2023 年デジタル個人データ保護規則草案が通知、子供のデータ処理に親の同意を義務付ける

電子情報技術省は1月3日金曜日、2023年デジタル個人データ保護法に基づく規則草案についてパブリックコメントを募集することを通知した。

The Ministry of Electronics and Information Technology on Friday notified the draft rules under the Digital Personal Data Protection Act 2023 for public comments.

電子情報技術省は金曜日、2023年デジタル個人データ保護法に基づく規則草案についてパブリックコメントを募集するよう通知した。

The draft rules, among others, propose to mandate parental consent for data-fiduciaries to process the personal data of children. Data-fiduciaries include social media intermediaries, e-commerce companies, gaming platforms etc.

規則草案では、とりわけ、データ受託者が子供の個人データを処理する際に親の同意を義務付けることを提案している。データ受託者には、ソーシャル メディア仲介業者、電子商取引企業、ゲーム プラットフォームなどが含まれます。

The rules state :

規則には次のように記載されています。

"A Data Fiduciary shall adopt appropriate technical and organisational measures to ensure that verifiable consent of the parent is obtained before the processing of any personal data of a child and shall observe due diligence, for checking that the individual identifying herself as the parent is an adult who is identifiable if required in connection with compliance with any law for the time being in force in India, by reference to—

「データ受託者は、子供の個人データを処理する前に親の検証可能な同意が確実に得られるように、適切な技術的および組織的措置を講じるものとし、親であると名乗る個人が成人であることを確認するためのデューデリジェンスを遵守するものとします」現在インドで施行されている法律の遵守に関連して必要な場合、以下を参照して特定できる人物:

(a) reliable details of identity and age available with the Data Fiduciary; or

(a) データ受託者から入手可能な身元と年齢に関する信頼できる詳細情報。または

(b) voluntarily provided details of identity and age or a virtual token mapped to the same, which is issued by an entity entrusted by law or the Central Government or a State Government with the maintenance of such details or a person appointed or permitted by such entity for such issuance, and includes such details or token verified and made available by a Digital Locker service provider."

(b) 自発的に提供された身元および年齢の詳細、またはそれらにマッピングされた仮想トークン。これは、法律または中央政府または州政府からそのような詳細の管理を委託された団体、またはそのような者によって任命または許可された者によって発行されます。このような発行のエンティティには、デジタル ロッカー サービス プロバイダーによって検証され利用可能になった詳細やトークンが含まれます。」

The rules give out the following illustrations:

ルールには次のような例が示されています。

C is a child, P is her parent, and DF is a Data Fiduciary. A user account of C is sought to be created on the online platform of DF, by processing the personal data of C.

C は子供、P はその親、DF はデータ受託者です。 C の個人データを処理して、DF のオンライン プラットフォーム上で C のユーザー アカウントを作成しようとしています。

Case 1: C informs DF that she is a child. DF shall enable C's parent to identify herself through its website, app or other appropriate means. P identifies herself as the parent and informs DF that she is a registered user on DF's platform and has previously made available her identity and age details to DF. Before processing C's personal data for the creation of her user account, DF shall check to confirm that it holds reliable identity and age details of P.

ケース 1: C は DF に自分が子供であることを知らせます。 DF は、C の親が Web サイト、アプリ、またはその他の適切な手段を通じて自分自身を識別できるようにするものとします。 P は自分が親であることを明らかにし、自分が DF のプラットフォームに登録されているユーザーであり、以前に自分の身元と年齢の詳細を DF に公開していることを DF に通知します。 C のユーザー アカウントを作成するために C の個人データを処理する前に、DF は、P の信頼できる身元情報と年齢の詳細を保持していることを確認するためにチェックするものとします。

Case 2: C informs DF that she is a child. DF shall enable C's parent to identify herself through its website, app or other appropriate means. P identifies herself as the parent and informs DF that she herself is not a registered user on DF's platform. Before processing C's personal data for the creation of her user account, DF shall, by reference to identity and age details issued by an entity entrusted by law or the Government with maintenance of the said details or to a virtual token mapped to the same, check that P is an identifiable adult. P may voluntarily make such details available using the services of a Digital Locker service provider.

