透析印度《个人数据保护法2019年草案》

编者按：

数据保护官（DPO）沙龙曾于2018年印度首次发布《个人数据保护法草案》时，第一时间对草案全文开展全文翻译。【见印度《2018个人数据保护法（草案）》全文翻译（中英对照版）（DPO沙龙出品）】此外，DPO沙龙也一直持续关注印度个人数据保护方面的发展：

近日印度公布了《个人数据保护法案2019年草案》。小米公司隐私委员会副主席朱玲凤及其团队第一时间总结2019年草案与2018年草案的区别，并撰写文章进行详述。DPO社群也将组织力量对2019年草案进行全文翻译，并将于近期推出。

正文：

印度的《个人数据保护法案》（The Personal Data Protection Bill，以下简称“2019年草案”）已于本周三提交议会，将由联合议会委员会进行审查。2019年草案相比2018年草案而言，部分条款上严格程度有所下降，比如跨境传输的本地副本要求取消，构成犯罪的行为类型减少，但是同时增加了不同于其他国家的特殊管理性质条款，比如获得匿名数据和社交媒体中介的要求。本文拟列出主要的变化点：

一、 “敏感个人数据”的定义

2019年草案对“敏感个人数据”的定义做了修改，保留了健康数据、官方标识符、性生活、性取向、生物数据、遗传数据、跨性别身份、双性恋身份、种姓或部落、宗教或政治信仰或联盟、和数据保护局制定的其他类别数据1，删除了“密码（passwords）2”。

二、 “数据本地化”和“跨境传输”的规定

首先，废除了2018年草案要求每个数据受托人（data fiduciary）3将所有个人资料的“副本”保留在印度的服务器上，然后才转移到印度境外（除非中央政府特别豁免）的条件4。

其次，有关“敏感个人数据（sensitive personal data）”传输的规定亦有变化。对敏感个人数据的跨境传输在18年草案规定的“经过数据主体明示同意以及满足：采用标准合同或集团内安排且经过数据主管机关审批，或将个人数据传输到指定国家或者某个国家的指定部门或者指定的国际组织”外，新增如下条件5：

1. 敏感个人数据仍然应当存储在印度境内；

2. 细化标准合同或集团内安排的要求，即应满足：根据2019年草案的规定有效保护数据主体的权利，包括进一步向任何其他人传输数据的权利；承担不遵守此类合同或集团内计划的规定而导致损害的赔偿责任。

3. 细化传输到指定国家或国际组织的要求，即应满足：此类敏感个人数据受到适用的法律和国际协议的适当保护；传输不损害具管辖权的当局对相关法律的执行。

4. 主管机关同意此类传输基于具体目的的必要性。

三、“关键个人数据”的处理

2019年草案规定，由政府通知为关键个人数据（critical personal data）的某些个人数据只能在印度处理6。但草案中尚未定义“关键个人数据”。根据2019年草案的规定，政府有权定义什么构成“关键个人数据”。

关键个人数据传输到印度境外的条件是7：

1. 在必要情况下，向从事提供公共医疗卫生服务或紧急服务的个人或实体传输；

2. 中央政府可根据草案的规定，允许向某一国家或某一国家的任何实体或某一国际组织传输，并且中央政府认为这种传输并不损害国家的安全和战略利益。

四、中央政府将可获得“匿名数据”或“非个人数据”

2019年草案指明，该草案并没有阻止中央政府构建数字经济的政策，并进一步授权中央政府可（与数据保护局协商后）指示任何数据受托人或数据处理者提供“匿名形式的个人数据（anonymised data）”或其他“非个人数据（non-personal data）”，以使中央政府能够更好地确定服务提供目标或制定基于充分证明的政策8。

该条款还规定了一个解释条款，将“非个人数据”定义为“除个人数据以外的数据”9。考虑到2019年草案对“个人数据10”的定义也包括可以间接识别的个人数据，因此如何区分“个人数据”和“非个人数据”也将会是一个问题。

五、数据主体的数据“删除权”

2018年草案中规定了数据主体的权利，包括确认和访问权（Right to confirmation and access），数据可移植权（Right to data portability），被遗忘权（Right to be forgotten），纠正权（Right to correction）等。2019年草案在保留上述权利之外，还为数据主体提供了删除权（Right to erasure），即当处理目的不再需要时删除其个人数据的权利11，作为数据主体限制或阻止数据受托人继续披露其个人数据的“被遗忘权”的补充。

