انتقل نهج الهند في حماية البيانات من مبدأ دستوري إلى إطار قانوني وتنظيمي مفصّل. وفي مركزه يقع قانون حماية البيانات الشخصية الرقمية لعام 2023 (قانون DPDP). وبالنسبة للمستخدم العادي، فإن السؤال العملي بسيط: ما الذي يمكنك الآن أن تطلبه من الشركات التي تحتفظ ببياناتك؟ يشرح هذا الدليل حقوق خصوصية المستخدم في قانون DPDP الهندي بلغة واضحة، ويوضّح أين تكون شبكة VPN مناسبة وأين لا تكون.

من الحق الدستوري إلى القانون: كيف وصلت الهند إلى هنا

لسنوات، كانت الخصوصية في الهند فكرة دستورية بالأساس. كان مبدأً يمكن للمحاكم والمشرّعين الاستناد إليه، لكنه لم يأتِ بدليل قواعد واحد ومفصّل يخبر الشركة بما يجب عليها فعله عندما تجمع رقم هاتفك أو موقعك أو سجل مشترياتك.

يغيّر قانون DPDP لعام 2023 ذلك. ووفقًا للتحليل الذي أفضى إلى هذا المقال، فقد تطوّر مشهد حماية البيانات في البلاد ليصبح إطارًا شاملًا يحوّل المبدأ إلى التزامات قابلة للإنفاذ. وباختصار، لم تعد الخصوصية مجرد حق يمكن المطالبة به من حيث المبدأ. بل أصبحت مجموعة من الواجبات التي يمكن محاسبة الشركات عليها.

يستخدم القانون مفرداته الخاصة. أنت صاحب البيانات (Data Principal)، أي الشخص الذي تتعلق به البيانات. أما المنظمة التي تقرر سبب وكيفية معالجة بياناتك فهي الوصي على البيانات (Data Fiduciary). وكلمة "وصي" مقصودة هنا: فهي تشير إلى علاقة أمانة، حيث تحتفظ الشركة بمعلوماتك لغرض محدد بدلًا من امتلاكها امتلاكًا مطلقًا.

حقوق موافقتك بموجب قانون DPDP

تقع الموافقة في صميم الإطار. وتصفها التعليقات على القانون بأنها نموذج يقوم على الموافقة أولًا: إذ يُتوقع من الشركات أن تسأل قبل معالجة بياناتك الشخصية، بدلًا من افتراض الإذن المدفون في سياسة طويلة.

واستنادًا إلى الملخصات المنشورة للقانون، يُمنح الأفراد حقوقًا محددة، تشمل:

  • الوصول: الحق في الحصول على معلومات حول البيانات الشخصية التي تحتفظ بها الشركة عنك (وكثيرًا ما يُستشهد بالمادة 11(1) لهذا الغرض).
  • التصحيح: الحق في تصحيح البيانات غير الدقيقة.
  • المحو: الحق في طلب حذف بياناتك.
  • معالجة الشكاوى: الحق في تقديم شكوى والحصول على ردّ عليها.

عمليًا، يعني هذا أنه يمكنك مراسلة شركة، والسؤال عما تحتفظ به، والإشارة إلى الأخطاء، أو طلب الحذف. وإذا لم تستجب الشركة بشكل مناسب، فهناك مسار محدد لتقديم الشكاوى. هذه هي الأدوات التي يستحقّ أن تعرفها، حتى إن لم تستخدم أكثر من واحدة منها.

ما يجب على الأوصياء على البيانات فعله الآن

الجانب الآخر من حقوقك هو قائمة بواجبات المنظمات. وتصف ملخصات القانون التزامات الأوصياء على البيانات بمعالجة البيانات بشكل قانوني، والحفاظ على أمنها، والتعامل مع طلبات المستخدمين. ويجب أن تكون الموافقة ذات معنى، وهو ما يدفع الشركات بعيدًا عن الأذونات الغامضة والمجمّعة.

ولهذه الواجبات عواقب. ويوضّح شرحنا حول عقوبات وغرامات قانون DPDP التي تصل إلى 250 كرور روبية كيف يدعم الإنفاذ هذه القواعد، وهو أمر مهم لأن الحق بلا عقوبة يسهُل على الشركة تجاهله.

