Indický zákon o ochraně digitálních osobních údajů (DPDP) překročil teoretickou fázi. S většinou jeho ustanovení, která by měla vstoupit v platnost do května 2027, se bude muset každá společnost, která shromažďuje nebo zpracovává osobní údaje – včetně startupů – přizpůsobit novým právním povinnostem. Naléhavější otázkou pro běžné uživatele však není, zda jsou startupy připraveny. Je to, co práva spotřebitelů podle zákona DPDP vlastně znamenají pro člověka, jehož telefonní číslo, historie polohy a finanční údaje právě teď leží v desítkách databází aplikací.

Co zákon DPDP mění pro každodenní indické uživatele

Až dosud měla většina Indů jen minimální formální možnost ovlivnit, jak společnosti nakládají s jejich osobními údaji poté, co je předají při registraci. Zákon DPDP tento vztah nově definuje. Označuje jednotlivce jako „Subjekty údajů“ a společnosti, které jejich data shromažďují, jako „Správce údajů“ – toto rozlišení zní byrokraticky, ale nese skutečnou váhu. Správci mají povinnost jednat v zájmu osoby, jejíž údaje drží, nikoli pouze ve vlastním obchodním zájmu.

Pro startup provozující aplikaci na rozvoz jídla, úvěrovou platformu nebo fitness tracker to znamená, že souhlas už nemůže být jen zaškrtávacím políčkem někde v hloubi podmínek. Společnosti budou muset jasně uvádět, proč údaje shromažďují, získat k tomuto účelu konkrétní souhlas a přestat data používat, jakmile je tento účel splněn. Je to posun od přístupu „nasbírej všechno, omluvu si vyřeš později“ k systému, kde důkazní břemeno leží na společnosti.

Vaše nová datová práva: přístup, oprava a výmaz

Praktická hodnota zákona DPDP pro spotřebitele spočívá v několika vymahatelných právech. Jakmile příslušná ustanovení vstoupí v platnost, jednotlivci budou moci od společnosti požadovat informace o tom, jaké osobní údaje o nich uchovává, žádat opravy, pokud jsou tyto údaje nepřesné nebo zastaralé, a požadovat výmaz, jakmile pomine účel, pro který byly shromážděny.

Tato práva nejsou v Indii jedinečná, ale představují výrazný odklon od toho, jak většina indických aplikací a platforem v současnosti funguje. Dnes smazání účtu jen málokdy znamená, že vaše data zmizí ze serverů společnosti. Podle zákona DPDP budou společnosti povinny vybudovat skutečné mechanismy – nejen formulace v zásadách ochrany osobních údajů – aby lidé mohli tato práva uplatnit. To má reálné dopady na to, jak startupy architektonicky navrhují své produkty od základů – tento posun podrobněji zkoumá článek o tom, jak zákon DPDP posouvá ochranu dat v Indii do zasedacích místností, kde se z dodržování předpisů stává záležitost na úrovni vedení, nikoli něco, co v tichosti řeší právní oddělení.

Oznamování narušení bezpečnosti a co se stane, když startupy nesplní povinnosti

Práva na papíře mají smysl jen tehdy, pokud jejich ignorování přináší následky. Zákon DPDP zavádí povinnost oznamovat narušení bezpečnosti, což znamená, že společnosti budou muset informovat jak regulační orgány, tak dotčené osoby, když dojde ke kompromitaci osobních údajů. V zemi, kde úniky dat často zůstávaly nepřiznané nebo byly odhaleny až díky bezpečnostním výzkumníkům či médiím, jde o významnou změnu v odpovědnosti.

Zákon rovněž dává regulačním orgánům pravomoc ukládat finanční pokuty společnostem, které své povinnosti nesplní, ať už jde o nedostatečné bezpečnostní záruky, ignorování požadavků na souhlas nebo neoznámení narušení dotčeným uživatelům. Pro startupy operující s nízkými maržemi představuje období mezi dneškem a květnem 2027 prostor pro vybudování těchto systémů v klidu, místo aby je doháněly dodatečně.

Co to pro vás znamená: požadavky, které vznášet už před rokem 2027

Termín pro dosažení souladu je stále před námi, což znamená, že propast mezi tím, co zákon slibuje, a tím, co aplikace skutečně dělají, zůstává široká. Uživatelé nemusí pasivně čekat až do roku 2027, aby začali klást otázky. Než nějaké aplikaci svěříte citlivé údaje, je rozumné se ptát, jak dlouho jsou data uchovávána, zda jsou sdílena s třetími stranami a zda má společnost již dnes jasný postup pro žádosti o výmaz – nejen příslib do budoucna.

Rovněž je na místě zůstat skeptický ohledně toho, jakou ochranu přinese samotná regulace. Účinnost zákona DPDP výrazně závisí na vymáhání a již nyní se objevují otázky, nakolik nezávislý bude indický Úřad pro ochranu osobních údajů v praxi. To je zásadní detail, protože zákon se silnými právy na papíře znamená málo, pokud orgán zodpovědný za jeho prosazování nemá nezávislost na to, aby hnal silné společnosti k odpovědnosti. Čtenáři, kterých se tato mezera týká, by si měli podrobně prostudovat článek o tom, jak je nezávislost indického Úřadu pro ochranu osobních údajů pod palbou kritiky, který vysvětluje, proč regulační ochrana nemusí být záchrannou sítí, jakou spotřebitelé očekávají.

Shrnutí

Zákon DPDP nastavuje smysluplné nové minimum pro práva spotřebitelů na ochranu osobních údajů v Indii – dává jednotlivcům právní základ pro přístup k jejich osobním datům, jejich opravu a výmaz a vyžaduje po společnostech, aby zveřejňovaly úniky dat, místo aby je zametaly pod koberec. Období mezi dneškem a plným vymáháním v roce 2027 je však právě tím obdobím, kdy je obezřetnost nejdůležitější. Ptejte se aplikací a služeb přímo na uchovávání a mazání dat už nyní, nepředpokládejte, že mlčení znamená soulad, a sledujte, jak nezávisle bude Úřad pro ochranu osobních údajů skutečně fungovat, jakmile začne reálné vymáhání. Práva, která existují jen na papíře, se stanou skutečnými teprve tehdy, když je někdo ochoten je použít a když za nimi stojí vymáhací mechanismus, který má dostatečné pravomoci, aby je podpořil.