同意と合法的な使用: ゴムが道路に接する場所

同意の概念は、2000 年の情報技術法に基づく現在の同意に基づく制度と一致しています (「IT法」）[1] 同様に、情報プライバシーの権利を扱うさまざまな裁判所の判決に基づく同意と自主性の憲法上の優位性は、一般的な個人データ保護のさまざまな草案に基づく個人データの収集と処理の主要な基盤としてしっかりと定着し続けています。インドでは長年にわたって法律が制定されてきましたが、[2] 新たに通知された 2023 年デジタル個人データ保護法 (「活動”)[3]はまた、個人データの収集と処理のためにデータ受託者[4]が利用できる重要な追加基盤として「正当な使用」も規定しています[5]。

同法に関するシリーズの一環として、2022 年のデジタル個人データ保護法案に対して、同法が同意と正当な使用をどのように扱っているかを検討します (「下書き”)[6] といくつかのグローバルなフレームワーク。

同法は、同意が自由で、具体的で、十分な情報に基づいて、無条件で、明示的であり、肯定的行為によって示されることを引き続き要求しています。[7]

同法の下では、同意を求めるたびにこの通知を行う必要があり[8]、インド人が間もなく受ける通知の津波（およびそれに伴う疲労）の規模が増大する可能性がある。

また、同法は、処理が以前に同意されている場合には、新たな通知を提供することも引き続き要求しています。[9] インドでは、IT 法に基づいて狭義に定義された一連の「機密性の高い個人データまたは情報」を処理する場合にのみ同意が必要とされていました[10]。データ受託者は、以前の同意を注意深く検討し、新たな通知を提供し、（場合によっては）同意を取得する必要があります。法律が正式に発効した後に新たに同意する必要があります。 したがって、法律で同意が求められていない場合に、特定の同意なしに処理された従来の個人データに関する立場を明確にすることが役立つ可能性があります。 データ受託者は、所定の形式で通知することにより[11]、法律の制定前に処理同意が収集された個人データの処理を継続することができ[12]、企業にとって歓迎される動きとして、この法律はデータの処理を明確にしています。受託者は、データ本人[13]が同意を撤回するまで個人データの処理を続けることができます[14]。

重要なのは、現在、世界中の他の多くの法律よりも自由な立場にあり、[15]この法律では現在、通知（明確で分かりやすく、複数の言語で利用可能で、データの使用目的をリストしたもの）を行うことによって統合同意を取得することが認められています。処理される可能性があるもの、データ本人が権利を行使する方法、および理事会に苦情を提出する方法など）は、指定される可能性のある方法で行われます。

草案とは異なり、この法律は、通知が項目別の形式で目的を列挙することを明示的に要求するものではなく、むしろ、通知が規定される方法で行われることを要求している[16]。

これにより、より細分化された同意（つまり、目的ごとに個別の同意）に対するより面倒な要件が課される可能性が残されていますが[17]、この法律は、「オール・オア・ナッシング」の一括同意に関する懸念にも別の方法で対処しているようです。

興味深いことに、目的の制限を成文化し、バンドルを回避することを目的としていると思われる変更では、この法律には次の内容が含まれています。

前者は歓迎されますが、後者は次の 2 つの理由で問題があります。

この法律は、草案に明記されている同意の撤回に関する立場を反映しています。[20] データ本人は、同意の方法と同じくらい簡単に、データの処理に対する同意を撤回する権利を有します。 ただし、そのような撤回は、撤回前に行われた処理の合法性には影響しません。[21] 撤回の際、データ受託者は、そのような処理が法律で認められている場合を除き、「合理的な期間内に」そのような個人データの処理を中止する必要があります。[22] このような撤回の結果はデー​​タ本人が負担することになります。[23] 同意を強化する別の動きとして、同法は、データ受託者とその代理としてデータを処理する組織の両方に、同意の撤回時のデータ消去の義務を拡大しました。[24]