ขอบเขตการบังคับใช้ของ DPDP Act

DPDP Act กำกับดูแลการประมวลผลข้อมูลส่วนบุคคลดิจิทัลภายในอินเดีย ตลอดจนการประมวลผลนอกประเทศอินเดียที่เกี่ยวข้องกับการเสนอขายสินค้าและบริการให้แก่บุคคลในอินเดีย ในทางปฏิบัติ หากเว็บไซต์ของคุณสามารถเข้าถึงได้โดยผู้ใช้ในอินเดียและคุณเก็บรวบรวมข้อมูลส่วนบุคคลผ่านเว็บไซต์นั้น — รวมถึงผ่านคุกกี้, SDK, พิกเซล หรือเทคนิคการฟิงเกอร์พรินต์ — กฎหมายนี้แทบจะแน่นอนว่าใช้บังคับกับคุณ

กฎหมายนี้ใช้บทบาทหลัก 2 บทบาท ได้แก่ Data Fiduciary (เทียบเคียงได้กับผู้ควบคุมข้อมูลตาม GDPR) และ Data Processor ผู้ให้บริการรายใหญ่จำนวนไม่มากอาจถูกกำหนดให้เป็น Significant Data Fiduciary ซึ่งจะทำให้มีภาระหน้าที่เพิ่มเติม เช่น การประเมินผลกระทบด้านการคุ้มครองข้อมูล และการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลที่พำนักอยู่ในอินเดีย

DPDP Act จัดการกับคุกกี้และตัวติดตามอย่างไร

แตกต่างจาก ePrivacy Directive DPDP Act ไม่ได้จัดให้คุกกี้เป็นหมวดหมู่เฉพาะ แต่ออกกฎควบคุม การประมวลผล ข้อมูลส่วนบุคคลดิจิทัลทุกประเภท นั่นหมายความว่าคุกกี้ ตัวระบุอุปกรณ์ ที่อยู่ IP รหัสโฆษณา และอีเมลที่ถูกแฮช ล้วนอยู่ในขอบเขตของกฎหมายเมื่อเชื่อมโยง — โดยตรงหรือโดยอ้อม — กับบุคคลที่สามารถระบุตัวตนได้

ผลที่ตามมาสำหรับผู้จัดพิมพ์จึงค่อนข้างตรงไปตรงมา: หากคุกกี้หรือแท็กบนเว็บไซต์ของคุณทำให้มีการเก็บรวบรวมหรือแชร์ข้อมูลส่วนบุคคล คุณจำเป็นต้องมีฐานทางกฎหมายที่ชอบด้วยกฎหมาย ภายใต้ DPDP Act ฐานดังกล่าวแทบจะเป็น คอนเซนต์ แทบทั้งหมด โดยมีข้อยกเว้นที่แคบมากสำหรับ "legitimate uses" ที่กำหนดไว้ในกฎหมาย

ลักษณะของคอนเซนต์ที่ถูกต้องตามกฎหมาย

DPDP Act กำหนดมาตรฐานสูงสำหรับคอนเซนต์ โดยต้องเป็นการยินยอมที่ให้โดยเสรี เฉพาะเจาะจง ได้รับข้อมูลเพียงพอ ไม่มีเงื่อนไข และชัดแจ้ง และต้องแสดงออกผ่านการกระทำยืนยันที่ชัดเจน กล่องที่ถูกติ๊กไว้ล่วงหน้า การสันนิษฐานว่าผู้ใช้ยินยอมจากการท่องเว็บไซต์ต่อไป หรือการออกแบบแบบ "cookie wall" ที่ผูกการเข้าถึงกับการกดยอมรับ ล้วนไม่สอดคล้องกับข้อกำหนดเหล่านี้

ยังมีข้อกำหนดเฉพาะของ DPDP อีก 2 ประการที่สำคัญต่อ UX ด้านคอนเซนต์:

• การแจ้งโดยแยกเป็นรายการ: ก่อนหรือในขณะขอคอนเซนต์ คุณต้องให้ผู้ใช้ได้รับแจ้งอย่างชัดเจนว่ามีการเก็บรวบรวมข้อมูลใดบ้าง วัตถุประสงค์ในการประมวลผลคืออะไร และผู้ใช้สามารถถอนคอนเซนต์หรือยื่นเรื่องร้องเรียนต่อ Data Protection Board of India ได้อย่างไร
• ภาษาที่เข้าใจง่ายและรองรับหลายภาษา: ข้อความแจ้งต้องมีทั้งภาษาอังกฤษและภาษาตามกำหนดการ 22 ภาษาอย่างน้อยหนึ่งภาษาที่ผู้ใช้เลือกใช้ CMP ที่ไม่สามารถแสดงเนื้อหาคอนเซนต์เป็นภาษาฮินดี ทมิฬ เบงกาลี มราฐี และภาษาหลักอื่น ๆ จะยากต่อการปฏิบัติตามข้อกำหนด