التوقيت مهم أيضًا. إذ تُطبَّق الالتزامات تدريجيًا عبر قواعد ومواعيد نهائية، لذا لا ينطبق كل واجب في اليوم نفسه. ويتناول مقالنا حول الجداول الزمنية للامتثال لقانون DPDPA ومخاطر المديرين متى يُتوقع من الشركات تلبية هذه المتطلبات ومن قد يُحاسَب داخل المنظمة.

أين يقصّر القانون وما يمكن للمستخدمين فعله بأنفسهم

يمكن للقانون أن ينظّم ما تفعله الشركات بالبيانات التي جمعتها. لكنه لا يستطيع بذاته أن يوقف كل طريقة تُكشَف بها معلوماتك. وهناك بعض الحدود التي يستحقّ فهمها.

الحقوق تعتمد على استخدامك لها. فطلبات الوصول والتصحيح والمحو لا تعمل إلا إذا أرسلتها. ومعظم الناس لا يفعلون ذلك أبدًا.

ينظّم القانون العلاقة مع الشركة، لا الشبكة الواقعة بينكما. هنا يأتي دور شبكة VPN، وهنا تتوقف. إذ تشفّر شبكة VPN حركة المرور بين جهازك وخادم VPN وتخفي عنوان IP الخاص بك عن المواقع والمراقبين على الشبكة المحلية. وقد يقلل ذلك من التتبع والتجسس على شبكات Wi-Fi العامة. لكن شبكة VPN لا تغيّر ما تفعله الشركة بالمعلومات التي تسلّمها لها مباشرة، مثل اسمك أو بريدك الإلكتروني أو تفاصيل حسابك بعد تسجيل الدخول. وهي ليست بديلًا عن حقوقك بموجب قانون DPDP، ولا يجعل القانون شبكة VPN ضرورية أو غير ضرورية.

إجهاد الموافقة حقيقي. فحتى النموذج القائم على الموافقة أولًا يمكن أن يتقوّض إذا نقر الناس على "قبول" في كل مطالبة. يمنحك القانون الخيار؛ لكن يبقى عليك أن تقرأ وتختار.

ماذا يعني هذا لك

إذا كنت تعيش في الهند أو تستخدم خدمات تتعامل مع بيانات مستخدمين هنود، فإن قانون DPDP يمنحك أساسًا أوضح لطرح الأسئلة وتوقّع إجابات. يمكنك طلب الاطلاع على ما تحتفظ به شركة ما، وطلب التصحيحات، والسعي إلى الحذف. وإذا لم تستجب الشركة، يمكنك استخدام مسار الشكاوى.

وفي الوقت نفسه، ليس القانون درعًا ضد كل خطر. تعامل معه كطبقة واحدة. أما عاداتك أنت، مثل الأذونات التي تمنحها، والحسابات التي تحتفظ بها، والحمايات الشبكية التي تختارها، فتشكّل الباقي.

خلاصات قابلة للتنفيذ

  • راجع مطالبات الموافقة قبل القبول. ارفض أي شيء غير ضروري للخدمة.
  • استخدم حقوقك. أرسل طلب وصول أو محو إلى خدمة لم تعد تستخدمها.
  • احتفظ بسجل للطلبات والردود في حال احتجت إلى تصعيد الشكوى.
  • نظّف الحسابات القديمة التي لا تزال تحتفظ ببياناتك الشخصية.
  • استخدم شبكة VPN للسبب الصحيح: لحماية حركة المرور على الشبكات غير الموثوقة، لا للتحكم في كيفية استخدام الشركة للبيانات التي تشاركها معها.

إن حقوق خصوصية المستخدم في قانون DPDP الهندي ليست أقوى من الأشخاص الذين يمارسونها ومن الإنفاذ الذي يقف خلفها. ولمعرفة كيف تمنح العقوبات هذه الحقوق قوة فعلية، اقرأ شرح عقوبات DPDP، وتحقق من مقال الجداول الزمنية للامتثال لفهم متى يجب أن تبدأ الشركات في تلبية هذه الواجبات.