Projet de règles de protection des données personnelles numériques 2023 notifié, exigeant le consentement parental pour le traitement des données des enfants

Le ministère de l'Électronique et des Technologies de l'information a notifié vendredi 3 janvier le projet de règles en vertu de la loi de 2023 sur la protection des données personnelles numériques pour commentaires publics.

The Ministry of Electronics and Information Technology on Friday notified the draft rules under the Digital Personal Data Protection Act 2023 for public comments.

Le ministère de l'Électronique et des Technologies de l'information a notifié vendredi le projet de règles en vertu de la loi de 2023 sur la protection des données personnelles numériques pour commentaires publics.

The draft rules, among others, propose to mandate parental consent for data-fiduciaries to process the personal data of children. Data-fiduciaries include social media intermediaries, e-commerce companies, gaming platforms etc.

Le projet de règles propose, entre autres, d'exiger le consentement parental pour que les fiduciaires des données traitent les données personnelles des enfants. Les fiduciaires de données comprennent les intermédiaires de médias sociaux, les sociétés de commerce électronique, les plateformes de jeux, etc.

The rules state :

Les règles stipulent :

"A Data Fiduciary shall adopt appropriate technical and organisational measures to ensure that verifiable consent of the parent is obtained before the processing of any personal data of a child and shall observe due diligence, for checking that the individual identifying herself as the parent is an adult who is identifiable if required in connection with compliance with any law for the time being in force in India, by reference to—

"Un fiduciaire de données doit adopter des mesures techniques et organisationnelles appropriées pour garantir que le consentement vérifiable du parent est obtenu avant le traitement de toute donnée personnelle d'un enfant et doit faire preuve de diligence raisonnable pour vérifier que la personne s'identifiant comme parent est une personne adulte. qui est identifiable si cela est nécessaire dans le cadre du respect de toute loi actuellement en vigueur en Inde, par référence à :

(a) reliable details of identity and age available with the Data Fiduciary; or

(a) des détails fiables sur l'identité et l'âge disponibles auprès de la Fiduciaire des Données ; ou

(b) voluntarily provided details of identity and age or a virtual token mapped to the same, which is issued by an entity entrusted by law or the Central Government or a State Government with the maintenance of such details or a person appointed or permitted by such entity for such issuance, and includes such details or token verified and made available by a Digital Locker service provider."

(b) a fourni volontairement des détails sur son identité et son âge ou un jeton virtuel associé à ceux-ci, qui est émis par une entité chargée par la loi ou le gouvernement central ou le gouvernement d'un État de la maintenance de ces détails ou une personne nommée ou autorisée par ce entité pour une telle émission, et comprend ces détails ou jetons vérifiés et mis à disposition par un fournisseur de services Digital Locker.

The rules give out the following illustrations:

Les règles donnent les illustrations suivantes :

C is a child, P is her parent, and DF is a Data Fiduciary. A user account of C is sought to be created on the online platform of DF, by processing the personal data of C.

C est un enfant, P est son parent et DF est un fiduciaire de données. Il est demandé de créer un compte utilisateur de C sur la plateforme en ligne de DF, en traitant les données personnelles de C.

Case 1: C informs DF that she is a child. DF shall enable C's parent to identify herself through its website, app or other appropriate means. P identifies herself as the parent and informs DF that she is a registered user on DF's platform and has previously made available her identity and age details to DF. Before processing C's personal data for the creation of her user account, DF shall check to confirm that it holds reliable identity and age details of P.

Cas 1 : C informe DF qu’elle est une enfant. DF permettra au parent de C de s'identifier via son site Internet, son application ou tout autre moyen approprié. P s'identifie comme le parent et informe DF qu'elle est une utilisatrice enregistrée sur la plateforme de DF et qu'elle a préalablement mis à la disposition de DF son identité et son âge. Avant de traiter les données personnelles de C pour la création de son compte utilisateur, DF vérifiera qu'elle détient des informations fiables sur l'identité et l'âge de P.

Case 2: C informs DF that she is a child. DF shall enable C's parent to identify herself through its website, app or other appropriate means. P identifies herself as the parent and informs DF that she herself is not a registered user on DF's platform. Before processing C's personal data for the creation of her user account, DF shall, by reference to identity and age details issued by an entity entrusted by law or the Government with maintenance of the said details or to a virtual token mapped to the same, check that P is an identifiable adult. P may voluntarily make such details available using the services of a Digital Locker service provider.

