ขอบเขตการบังคับใช้ของ DPDP Act

DPDP Act กำกับดูแลการประมวลผลข้อมูลส่วนบุคคลดิจิทัลภายในอินเดีย ตลอดจนการประมวลผลนอกประเทศอินเดียที่เกี่ยวข้องกับการเสนอขายสินค้าและบริการให้แก่บุคคลในอินเดีย ในทางปฏิบัติ หากเว็บไซต์ของคุณสามารถเข้าถึงได้โดยผู้ใช้ในอินเดียและคุณเก็บรวบรวมข้อมูลส่วนบุคคลผ่านเว็บไซต์นั้น — รวมถึงผ่านคุกกี้, SDK, พิกเซล หรือเทคนิคการฟิงเกอร์พรินต์ — กฎหมายนี้แทบจะแน่นอนว่าใช้บังคับกับคุณ

กฎหมายนี้ใช้บทบาทหลัก 2 บทบาท ได้แก่ Data Fiduciary (เทียบเคียงได้กับผู้ควบคุมข้อมูลตาม GDPR) และ Data Processor ผู้ให้บริการรายใหญ่จำนวนไม่มากอาจถูกกำหนดให้เป็น Significant Data Fiduciary ซึ่งจะทำให้มีภาระหน้าที่เพิ่มเติม เช่น การประเมินผลกระทบด้านการคุ้มครองข้อมูล และการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลที่พำนักอยู่ในอินเดีย

DPDP Act จัดการกับคุกกี้และตัวติดตามอย่างไร

แตกต่างจาก ePrivacy Directive DPDP Act ไม่ได้จัดให้คุกกี้เป็นหมวดหมู่เฉพาะ แต่ออกกฎควบคุม การประมวลผล ข้อมูลส่วนบุคคลดิจิทัลทุกประเภท นั่นหมายความว่าคุกกี้ ตัวระบุอุปกรณ์ ที่อยู่ IP รหัสโฆษณา และอีเมลที่ถูกแฮช ล้วนอยู่ในขอบเขต��องกฎหมายเมื่อเชื่อมโยง — โดยตรงหรือโดยอ้อม — กับบุคคลที่สามารถระบุตัวตนได้

ผลที่ตามมาสำหรับผู้จัดพิมพ์จึงค่อนข้างตรงไปตรงมา: หากคุกกี้หรือแท็กบนเว็บไซต์ของคุณทำให้มีการเก็บรวบรวมหรือแชร์ข้อมูลส่วนบุคคล คุณจำเป็นต้องมีฐานทางกฎหมายที่ชอบด้วยกฎหมาย ภายใต้ DPDP Act ฐานดังกล่าวแทบจะเป็น คอนเซนต์ แทบทั้งหมด โดยมีข้อยกเว้นที่แคบมากสำหรับ "legitimate uses" ที่กำหนดไว้ในกฎหมาย

ลักษณะของคอนเซนต์ที่ถูกต้องตามกฎหมาย

DPDP Act กำหนดมาตรฐานสูงสำหรับคอนเซนต์ โดยต้องเป็นการยินยอมที่���ห้โดยเสรี เฉพาะเจาะจง ได้รับข้อมูลเพียงพอ ไม่มีเงื่อนไข และชัดแจ้ง และต้องแสดงออกผ่านการกระทำยืนยันที่ชัดเจน กล่องที่ถูกติ๊กไว้ล่วงหน้า การสันนิษฐานว่าผู้ใช้ยินยอมจากการท่องเว็บไซต์ต่อไป หรือการออกแบบแบบ "cookie wall" ที่ผูกการเข้าถึงกับการกดยอมรับ ล้วนไม่สอดคล้องกับข้อกำหนดเหล่านี้

ยังมีข้อกำหนดเฉพาะของ DPDP อีก 2 ประการที่สำคัญต่อ UX ด้านคอนเซนต์:

• การแจ้งโดยแยกเป็นรายการ: ก่อนหรือในขณะขอคอนเซนต์ คุณต้องให้ผู้ใช้ได้รับแจ้งอย่างชัดเจนว่ามีการเก็บรวบรวมข้อมูลใดบ้าง วัตถุประสงค์ในการประมวลผลคืออะไร และผู้ใช้สามารถถอนคอนเซนต์หรือยื่นเรื่องร้องเรียนต่อ Data Protection Board of India ได้อย่างไร
• ภาษาที่เข้าใจง่ายและรองรับหลายภาษา: ข้อความแจ้งต้องมีทั้งภาษาอังกฤษและภาษาตามกำหนดการ 22 ภาษาอย่างน้อยหนึ่งภาษาที่ผู้ใช้เลือกใช้ CMP ที่ไม่สามารถแสดงเนื้อหาคอนเซนต์เป็นภาษาฮินดี ทมิฬ เบงกาลี มราฐี และภาษาหลักอื่น ๆ จะยากต่อการปฏิบัติตามข้อกำหนด

