印度撤回《个人数据保护法（草案）》

1.引言

2022年8月3日，印度发布通知撤回2019年公布的《个人数据保护法（草案）》（以下简称“被撤回法案”）。被撤回法案提出了对跨境数据流动的严格监管，并提议赋予印度政府从公司获取用户数据的权力，这被视为总理莫迪对科技巨头实施更严格监管的手段之一。中文译文见【印度《个人数据保护法》（2019年草案）全文翻译（DPO社群出品）】

在被撤回之前，该法案的审议进程可谓一波三折。在2019年12月被撤回法案被提交给议会联合委员会（Joint Committee of Parliament）进行分析之后，议会联合委员会提出了6次申请，以延期提交对该被撤回法案的报告。直至2021年12月，议会联合委员会在历经184小时20分钟共计78次会议之后提交了报告。议会联合委员会成员还表示报告表达了对被撤回法案的支持。

然而，印度并没有放弃立法，据印度信息技术部部长透露，印度新的隐私法草案将在不久的将来发布，政府的目标是在2023年初使新草案获得批准成为法律。

本文首发于【前沿分析|印度撤回《个人数据保护法（草案）》】，欢迎大家关注公号君参与运营的另一个公众号【数据信任与治理】。

2.被撤回法案有哪些内容

目前，印度个人数据处理的规定仅限于《2000年信息技术法案》和《2011年信息技术规则（合理的安全实践和程序以及敏感的个人数据或信息）》。在2017年最高法院认定隐私为一项基本权利后，信息技术部（Ministry of Electronics and Information Technology）于2018年制定了该被撤回法案，并在2019年提交审查。

被撤回法案规定了以下内容：

• 个人数据归个人所有，定义了数据受托人（data fiduciary）

• 个人数据、儿童数据、敏感数据的存储必须获得个人明确同意，并规定了处理数据无需获得同意的例外情况

• 敏感和关键个人数据必须存储在印度境内，跨境流动受到限制

• 设定数据保护机构（Data Protection Authority of India）

• 政府有权从公司获得个人数据；政府有权认定关键个人数据类型；有权豁免某些数据不受数据跨境流动规定的制约

被撤回法案有两个值得关注的重点，一是政府自由裁量权较大，二是在数据跨境流动方面作出了严格要求。

在政府权力方面，政府认定关键个人数据类型的权力不仅会影响企业的存储和处理方式，还会对企业能否以及在何种条件下跨境传输数据产生影响。此外，中央政府为了主权、安全、公共利益等有权豁免政府机构适用被撤回法案，但未限定获得豁免的政府机构的类别，也未限定被豁免适用的法律条款。

在数据跨境流动方面，被撤回法案提出了敏感/关键个人数据本地化存储的要求。被撤回法案对数据出境作出了不同的要求，首先，关键个人数据一般不得出境，只有在涉及个人安全等的紧急情况下才能出境。其次，敏感个人数据可以传输到境外，但必须满足一定的条件，且获得了明示同意。上述条件包括：

1. 数据跨境流动是根据数据保护机构批准的合同或集团内部计划进行的；

2. 中央政府与数据保护机构协商后，允许将个人数据传输到指定国家或者某个国家的指定部门或者指定的国际组织；

3. 数据保护机构已允许传输特定目的所需的敏感个人数据或敏感个人数据类别。
   

3.国内外对被撤回法案的反对声音

3.1.国内反对声音

印度国内的隐私倡导者反对政府在某些条件下自由获取数据压倒性权力，这种权力可能导致政府机构滥用访问权限。

除了法案规定的权力过大外，被撤回法案对数据跨境流动的限制还被指不符合印度产业发展现状。有学者认为，印度是IT与IT服务出口中心，为其他国家处理医疗保健和金融等行业的敏感数据，任何政策都需要考虑到这一点。被撤回法案对敏感数据跨境传输有严格的限制，这可能会影响其他国家对印度IT服务的需求。

3.2.国际反对声音

同时，被撤回法案也遇到了国际反对因素。

美国公司Meta、谷歌、亚马逊和其他互联网公司反对强制将数据存储在印度境内的条款和某些敏感信息处理条款。被撤回法案颁布之后，隶属于美国商会的美印商业委员会（U.S.-India Business Council，USIBC）计划游说美国官员和印度立法者，以淡化印度隐私法案中可能损害企业利益的部分内容。USIBC表示会评估该法案，并将与政府和其他利益相关者接触，“以确保纳入行业对法案的看法”。

2022年6月17日，欧盟宣布与印度重启自由贸易协定谈判（EU-India Free Trade Agreement），并于6月27日在新德里开启了一轮谈判。根据双方正在商讨的自由贸易协定，欧盟正在寻求其与印度之间的数据跨境流动不受到限制，包括印度允许企业在欧盟27个国家存储数据。因为被撤回法案规定了本地化存储的要求，两国拟议的贸易协定内容使得被撤回法案处于尴尬的境地。

