Поскольку индийский рынок продолжает привлекать игроков мирового технологического сектора, российские ИТ-компании всё чаще стремятся расширить свою деятельность, запустить новые продукты или начать сотрудничество в Индии. Однако для успешной работы в стране им необходимо решить один важный вопрос: соблюдение индийских законов о защите данных.
С Закон о защите цифровых персональных данных 2023 года (Закон DPDP) Вступая в силу, правительство Индии заложило правовую основу для регулирования сбора, хранения, обработки и передачи персональных данных. Для российских ИТ-компаний, планирующих запуск услуг или продуктов, ориентированных на индийских пользователей, понимание и соблюдение этого закона крайне важно. не просто хорошая практика — это юридическая необходимость.
В этой статье мы расскажем, что нужно знать российским ИТ-компаниям и как они могут соблюдать требования, укрепляя свое присутствие в Индии.
Почему индийский закон о защите данных важен для российских компаний
Даже если у российской компании нет физического офиса в Индии, Закон о ДППД применяется экстерриториально Если ваша компания обрабатывает персональные данные физических лиц в Индии — например, через приложение, веб-сайт, программное обеспечение или ИТ-сервис — вы обязаны по закону соблюдать индийские требования к защите данных.
Несоблюдение может привести к штрафы до 250 крор рупий (около 30 миллионов долларов США) В зависимости от характера и серьёзности нарушения. С усилением цифрового контроля и ужесточением регулирующих мер незнание больше не является оправданием.
Ключевые принципы режима защиты данных в Индии
The Закон о ДПДП устанавливает набор принципов, которым должен следовать каждый Данные доверительного управления (т. е. организация, собирающая или управляющая данными пользователей) должна соблюдать:
- Обработка на основе согласия : Данные должны собираться и обрабатываться только с предварительного, информированного и явного согласия пользователя.
- Ограничение цели : Данные должны использоваться только в тех целях, для которых они были собраны.
- Минимизация данных : Собирайте только те данные, которые необходимы для вашего сервиса.
- Ограничение хранения : Персональные данные не должны храниться бесконечно.
- Гарантии безопасности : Для предотвращения нарушений необходимо принять разумные меры безопасности.
- Права пользователя : Физические лица имеют право на доступ, исправление, удаление и получение информации об обработке своих данных.
Кто должен соблюдать?
Если ваш российский ИТ-бизнес попадает под одну из следующих категорий, соблюдение требований является обязательным:
- Приложение или SaaS-продукт с индийскими пользователями
- Облачный хостинг или ИТ-услуги работа с данными индийских клиентов
- Аутсорсинговая компания управление операциями бэк-офиса для индийских фирм
- Игровые или электронные коммерческие платформы доступ для жителей Индии
- Поставщики финтех- и образовательных технологий таргетинг на индийских пользователей
Даже Поставщики ИТ-услуг B2B необходимо обеспечить наличие положений о защите данных при обработке данных клиентов, которые включают персональные данные (PII) граждан Индии.
1. Создайте архитектуру данных, основанную на согласии
Законодательство Индии предписывает согласие пользователя в качестве основной базы для обработки данных. Российские ИТ-компании должны:
- Четко информировать пользователей простым языком о том, какие данные собираются и почему.
- Дизайн формы согласия — предварительно отмеченные поля или подразумеваемое согласие не будут действительными.
- Разрешить пользователям легко отозвать согласие в любое время.
Вам следует пересмотреть пользовательский интерфейс вашего продукта и убедиться, что запросы на согласие и уведомления о конфиденциальности встроены во все соответствующие точки соприкосновения — регистрацию в приложении, формы регистрации, настройки учетной записи и т. д.
2. Назначьте сотрудника по рассмотрению жалоб
Закон DPDP обязывает компании назначать Сотрудник по рассмотрению жалоб (GRO) кто будет рассматривать жалобы пользователей относительно неправомерного использования данных, запросов на удаление или проблем с доступом.
Для российских компаний, работающих удаленно, это может быть местный индийский представитель или юридический партнер, уполномоченный реагировать на жалобы пользователей в течение 7 дней.
3. Будьте готовы к классификации как «доверенное лицо, ответственное за важные данные»
Крупные российские ИТ-компании или те, кто занимается конфиденциальные данные в масштабе может быть классифицирован индийским правительством как Значимые доверительные управляющие данными (SDF). В этом случае потребуется соблюдение дополнительных требований, включая:
- Назначение Сотрудник по защите данных (DPO) базируется в Индии
- Проведение периодических аудит данных
- Реализация протоколы оценки риска
- Проведение оценки воздействия на защиту данных (DPIA)
Если ваша компания собирает финансовые, биометрические или медицинские данные или обрабатывает данные миллионов пользователей, крайне важно быть готовым к такому уровню проверки.