六、“社交媒体中介”的定义

2018年草案中已规定了重要数据受托人（significant data fiduciary）12，指监管部门在考虑了所处理个人数据的数量和敏感程度、数据受托人的营业额和其数据处理行为可能引发的损害风险、对于数据处理新技术的应用、因数据处理行为而对数据主体可能造成损害的其他因素后，将某个或者某类数据受托人列为重要数据受托人。但2018年草案未指明哪类型数据受托人将被认定为重要数据受托人。2019年草案中引入了“社交媒体中介（social media intermediary）13”的概念，明确了任何用户超过中央政府通知的阈值，并且其行为已经可能对印度的选举民主、国家安全、公共秩序或印度的主权和完整产生重大影响的“社交媒体中介”，应当被中央政府经与数据保护局协商后通知为 “重要数据受托人”。

七、 社交媒体中介的“自愿识别机制”

2019年草案授权中央政府制定自愿识别机制的相关规则。该规则可能要求社交媒体中介在社交媒体平台创建一种机制，以便“对于从印度注册服务或使用来自印度服务的每个用户，都必须建立一种自愿可验证账户机制”。 对于任何自愿核查其账户的用户，应向其提供可证明的、可见的验证标记14。

该条款将创建机制的责任推给了社交媒体中介，主要是为了遏制社交媒体上的恶意挑衅，遏止虚假资料的威胁。目前尚不确定这是否适合2019年草案的框架。从2019年草案的结构上来看，其仅仅是保护个人数据的较为粗略的法律。预计不久将会修订的《2000年信息技术法》（Information Technology Act, 2000）中将会对社交媒体中介的自愿识别机制做更明确和完善的规定。

八、 基于合理目的处理数据的事由范围增加

2018年草案在用户同意的数据处理的合法性基础外，规定了在某些合理目的（如反欺诈、信用评分）被法律规定后且考虑到用户合理期待、数据控制者利益等因素时可处理个人数据，即意味着满足了该条款的，无需用户同意就可以处理个人数据。2019年草案在2018年草案规定的合理目的中增加了一项——“搜索引擎的运行（the operation of search engines）15”。

九、 可入刑行为减少

2019年草案中可入刑行为保留了“未经同意重新识别和处理去标识化的个人数据，应被处以三年以下的监禁16”，删除了违反法案规定获取、转让或者出售个人数据；违反法案规定获取、转让或者出售敏感个人数据而对数据主体造成损害被处以监禁17的情形。

---

注释：

1. The Personal Data Protection Bill, 2019, CHAPTER I, 3(36).

2. The Personal Data Protection Bill, 2018, CHAPTER I, 3(35)i.

3. 根据19年草案的规定，“数据受托人”是指任何独自或与他人共同确定处理个人数据的目的和方式的人，包括国家，公司，任何法人实体或任何个人。The Personal Data Protection Bill, 2019, CHAPTER I, 3(13).

4. The Personal Data Protection Bill, 2018, CHAPTER VIII, 40(1)

5. The Personal Data Protection Bill, 2019, CHAPTER VII, 34(1).

6. The Personal Data Protection Bill, 2019, CHAPTER VII, 33(2).

7. The Personal Data Protection Bill, 2019, CHAPTER VII, 34(2).

8. The Personal Data Protection Bill, 2019, CHAPTER XIV, 91(2).

9. The Personal Data Protection Bill, 2019, CHAPTER XIV, 91(2) Explanation.

10. The Personal Data Protection Bill, 2019, CHAPTER I, 3(28).

11. The Personal Data Protection Bill, 2019, CHAPTER V, 18.

12. The Personal Data Protection Bill, 2019, CHAPTER VI, 26(4).

13. 根据19年草案的规定，“社交媒体中介”是指主要或仅允许两个或多个用户之间进行在线交互，并允许他们使用其服务创建、上载、共享、传播、修改或访问信息的中介，但不包括主要促成商业或商业导向的交易、提供对互联网的访问、和具有搜索引擎，在线百科全书，电子邮件服务或在线存储服务性质的媒介。The Personal Data Protection Bill, 2019, CHAPTER VI, 26 Explanation.

14. The Personal Data Protection Bill, 2019, CHAPTER VI, 28(3), (4).

15. The Personal Data Protection Bill, 2019, CHAPTER III, 14(2)h.

16. The Personal Data Protection Bill, 2019, CHAPTER XIII, 82(1).

17. The Personal Data Protection Bill, 2018, CHAPTER XIII, 90, 91.

---

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

评估GDPR效果和影响:

线上沙龙见：

时评见：

DPO社群成员观点