ข้อมูลของเด็กและคอนเซนต์จากผู้ปกครอง

DPDP Act ถือว่าบุคคลที่มีอายุต่ำกว่า 18 ปีเป็นเด็ก และกำหนดให้ต้องได้รับคอนเซนต์จากผู้ปกครองที่สามารถตรวจสอบได้ก่อนจะประมวลผลข้อมูลส่วนบุคคลของเด็ก นอกจากนี้ยังกำหนดข้อห้ามการติดตามพฤติกรรมและโฆษณาเชิงพฤติกรรมที่มุ่งเป้าไปยังเด็ก เว็บไซต์ใดก็ตามที่เด็กในอินเดียสามารถเข้าถึงได้ — ซึ่งในทางปฏิบัติก็หมายถึงแทบทุกเว็บไซต์ — จำเป็นต้องมีกลยุทธ์จำกัดอายุหรือแนวทางตามระดับความเสี่ยง และต้องสามารถบล็อกสคริปต์ติดตามเมื่อตรวจสอบแล้วว่าไม่มีคอนเซนต์จากผู้ปกครอง

สิทธิของผู้ใช้ที่ CMP ของคุณต้องรองรับ

Data Principal (ผู้ใช้) ในอินเดียมีชุดสิทธิที่ต้องสามารถดำเนินการได้ผ่านเลเยอร์คอนเซนต์และการตั้งค่าความชอบของคุณ:

• สิทธิในการเข้าถึงสรุปข้อมูลส่วนบุคคลของตนที่กำลังถูกประมวลผล
• สิทธิในการแก้ไขและลบข้อมูลของตน
• สิทธิในการถอนคอนเซนต์ได้ทุกเมื่อ โดยต้องทำได้ง่ายพอ ๆ กับตอนให้คอนเซนต์
• สิทธิในการมอบหมายให้บุคคลอื่นใช้สิทธิแทนตนในกรณีเสียชีวิตหรือไม่สามารถจัดการเองได้
• สิทธิในการร้องทุกข์ต่อ Data Fiduciary ก่อน จากนั้นจึงต่อ Data Protection Board of India

CMP ที่ปฏิบัติตามกฎหมายควรมีลิงก์การตั้งค่าความชอบที่มองเห็นได้ตลอดเวลา รองรับการถอนคอนเซนต์ในคลิกเดียว และบันทึกเหตุการณ์คอนเซนต์ในลักษณะที่สามารถแสดงต่อหน่วยงานได้เมื่อมีการสอบสวน

การโอนข้อมูลข้ามพรมแดน

DPDP Act ใช้แนวทางแบบ "บัญชีดำ" สำหรับการโอนข้อมูลระหว่างประเทศ: สามารถโอนข้อมูลส่วนบุคคลออกนอกอินเดียได้ เว้นแต่ประเทศปลายทางจะถูกจำกัดไว้โดยรัฐบาลกลาง แนวทางนี้เปิดกว้างกว่า ระบบ adequacy ของ GDPR แต่คุณก็ควรบันทึกไว้ให้ชัดเจนว่ามีประเทศที่สามใดบ้างที่ได้รับข้อมูลจากผู้ใช้ในอินเดีย และติดตามบัญชีรายชื่อประเทศที่ถูกจำกัดซึ่งทางการประกาศใช้

บทลงโทษและการบังคับใช้

บทลงโทษทางการเงินภายใต้ DPDP Act อยู่ในระดับสูง Data Protection Board สามารถสั่งปรับได้สูงสุด ₹250 crore (ประมาณ $30 million USD) สำหรับการไม่ดำเนินมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และปรับได้สูงสุด ₹200 crore สำหรับการไม่ปฏิบัติตามภาระหน้าที่เกี่ยวกับข้อมูลของเด็ก ความล้มเหลวที่เกี่ยวข้องกับคอนเซนต์ — รวมถึงการเก็บคอนเซนต์ผ่านแบนเนอร์ที่ไม่เป็นไปตามข้อกำหนด — อาจถูกปรับได้สูงสุด ₹50 crore ต่อการกระทำความผิดหนึ่งครั้ง