ข้อมูลของเด็กและคอนเซนต์จากผู้ปกครอง

DPDP Act ถือว่าบุคคลที่มีอายุต่ำกว่า 18 ปีเป็นเด็ก และกำหนดให้ต้องไ��้รับคอนเซนต์จากผู้ปกครองที่สามารถตรวจสอบได้ก่อนจะประมวลผลข้อมูลส่วนบุคคลของเด็ก นอกจากนี้ยังกำหนดข้อห้ามการติดตามพฤติกรรมและโฆษณาเชิงพฤติกรรมที่มุ่งเป้าไปยังเด็ก เว็บไซต์ใดก็ตามที่เด็กในอินเดียสามารถเข้าถึงได้ — ซึ่งในทางปฏิบัติก็หมายถึงแทบทุกเว็บไซต์ — จำเป็นต้องมีกลยุทธ์จำกัดอายุหรือแนวทางตามระดับความเสี่ยง และต้องสามารถบล็อกสคริปต์ติดตามเมื่อตรวจสอบแล้วว่าไม่มีคอนเซนต์จากผู้ปกครอง

สิทธิของผู้ใช้ที่ CMP ของคุณต้องรองรับ

Data Principal (ผู้ใช้) ในอินเดียมีชุดสิทธิที่ต้องสามารถดำเนินการได้ผ่านเลเยอร์คอนเซนต์และการตั้งค่าความชอบของคุณ:

• สิทธิในการเข้าถึงสรุปข้อมูลส่วนบุคคลของตนที่กำลังถูกประมวลผล
• สิทธิในการแก้ไขและลบข้อมูลของตน
• สิทธิในการถอนคอนเซนต์ได้ทุกเมื่อ โดยต้องทำได้ง่ายพอ ๆ กับตอนให้คอนเซนต์
• สิทธิในการมอบหมายให้บุคคลอื่นใช้สิทธิแทนตนในกรณีเสียชีวิตหรือไม่สามารถจัดการเองได้
• สิทธิในการร้องทุกข์ต่อ Data Fiduciary ก่อน จากนั้นจึงต่อ Data Protection Board of India

CMP ที่ปฏิบัติตามกฎหมายควรมีลิงก์การตั้งค่าความชอบที่มองเห็นได้ตลอดเวลา รองรับการถอนคอนเซนต์��นคลิกเดียว และบันทึกเหตุการณ์คอนเซนต์ในลักษณะที่สามารถแสดงต่อหน่วยงานได้เมื่อมีการสอบสวน

การโอนข้อมูลข้ามพรมแดน

DPDP Act ใช้แนวทางแบบ "บัญชีดำ" สำหรับการโอนข้อมูลระหว่างประเทศ: สามารถโอนข้อมูลส่วนบุคคลออกนอกอินเดียได้ เว้นแต่ประเทศปลายทางจะถูกจำกัดไว้โดยรัฐบาลกลาง แนวทางนี้เปิดกว้างกว่า ระบบ adequacy ของ GDPR แต่คุณก็ควรบันทึกไว้ให้ชัดเจนว่ามีประเทศที่สามใดบ้างที่ได้รับข้อมูลจากผู้ใช้ในอินเดีย และติดตามบัญชีรายชื่อประเทศที่ถูกจำกัดซึ่งทางการประกาศใช้

บทลงโทษและการบังคับใช้

บทลงโทษทางการเงินภายใต้ DPDP Act อยู่ในระดับสูง Data Protection Board สามารถสั่งปรับได้สูงสุด ₹250 crore (ประมาณ $30 million USD) สำหรับการไม่ดำเนินมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และปรับได้สูงสุด ₹200 crore สำหรับการไม่ปฏิบัติตามภาระหน้าที่เกี่ยวกับข้อมูลของเด็ก ความล้มเหลวที่เกี่ยวข้องกับคอนเซนต์ — รวมถึงการเก็บคอนเซนต์ผ่านแบนเนอร์ที่ไม่เป็นไปตามข้อกำหนด — อาจถูกปรับได้สูงสุด ₹50 crore ต่อการกระทำความผิดหนึ่งครั้ง

