Zákon o digitální ochraně osobních údajů z roku 2023 (zákon DPDP) je prvním samostatným indickým zákonem na ochranu osobních údajů. Nedávné vysvětlení od bezpečnostního výzkumníka na DEV Community provází vývojáře tím, proč byl zákon potřeba a co znamená pro jejich technologický stack. Tento článek zaujímá jiný úhel pohledu. Je to průvodce indickým zákonem DPDP vysvětleným pro běžné uživatele, který pokrývá, co vám zákon dává, jak se srovnává s evropským GDPR a co pro vaše soukromí může a nemůže udělat.

Co vám zákon DPDP dává jakožto subjektu údajů

Zákon používá vlastní slovník. Vy, jednotlivec, jehož údaje jsou shromažďovány, jste „subjektem údajů“. Společnost nebo organizace, která rozhoduje proč a jak jsou vaše údaje zpracovávány, je „správcem údajů“. Formulace je důležitá, protože rámuje vztah jako vztah důvěry a povinnosti, nejen jako komerční transakci.

Jako rámec zákon upravuje, jak podniky shromažďují, používají, sdílejí a mažou osobní údaje lidí v Indii. V praxi se ochrany, které jsou pro běžné uživatele nejdůležitější, dělí do čtyř oblastí:

  • Souhlas: Organizace by se při zpracování vašich údajů měly opírat o váš souhlas, nikoli je shromažďovat tiše na pozadí.
  • Přístup: Můžete se zeptat, jaké osobní údaje o vás organizace uchovává a jak jsou používány.
  • Oprava a výmaz: Můžete požádat o opravu nesprávných údajů a o výmaz údajů, které již nejsou potřeba.
  • Oznámení o narušení: Když se něco pokazí, organizace, která vaše údaje uchovává, má povinnost to nahlásit, abyste nezůstali v nevědomosti.

Tato práva pomohou jen tehdy, když je využijete. Obrazovka se souhlasem, kterou prokliknete bez přečtení, je stále rozhodnutím učiněným vaším jménem.

Jak se DPDP srovnává s GDPR

Čtenáři obeznámení s obecným nařízením EU o ochraně osobních údajů rozpoznají obecný tvar: model založený na právech, postavený na souhlasu, transparentnosti a odpovědnosti. Stejně jako GDPR nahrazuje zákon DPDP mnohem omezenější dřívější rámec komplexním celostátním rámcem.

Rozdíly stojí za to znát, i když potřebujete jen velký obraz. Jednou významnou oblastí jsou přeshraniční data. Analytici popisují zákon DPDP tak, že umožňuje předávání osobních údajů mimo Indii s výjimkou zemí, které ústřední vláda označila za omezené. To je jiný mechanismus než přístup založený na přiměřenosti, který si mnoho lidí spojuje s GDPR, a někteří komentátoři zpochybnili, zda sám o sobě poskytne dostatečnou záruku.

Praktický závěr: nepředpokládejte, že ochrany, které znáte z GDPR, platí v Indii stejně. Terminologie, rozsah a detaily vymáhání se liší, proto si před spoléháním na právo, které máte jinde, ověřte konkrétní podmínky.

Co se mění pro aplikace a služby zpracovávající indická data

Pro organizace zákon zavádí povinnosti v oblasti souladu s předpisy napříč shromažďováním, zpracováním, ukládáním a předáváním digitálních osobních údajů. To sahá daleko za hranice společností se sídlem v Indii. Každá aplikace nebo služba zpracovávající osobní údaje lidí v Indii má důvod přezkoumat, jak získává souhlas, jak dlouho uchovává data a jak reaguje na žádosti uživatelů.

Pro vás by se to mělo projevit jako jasnější výzvy k udělení souhlasu, dostupnější nastavení pro správu nebo mazání dat a strukturovanější komunikace v případě narušení. Globální uživatelé indických platforem si také mohou všimnout změn v tom, jak tyto služby popisují, kam data putují a proč.

Vymáhání je to, co těmto povinnostem dává váhu. Naše analýza sankcí a pokut podle zákona DPDP až do výše 250 crore ₹ ukazuje, jak se finanční důsledky nesouladu stávají jasnějšími, což je silná motivace pro společnosti brát žádosti uživatelů vážně.

Kde VPN pomáhá a kde ne

VPN a zákon o ochraně údajů řeší různé problémy a je snadné je zaměnit.

VPN šifruje váš provoz mezi vaším zařízením a serverem VPN a skrývá vaši IP adresu před navštěvovanými stránkami. To může snížit vystavení na veřejné Wi-Fi a omezit některé sledování na úrovni sítě.

Co VPN nedělá, je změna toho, co odevzdáte, jakmile se přihlásíte. Pokud aplikaci poskytnete své jméno, telefonní číslo nebo seznam kontaktů, VPN nezabrání tomu, aby je aplikace zpracovávala. To je přesně oblast, kterou pokrývá zákon DPDP: co organizace smějí dělat s údaji, které jste sdíleli, a jaké možnosti nápravy máte následně.

Představte si je jako doplňkové vrstvy. Zákon upravuje, jak organizace zacházejí s vašimi údaji. VPN chrání spojení, po kterém putují. Ani jedno nenahrazuje pečlivá rozhodnutí o tom, co sdílíte.

Co to pro vás znamená

Pokud žijete v Indii nebo používáte indické aplikace a služby, zákon DPDP vám dává jasnější sadu nástrojů, než jste měli dříve. Zákon nemůže jednat vaším jménem, pokud se s ním nezačnete zabývat. Berte výzvy k udělení souhlasu jako skutečná rozhodnutí a využívejte žádosti o přístup a výmaz, když služba uchovává data, která už nechcete, aby měla.

Pokud jste mimo Indii, ale používáte indické platformy, očekávejte, že tyto služby upraví způsob, jakým zacházejí s daty a jak o tom komunikují. Nepředpokládejte, že vaše práva z domovské země cestují s vámi, a čtěte podmínky ochrany soukromí každé služby.

Praktické závěry

  1. Zkontrolujte nastavení souhlasu v indických aplikacích a službách, které používáte, a odvolejte oprávnění, která nepotřebujete.
  2. Požádejte o přístup k údajům, které o vás služba uchovává, pokud si nejste jisti, co shromažďuje.
  3. Požádejte o opravu nebo výmaz zastaralých nebo nepotřebných údajů, zejména u účtů, které už nepoužíváte.
  4. Sledujte oznámení o narušení a rychle na ně reagujte, například změnou hesel.
  5. Používejte VPN na to, v čem je dobrá, tedy na ochranu vašeho spojení, a zároveň se spoléhejte na zákonná práva, která upravují, co se děje s údaji, které sdílíte.

Abyste pochopili, jak je zákon vymáhán a co může nesoulad stát, přečtěte si našeho průvodce sankcemi podle zákona DPDP. Pak si udělejte deset minut a projděte si nastavení souhlasu a dat. Když je indický zákon DPDP vysvětlen, dalším krokem je uvést jeho práva do praxe.