ケース 2: C は DF に自分が子供であることを伝えます。 DF は、C の親が Web サイト、アプリ、またはその他の適切な手段を通じて自分自身を識別できるようにするものとします。 P は自分が親であることを証明し、自分が DF のプラットフォームに登録されたユーザーではないことを DF に通知します。 C のユーザー アカウントを作成するために C の個人データを処理する前に、DF は、法律または政府から当該詳細の管理を委託された機関によって発行された身元および年齢の詳細、またはそれにマッピングされた仮想トークンを参照して、次のことを確認するものとします。 P が識別可能な成人であること。 P は、デジタル ロッカー サービス プロバイダーのサービスを使用して、そのような詳細を自発的に利用できるようにする場合があります。

Case 3: P identifies herself as C's parent and informs DF that she is a registered user on DF's platform and has previously made available her identity and age details to DF. Before processing C's personal data for the creation of her user account, DF shall check to confirm that it holds reliable identity and age details of P.

ケース 3: P は自分が C の親であると名乗り、自分が DF のプラットフォームの登録ユーザーであり、以前に自分の身元と年齢の詳細を DF に公開していることを DF に通知します。 C のユーザー アカウントを作成するために C の個人データを処理する前に、DF は、P の信頼できる身元情報と年齢の詳細を保持していることを確認するためにチェックするものとします。

Case 4: P identifies herself as C's parent and informs DF that she herself is not a registered user on DF's platform. Before processing C's personal data for the creation of her user account, DF shall, by reference to identity and age details issued by an entity entrusted by law or the Government with maintenance of the said details or to a virtual token mapped to the same, check that P is an identifiable adult. P may voluntarily make such details available using the services of a Digital Locker service provider.

ケース 4: P は自分自身を C の親であると名乗り、DF に自分自身が DF のプラットフォームに登録されたユーザーではないことを通知します。 C のユーザー アカウントを作成するために C の個人データを処理する前に、DF は、法律または政府から当該詳細の管理を委託された機関によって発行された身元および年齢の詳細、またはそれにマッピングされた仮想トークンを参照して、次のことを確認するものとします。 P が識別可能な成人であること。 P は、デジタル ロッカー サービス プロバイダーのサービスを使用して、そのような詳細を自発的に利用できるようにする場合があります。

A Data Fiduciary, while obtaining verifiable consent from an individual identifying herself as the lawful guardian of a person with disability, shall observe due diligence to verify that such guardian is appointed by a court of law, a designated authority or a local level committee, under the law applicable to guardianship.

データ受託者は、自身を障害のある人の法的後見人であると特定する個人から検証可能な同意を取得しながら、そのような後見人が法廷、指定当局、または地方レベルの委員会によって任命されていることを確認するためのデューデリジェンスを遵守するものとします。後見に適用される法律。

However, the mandate on parental consent are not applicable to data fiduciaries, who are health professionals, mental health professionals, or engaged by educational institutions.

ただし、保護者の同意に関する義務は、医療専門家、メンタルヘルス専門家、または教育機関に従事しているデータ受託者には適用されません。

The rules also specify the contents of the notice to be given by data fiduciaries to obtain the informed consent of users(data principals) to process their personal data.

この規則では、個人データを処理するためにユーザー (データ本人) からインフォームドコンセントを得るためにデータ受託者が行う通知の内容も指定されています。

The notice should give, in clear and plain language, a fair account of the details necessary to enable the Data Principal to give specific and informed consent for the processing of her personal data, which shall include, at the minimum,—

通知では、データ本人が個人データの処理について具体的かつ十分な情報に基づいた同意を与えるために必要な詳細を、明確かつ平易な言葉で公正に説明する必要があります。これには、少なくとも次のことが含まれます。

(i) an itemised description of such personal data; and

(i) かかる個人データの項目別の説明。そして

(ii) the specified purpose of, and an itemised description of the goods or services to be provided or uses to be enabled by, such processing.

(ii) 指定された目的、および提供される商品またはサービスの項目別の説明、またはそのような処理によって可能になる使用。

A communication link to withdraw consent should also be given.

同意を撤回するための通信リンクも提供する必要があります。

Every Data Fiduciary shall prominently publish on its website or app, and mention in every response to a communication for the exercise of the rights of a Data Principal under the Act, the business contact information of the Data Protection Officer, if applicable, or a person who is able to answer on behalf of the Data Fiduciary the questions of the Data Principal about the processing of

すべてのデータ受託者は、Web サイトまたはアプリで目立つように公開し、本法に基づくデータ本人の権利行使のための通信に対するすべての応答で、該当する場合はデータ保護責任者の業務連絡先情報、または個人の業務連絡先情報に言及するものとします。データ受託者に代わって、データの処理に関するデータ本人の質問に答えることができる人