การทำให้คอนเซนต์ใน CMP ของคุณสอดคล้องกับ DPDP

1. ตรวจจับผู้ใช้ในอินเดียด้วยวิธีระบุตำแหน่งทางภูมิศาสตร์ และใช้เทมเพลตคอนเซนต์แบบเฉพาะสำหรับ DPDP แทนการนำแบนเนอร์แบบ GDPR มาใช้ซ้ำ เนื้อหาการแจ้งและตัวเลือกด้านภาษาที่ต้องใช้แตกต่างกัน
2. แสดงข้อความแจ้งในหลายภาษาของอินเดีย อย่างน้อยควรรองรับภาษาฮินดีและภาษาอังกฤษ และเพิ่มภาษาประจำภูมิภาคตามสัดส่วนทราฟฟิกของคุณ
3. บล็อกตัวติดตามที่ไม่จำเป็นทั้งหมดโดยค่าเริ่มต้น โหลดโฆษณา เครื่องมือวิเคราะห์ และ SDK ของบุคคลที่สามเฉพาะหลังจากได้รับคอนเซนต์ที่ยืนยันอย่างชัดแจ้งแล้วเท่านั้น
4. แยกวัตถุประสงค์ให้ชัดเจน อย่ารวมโฆษณา การวิเคราะห์ และการปรับแต่งส่วนบุคคลไว้ในปุ่ม "ยอมรับ" เพียงครั้งเดียว หากผู้ใช้สามารถมีเหตุผลที่จะยอมรับบางประเภทแต่ปฏิเสธบางประเภทได้
5. บันทึกเหตุการณ์คอนเซนต์และการถอนคอนเซนต์ พร้อมระบุเวลาที่แน่นอน เวอร์ชันของข้อความแจ้งที่แสดง และภาษาที่ผู้ใช้เลือก เพื่อให้คุณสามารถพิสูจน์การปฏิบัติตามข้อกำหนดต่อหน่วยงานกำกับดูแลได้เมื่อมีการสอบถาม
6. จัดให้มีลิงก์การตั้งค่าความชอบที่มองเห็นได้ชัดเจนบนทุกหน้า เพื่อให้ผู้ใช้สามารถตรวจสอบ อัปเดต หรือถอนคอนเซนต์ได้ทุกเวลา

DPDP vs. GDPR: ความแตกต่างในทางปฏิบัติ

• ไม่มีฐาน "legitimate interests" DPDP Act ไม่ได้ยอมรับ legitimate interests เป็นฐานทางกฎหมายทั่วไปอย่างที่ GDPR ทำ ดังนั้นคอนเซนต์จึงมีน้ำหนักมากกว่า และการออกแบบ UX จึงยิ่งมีความสำคัญ
• กฎที่เข้มงวดกว่าสำหรับเด็ก อายุยินยอมด้านดิจิทัลถูกกำหนดไว้ที่ 18 ปี ไม่ใช่ 13 หรือ 16 ปี และมีการห้ามโฆษณาแบบมุ่งเป้าไปยังผู้เยาว์อย่างชัดแจ้ง
• ข้อกำหนดเรื่องการแจ้งหลายภาษา เป็นเอกลักษณ์เฉพาะของ DPDP Act และไม่สามารถปฏิบัติตามได้ด้วยแบนเนอร์ภาษาอังกฤษเพียงภาษาเดียว
• ภาระหน้าที่ของ Significant Data Fiduciary สร้างระดับข้อกำหนดการปฏิบัติตามกฎหมายอีกชั้นหนึ่งสำหรับผู้ให้บริการที่มีความเสี่ยงสูง ซึ่งไม่มีคู่เปรียบที่ตรงตัวใน GDPR

บทสรุป

DPDP Act ทำให้อินเดียก้าวสู่ภูมิทัศน์การคุ้มครองข้อมูลระดับโลกสมัยใหม่ในแบบของตนเอง — เน้นคอนเซนต์เป็นหลัก ออกแบบมาให้รองรับหลายภาษา และให้ความคุ้มครองผู้เยาว์ในระดับที่เข้มงวดเป็นพิเศษ ผู้จัดพิมพ์และแพลตฟอร์มที่ใช้ CMP ระดับ GDPR อยู่แล้วถือว่ามีจุดเริ่มต้นที่ดี แต่ก็ยังต้องปรับเนื้อหาแบนเนอร์ การรองรับภาษา การจัดการอายุ และการบันทึกข้อมูลให้สอดคล้องกับข้อกำหนดของ DPDP การมองว่าอินเดียเป็นเพียง "อีกหนึ่งเขตอำนาจของ GDPR" คือหนทางลัดที่สุดที่จะทำให้คุณต้องไปชี้แจงต่อ Data Protection Board