3.3.印度政府对撤回法案的回应

2022年，自印度（司法）沙阿委员会关于隐私的报告以来已近10 年，距离印度最高法院认定隐私权为基本权利的判决已过去5年，距离Srikrishna 委员会的报告已过去4年，有观点认为，这些都表明印度迫切需要数据保护法。

印度信息技术部长Ashwini Vaishnaw解释了撤回该法案的原因：“议会联合委员会对2019年《个人数据保护法案》进行了非常详细的审议。针对数字生态系统的综合法律框架提出了81项修正案和12项建议。鉴于议会联合委员会的报告，政府正在制定一个全面的法律框架。因此，在这种情况下，建议撤销2019年《个人数据保护法（草案）》，并提出一项符合综合法律框架的新法案。”

印度反对党表示，撤销该法案的决定是在美国的压力下做出的，大型科技公司现在会很高兴。但印度政府否认这一指控，表示新法律将遵守应对当前和未来挑战的全球标准。

4.小结

印度数字领域发展迅猛，而且人口众多，印度网民是世界上最大的互联网用户群体之一，数据保护对印度政府来说是情理之中也是重中之重。但是印度缺乏数据保护领域的法律，在此背景下，政府于2017年启动了制定《个人数据保护法》的进程，然而，经过数年的数十次讨论，《个人数据保护法（草案）》在旷日持久的博弈中于2022年8月3日被撤销。这是一个句点，也是一个新的起点，在地缘政治局势日益复杂的情况下，印度数据保护法将何去何从，我们期待拟在2023年初出台的“符合综合法律框架的新法案”能够回答这个问题。

参考文献

1. Aditya Kalra, India targets early 2023 approval for new privacy bill - minister, Reuters (August 4, 2022), https://www.reuters.com/world/india/india-targets-early-2023-approval-new-privacy-bill-minister-2022-08-03/。

2. Aditya Kalra, U.S.-India business groups plan to lobby for dilution of India's privacy bill: sources, reuters (Dec 18, 2019), https://www.reuters.com/article/us-india-dataprivacy-idUSKBN1YM0GL。

3. DataGuidance: https://www.dataguidance.com/sites/default/files/personal-data-protection-bill-2019.pdf, 2022年8月5日访问。

4. Dilasha Seth, Ravi Dutta Mishra, EU seeks unrestricted cross-border flow of data, livemint (Aug 5, 2022), https://www.livemint.com/economy/eu-seeks-unrestricted-cross-border-flow-of-data-11659642749158.html。

5. India withdraws data protection and privacy bill, aljazeera (Aug4, 2022), https://www.aljazeera.com/economy/2022/8/4/india-withdraws-data-protection-and-privacy-bill。

6. New Delhi, Why government withdrew bill it brought to protect your data, indiatoday (August 4, 2022), https://www.indiatoday.in/india/story/why-government-withdrew-bill-it-brought-to-protect-your-data-1983734-2022-08-04。

7. Soumyarendra Barik, Explained: Why the Govt has withdrawn the Personal Data Protection Bill, and what happens now, indianexpress (August 4, 2022), https://indianexpress.com/article/explained/explained-sci-tech/personal-data-protection-bill-withdrawal-reason-impact-explained-8070495/。

8. Soumyarendra Barik, Explained: Why the Govt has withdrawn the Personal Data Protection Bill, and what happens now, indianexpress (August 4, 2022), https://indianexpress.com/article/explained/explained-sci-tech/personal-data-protection-bill-withdrawal-reason-impact-explained-8070495/。

9. Soumyarendra Barik, Explained: Why the Govt has withdrawn the Personal Data Protection Bill, and what happens now, indianexpress (August 4, 2022), https://indianexpress.com/article/explained/explained-sci-tech/personal-data-protection-bill-withdrawal-reason-impact-explained-8070495/。

10. 欧盟网站：https://ec.europa.eu/commission/commissioners/2019-2024/dombrovskis/announcements/statement-executive-vice-president-dombrovskis-following-resumption-eu-india-free-trade-agreement_en，2022年8月5日访问。

11. 印度议会官网：http://164.100.47.193/lob/17/IX/SLOB3.8.2022.pdf，2022年8月5日访问。

（完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于保护网络和信息系统安全的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

关于我国的《个人信息保护法》的相关文章包括：

围绕着美国方面的个人信息保护立法，本公号发表了以下文章：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

内容安全方面的文章如下：

关于中美与国家安全相关的审查机制的文章：

地缘政治与跨国科技公司运营之间的互动影响：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于欧盟技术主权相关举措的翻译和分析：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

关于个人数据和域外国家安全审查之间的关系，见：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于数据执法跨境调取的相关文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：

关于业务场景中数据跨境流动的文章如下：