个人数据保护法案2018: 国家利益的灰色地带将如何赋予私人实体无法享受的政府自由

新的《个人数据保护法案》2018反映了政府对数字印度利益的不平衡性质。Srikrishna法官委员会的建议指出，由于各种技术进步 (包括使用大数据，物联网 (IoT) 和人工智能 (AI))，新的数据保护法将需要平衡创新和隐私。尽管该声明部分实现了支持增长的 “数字印度”，但主要关注的是这种不受限制的增长，即国家可以在未经同意或 “明确” 同意的情况下处理个人数据，这是 “行使任何职能所必需的国家”。

国家利益: 没有同意或目的说明

大数据是复杂的结构化和非结构化数据集，其中包括非个人数据，个人数据，敏感的个人数据和用于理解趋势，分析行为等的网络数据，所有这些都可以帮助印度的巨大增长和技术实力的优化通过公共和私人实体。2018年的《个人数据保护法案》为国家领导的大数据推动AI计划的巨大增长铺平了道路，并且不需要国家对使用个人数据的独立同意。这与可能由私人实体进行的任何AI计划所需的 “数据委托人同意” 的要求形成鲜明对比。

白皮书中提到的 “目的规范” 对于大数据是不可能的，主要是因为它通过将教育与健康等各个领域互连起来可用于二次用途。该限制已根据第5条对数据收集者进行了限制，即 “仅出于指定目的或任何其他附带目的处理个人数据……”。该部分的初步阅读似乎是公正的，并且符合隐私的原则，但由于两个原因而存在缺陷-一，对数据进行去识别和匿名化的原因是为了确保数据的二次使用，因此，如果可以处理个人数据以防止识别，则目的说明不应是强制性的。

社交媒体上大数据的一个例子是通过社交中介零售广告进行微目标定位-它使人们的生活更轻松。第二，对个人数据的 “目的规范” 的限制仅适用于数据受托人的活动，但国家除外，只要 “国家的职能” 是 “为国家的数据委托人提供任何服务或利益”。对个人数据的同意和对使用敏感个人数据的 “明确” 同意并未扩展到国家的某些功能，但需要 “明确” 或 “某些功能” 的含义尚不清楚。

关键个人数据: 第三类个人数据

该法案进一步试图规范该法案第40条中数据的流动性。到目前为止，我们有三个主要类别: 非个人数据，个人数据和敏感的个人数据。但是，政府引入了第三类: 关键个人数据。政府应通知 “关键个人数据” 的类别，这些类别只能存储在印度的服务器或数据中心中。

此外，如果 “安全保障” (第31节) 包括个人数据去识别的要求被指定为每个数据收集器，即国家和私人实体的义务，那么为什么 “关键个人数据” 只需要在印度保留？如果它是关键的，而不是敏感的，那么数据可以是 “匿名的”，仍然被移出该国。“匿名化” 和 “去身份识别” 之间的区别在于，前者是后者的不可逆转的过程，并在法案中进行了定义。然而，奇怪的是，匿名化并没有与跨境数据流相关联，因为它将有助于创新，也增加了用户的隐私。

基本上，政府已经为 “国家利益” 制定了一切可能的方式来调节个人，敏感或关键的数据流，同时明确防止私人实体从该国完全 “数据流失”。虽然 “数据流失” 的监管将有助于推动国家举措，在包括人工智能和物联网在内的技术领域，2018-19年为4.8亿美元，由于对同意和数据流的限制，包括技术公司和企业在内的私营实体将感受到重大影响。

数据质量

任何AI项目的基本必要性是确保收集大量，无错误和无偏差的数据集。收集的数据质量至关重要。在该法案中，中央政府设立的机构应根据第61条规定业务守则，这是 “确保个人数据质量的措施”。在国家安全的情况下，本节应适用于所有侧重于人工智能倡议的实体，但不适用于国家，这也可能包括政府承担的人工智能防御项目。

出于国家安全的目的，任何对个人数据的处理都免于遵循 “完整，准确，无误导性和更新” 数据集的必要性。此外，“数据可移植性” 的权利是每个人接收提供给任何数据收集器的信息的权利，在处理是 “国家功能所必需的” 的情况下也不可用。因此，尽管国家采取的人工智能计划可能会损害数据质量，但人们的安全和隐私也可能会受到损害。

在目前的状态下，该法案不仅旨在促进国家在技术进步方面不受限制的利益，而且还阻碍了印度和外国私人实体的发展，旨在利用印度在人工智能和机器学习领域的大数据池。该法案还需要进行大量的重新工作，以满足和减轻与国家人工智能行动和倡议相关的隐私问题，这些行动和倡议目前不受监管，不受该法案规定的多项义务的约束。