Projeto de lei de proteção de dados pessoais: Chega de consentimento considerado, TDSAT para ouvir recursos
As respostas do Ministério das TI num relatório às questões levantadas pela comissão parlamentar oferecem vislumbres do que está por vir.
A Lei de Protecção de Dados Pessoais Digitais, 2023, fornecerá agora uma lista negativa de países para os quais os dados não podem ser transferidos, disse o Ministério da Tecnologia da Informação na sua resposta às questões levantadas por uma comissão parlamentar que avalia a lei de privacidade.
Esta é uma mudança significativa na posição do ministério em relação a um projecto anterior, que propunha a notificação de uma “lista branca” de países para os quais será permitida a transferência de dados.
Uma versão preliminar do projeto de lei foi publicada para consulta pública em novembro de 2022.
Na quarta-feira desta semana, membros da oposição abandonaram uma reunião da Comissão Parlamentar Permanente, opondo-se à adopção pelo painel de um relatório "louvatório" sobre o novo projecto de lei, informou o Indian Express.
De acordo com a publicação, “O projeto de lei nunca foi formalmente encaminhado à comissão. Os deputados da oposição disseram que nenhum deles tinha conhecimento de que tal relatório sobre o projeto de lei estava em andamento; "
Embora a versão aprovada pelo Conselho de Ministros do projecto de lei de 2023 ainda não tenha sido tornada pública, as respostas do ministério neste relatório às questões levantadas pela comissão parlamentar oferecem vislumbres do que está por vir.
BQ Prime viu uma cópia deste relatório de 40 páginas.
A versão 2022 do Projeto de Lei previa um Conselho de Proteção de Dados, que será responsável por apurar o descumprimento da legislação e impor penalidades.
A versão 2023 propõe agora um processo de recurso.
Afirmou que o Conselho terá o poder de dar instruções para remediar ou mitigar violações de dados, investigar violações e reclamações de dados e impor sanções financeiras.
Teria poderes para encaminhar reclamações para resolução alternativa de litígios, aceitar compromissos voluntários de fiduciários de dados e aconselhar o governo a bloquear o website, aplicação, etc., de um fiduciário de dados que violasse repetidamente as disposições do projeto de lei.
Qualquer recurso caberá ao Tribunal de Solução de Controvérsias e Apelação de Telecom.
Não há mais consentimento considerado
A versão do projeto de lei aprovada pelo Gabinete eliminou o conceito de consentimento presumido.
A versão 2022 previa a utilização de dados pessoais sem consentimento explícito em determinadas circunstâncias. Por exemplo, um indivíduo que fornece os seus dados a um site de comércio eletrónico para reservar mesas num restaurante
A versão 2023 propõe eliminar o consentimento presumido.
Na minuta alterada de 2023, o tratamento de dados pessoais está previsto para determinadas utilizações legítimas, nomeadamente:
No interesse da soberania e integridade da Índia e da segurança do Estado.
Para a emissão de subsídios, benefícios, serviços, certificados, licenças, alvarás, etc.
Para cumprir qualquer sentença ou ordem legal.
Para proteger, ajudar ou fornecer serviços em uma emergência médica ou de saúde, uma situação de desastre ou para manter a ordem pública.
Em relação a um funcionário.
Nenhuma mudança na legislação delegada
Uma das maiores críticas à versão de 2022 foi que ela deu ao governo amplos poderes de regulamentação.
A comissão também levantou esta preocupação ao ministério.
Em resposta, o ministério disse que o projeto de lei foi elaborado para acompanhar a natureza dinâmica do assunto e dotá-lo de adaptabilidade suficiente. As regras, afirma, serão estabelecidas no Parlamento, tal como foi mencionado também na versão 2022.
“As delegações são de natureza mais rotineira e estão previstas em todas as legislações para tornar a implementação prática e viável”.
Com base nesta resposta, a comissão defende que as disposições que não podem ser totalmente definidas no âmbito do projecto de lei possam ser tratadas através de regras, que são posteriormente apresentadas ao Parlamento.
Violação de dados: sem compensação
O ministério esclareceu que não haverá previsão no projeto de lei que conceda indenização por violação de dados. Afirmou que os indivíduos que sofrem um dano civil devido a uma violação são livres de recorrer ao tribunal civil para obter indemnização ao abrigo da lei de responsabilidade civil.
Esses indivíduos também poderiam citar qualquer penalidade imposta pelo Conselho de Proteção de Dados por não conformidade como material de apoio à reclamação, disse o ministério ao comitê.
Depois de considerar as respostas apresentadas pelo ministério, a comissão notou algumas inconsistências significativas na Lei de Protecção de Dados Digitais com a Lei de Tecnologia da Informação existente.
Para alinhar ambas as leis, o comité recomendou a modificação da Lei de TI existente. Também são feitas recomendações para modificar a Lei do Direito à Informação e quaisquer outros atos relevantes que possam ser inconsistentes com a lei proposta.