Indický zákon o ochraně digitálních osobních údajů (DPDP Act), přijatý v roce 2023, už není jen seznamem právních povinností, který v tichosti spravují IT nebo právní týmy. Podle nedávné analýzy zveřejněné serverem ETLegalWorld tento zákon mění způsob, jakým indické společnosti přemýšlejí o správě ochrany osobních údajů, a povyšuje ji na záležitost, kterou musí představenstva aktivně dohlížet, nikoli jen delegovat a zapomenout.

Tento posun je důležitý, protože mění základní vztah mezi vedením společnosti a nakládáním s osobními údaji. Po mnoho let bylo dodržování pravidel ochrany soukromí v mnoha organizacích vnímáno jako provozní úkol, který měl na starosti CISO nebo právní tým v pozadí. Zákon DPDP tuto odpovědnost posouvá směrem nahoru a činí ze správy ochrany osobních údajů strategickou záležitost, která se dotýká výborů pro rizika, auditních funkcí a v konečném důsledku i samotného představenstva.

Proč je správa ochrany osobních údajů nyní záležitostí představenstva

Zákon DPDP nově definuje, jak musí indické společnosti přistupovat k celému životnímu cyklu osobních údajů – od jejich shromažďování a zpracování až po ukládání a konečné vymazání. V rámci tohoto zákona se od organizací, které nakládají s osobními údaji indických občanů, očekává, že vybudují struktury odpovědnosti, které obstojí nejen před kontrolou regulátorů, ale i před samotným představenstvem.

Jedná se o významný odklon od toho, jak bylo soukromí tradičně pojímáno v rámci správy a řízení společností. Dříve mnoho firem chápalo ochranu údajů jako technickou nebo právní funkci, kterou je třeba řešit reaktivně, když se objevil problém. Zákon DPDP prosazuje proaktivnější přístup, kdy představenstva potřebují vidět, jak je s údaji v celé organizaci nakládáno, nejen až poté, co se něco pokazí.

Tento proaktivní postoj je stále potřebnější vzhledem k tomu, jak často organizace odhalují slabiny v ochraně soukromí až poté, co je k tomu donutí nějaký incident. Samostatný výzkum firemní kybernetické odolnosti, včetně zjištění společnosti RSM, že jedna ze tří australských firem byla zasažena ransomwarem, ukazuje opakující se vzorec: mnoho společností věří, že jejich správa údajů je pevná, dokud skutečný únik neodhalí propast mezi domněnkou a realitou. Představenstva, která čekají na krizi, aby se začala zabývat riziky spojenými se soukromím, v podstatě hazardují s regulatorní a reputační expozicí.

Co se mění pro indické společnosti

Pro indické podniky je praktickým důsledkem zasazení zákona DPDP do kontextu představenstva to, že dodržování předpisů již nemůže žít v izolaci. Správa ochrany osobních údajů nyní musí být vetkána do širšího řízení podnikových rizik, vedle finančních kontrol, kybernetické bezpečnosti a provozní odolnosti.

To znamená, že se od představenstev očekává, že budou klást obtížnější otázky: Jaké osobní údaje společnost shromažďuje a proč? Jak se získává a eviduje souhlas? Kdo má přístup k citlivým informacím a jak se tento přístup audituje? Co se stane, pokud partner pro zpracování údajů nesplní své povinnosti? To už nejsou otázky vyhrazené pro čtvrtletní zprávu compliance officer. Stávají se stálými body programu, kterým se od členů představenstva očekává, že jim porozumí a budou na jejich základě jednat.

Společnostem, které historicky považovaly dodržování ochrany soukromí za formální položku, může tento přechod připadat nepohodlný. Vybudování skutečných rámců pro správu údajů, které uspokojí kontrolu na úrovni představenstva, vyžaduje čas, zdroje a mezifunkční koordinaci mezi právním, IT a výkonným vedením. Alternativa, tedy považovat soukromí za dodatečný nápad, však s sebou nese rostoucí strategické riziko, jak dospívají regulatorní očekávání.

Co to znamená pro vás

Pokud pracujete pro indickou společnost nebo s ní jednáte jako zákazník, zaměstnanec či partner, má tento posun v filozofii řízení reálné důsledky. Společnosti pod tlakem, aby prokázaly odpovědnost za ochranu osobních údajů na úrovni představenstva, budou pravděpodobněji investovat do silnějších mechanismů souhlasu, jasnějších zásad uchovávání údajů a lepších protokolů reakce na úniky. To se může promítnout do větší transparentnosti, jak jsou vaše osobní údaje používány a chráněny.

Pro zaměstnance působící v rolích compliance, práva nebo IT bezpečnosti toto směřování zákona DPDP do zasedací místnosti signalizuje také kariérní a organizační posun. Profesionálové, kteří dokáží plynule komunikovat napříč právními, technickými a obchodně-rizikovými doménami, budou stále cennější, jak společnosti restrukturalizují způsob přijímání a reportování rozhodnutí o soukromí.

Pro spotřebitele je širším ponaučením zvýšená páka. Jak se představenstva stávají vnímavějšími k ochraně osobních údajů jako otázce správy a řízení, společnosti mají silnější motivaci reagovat, když jednotlivci vznášejí obavy o tom, jak jsou jejich údaje shromažďovány nebo používány. Neznamená to, že riziko mizí, ale znamená to, že struktury odpovědnosti se stávají formálnějšími.

Klíčové shrnutí

Tlak zákona DPDP na správu ochrany osobních údajů na úrovni představenstva odráží širší globální trend: soukromí již není čistě technickou nebo právní otázkou, ale strategickou. Indické společnosti, které se přizpůsobí včas a vybudují skutečné struktury řízení namísto povrchních vrstev compliance, budou lépe připraveny zvládat regulatorní riziko a udržet si důvěru zákazníků.

Pokud jste podnikový lídr, nyní je čas se ptát, zda vaše organizace považuje ochranu osobních údajů za stálou prioritu představenstva, nebo za dodatečný nápad. Pokud jste spotřebitel, zůstat informován o tom, jak společnosti nakládají s vašimi osobními údaji, a klást otázky, když chybí transparentnost, zůstává jedním z nejúčinnějších způsobů, jak vést organizace k odpovědnosti v tomto vyvíjejícím se regulatorním prostředí.