法活动、检举、信用评分、债务追偿、搜索引擎选项，包括为公共卫生和国家紧急情况等特定目的跨境传输关键个人数据。

PDP草案之所以引发争议，主要是因为该草案要求SPD“存储”在印度的数据本地化规定，以及在基于国家安全、统一和主权、公共秩序等情况下免除政府机构义务的条款。对违反法律的行为，草案开出了高达200万美元或全球营业额4%的高额罚款，对某些违法行为还规定处以3年以下监禁。

新的立法将要求各公司在很大程度上重新审视其目前的数据收集、存储和传输模式。跨境转移和数据本地化限制将给在印度开展业务的外国投资者带来更大挑战。如有必要，公司还必须审查和修订其现有的第三方合同，将与隐私事项有关的同意要求和充分的陈述和赔偿条款纳入其中，使合同更加规范和全面。公司将必须设立适当的技术安全保障措施，以及检测、报告和调查数据泄露的程序。

数量繁多的中国公司在印度从事对数据尤为敏感的互联网技术行业。即使是在印度从事传统行业的中国公司的子公司，也会让母公司因不合规而面临法定风险和处罚。因此，他们必须尽早开始审查其数据流程。不幸的是，目前的PDP草案中没有设立过渡期，因此在印度运营的公司需要立即开始为草案的实施做准备，因为预计议会将在2020年底前通过PDP草案。

Santosh Pai是大恒竺成律师事务所合伙人。其联系方式为 +91 90 04265235以及电邮santosh.pai@linklegal.in

Yosham Vardhan是大恒竺成律师事务所中级合伙人。其联系方式为 +91 98 60577961以及电邮 yosham.vardhan@linklegal.in