Индийският Закон за защита на цифровите лични данни (DPDP Act) премина отвъд теоретичния етап. С очакваното влизане в сила на повечето му разпоредби до май 2027 г., всяка компания, която събира или обработва лични данни, включително стартъпи, ще трябва да спазва нов набор от правни задължения. Но по-неотложният въпрос за обикновените потребители не е дали стартъпите са готови. Той е какво всъщност означават потребителските права за данни по DPDP Act за човека, чийто телефонен номер, история на местоположението и финансови данни се намират точно сега в базите данни на десетки приложения.

Какво променя DPDP Act за обикновените индийски потребители

Досега повечето индийци нямаха почти никаква формална дума за това как компаниите използват личната им информация, след като тя бъде предадена при регистрация. DPDP Act преосмисля тази връзка. Той определя физическите лица като "Субекти на данни", а компаниите, които събират техните данни – като "Довереници на данни", разграничение, което звучи бюрократично, но носи реална тежест. Доверениците са задължени да действат в интерес на лицето, чиито данни съхраняват, а не само в свой собствен търговски интерес.

За стартъп, предлагащ приложение за доставка на храна, платформа за кредитиране или фитнес тракер, това означава, че съгласието вече не може да бъде затрупано квадратче за отметка. Компаниите ще трябва ясно да заявяват защо събират данни, да получават конкретно съгласие за тази цел и да спрат да използват данните, след като целта бъде изпълнена. Това е преход от "събирай всичко, искай прошка по-късно" към система, в която тежестта на обосновката пада върху компанията.

Вашите нови права върху данните: Достъп, Коригиране и Изтриване

Практическата стойност на DPDP Act за потребителите се крие в шепа приложими права. След като съответните разпоредби влязат в сила, физическите лица ще могат да питат дадена компания какви лични данни съхранява за тях, да изискват корекции, ако тези данни са неточни или остарели, и да настояват за изтриване, след като целта, за която са били събрани, вече не е приложима.

Тези права не са уникални за Индия, но представляват значително отклонение от начина, по който повечето индийски приложения и платформи функционират в момента. Днес изтриването на акаунт рядко означава, че данните ви изчезват от сървърите на компанията. Съгласно DPDP Act, компаниите ще бъдат задължени да изградят реални механизми, не само език в политиките си, за да могат хората да упражняват тези права. Това има реални последици за начина, по който стартъпите проектират продуктите си от самото начало, промяна, разгледана по-подробно в материала за това как DPDP Act извежда поверителността на данните в Индия до ниво борд на директорите, където съответствието се превръща в проблем на лидерско ниво, вместо нещо, тихомълком обработвано от правните екипи.

Уведомяване за нарушения и какво се случва, когато стартъпите не спазват закона

Правата на хартия имат значение само ако има последствия, когато бъдат пренебрегнати. DPDP Act въвежда задължения за уведомяване при нарушения на данните, което означава, че компаниите ще трябва да информират както регулаторите, така и засегнатите лица, когато личните данни са компрометирани. За страна, където нарушенията на данните често са оставали непризнати или са били откривани само чрез изследователи по сигурността или медийни репортажи, това е значима промяна в отчетността.

Законът също така дава на регулаторите правомощието да налагат финансови санкции на компании, които не спазват задълженията си, независимо дали става дума за неадекватни мерки за сигурност, пренебрегване на изискванията за съгласие или неуведомяване на засегнатите потребители след нарушение. За стартъпи, опериращи с малки маржове, периодът за привеждане в съответствие от сега до май 2027 г. е предназначен да им даде време да изградят тези системи правилно, вместо да действат припряно след краен срок.

Какво означава това за вас: Изисквания, които да поставяте преди 2027 г.

Крайният срок за съответствие все още предстои, което означава, че текущата пропаст между това, което законът обещава, и това, което приложенията действително правят, остава широка. Потребителите не трябва да чакат пасивно до 2027 г., за да започнат да задават въпроси. Преди да доверите на дадено приложение чувствителни данни, е разумно да попитате колко дълго се съхраняват тези данни, дали се споделят с трети страни и дали компанията има ясен процес за искания за изтриване днес, а не само обещание за в бъдеще.

Също така си струва да останете скептични относно това колко защита ще осигури само регулацията. Ефективността на DPDP Act зависи силно от правоприлагането и вече бяха повдигнати въпроси относно това колко независим ще бъде на практика Индийският съвет за защита на данните. Това е критичен детайл, защото закон със силни права на хартия означава малко, ако органът, отговорен за прилагането му, няма независимостта да търси отговорност от могъщи компании. Читателите, загрижени за тази празнина, трябва да разгледат внимателно репортажа за оспорваната независимост на Индийския съвет за защита на данните, който излага защо регулаторната защита може да не е предпазната мрежа, която потребителите очакват.

Изводът

DPDP Act поставя значима нова основа за потребителските права за данни по DPDP Act в Индия, давайки на физическите лица правно основание за достъп, коригиране и изтриване на личните им данни, и изисквайки от компаниите да разкриват нарушения, вместо да ги потулват. Но периодът между сега и пълното правоприлагане през 2027 г. е точно времето, когато бдителността е най-важна. Питайте приложенията и услугите директно за съхранението и изтриването на данни сега, не приемайте, че мълчанието означава съответствие, и следете колко независимо функционира Съветът за защита на данните, след като реалното правоприлагане започне. Правата, които съществуват на хартия, стават реални едва когато някой е готов да ги използва и когато механизмът за правоприлагане зад тях има зъбите да ги подкрепи.