2023年8月11日,印度第一部綜合性個(gè)人數(shù)據(jù)保護(hù)法《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》發(fā)布,該法旨在確保數(shù)字個(gè)人數(shù)據(jù)被用于合法目的,并以合法方式進(jìn)行處理?!稊?shù)字個(gè)人數(shù)據(jù)保護(hù)法》進(jìn)一步對(duì)印度個(gè)人數(shù)據(jù)跨境傳輸活動(dòng)進(jìn)行規(guī)制,與其他相關(guān)法律共同構(gòu)成印度個(gè)人數(shù)據(jù)跨境傳輸規(guī)則。
目前,印度個(gè)人數(shù)據(jù)跨境傳輸規(guī)則的法律規(guī)范主要有《信息技術(shù)法》《信息技術(shù)規(guī)則》和《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》等??傮w而言,印度個(gè)人數(shù)據(jù)跨境傳輸相關(guān)法律和政策相對(duì)保守,以推動(dòng)數(shù)字經(jīng)濟(jì)發(fā)展為主要目標(biāo)。
《信息技術(shù)法》于2000年6月9日發(fā)布,后經(jīng)修正,修正后的《信息技術(shù)法》于2009年2月5日發(fā)布,加入了兩個(gè)新的條款,即第43條之一和第72條之一,為因個(gè)人數(shù)據(jù)未得到充分保護(hù)而遭受或可能遭受損失的個(gè)人提供救濟(jì)措施。雖然《信息技術(shù)法》的重點(diǎn)是信息安全,而非個(gè)人數(shù)據(jù)保護(hù),但該法為印度限制或禁止向境外傳輸個(gè)人數(shù)據(jù)提供了一定的彈性空間。《信息技術(shù)規(guī)則》于2011年4月11日發(fā)布,雖然《信息技術(shù)規(guī)則》沒(méi)有對(duì)個(gè)人數(shù)據(jù)跨境傳輸進(jìn)行任何具體限制,但仍概括規(guī)定,只有在征得個(gè)人同意或在履行與個(gè)人簽訂的合同時(shí),才可傳輸個(gè)人數(shù)據(jù),而且個(gè)人數(shù)據(jù)接收方必須確保其數(shù)據(jù)保護(hù)水平至少與《信息技術(shù)規(guī)則》和數(shù)據(jù)輸出方的數(shù)據(jù)保護(hù)水平相同。《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》于2023年8月11日發(fā)布,該法不同條款的生效日期由印度中央政府具體確定,一旦該法個(gè)人數(shù)據(jù)跨境傳輸相關(guān)條款正式生效,其個(gè)人數(shù)據(jù)跨境傳輸規(guī)則將替代《信息技術(shù)法》第43條之一和《信息技術(shù)規(guī)則》(截至目前,《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》中的個(gè)人數(shù)據(jù)跨境傳輸規(guī)則尚未生效)。
此外,為避免與其他法律發(fā)生潛在沖突,《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》第16條第2款規(guī)定,對(duì)于個(gè)人數(shù)據(jù)跨境傳輸活動(dòng),如果其他現(xiàn)行法律提供了比《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》更嚴(yán)格的保護(hù)措施,則優(yōu)先適用其他法律。
印度目前尚沒(méi)有專門負(fù)責(zé)個(gè)人數(shù)據(jù)保護(hù)的國(guó)家監(jiān)管機(jī)構(gòu)。依據(jù)《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》第18條,后續(xù)需要專門成立印度數(shù)據(jù)保護(hù)委員會(huì),作為獨(dú)立機(jī)構(gòu),負(fù)責(zé)監(jiān)督《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》的實(shí)施和執(zhí)行,包括開(kāi)展調(diào)查、下令采取補(bǔ)救措施、作出處罰等。
此外,依據(jù)《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》第16條第2款,印度儲(chǔ)備銀行和印度證券交易委員會(huì)等監(jiān)管機(jī)構(gòu),可以針對(duì)特定受監(jiān)管實(shí)體收集的個(gè)人數(shù)據(jù),制定更嚴(yán)格、保護(hù)力度更強(qiáng)的措施,對(duì)個(gè)人數(shù)據(jù)跨境傳輸活動(dòng)進(jìn)行監(jiān)管。
