Neuer Entwurf eines Datenschutzgesetzes in Indien veröffentlicht

Der Anwendungsbereich soll sich nach Sec. 4 DPDP Bill auf die Verarbeitung digitaler personenbezogener Daten innerhalb Indiens erstrecken, wenn diese von betroffenen Personen (Data Principals) online gesammelt werden, sowie bei der Digitalisierung offline erhobener personenbezogener Daten. Bestimmte Kategorien sollen ausgenommen sein, darunter offline erfasste personenbezogene Daten oder die nicht-automatisierte Datenverarbeitung.

Der 30 Vorschriften umfassende Entwurf sieht beispielsweise aber auch extraterritoriale Anwendbarkeit vor: Das Gesetz soll auf die Datenverarbeitung außerhalb Indiens Anwendung finden, wenn diese im Zusammenhang mit "Profiling" oder dem Anbieten von Waren oder Dienstleistungen an betroffene Personen in Indien stattfindet.

Die Datenverarbeitung durch den Verantwortlichen (Data Fiduciary) soll nur bei Vorliegen eines legitimen Zwecks und einer Einwilligung der betroffenen Person rechtmäßig sein (Sec. 5 DPDP Bill). In Kap. 3 DPDP Bill finden sich Rechte der betroffenen Personen, etwa auf Information oder Berichtigung.

Ferner bestimmt Sec. 17 DPDP Bill zum grenzüberschreitenden Datentransfer, dass die Zentralregierung Länder festlegen kann, in die personenbezogene Daten übertragen werden dürfen.

Den Gesetzesentwurf aus 2019 hatte Indien im August 2022 zurückgenommen.

Zum Thema:

• Ministry of Electronics and Information Technology: "The Digital Personal Data Protection Bill, 2022" und diesbezügliche Erläuterungen (Englisch)
• Plattform zur Abgabe von Kommentaren