【重磅推荐】印度个人数据保护法案2019与GDPR主要点比较，暨印度数据法案2019版中译本发布

文/王捷 垦丁律所海外业务负责人 资深出海法律顾问

《2019印度个人数据保护法案草案（国会审核）》中译本由网络法实务圈 * 出海互联网法律观察 公益翻译小组出品。

       根据印度当地媒体的报道，负责审查印度《个人数据保护法案》的联合议会委员会在2月份就法案本身向公众征求意见。利益相关者可以通过电邮方式发表对法案的意见，且提交后不会进行公开。大众关注的问题主要聚焦于政府责任豁免，与政府共享数据、数据使用、对初创企业的合规成本和风险等问题。

       其中与政府共享数据以及政府权利的讨论，特别受到当地隐私保护人士的批评与关注，部分如法官等专业人士认为，草案在关于DPA（数据保护局）的组成的规定中，赋予了中央政府非常大的权利，由政府选择DPA的组成成员。并认为这样做不利于解决整个国家的数据合规性问题，DPA中应该有业内“所有利益相关者”的代表，以保持力量均衡。另一点收到高新科技企业关注的则是数据本地化存储的问题，以及是否会像GDPR一样，给予两年的合规整改过渡期。

       该法案草案的下一步预计将会正式成为法案，但考虑到印度政府关于上述公众征询意见，以及目前新冠疫情的影响等因素，有可能仍然会有一定的调整和改动。而关于印度数据法案的介绍以及2019与2018法案草案的对比，我们之前也曾以专题方式进行介绍，相关内容请参考：

2019印度个人数据保护法案是东南亚地区数据保护法律中非常重要的一个文件，对于出海印度市场的互联网企业，需要特别进行重视，并需尽早规划好企业内部的数据合规布局策略。

因此，我们今天主要就印度个人数据保护法案2019与GDPR的几个关键问题进行对比。

项目	印度个人数据法案2019	GDPR	要点扼要分析
个人敏感数据的定义	• 财务数据。 •健康数据。 •官方标识符。 •性生活。 •性取向。 •生物识别数据，  •遗传数据。 •变性或双性恋状态。 •种姓或部落。 •宗教或政治信仰。	•种族或民族血统。 •政治观点，宗教或哲学信仰。 •工会会员资格。 •遗传数据。 •生物特征识别数据（用于唯一识别自然人）。 •健康。 •性生活或性取向。 与犯罪定罪和犯罪有关的个人数据受欧盟或成员国法律规定约束。	印度法案对于个人敏感数据的范围更大，允许政府与数据保护机构协商，以定义敏感个人数据的其他类别（需要考虑一定的因素）。 同时，相比与GDPR，印度法案未见把犯罪相关的数据定义为敏感数据的条款。
处理个人数据的法定基础	规定了七种处理个人数据合法基础： •同意。 •法律义务。 •涉及生命或严重健康威胁的紧急医疗事件。 •提供医疗或保健服务。 •在灾难期间保护个人安全。 •就业目的。 •法规可能指定的“合理目的”，包括防止或侦查非法活动，举报，并购，网络和信息安全，信用评分等等。	规定了六种处理个人数据合法基础： •同意。 •履行合同。 •法律义务。 •合法权益。 •保护生命及重要利益。 •公共利益。	印度法案中没有把“为履行合同必要”作为合法基础。 •印度法案中的“合理目的”基础类似于GDPR的合法权益基础，但仅限于法规规定的目的。
数据保护影响评估	DPIA仅适用在重要数据受托人的以下情况： 新技术的重要数据受托人。 大规模分析或使用敏感数据； 规章可能规定的其他具有重大损害风险的活动。 必须将所有DPIA提交给DPA进行审查，并且DPA可以指示数据受托人停止处理数据。	GDPR要求数据控制者对某些“高风险”活动进行DPIA，包括（1）系统而广泛的分析；（2）大规模处理敏感数据；（3）大规模系统地监视公共区域。 同时，在无法减轻风险的情况下，数据控制者必须在进行数据处理之前咨询DPA	印度法案要求所有的数据保护影响评估都需要提交给DPA进行审核，这一点也是和GDPR不一样的地方。
数据跨境传输	允许将个人敏感数据的副本在印度以外的地方转移的情况： 数据主体明确同意。 根据DPA批准的合同或集团内部计划进行的。 政府认为一个国家或一个国家中的实体类别可提供足够的保护。 DPA已明确授权转让。 请注意，在预防，调查或起诉犯罪，执行合法权利和获得法律建议方面存在一定的豁免情况。	允许在EEA外转移个人数据的情况： 接收方位于欧委会认为对个人数据提供足够保护水平的地区。 采取了适当的保障措施，例如欧委会批准的标准合同条款或DPA批准的具有约束力的公司规则。 其他合理情况，例如，数据主体明确同意，为履行合同而必须转移等等。	个人敏感数据可转移到印度境外，但此类敏感的个人数据应继续存储在印度。
数据本地化存储	对于关键的个人数据，只能在印度境内进行处理，并为该等数据的境外转移的严格本地化要求提供了例外条件，例如紧急情况或中央政府基于国家安全利益考虑等。 对于个人敏感数据，必须存储在印度境内，但其副本可以按照跨境转移的要求进行传输到印度境外	除非没有满足数据跨境转移的要求，否则无本地化存储的要求	此为两法案的重要差别点之一. 印度法案允许政府对何为“关键个人数据”进行定义，且对政府进行此类指定的权力没有任何限制，即政府具有比较大的自由裁量权。
审计要求	重要的数据受托人委托独立审计员对其数据处理行为进行年度审计。 数据审计员可以采用信用评级的方式对数据受托人进行评分。	数据处理者必须同意与数据控制者签订的合同中的审计条款。	GDPR没有类似的审计条款，这也是印度法案的一大特色。
数据泄露通知	如果“可能对任何数据主体造成损害”，则数据受托人必须“尽快”将违规行为通知DPA，并通过法规确定通知的时间段。 DPA可以指示数据受托人在其网站上发布有关泄露的情况信息（或可以在其自己的网站上发布）。	数据控制者必须在72小时内通知DPA，除非泄露情况不会给个人带来风险 只有在很可能对个人造成“高风险”的情况下，数据控制者必须立即通知数据泄露情况。 数据处理者必须立即数据泄露情况通知数据控制者	印度法案把通知的时间要求，是否通知，采取哪些措施，都交给了DPA来决定。 同时，对于数据处理者没有提出需要向数据受托人做出数据泄露通知的要求。
罚款规定	规定了刑事责任，针对重新识别去标识化的个人数据的行为； 行政处罚：最高1.5亿卢比的罚款，或企业全球营业额的4％。 •DPA还可能发布禁令性罚款，包括禁止处理，限制国际转移和要求删除个人数据的能力。	未规定刑事责任，但允许成员国对违反法规和适用国家法规的行为施加刑事处罚。 行政处罚：最高处以2000万欧元的罚款，或企业全球年度营业额的4％。 DPA可能还会发出禁令性罚款，包括阻止处理，限制国际转移以及要求删除个人数据的能力。	处罚机制基本相同，但印度规定了刑事责任，同时也允许个人通过听证会寻求赔偿。
社交媒体中介（SIM）	要求SIM应该使在印度注册或使用服务的用户可以自愿验证其帐户，且验证该帐户的用户应获得可证明且可见的标记	未提及	这是印度法案的特色点，因为SIM对印度的民主选举、国家安全、主权等有非常重要的影响，特别是重要数据受托人的时候。
关于DPA注册登记	重要数据受托人需要按照规定到数据保护局进行注册登记	未提及	这一点也是印度数据法案特色之一。

