Entwurf der Regeln zum Schutz digitaler personenbezogener Daten 2023 notifiziert, der die Zustimmung der Eltern zur Verarbeitung von Kinderdaten vorschreibt

Das Ministerium für Elektronik und Informationstechnologie hat am Freitag (3. Januar) den Regelentwurf zum Digital Personal Data Protection Act 2023 zur öffentlichen Kommentierung freigegeben.

The Ministry of Electronics and Information Technology on Friday notified the draft rules under the Digital Personal Data Protection Act 2023 for public comments.

Das Ministerium für Elektronik und Informationstechnologie hat am Freitag den Regelentwurf zum Digital Personal Data Protection Act 2023 zur öffentlichen Kommentierung freigegeben.

The draft rules, among others, propose to mandate parental consent for data-fiduciaries to process the personal data of children. Data-fiduciaries include social media intermediaries, e-commerce companies, gaming platforms etc.

In den Regelungsentwürfen wird unter anderem vorgeschlagen, Datentreuhändern die Zustimmung der Eltern zur Verarbeitung personenbezogener Daten von Kindern vorzuschreiben. Zu den Datentreuhändern zählen Social-Media-Vermittler, E-Commerce-Unternehmen, Spieleplattformen usw.

The rules state :

In den Regeln heißt es:

"A Data Fiduciary shall adopt appropriate technical and organisational measures to ensure that verifiable consent of the parent is obtained before the processing of any personal data of a child and shall observe due diligence, for checking that the individual identifying herself as the parent is an adult who is identifiable if required in connection with compliance with any law for the time being in force in India, by reference to—

„Ein Datentreuhänder muss geeignete technische und organisatorische Maßnahmen ergreifen, um sicherzustellen, dass vor der Verarbeitung personenbezogener Daten eines Kindes eine überprüfbare Zustimmung des Elternteils eingeholt wird, und er muss die gebotene Sorgfalt walten lassen, um zu überprüfen, ob die Person, die sich als Elternteil ausgibt, ein Erwachsener ist Wer identifizierbar ist, wenn dies im Zusammenhang mit der Einhaltung eines jeweils in Indien geltenden Gesetzes erforderlich ist, unter Bezugnahme auf:

(a) reliable details of identity and age available with the Data Fiduciary; or

(a) zuverlässige Angaben zu Identität und Alter, die beim Datentreuhänder verfügbar sind; oder

(b) voluntarily provided details of identity and age or a virtual token mapped to the same, which is issued by an entity entrusted by law or the Central Government or a State Government with the maintenance of such details or a person appointed or permitted by such entity for such issuance, and includes such details or token verified and made available by a Digital Locker service provider."

(b) freiwillig bereitgestellte Angaben zu Identität und Alter oder ein darauf abgebildetes virtuelles Token, das von einer gesetzlich mit der Verwaltung dieser Angaben betrauten Stelle oder der Zentralregierung oder einer Landesregierung oder einer von dieser ernannten oder zugelassenen Person ausgestellt wurde Unternehmen für eine solche Ausstellung und enthält solche Details oder Token, die von einem Digital Locker-Dienstanbieter überprüft und zur Verfügung gestellt werden.“

The rules give out the following illustrations:

Die Regeln enthalten folgende Abbildungen:

C is a child, P is her parent, and DF is a Data Fiduciary. A user account of C is sought to be created on the online platform of DF, by processing the personal data of C.

C ist ein Kind, P ist ihr Elternteil und DF ist ein Datentreuhänder. Es wird angestrebt, auf der Online-Plattform von DF unter Verarbeitung der personenbezogenen Daten von C ein Benutzerkonto von C einzurichten.

Case 1: C informs DF that she is a child. DF shall enable C's parent to identify herself through its website, app or other appropriate means. P identifies herself as the parent and informs DF that she is a registered user on DF's platform and has previously made available her identity and age details to DF. Before processing C's personal data for the creation of her user account, DF shall check to confirm that it holds reliable identity and age details of P.

Fall 1: C informiert DF, dass sie ein Kind ist. DF ermöglicht es dem Elternteil von C, sich über seine Website, App oder andere geeignete Mittel zu identifizieren. P identifiziert sich als Elternteil und informiert DF darüber, dass sie ein registrierter Benutzer auf der Plattform von DF ist und DF zuvor ihre Identitäts- und Altersdaten zur Verfügung gestellt hat. Vor der Verarbeitung der personenbezogenen Daten von C zur Erstellung ihres Benutzerkontos prüft DF, ob verlässliche Identitäts- und Altersdaten von P vorliegen.

Case 2: C informs DF that she is a child. DF shall enable C's parent to identify herself through its website, app or other appropriate means. P identifies herself as the parent and informs DF that she herself is not a registered user on DF's platform. Before processing C's personal data for the creation of her user account, DF shall, by reference to identity and age details issued by an entity entrusted by law or the Government with maintenance of the said details or to a virtual token mapped to the same, check that P is an identifiable adult. P may voluntarily make such details available using the services of a Digital Locker service provider.

