巴基斯坦信息技术和电信部（"MOITT"）提出了新的2018年个人数据保护法案草案（"法案"）。有了这项法案，巴基斯坦可能很快加入欧洲通用数据保护条例（GDPR）以来起草或通过的新数据保护法浪潮。如果法案获得通过，该法案将给予各组织一到两年的时间，根据联邦政府的选择，为遵守法案做好准备。目前，该法案仍在公开征求意见根据该法案，将设立一个新的执行机构，国家个人数据保护委员会（NCPDP）。NCPDP将接收和决定个人投诉，并参与、支持、指导、促进、培训和说服数据控制人员、数据处理人员，以确保个人数据的保护。目前的法案草案有25页，要求和个人权利与GDPR相似。关键要求：处理需要征得同意与全球数据保护条例类似，处理个人数据需要获得同意。此外，还可以使用其他条件处理个人数据，包括（1）履行合同或（2）签订合同；（3）遵守法律义务；（4）保护数据主体的切身利益；（5）司法；或（6）行使授予任何人的任何职能根据或根据任何法律。**处理敏感个人数据需要明确同意数据主体须知法案将要求数据控制者在收集有关处理目的、正在处理的特定个人信息以及数据主体权利等方面的个人信息时，以书面形式通知数据主体。但是，法案不包括安全违规通知要求，这是GDPR规定的要求。如果能在最后版本中列入这种要求，它将为个人资料提供更多的保护。安全要求数据控制者应采取切实可行的措施保护个人数据不受任何丢失、误用、修改、未经授权或意外访问或披露、更改或销毁。此外，数据控制者应确保其数据处理器具有足够的技术和组织安全措施。此要求类似于GDPR下的处理安全性要求。数据控制器保存的记录资料控权人须备存和保存任何已由或正由该资料控权人处理的与个人资料有关的任何申请、通知、要求或任何其他资料的纪录。这与GDPR不同，GDPR要求数据控制者和处理者都有义务，根据巴基斯坦数据保护法案，此类义务仅针对数据控制者。数据主体的权利：查阅个人资料的权利资料当事人有权以书面形式要求提供其个人资料的副本。副本应以易懂的形式提供。GDPR提供了类似的访问权和数据可移植性。**数据主体可能需要为信息请求支付规定的费用。个人资料更正权数据主体可以书面形式向数据控制者提出数据更正请求，数据控制者应当进行必要的更正。批准权与GDPR类似。撤销个人资料处理同意书可通过书面通知或书面通知撤回其个人资料。数据控制员接到通知后，应停止处理。根据GDPR，数据主体拥有类似的反对权。防止处理可能造成损害或损害的权利数据主体可以书面形式向数据控制者发送"数据主体通知"，让数据控制者：停止加工或为特定目的或以特定方式加工；或不是为了特定的目的或以特定的方式开始处理或处理为某一目的而处理个人资料正在或可能对资料当事人或另一人造成实质性损害或困扰，而该项损害是或将会是没有根据的。这与《全球数据保护条例》下的限制处理权类似。删除权当符合法案规定的条件时，数据主体有权要求删除数据控制者持有的个人数据，这是GDPR规定的类似权利。外国数据主体的权利外国数据主体应享有其所有权利，如果根据收集外国数据的国家或地区的法律或数据主体居住的国家或地区的法律与本法案一致，则应享有所有权利。然而，与GDPR不同的是，根据巴基斯坦数据保护法案，外国数据主体只有权对抗数据控制者。强制执行也是一个重要的考虑因素。根据该法案，个人可以向NCPDP提出投诉，如果对NCPDP的决定不满，可以向法院起诉。此外，非法处理个人数据和滥用网上收集的个人信息的最高罚款为500万卢比（40580美元）。OneTrust的帮助随着全球隐私领域的不断发展和变化，OneTrust的隐私团队跟踪和研究数据保护法的国际发展，并以一种允许您轻松实施隐私计划的方式提供这些信息。OneTrust隐私团队的研究成果内置于软件中，为客户提供最新的信息，以便快速做出明智的决策。每周，OneTrust的"最后一周隐私"系列节目都会提供最新的国际隐私行业新闻和新法规。此外，OneTrust的隐私团队还提供有关加利福尼亚、加拿大、印度和巴西数据保护法律的见解。要更深入地了解OneTrust的软件和资源，请在您附近的城市注册PrivacyTECH或PrivacyConnect！分享这篇文章