การทำให้คอนเซนต์ใน CMP ของคุณสอดคล้องกับ DPDP

1. ตรวจจับผู้ใช้���นอินเดียด้วยวิธีระบุตำแหน่งทางภูมิศาสตร์ และใช้เทมเพลตคอนเซนต์แบบเฉพาะสำหรับ DPDP แทนการนำแบนเนอร์แบบ GDPR มาใช้ซ้ำ เนื้อหาการแจ้งและตัวเลือกด้านภาษาที่ต้องใช้แตกต่างกัน
2. แสดงข้อความแจ้งในหลายภาษาของอินเดีย อย่างน้อยควรรองรับภาษาฮินดีและภาษาอังกฤษ และเพิ่มภาษาประจำภูมิภาคตามสัดส่วนทราฟฟิกของคุณ
3. บล็อกตัวติดตามที่ไม่จำเป็นทั้งหมดโดยค่าเริ่มต้น โหลดโฆษณา เครื่องมือวิเคราะห์ และ SDK ของบุคคลที่สามเฉพาะหลังจากได้รับคอนเซนต์ที่ยืนยันอย่างชัดแจ้งแล้วเท่าน���้น
4. แยกวัตถุประสงค์ให้ชัดเจน อย่ารวมโฆษณา การวิเคราะห์ และการปรับแต่งส่วนบุคคลไว้ในปุ่ม "ยอมรับ" เพียงครั้งเดียว หากผู้ใช้สามารถมีเหตุผลที่จะยอมรับบางประเภทแต่ปฏิเสธบางประเภทได้
5. บันทึกเหตุการณ์คอนเซนต์และการถอนคอนเซนต์ พร้อมระบุเวลาที่แน่นอน เวอร์ชันของข้อความแจ้งที่แสดง และภาษาที่ผู้ใช้เลือก เพื่อให้คุณสามารถพิสูจน์การปฏิบัติตามข้อกำหนดต่อหน่วยงานกำกับดูแลได้เมื่อมีการสอบถาม
6. จัดให้มีลิงก์การตั้งค่าความชอบที่มองเห็นได้ชัดเจนบนทุกหน้�� เพื่อให้ผู้ใช้สามารถตรวจสอบ อัปเดต หรือถอนคอนเซนต์ได้ทุกเวลา

DPDP vs. GDPR: ความแตกต่างในทางปฏิบัติ

• ไม่มีฐาน "legitimate interests" DPDP Act ไม่ได้ยอมรับ legitimate interests เป็นฐานทางกฎหมายทั่วไปอย่างที่ GDPR ทำ ดังนั้นคอนเซนต์จึงมีน้ำหนักมากกว่า และการออกแบบ UX จึงยิ่งมีความสำคัญ
• กฎที่เข้มงวดกว่าสำหรับเด็ก อายุยินยอมด้านดิจิทัลถูกกำหนดไว้ที่ 18 ปี ไม่ใช่ 13 หรือ 16 ปี และมีการห้ามโฆษณาแบบมุ่งเป้าไปยังผู้เยาว์อย่างชัดแจ้ง
• ข้อกำหนดเรื่องการแจ้งหลายภาษา เป็นเอกลักษณ์เฉพาะของ DPDP Act และไม่สามารถปฏิบัติตามได้ด้วยแบนเนอร์ภาษาอังกฤษเพียงภาษาเดียว
• ภาระหน้าที่ของ Significant Data Fiduciary สร้างระดับข้อกำหนดการปฏิบัติตามกฎหมายอีกชั้นหนึ่งสำหรับผู้ให้บริการที่มีความเสี่ยงสูง ซึ่งไม่มีคู่เปรียบที่ตรงตัวใน GDPR

บทสรุป

DPDP Act ทำให้อินเดียก้าวสู่ภูมิทัศน์การคุ้มครองข้อมูลระดับโลกสมัยใหม่ในแบบของตนเอง — เน้นคอนเซนต์เป็นหลัก ออกแบบมาให้รองรับหลายภาษา และให้ความคุ้มครองผู้เยาว์ในระดับที่เข้มงวดเป็นพิเศษ ผู้จัดพิมพ์และแพลตฟอร์มที่ใช้ CMP ระดับ GDPR อยู่แล้วถือว่ามีจ��ดเริ่มต้นที่ดี แต่ก็ยังต้องปรับเนื้อหาแบนเนอร์ การรองรับภาษา การจัดการอายุ และการบันทึกข้อมูลให้สอดคล้องกับข้อกำหนดของ DPDP การมองว่าอินเดียเป็นเพียง "อีกหนึ่งเขตอำนาจของ GDPR" คือหนทางลัดที่สุดที่จะทำให้คุณต้องไปชี้แจงต่อ Data Protection Board