Fall 2: C informiert DF, dass sie ein Kind ist. DF ermöglicht es dem Elternteil von C, sich über seine Website, App oder andere geeignete Mittel zu identifizieren. P gibt sich als Elternteil zu erkennen und teilt DF mit, dass sie selbst kein registrierter Benutzer auf der Plattform von DF ist. Vor der Verarbeitung der personenbezogenen Daten von C für die Erstellung ihres Benutzerkontos prüft DF anhand von Identitäts- und Altersdaten, die von einer gesetzlich oder staatlich mit der Verwaltung dieser Daten betrauten Stelle oder einem diesem zugeordneten virtuellen Token ausgestellt wurden dass P ein identifizierbarer Erwachsener ist. P kann diese Daten freiwillig über die Dienste eines Digital Locker-Dienstleisters zur Verfügung stellen.

Case 3: P identifies herself as C's parent and informs DF that she is a registered user on DF's platform and has previously made available her identity and age details to DF. Before processing C's personal data for the creation of her user account, DF shall check to confirm that it holds reliable identity and age details of P.

Fall 3: P identifiziert sich als Elternteil von C und teilt DF mit, dass sie eine registrierte Benutzerin auf der Plattform von DF ist und DF zuvor ihre Identitäts- und Altersdaten zur Verfügung gestellt hat. Vor der Verarbeitung der personenbezogenen Daten von C zur Erstellung ihres Benutzerkontos prüft DF, ob verlässliche Identitäts- und Altersdaten von P vorliegen.

Case 4: P identifies herself as C's parent and informs DF that she herself is not a registered user on DF's platform. Before processing C's personal data for the creation of her user account, DF shall, by reference to identity and age details issued by an entity entrusted by law or the Government with maintenance of the said details or to a virtual token mapped to the same, check that P is an identifiable adult. P may voluntarily make such details available using the services of a Digital Locker service provider.

Fall 4: P identifiziert sich als Elternteil von C und teilt DF mit, dass sie selbst kein registrierter Benutzer auf der Plattform von DF ist. Vor der Verarbeitung der personenbezogenen Daten von C für die Erstellung ihres Benutzerkontos prüft DF anhand von Identitäts- und Altersdaten, die von einer gesetzlich oder staatlich mit der Verwaltung dieser Daten betrauten Stelle oder einem diesem zugeordneten virtuellen Token ausgestellt wurden dass P ein identifizierbarer Erwachsener ist. P kann diese Daten freiwillig über die Dienste eines Digital Locker-Dienstleisters zur Verfügung stellen.

A Data Fiduciary, while obtaining verifiable consent from an individual identifying herself as the lawful guardian of a person with disability, shall observe due diligence to verify that such guardian is appointed by a court of law, a designated authority or a local level committee, under the law applicable to guardianship.

Während ein Datentreuhänder die nachweisbare Zustimmung einer Person einholt, die sich als rechtmäßiger Vormund einer Person mit Behinderung ausgibt, muss er die gebotene Sorgfalt walten lassen, um sicherzustellen, dass dieser Vormund von einem Gericht, einer zuständigen Behörde oder einem Ausschuss auf lokaler Ebene ernannt wurde das auf die Vormundschaft anzuwendende Recht.

However, the mandate on parental consent are not applicable to data fiduciaries, who are health professionals, mental health professionals, or engaged by educational institutions.

Das Mandat zur Einwilligung der Eltern gilt jedoch nicht für Datentreuhänder, bei denen es sich um Angehörige der Gesundheitsberufe, psychiatrische Fachkräfte oder um von Bildungseinrichtungen beauftragte Personen handelt.

The rules also specify the contents of the notice to be given by data fiduciaries to obtain the informed consent of users(data principals) to process their personal data.

Die Regeln legen auch den Inhalt der Mitteilung fest, die Datentreuhänder abgeben müssen, um die informierte Einwilligung der Nutzer (Datenverantwortlichen) zur Verarbeitung ihrer personenbezogenen Daten einzuholen.

The notice should give, in clear and plain language, a fair account of the details necessary to enable the Data Principal to give specific and informed consent for the processing of her personal data, which shall include, at the minimum,—

Die Mitteilung sollte in klarer und einfacher Sprache eine faire Darstellung der Details enthalten, die erforderlich sind, damit die Datenverantwortliche eine spezifische und informierte Einwilligung zur Verarbeitung ihrer personenbezogenen Daten erteilen kann, die mindestens Folgendes umfassen muss:

(i) an itemised description of such personal data; and

(i) eine detaillierte Beschreibung dieser personenbezogenen Daten; Und

(ii) the specified purpose of, and an itemised description of the goods or services to be provided or uses to be enabled by, such processing.

(ii) den spezifizierten Zweck und eine detaillierte Beschreibung der Waren oder Dienstleistungen, die bereitgestellt werden sollen, oder der Verwendungen, die durch diese Verarbeitung ermöglicht werden sollen.

A communication link to withdraw consent should also be given.

Außerdem sollte ein Kommunikationslink zum Widerruf der Einwilligung angegeben werden.

Every Data Fiduciary shall prominently publish on its website or app, and mention in every response to a communication for the exercise of the rights of a Data Principal under the Act, the business contact information of the Data Protection Officer, if applicable, or a person who is able to answer on behalf of the Data Fiduciary the questions of the Data Principal about the processing of

Jeder Datentreuhänder muss die Geschäftskontaktinformationen des Datenschutzbeauftragten (falls zutreffend) oder einer Person an prominenter Stelle auf seiner Website oder App veröffentlichen und in jeder Antwort auf eine Mitteilung zur Ausübung der Rechte eines Datenverantwortlichen gemäß dem Gesetz angeben der in der Lage ist, im Namen des Datentreuhänders die Fragen des Datenauftraggebers zur Verarbeitung von zu beantworten