例如,印度儲(chǔ)備銀行于2018年4月6日發(fā)布《關(guān)于支付系統(tǒng)數(shù)據(jù)存儲(chǔ)的通知》,要求所有支付系統(tǒng)提供商需確保支付數(shù)據(jù)存儲(chǔ)在位于印度的系統(tǒng)中。如果支付交易是在印度境外進(jìn)行的,與該交易相關(guān)的支付數(shù)據(jù)應(yīng)從印度境外系統(tǒng)中刪除,并在不遲于一個(gè)工作日或支付交易后24小時(shí)內(nèi)帶回印度進(jìn)行存儲(chǔ)。鑒于印度儲(chǔ)備銀行要求對(duì)支付系統(tǒng)數(shù)據(jù)進(jìn)行絕對(duì)本地化,對(duì)支付系統(tǒng)運(yùn)營(yíng)商規(guī)定了更高的數(shù)據(jù)存儲(chǔ)標(biāo)準(zhǔn),支付系統(tǒng)相關(guān)個(gè)人數(shù)據(jù)的跨境傳輸活動(dòng)仍受印度儲(chǔ)備銀行監(jiān)管。
從敏感個(gè)人數(shù)據(jù)擴(kuò)大到個(gè)人數(shù)據(jù)
《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》生效前的個(gè)人數(shù)據(jù)跨境傳輸規(guī)則只適用于敏感個(gè)人數(shù)據(jù)和信息,如密碼、財(cái)務(wù)信息、身體、生理和心理健康狀況、性取向、醫(yī)療記錄和病史以及生物識(shí)別信息等。依據(jù)《信息技術(shù)規(guī)則》第7條,法人團(tuán)體或代表法人團(tuán)體的任何人可以向印度或任何其他國(guó)家的法人團(tuán)體或個(gè)人傳輸敏感個(gè)人數(shù)據(jù)或信息,只要個(gè)人數(shù)據(jù)接收方確保其數(shù)據(jù)保護(hù)水平至少與《信息技術(shù)規(guī)則》所規(guī)定的數(shù)據(jù)保護(hù)水平相同。
《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》第16條使用的術(shù)語(yǔ)為個(gè)人數(shù)據(jù)跨境傳輸,而非敏感個(gè)人數(shù)據(jù)跨境傳輸,將個(gè)人數(shù)據(jù)跨境傳輸規(guī)則擴(kuò)大至所有類型的個(gè)人數(shù)據(jù)。此后,無(wú)論是否為敏感個(gè)人數(shù)據(jù),均需要受到個(gè)人數(shù)據(jù)跨境傳輸規(guī)則的限制。
具體而言,依據(jù)《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》第2條,數(shù)據(jù)是指以適合人類或以適合通過(guò)自動(dòng)化手段交流、解釋或處理的方式表達(dá)的信息、事實(shí)、概念、意見(jiàn)或指示;個(gè)人數(shù)據(jù)是指可通過(guò)其識(shí)別到個(gè)人的數(shù)據(jù)以及與此類數(shù)據(jù)有關(guān)的數(shù)據(jù),包括姓名、地址、電子郵件、電話號(hào)碼等。
個(gè)人數(shù)據(jù)跨境傳輸規(guī)則逐漸寬松
從與個(gè)人數(shù)據(jù)跨境傳輸規(guī)則相關(guān)的條款來(lái)看,印度個(gè)人數(shù)據(jù)跨境傳輸規(guī)則是在圍繞《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》進(jìn)行審議和磋商的過(guò)程中逐漸形成的。從一 開(kāi)始的絕對(duì)禁止個(gè)人數(shù)據(jù)跨境傳輸?shù)絺€(gè)人數(shù)據(jù)跨境傳輸“白名單”國(guó)家制度,再到個(gè)人數(shù)據(jù)跨境傳輸“黑名單”國(guó)家制度,印度個(gè)人數(shù)據(jù)跨境傳輸規(guī)則逐漸寬松。
依據(jù)2018年《個(gè)人數(shù)據(jù)保護(hù)法案》第40條,所有個(gè)人數(shù)據(jù)的副本在任何時(shí)候都必須存儲(chǔ)在印度境內(nèi)。依據(jù)2021年《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法案》第17條,個(gè)人數(shù)據(jù)被允許傳輸至政府單獨(dú)列出的某些“白名單”國(guó)家,淡化了絕對(duì)禁止個(gè)人數(shù)據(jù)跨境傳輸?shù)牧?chǎng)。在最終版本的《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》中,第16條允許將個(gè)人數(shù)據(jù)跨境傳輸至印度以外的所有國(guó)家或地區(qū),但中央政府特別指定的國(guó)家或地區(qū)除外,即對(duì)個(gè)人數(shù)據(jù)跨境傳輸采取“黑名單”國(guó)家制度,絕對(duì)禁止個(gè)人數(shù)據(jù)跨境傳輸?shù)牧?chǎng)被進(jìn)一步淡化。
