Přístup Indie k ochraně dat se posunul od ústavního principu k podrobnému zákonnému a regulačnímu rámci. V jeho centru stojí zákon o digitální ochraně osobních údajů z roku 2023 (DPDP Act). Pro běžné uživatele je praktická otázka jednoduchá: co nyní můžete požadovat od společností, které uchovávají vaše data? Tento průvodce srozumitelně rozebírá uživatelská práva na soukromí podle indického zákona DPDP a objasňuje, kde má VPN své místo a kde ne.

Od ústavního práva k zákonu: jak se Indie dostala sem

Po léta bylo soukromí v Indii především ústavní myšlenkou. Byl to princip, na který se soudy a zákonodárci mohli odvolávat, ale nepřicházel s jedinou podrobnou sbírkou pravidel, která by společnosti říkala, co musí dělat, když shromažďuje vaše telefonní číslo, polohu nebo historii nákupů.

Zákon DPDP z roku 2023 to mění. Podle analýzy, která podnítila tento článek, se krajina ochrany dat v zemi vyvinula v komplexní rámec, který přeměňuje princip na vymahatelné povinnosti. Stručně řečeno, soukromí již není jen právem, za které můžete argumentovat v principu. Je to soubor povinností, které lze po společnostech vyžadovat.

Zákon používá vlastní slovník. Vy jste Data Principal (subjekt údajů), osoba, o níž se data vedou. Organizace, která rozhoduje o tom, proč a jak jsou vaše data zpracovávána, je Data Fiduciary (správce údajů). Slovo „fiduciary" (svěřenský) je záměrné: signalizuje vztah důvěry, kdy společnost uchovává vaše informace pro definovaný účel, nikoli aby je přímo vlastnila.

Vaše práva na souhlas podle zákona DPDP

Souhlas stojí v jádru tohoto rámce. Komentáře k zákonu jej popisují jako model založený na souhlasu: společnosti se očekává, že se zeptají před zpracováním vašich osobních údajů, místo aby předpokládaly svolení ukryté v dlouhém dokumentu.

Na základě publikovaných shrnutí zákona jsou jednotlivcům přiznána specifická práva, včetně:

  • Přístup: právo získat informace o osobních údajích, které o vás společnost uchovává (pro tento účel se běžně cituje § 11 odst. 1).
  • Oprava: právo nechat opravit nepřesné údaje.
  • Výmaz: právo požádat o smazání svých údajů.
  • Vyřizování stížností: právo podat stížnost a nechat ji vyřídit.

V praxi to znamená, že můžete společnosti napsat, zeptat se, co uchovává, poukázat na chyby nebo požádat o smazání. Pokud společnost řádně neodpoví, existuje definovaná cesta pro stížnosti. To jsou nástroje, které stojí za to znát, i když nikdy nepoužijete více než jeden z nich.

Co nyní musí správci údajů dělat

Druhou stranou vašich práv je seznam povinností pro organizace. Shrnutí zákona popisují povinnosti správců údajů zpracovávat data zákonně, udržovat je v bezpečí a vyřizovat požadavky uživatelů. Souhlas musí být smysluplný, což tlačí společnosti pryč od vágních, svázaných souhlasů.

Tyto povinnosti mají důsledky. Náš výklad o sankcích a pokutách podle zákona DPDP až do výše ₹250 crore ukazuje, jak vymáhání podporuje pravidla, což je důležité, protože právo bez sankce společnost snadno ignoruje.

Důležité je také načasování. Povinnosti se zavádějí postupně prostřednictvím pravidel a lhůt, takže ne každá povinnost platí ve stejný den. Náš přehled o lhůtách souladu s DPDPA a riziku pro ředitele pokrývá, kdy se očekává, že společnosti tyto požadavky splní, a kdo může být v rámci organizace za ně odpovědný.

Kde zákon nestačí a co mohou uživatelé udělat sami

Zákon může upravovat, co společnosti dělají s daty, která shromáždily. Sám o sobě však nemůže zastavit každý způsob, jakým jsou vaše informace vystaveny. Stojí za to pochopit několik omezení.

Práva závisí na tom, zda je využijete. Žádosti o přístup, opravu a výmaz fungují jen tehdy, když je pošlete. Většina lidí to nikdy neudělá.

Zákon upravuje vztah se společností, nikoli síť mezi tím. Zde přichází na řadu VPN a zde také končí. VPN šifruje provoz mezi vaším zařízením a serverem VPN a skrývá vaši IP adresu před weby a místními pozorovateli v síti. To může omezit sledování a odposlouchávání na veřejné Wi-Fi. VPN však nemění to, co společnost dělá s informacemi, které jí předáte přímo, jako je vaše jméno, e-mail nebo údaje o účtu po přihlášení. Není náhradou za vaše práva podle DPDP a zákon nečiní VPN nezbytnou ani zbytečnou.

Únava ze souhlasů je reálná. I model založený na souhlasu může být oslaben, pokud lidé kliknou na „přijmout" u každé výzvy. Zákon vám dává možnost; stále musíte číst a volit.

Co to pro vás znamená

Pokud žijete v Indii nebo používáte služby, které zpracovávají data indických uživatelů, zákon DPDP vám dává jasnější základ klást otázky a očekávat odpovědi. Můžete požádat o nahlédnutí do toho, co společnost uchovává, požádat o opravy a usilovat o smazání. Pokud společnost neodpoví, můžete využít cestu pro stížnosti.

Zákon zároveň není štítem proti všem rizikům. Berte ho jako jednu vrstvu. Vaše vlastní návyky, jako jsou udělovaná oprávnění, účty, které si vedete, a síťové ochrany, které si zvolíte, tvoří zbytek.

Praktické závěry

  • Projděte si výzvy k souhlasu, než je přijmete. Odmítněte vše, co pro danou službu není nutné.
  • Využijte svá práva. Pošlete žádost o přístup nebo výmaz službě, kterou již nepoužíváte.
  • Veďte si záznamy o žádostech a odpovědích pro případ, že budete muset stížnost esk alovat.
  • Zrušte staré účty, které stále uchovávají vaše osobní údaje.
  • Používejte VPN ze správného důvodu: k ochraně provozu v nedůvěryhodných sítích, nikoli ke kontrole toho, jak společnost nakládá s daty, která s ní sdílíte.

Uživatelská práva na soukromí podle indického zákona DPDP jsou tak silná, jak silní jsou lidé, kteří je uplatňují, a vymáhání, které za nimi stojí. Chcete-li vidět, jak sankce dávají těmto právům zuby, přečtěte si náš výklad o sankcích podle DPDP a podívejte se na článek o lhůtách souladu, abyste pochopili, kdy musí společnosti začít tyto povinnosti plnit.