与此同时，该草案公布后，出海互联网观察的一众热心法律同行们主动发起要求翻译该数据法案草案的倡议，非常感谢大家的时间和付出。

【特别鸣谢】

再次衷心感谢出海互联网法律观察公益翻译组的每位成员的辛勤劳动——（按照姓名拼音，排名不分先后）

金凯洋：某一线互联网企业  高级法律顾问

林   鑫：网络数据中心公司法律顾问IDC 云计算 系统集成 大数据方向

刘玲麟：某金融互联网公司 资深法务经理

王   丹：重庆静昇律师事务所，银行与金融 商业合规 政府咨询

王占芬：北京市盈科（深圳）律师事务所，知识产权与涉外商事律师

王   捷：浙江垦丁律师事务所海外负责人，个人信息与数据安全合规/资深出海法律顾问

魏  彤：浙江垦丁律师事务所，欧盟数据保护合规顾问

姚聪慧： 初级律师 知识产权与食品合规方向

颜喻雯：上海交通大学，法律硕士

朱   莎： 浙江垦丁律师事务所 金融数据安全/资本市场跨境投资法律顾问

夏   路：银联国际法务，网络安全与个人信息安全方向

我们欢迎更多的朋友加入公益志愿者行列，共同解读及整理前沿的海外互联网法律信息，更好地打造职业品牌影响力——（如申请入群，请务必备注姓名+地区+工作职务+特长）

印度个人数据保护法案2019中译本的部分截图如下：

更多出海互联网实务交流信息，欢迎扫码入群

更多出海法律观察信息，请关注公众号——

出海互联网法律观察

更多网络法实务交流信息，请关注公众号——

网络法实务圈

需要获得印度数据保护法草案中译本全文的朋友，请关注公众号并在后台留言“印度数据草案”。

作者简介

王捷，垦丁律所海外业务负责人，资深出海法律顾问（广州），曾任职阿里巴巴大文娱集团，深耕海内外多条业务线，八年多的科技型公司实务经验与中外律所从业背景，能更准确理解客户核心需求，快速响应并提供基础到战略的有效支持，并为各类出海互联网企业拓展印度、东南亚、中东、非洲、欧美等新兴及重要市场提供有效的合规解决方案与落地支持。联系方式：13650790754添加微信，请备注来意，如“业务合作”，“学术交流”等等，感谢！

团队简介：垦丁海外律师团队深耕海外多地区多条业务线，通过多年来积累的出海法律服务经验以及资源优势，结合本土化的合规经验与国际化的思维，致力于为出海互联网企业提供专业的一站式法律解决方案，为逐鹿海外的互联网企业提供优质及多元化的法律服务，为各类新型业务搭建运营合规体系及提供有效的风险评估及合规解决方案。

---

#更多往期出海业务精彩文章#

转发，是对作者最大的鼓励

在看，是对作者最大的认可

创作不易，请点击一下“在看”↓