缺乏個(gè)人數(shù)據(jù)跨境傳輸?shù)姆ǘㄇ樾?/strong>
對(duì)個(gè)人數(shù)據(jù)跨境傳輸規(guī)則進(jìn)行立法規(guī)制的國(guó)家和地區(qū),普遍會(huì)在法律規(guī)定中明確個(gè)人數(shù)據(jù)跨境傳輸?shù)姆ǘㄇ樾?,如歐盟《通用數(shù)據(jù)保護(hù)條例》、泰國(guó)《個(gè)人數(shù)據(jù)保護(hù)法》、印度尼西亞《個(gè)人數(shù)據(jù)保護(hù)法》、沙特阿拉伯《個(gè)人數(shù)據(jù)保護(hù)法》等。法定情形一般包括,充分性個(gè)人數(shù)據(jù)保護(hù)水平、充分且具有約束力的個(gè)人數(shù)據(jù)保障措施、具有約束力的公司規(guī)則和數(shù)據(jù)主體的同意等。
但《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》只規(guī)定了個(gè)人數(shù)據(jù)跨境傳輸“黑名單”制度,并沒(méi)有規(guī)定個(gè)人數(shù)據(jù)跨境傳輸能否進(jìn)行的判斷依據(jù),缺乏個(gè)人數(shù)據(jù)跨境傳輸?shù)姆ǘㄇ樾?。根?jù)《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》第16條第1款,印度中央政府可通過(guò)發(fā)布通知的形式,直接列出禁止向其進(jìn)行個(gè)人數(shù)據(jù)跨境傳輸?shù)膰?guó)家,即政府在確定限制名單和措施時(shí),會(huì)根據(jù)具體情況作出決定。
明確個(gè)人數(shù)據(jù)跨境傳輸?shù)睦馇樾?/strong>
《數(shù)字個(gè)人數(shù)據(jù)保護(hù)法》第17條規(guī)定了個(gè)人數(shù)據(jù)跨境傳輸規(guī)則適用的例外情形,包括以下幾個(gè)方面:
行使法定權(quán)利或索賠。對(duì)個(gè)人數(shù)據(jù)跨境傳輸規(guī)則的限制不得妨礙數(shù)據(jù)主體行使法定權(quán)利或進(jìn)行索賠,在財(cái)產(chǎn)糾紛、離婚糾紛、民事索賠等案件中,必要時(shí),數(shù)據(jù)主體仍然可以進(jìn)行個(gè)人數(shù)據(jù)跨境傳輸。履行監(jiān)管、監(jiān)督或司法職能。印度法院等司法或監(jiān)管機(jī)構(gòu)出于跨境執(zhí)法、監(jiān)管或監(jiān)督的需要,可以跨境傳輸個(gè)人數(shù)據(jù),即使數(shù)據(jù)接收方被印度中央政府列入限制個(gè)人數(shù)據(jù)跨境傳輸?shù)拿麊沃小?/section>預(yù)防、偵查、調(diào)查或起訴犯罪。印度警方和執(zhí)法機(jī)構(gòu)在國(guó)際刑事調(diào)查、起訴或引渡等活動(dòng)中,跨境傳輸個(gè)人數(shù)據(jù)是為了預(yù)防、偵查、調(diào)查或起訴任何違反印度現(xiàn)行法律的違法行為時(shí),不受個(gè)人數(shù)據(jù)跨境傳輸“黑名單”國(guó)家制度的限制。此外,若私營(yíng)公司需要跨境傳輸?shù)膫€(gè)人數(shù)據(jù)與正在進(jìn)行的內(nèi)部調(diào)查或欺詐等活動(dòng)相關(guān)時(shí),其傳輸活動(dòng)也屬于例外情形。基于與外國(guó)實(shí)體簽訂的合同。若個(gè)人數(shù)據(jù)跨境傳輸活動(dòng)是基于印度境內(nèi)的任何人員與印度境外的外國(guó)實(shí)體簽訂的合同進(jìn)行的,對(duì)個(gè)人數(shù)據(jù)跨境傳輸規(guī)則的限制也不再適用,因?yàn)槠湓跒橥鈬?guó)客戶處理非印度的個(gè)人數(shù)據(jù)。公司之間的合并、重組、收購(gòu)等。在經(jīng)法院或其他有權(quán)機(jī)構(gòu)批準(zhǔn)進(jìn)行的兩個(gè)或多個(gè)公司之間的合并、重組、收購(gòu)等活動(dòng)中,與外國(guó)公司簽訂合并、重組、收購(gòu)協(xié)議的印度實(shí)體,可以將員工信息和其他個(gè)人數(shù)據(jù)傳輸至該外國(guó)公司,即使該外國(guó)公司位于個(gè)人數(shù)據(jù)跨境傳輸“黑名單”國(guó)家。向金融機(jī)構(gòu)獲取違約者財(cái)務(wù)狀況。在符合有關(guān)信息或數(shù)據(jù)披露的有效法律規(guī)定的情況下,需要向金融機(jī)構(gòu)獲取貸款或預(yù)付款違約者的資產(chǎn)和負(fù)債等財(cái)務(wù)狀況時(shí),不受個(gè)人數(shù)據(jù)跨境傳輸“黑名單”制度的限制。
(來(lái)源:人民法院報(bào))