4. Разработайте локализованную Политику конфиденциальности
Ваша глобальная политика конфиденциальности может оказаться недостаточной для индийских регулирующих органов. Вам необходимо разработать индивидуальная политика конфиденциальности что:
- Находится в ясный и простой английский (или местные индийские языки, если применимо)
- Соответствует определениям и терминологии, используемым в Законе о ДППД.
- Охватывает права пользователя, цель сбора, политику хранения данных, правила трансграничной передачи и контактные данные GRO.
Политика конфиденциальности должна быть доступна на вашем веб-сайте или в приложении — обычно в нижнем колонтитуле или во время процесса регистрации.
5. Безопасная трансграничная передача данных
На данный момент Закон о защите данных (DPDP) разрешает трансграничную передачу данных. за исключением стран, которые правительство Индии может ограничить в будущем. Это дает российским компаниям временная гибкость, но разумнее подготовиться к более строгим правилам.
Вам следует:
- Гарантировать данные шифруются во время передачи и хранения
- Войти в соглашения о передаче данных с индийскими партнерами
- Ведите четкую документацию какие данные хранятся где и как долго
Избегайте хранения конфиденциальных данных индийских пользователей в странах со слабым законодательством о кибербезопасности или там, где доступ к ним неясен, поскольку это может привести к будущим ограничениям.
6. Уважайте права субъектов данных
В соответствии с Законом о защите данных (DPDP) индийские пользователи имеют право:
- Доступ их данные
- Исправить или стереть неточная или устаревшая информация
- Отозвать согласие
- Назначить другого человека управлять своими данными после смерти/недееспособности
Российские ИТ-компании должны строить пользовательские интерфейсы которые позволяют пользователям легко делать такие запросы и гарантировать, что ответы будут предоставлены в течение 30 дней.
Отсутствие ответа может привести к штрафам или жалобам пользователей в Совет по защите данных Индии.
7. Будьте готовы к утечкам данных
Закон требует от компаний уведомить как пользователя, так и Совет по защите данных В случае утечки данных. Ваша команда должна разработать план реагирования на утечку данных что включает в себя:
- Выявление и локализация нарушения
- Оценка воздействия
- Уведомление затронутых пользователей
- Отчетность перед индийскими властями
- Принятие корректирующих мер
Задержки или сокрытие информации могут привести к более суровым наказаниям. Наличие юридического партнёра в Индии может обеспечить своевременную подачу документов и коммуникацию в подобных ситуациях.
8. Следите за будущими правилами и обновлениями
Хотя Закон о ДППД устанавливает рамки, несколько конкретных Правила и стандарты еще не утверждены правительством Индии.. Они будут охватывать:
- Форматы сбора согласия
- Сроки уведомления о нарушениях
- Дополнительные обязанности для СДС
- Процедуры рассмотрения жалоб
Ваша стратегия соответствия требованиям должна включать: постоянный правовой мониторинг либо через штатного юриста, либо через индийского юридического партнера, например Ахлават и партнеры, чтобы опережать новые требования.
Заключительные мысли
Индия предлагает динамичную и быстрорастущую цифровую экономику, и российские ИТ-компании имеют все шансы на успех. Но чтобы выйти на этот рынок, соблюдение законодательства и мер защиты данных не является обязательным.
Независимо от того, запускаете ли вы программный продукт, управляете облачным сервисом или сотрудничаете с индийской компанией, Закон DPDP будет применяться к вам. Несколько шагов, предпринятых сегодня — от пересмотра архитектуры согласия до назначения ответственного за данные — могут уберечь вас от юридических проблем завтра.
Как Ahlawat & Associates может помочь
В Ahlawat & Associates мы специализируемся на руководство иностранными ИТ-компаниями, включая российские стартапы и предприятия, через нормативно-правовую базу Индии.
Мы можем вам помочь:
- Разработать и локализовать политику конфиденциальности и пользовательские соглашения
- Обеспечить соответствие механизмов согласия индийским правовым стандартам
- Помощь в назначении DPO и GRO
- Подготовка к аудитам и соблюдению нормативных требований
- Структурировать соглашения об обработке данных и трансграничные контракты
Получите юридические услуги в Индии для вашего IT-бизнеса – Свяжитесь с нами для индивидуальной оценки соответствия.