Cas 2 : C informe DF qu’elle est une enfant. DF permettra au parent de C de s'identifier via son site Internet, son application ou tout autre moyen approprié. P s'identifie comme le parent et informe DF qu'elle n'est pas elle-même un utilisateur enregistré sur la plateforme de DF. Avant de traiter les données personnelles de C pour la création de son compte utilisateur, DF devra, en référence aux données d'identité et d'âge délivrées par une entité chargée par la loi ou le gouvernement de gérer lesdites données ou à un jeton virtuel associé à celles-ci, vérifier que P est un adulte identifiable. P peut volontairement rendre ces informations disponibles en utilisant les services d'un fournisseur de services Digital Locker.

Case 3: P identifies herself as C's parent and informs DF that she is a registered user on DF's platform and has previously made available her identity and age details to DF. Before processing C's personal data for the creation of her user account, DF shall check to confirm that it holds reliable identity and age details of P.

Cas 3 : P s'identifie comme le parent de C et informe DF qu'elle est une utilisatrice enregistrée sur la plateforme de DF et qu'elle a préalablement mis à la disposition de DF son identité et son âge. Avant de traiter les données personnelles de C pour la création de son compte utilisateur, DF vérifiera qu'elle détient des informations fiables sur l'identité et l'âge de P.

Case 4: P identifies herself as C's parent and informs DF that she herself is not a registered user on DF's platform. Before processing C's personal data for the creation of her user account, DF shall, by reference to identity and age details issued by an entity entrusted by law or the Government with maintenance of the said details or to a virtual token mapped to the same, check that P is an identifiable adult. P may voluntarily make such details available using the services of a Digital Locker service provider.

Cas 4 : P s'identifie comme le parent de C et informe DF qu'elle n'est pas elle-même un utilisateur enregistré sur la plateforme de DF. Avant de traiter les données personnelles de C pour la création de son compte utilisateur, DF devra, en référence aux données d'identité et d'âge délivrées par une entité chargée par la loi ou le gouvernement de gérer lesdites données ou à un jeton virtuel associé à celles-ci, vérifier que P est un adulte identifiable. P peut volontairement rendre ces informations disponibles en utilisant les services d'un fournisseur de services Digital Locker.

A Data Fiduciary, while obtaining verifiable consent from an individual identifying herself as the lawful guardian of a person with disability, shall observe due diligence to verify that such guardian is appointed by a court of law, a designated authority or a local level committee, under the law applicable to guardianship.

Un fiduciaire de données, tout en obtenant le consentement vérifiable d'une personne s'identifiant comme le tuteur légal d'une personne handicapée, doit faire preuve de diligence raisonnable pour vérifier que ce tuteur est nommé par un tribunal, une autorité désignée ou un comité au niveau local, en vertu la loi applicable à la tutelle.

However, the mandate on parental consent are not applicable to data fiduciaries, who are health professionals, mental health professionals, or engaged by educational institutions.

Cependant, le mandat relatif au consentement parental ne s'applique pas aux fiduciaires de données, qui sont des professionnels de la santé, des professionnels de la santé mentale ou engagés par des établissements d'enseignement.

The rules also specify the contents of the notice to be given by data fiduciaries to obtain the informed consent of users(data principals) to process their personal data.

Les règles précisent également le contenu de la notification que doivent donner les fiduciaires des données pour obtenir le consentement éclairé des utilisateurs (mandants des données) pour traiter leurs données personnelles.

The notice should give, in clear and plain language, a fair account of the details necessary to enable the Data Principal to give specific and informed consent for the processing of her personal data, which shall include, at the minimum,—

La notification doit donner, dans un langage clair et simple, un compte rendu équitable des détails nécessaires pour permettre au responsable des données de donner son consentement spécifique et éclairé pour le traitement de ses données personnelles, qui doit inclure, au minimum :

(i) an itemised description of such personal data; and

(i) une description détaillée de ces données personnelles ; et

(ii) the specified purpose of, and an itemised description of the goods or services to be provided or uses to be enabled by, such processing.

(ii) la finalité spécifiée et une description détaillée des biens ou services à fournir ou des utilisations qui seront permises par ce traitement.

A communication link to withdraw consent should also be given.

Un lien de communication pour retirer le consentement doit également être fourni.

Every Data Fiduciary shall prominently publish on its website or app, and mention in every response to a communication for the exercise of the rights of a Data Principal under the Act, the business contact information of the Data Protection Officer, if applicable, or a person who is able to answer on behalf of the Data Fiduciary the questions of the Data Principal about the processing of

Chaque fiduciaire de données doit publier de manière bien visible sur son site Web ou son application, et mentionner dans chaque réponse à une communication pour l'exercice des droits d'un responsable des données en vertu de la loi, les coordonnées professionnelles du délégué à la protection des données, le cas échéant, ou d'une personne. qui est en mesure de répondre au nom du fiduciaire des données aux questions du responsable des données sur le traitement des données.