동의 및 합법적 사용:고무가 도로를 만나는 곳

동의의 개념은 2000년 정보 기술법(“IT법”)[1] 정보 프라이버시 권리를 다루는 다양한 법원 결정에 따른 동의 및 자율성의 헌법적 우선권은 다양한 일반 개인 데이터 보호 초안에 따라 개인 데이터 수집 및 처리의 기본 기반으로 확고히 자리 잡았습니다. 수년에 걸쳐 인도에서 제정된 법률,[2] 새로 공지된 디지털 개인 데이터 보호법, 2023(“행동”)[3]은 또한 개인 데이터의 수집 및 처리를 위해 데이터 수탁자[4]가 사용할 수 있는 주요 추가 기반으로 “합법적인 사용”을 제공합니다[5].

이 법에 대한 시리즈의 일환으로 이제 2022년 디지털 개인 데이터 보호 법안 초안(“초안”)[6] 및 일부 글로벌 프레임워크.

이 법은 동의가 자유롭고, 구체적이고, 정보에 입각하고, 무조건적이고, 명시적이며, 적극적 행위를 통해 표시되도록 요구하고 있습니다.[7]

이 법에 따라 이 통지는 동의를 구할 때마다 제공되어야 하며,[8] 인도인이 곧 겪게 될 통지의 쓰나미(및 그에 수반되는 피로)의 규모를 잠재적으로 증가시킬 수 있습니다.

또한 이 법은 이전에 처리에 동의한 경우 새로운 통지를 제공하도록 계속 요구하고 있습니다.[9] 인도에서는 IT법에 따라 좁게 정의된 '민감한 개인 데이터 또는 정보' 집합을 처리하는 데에만 동의가 필요합니다.[10] 데이터 수탁자는 이전 동의를 주의 깊게 검토하고 새로운 통지를 제공하며 (잠재적으로) 동의를 받아야 합니다. 법이 공식적으로 발효된 후 새로운 동의를 얻습니다. 따라서 법률에서 이를 요구하지 않는 경우, 구체적인 동의 없이 처리된 기존 개인 데이터에 대한 입장을 명확히 하는 것이 유용할 수 있습니다. 데이터 수탁자는 법 제정 이전에 처리 동의가 수집된 개인 데이터를 규정된 양식[12]에 따라 통지함으로써 계속해서 처리할 수 있으며, 기업이 환영할 조치로 이 법은 다음과 같이 명시합니다. 수탁자는 데이터 주체[13]가 동의를 철회[14]할 때까지 개인 데이터를 계속 처리할 수 있습니다.

중요한 점은 현재 전 세계의 다른 많은 법률보다 더 자유로운 입장에서[15] 현재 통지(명확하고, 이해 가능하며, 여러 언어로 제공되고, 데이터가 사용되는 목적을 나열함)를 통해 통합 동의를 얻을 수 있다는 것입니다. 데이터 주체가 자신의 권리를 행사하는 방식, 위원회에 불만을 제기할 수 있는 방식 등이 명시될 수 있는 방식으로 처리될 수 있습니다.

초안과 달리 이 법은 더 이상 해당 통지가 항목별 형식으로 목적을 나열하도록 명시적으로 요구하지 않으며 오히려 통지가 규정된 방식으로 수행되도록 요구합니다.[16]

이로 인해 세분화된 동의(즉, 각 목적에 대한 별도의 동의)에 대한 보다 부담스러운 요구 사항이 발생할 가능성이 열려 있지만, 이 법은 또한 "전부 아니면 전무"의 묶음 동의 문제를 다른 방식으로 다루는 것으로 보입니다.

흥미롭게도 목적 제한을 성문화하고 묶음 상품을 피하기 위한 의도로 변경된 법안에는 다음이 포함됩니다.

전자는 환영받는 반면, 후자는 다음 두 가지 이유로 문제가 있습니다.

이 법은 초안에 명시된 동의 철회에 대한 입장을 반영합니다.[20] 데이터 주체는 동의 방식만큼 쉽게 데이터 처리에 대한 동의를 철회할 권리가 있습니다. 그러나 이러한 철회는 철회 이전에 수행된 처리의 합법성에 영향을 미치지 않습니다.[21] 철회 시, 데이터 수탁자는 해당 처리가 법률에 따라 승인되지 않는 한 "합리적인 시간 내에" 해당 개인 데이터의 처리를 중단해야 합니다.[22] 그러한 철회의 결과는 데이터 주체가 부담합니다.[23] 동의를 강화하기 위한 또 다른 조치로, 이 법은 동의 철회 시 데이터 삭제 의무를 데이터 수탁자와 이를 대신하여 데이터를 처리하는 주체 모두로 확대합니다.[24]