Подходът на Индия към защитата на данните се е развил от конституционен принцип до подробна законова и регулаторна рамка. В центъра ѝ е Законът за защита на цифровите лични данни от 2023 г. (Закон за DPDP). За обикновените потребители практическият въпрос е прост: какво можете да поискате от компаниите, които съхраняват данните ви? Това ръководство обяснява на разбираем език правата на потребителите за поверителност по индийския Закон за DPDP и изяснява къде се вписва една VPN и къде — не.

От конституционно право до закон: как Индия стигна дотук

В продължение на години поверителността в Индия беше главно конституционна идея. Тя беше принцип, на който съдилищата и законодателите можеха да се позовават, но не идваше с единен, подробен сборник от правила, който да казва на дадена компания какво трябва да прави, когато събира телефонния ви номер, местоположението или историята на покупките ви.

Законът за DPDP от 2023 г. променя това. Според анализа, който предизвика тази статия, ландшафтът на защитата на данните в страната се е развил в цялостна рамка, която превръща принципа в приложими на практика задължения. Накратко, поверителността вече не е само право, за което можете да спорите по принцип. Тя е набор от задължения, за които компаниите могат да бъдат държани отговорни.

Законът използва собствена терминология. Вие сте Data Principal — лицето, за което се отнасят данните. Организацията, която решава защо и как се обработват данните ви, е Data Fiduciary. Думата „fiduciary“ (доверител) е умишлена: тя сигнализира за отношение на доверие, при което компанията държи информацията ви за определена цел, а не я притежава безпрекословно.

Вашите права относно съгласието по Закона за DPDP

Съгласието е в основата на рамката. Коментарите на закона го описват като модел, при който съгласието е на първо място: от компаниите се очаква да питат, преди да обработват личните ви данни, вместо да предполагат разрешение, скрито в дълга политика.

Въз основа на публикувани резюмета на закона, на лицата се предоставят конкретни права, включително:

  • Достъп: правото да получите информация за личните данни, които дадена компания съхранява за вас (член 11(1) често се цитира за това).
  • Коригиране: правото неточните данни да бъдат поправени.
  • Изтриване: правото да поискате данните ви да бъдат изтрити.
  • Разглеждане на жалби: правото да подадете оплакване и то да бъде разгледано.

На практика това означава, че можете да пишете на дадена компания, да попитате какво съхранява, да посочите грешки или да поискате изтриване. Ако компанията не отговори подобаващо, има определен път за подаване на жалби. Това са инструментите, които си струва да познавате, дори никога да не използвате повече от един от тях.

Какво трябва да правят доверителите на данни сега

Другата страна на вашите права е списък със задължения за организациите. Резюметата на закона описват задълженията на доверителите на данни да обработват данните законно, да ги пазят сигурни и да се справят със заявките от потребителите. Съгласието трябва да бъде смислено, което тласка компаниите далеч от неясни, обединени разрешения.

Тези задължения носят последствия. Нашият обяснителен материал за санкциите и глобите по Закона за DPDP до 250 крора показва как правоприлагането подкрепя правилата, което е важно, защото едно право без санкция е лесно за пренебрегване от дадена компания.

Времето също е от значение. Задълженията се въвеждат поетапно чрез правила и срокове, така че не всяко задължение се прилага в един и същи ден. Нашият преглед на сроковете за съответствие с DPDPA и риска за директорите обхваща кога от компаниите се очаква да изпълнят тези изисквания и кой може да бъде държан отговорен вътре в една организация.

Къде законът не е достатъчен и какво могат да направят самите потребители

Един закон може да регулира какво правят компаниите с данните, които са събрали. Той не може сам по себе си да спре всеки начин, по който информацията ви е изложена. Няколко ограничения си струва да бъдат разбрани.

Правата зависят от това дали ги използвате. Заявките за достъп, коригиране и изтриване работят само ако ги изпратите. Повечето хора никога не го правят.

Законът регулира отношенията с компанията, не мрежата помежду ви. Тук се появява VPN и тук се спира. Една VPN криптира трафика между устройството ви и VPN сървъра и скрива IP адреса ви от сайтовете и от наблюдателите в локалната мрежа. Това може да намали проследяването и подслушването в публичен Wi-Fi. Но една VPN не променя това, което компанията прави с информацията, която ѝ предавате директно, като например името, имейла или данните за акаунта си след влизане в профила. Тя не е заместител на правата ви по Закона за DPDP и законът не прави една VPN необходима или ненужна.

Умората от съгласия е реална. Дори модел, при който съгласието е на първо място, може да бъде подкопан, ако хората натискат „приемам“ на всяко подканване. Законът ви дава възможността; вие все още трябва да четете и да избирате.

Какво означава това за вас

Ако живеете в Индия или използвате услуги, които обработват данни на индийски потребители, Законът за DPDP ви дава по-ясна основа да задавате въпроси и да очаквате отговори. Можете да поискате да видите какво съхранява дадена компания, да поискате корекции и да търсите изтриване. Ако компанията не отговори, можете да използвате пътя за подаване на жалби.

В същото време Законът не е щит срещу всеки риск. Отнасяйте се към него като към един слой. Собствените ви навици — като разрешенията, които давате, акаунтите, които поддържате, и мрежовите защити, които избирате — оформят останалото.

Практически изводи

  • Преглеждайте подканванията за съгласие, преди да приемете. Отказвайте всичко, което не е необходимо за услугата.
  • Използвайте правата си. Изпратете заявка за достъп или изтриване до услуга, която вече не използвате.
  • Водете записи на заявките и отговорите, в случай че се наложи да ескалирате оплакване.
  • Изчистете старите акаунти, които все още съхраняват личните ви данни.
  • Използвайте VPN по правилната причина: за да защитите трафика в ненадеждни мрежи, а не за да контролирате как компанията използва данните, които споделяте с нея.

Правата на потребителите за поверителност по индийския Закон за DPDP са толкова силни, колкото са хората, които ги упражняват, и правоприлагането зад тях. За да видите как санкциите придават тежест на тези права, прочетете нашия обяснителен материал за санкциите по DPDP и проверете статията за сроковете за съответствие, за да разберете кога компаниите трябва да започнат да изпълняват тези задължения.