La Ley de Protección de Datos Personales N.º 9 de 2022 (PDPA) es una ley integral de protección de datos promulgada para regular el tratamiento de datos personales en Sri Lanka. Su objetivo es proteger la privacidad de las personas, establecer derechos para los titulares de los datos e imponer obligaciones a los responsables y encargados del tratamiento.
Trasfondo La Ley fue aprobada por el Parlamento de Sri Lanka en 2022 para atender la creciente necesidad de protección de datos en la era digital. Está diseñada para salvaguardar los datos personales permitiendo al mismo tiempo actividades legítimas de tratamiento.
Características clave
Alcance y aplicación La Ley se aplica al tratamiento de datos personales:
Realizado total o parcialmente dentro de Sri Lanka. Por responsables o encargados domiciliados o establecidos en Sri Lanka. Relacionado con la oferta de bienes o servicios a titulares de datos en Sri Lanka. Que implique la monitorización del comportamiento de titulares de datos en Sri Lanka.
Autoridad de Protección de Datos La Ley establece la Autoridad de Protección de Datos de Sri Lanka como el organismo regulador principal encargado de aplicar la Ley y promover buenas prácticas de protección de datos.
Derechos de los titulares de los datos La Ley reconoce diversos derechos, entre ellos:
Derecho de acceso a los datos personales. Derecho a la rectificación de datos inexactos. Derecho de supresión (“derecho al olvido”). Derecho a oponerse al tratamiento. Derecho a retirar el consentimiento. Derecho a solicitar la revisión de decisiones automatizadas.
Obligaciones de los responsables y encargados del tratamiento de datos Las obligaciones principales incluyen:
Garantizar el tratamiento lícito de los datos personales. Implementar programas de gestión de protección de datos. Realizar evaluaciones de impacto de protección de datos en ciertos casos. Designar responsables de protección de datos cuando corresponda. Notificar a la Autoridad y a los afectados sobre violaciones de datos personales.
Transferencias internacionales de datos La Ley regula la transferencia de datos personales fuera de Sri Lanka, exigiendo medidas de protección adecuadas o el cumplimiento de condiciones específicas.
Categorías especiales de datos personales La Ley establece protecciones adicionales para datos sensibles, incluidos: origen racial o étnico, opiniones políticas, creencias religiosas, datos de salud y datos biométricos.
Sanciones La Ley permite a la Autoridad imponer sanciones por incumplimiento:
Para el primer incumplimiento, una multa de hasta diez millones de rupias. Para incumplimientos posteriores, una multa adicional equivalente al doble de la impuesta en el incumplimiento anterior.
La Autoridad evalúa factores como la naturaleza y duración de la infracción, el número de titulares afectados y las medidas adoptadas para mitigar daños a la hora de determinar las sanciones.
Cronograma de implementación La Ley está siendo implementada por fases, conforme a diversas notificaciones oficiales.
Fase 1: 17 de julio de 2023 Esta fase de la Ley entró en vigor según la Gaceta N.º 2341/59 (21 de julio de 2023):
Parte V: Creación de la Autoridad de Protección de Datos.
Fase 2: 1 de diciembre de 2023 Las siguientes disposiciones de la Ley entraron en vigor según la Gaceta N.º 2366/08 (8 de enero de 2024):
Parte VI: Director General y personal de la Autoridad de Protección de Datos. Parte VIII: Fondo de la Autoridad. Parte IX: Disposiciones varias. Parte X: Interpretación.
Fase 3: Derogación de la fecha de implementación del 18 de marzo de 2025 Inicialmente, estas disposiciones estaban previstas para entrar en vigor el 18 de marzo de 2025 según la Gaceta N.º 2366/08.
Parte I: Disposiciones preliminares. Parte II: Derechos de los titulares de datos. Parte III: Responsables y encargados del tratamiento. Parte VII: Sanciones.
Sin embargo, esta fecha fue derogada por la Gaceta N.º 2427/34 (14 de marzo de 2025). Por tanto, estas partes están pendientes de nueva fecha de entrada en vigor.
Fase 4: Parte IV (Pendiente) Según la Autoridad de Protección de Datos, la Parte IV, relativa al uso de datos personales para enviar mensajes solicitados, entrará en vigor entre 24 y 48 meses después de la certificación de la Ley por el presidente del Parlamento. La fecha exacta aún no ha sido anunciada.
Esta implementación por fases tiene como objetivo facilitar la preparación y el cumplimiento adecuado por parte de las organizaciones y autoridades relevantes.
Impacto y significado La Ley de Protección de Datos Personales representa un paso significativo en el marco de gobernanza digital de Sri Lanka. Alinea el régimen nacional de protección de datos con estándares internacionales, lo que puede facilitar los flujos transfronterizos de datos y el comercio digital. Asimismo, se espera que mejore la confianza en los servicios y transacciones digitales y fomente prácticas responsables tanto en el sector público como en el privado.
Véase también Ley de Seguridad en Línea (Sri Lanka) Reglamento General de Protección de Datos Privacidad de la información Ley de privacidad
Referencias
Enlaces externos Web oficial de la Autoridad de Protección de Datos de Sri Lanka
Sri Lanka Sri Lanka Datos