Nezávislost indického úřadu pro ochranu osobních údajů pod palbou

Nezávislost indického úřadu pro ochranu osobních údajů pod palbou

Když Indie v roce 2023 přijala zákon o digitální ochraně osobních údajů (DPDP), slíbila obyvatelům moderní rámec pro kontrolu nad tím, jak společnosti a vládní agentury nakládají s jejich osobními informacemi. Ústředním prvkem tohoto slibu je indický Úřad pro ochranu osobních údajů (Data Protection Board of India), orgán pověřený prosazováním zákona, vyšetřováním stížností a trestáním porušovatelů. Stále více právních odborníků si však klade naléhavou otázku: je tento úřad skutečně dostatečně nezávislý na to, aby hnal k odpovědnosti mocné instituce, včetně samotné vlády?

Tato obava není hypotetická. Regulační nezávislost určuje, zda může kontrolní orgán zasáhnout proti politicky propojeným společnostem nebo vládním resortům bez obav z odvety. Pokud se orgán, který má chránit vaše soukromí, zodpovídá primárně téže výkonné moci, kterou možná bude muset vyšetřovat, hrozí, že celá struktura vymáhání bude spíše symbolická než skutečná.

Jak Úřad pro ochranu osobních údajů získává své členy

Na rozdíl od nezávislých regulačních orgánů v jiných jurisdikcích je složení a fungování Úřadu pro ochranu osobních údajů výrazně ovlivněno pravidly, která sama vytváří a kontroluje ústřední vláda. Vláda určuje výběrové řízení na předsedu a členy úřadu, jejich funkční podmínky a okolnosti, za nichž mohou být odvoláni. Toto uspořádání soustřeďuje významný vliv na vedení úřadu do rukou právě té výkonné moci, kterou možná bude muset jednou prověřovat – ať už se toto prověřování týká státní databáze, státní banky nebo soukromé společnosti s úzkými vazbami na vládu.

Kritici poukazují na to, že skutečná regulační nezávislost obvykle vyžaduje pevně stanovená funkční období, transparentní a chráněné postupy jmenování a záruky proti odvolání, které zabraňují politickému zasahování. Bez těchto pojistek může úřad technicky existovat na papíře, ale fungovat jako prodloužená ruka exekutivy namísto neutrálního arbitra práv na ochranu údajů.

Známý problém, dokonce i podle přísnějších zákonů

Nejde o dilema typické pouze pro Indii. Obecné nařízení Evropské unie o ochraně osobních údajů (GDPR) je často uváděno jako zlatý standard prosazování ochrany soukromí, přesto jeho vlastní úřady pro ochranu osobních údajů čelí již léta kritice za nerovnoměrné vymáhání, chronické podfinancování a pomalá vyšetřování, zejména vůči velkým nadnárodním technologickým společnostem se sídlem v zemích s mírnějšími regulátory. Ponaučením ze zkušenosti EU je, že silná dikce zákona sama o sobě nezaručuje důrazné prosazování. Nezávislost musí být zabudována do institucionálního uspořádání, financování a struktury jmenování, nikoli pouze deklarována v preambuli zákona.

Situace v Indii přidává další vrstvu složitosti: velká část praktického rámce zákona DPDP, včetně toho, jak úřad skutečně funguje v každodenní praxi, je ponechána na prováděcích předpisech a oznámeních, která vláda vydává až dodatečně. To dává výkonné moci trvalý vliv na to, jak přísně či volně bude zákon vymáhán, a to dlouho poté, co samotná legislativa byla přijata.

Proč na tom záleží i mimo právní kruhy

Tato debata není jen akademická. Indie již zažila rozsáhlé úniky citlivých osobních údajů, včetně incidentů, jako byla chybná konfigurace cloudového úložiště CBSE, která odhalila záznamy přibližně dvou milionů studentů. Když dojde k únikům dat v institucích napojených na vládu, stává se otázka, zda může kontrolní orgán vyšetřovat nestranně, okamžitě praktickou, nikoli pouze teoretickou. Úřad vnímaný jako podřízený téže vládě, jejíž agentury s daty špatně naložily, má menší důvěryhodnost pro požadování odpovědnosti, transparentnosti nebo nápravy.

Co to znamená pro vás

Pokud jste indickým rezidentem, neznamená to, že je zákon DPDP bezvýznamný. Znamená to však, že byste neměli předpokládat, že regulační ochrana přijde rychle či důrazně, zejména v případech týkajících se vládních nebo polovládních subjektů. Dokud nebude nezávislost Úřadu pro ochranu osobních údajů prověřena skutečnými donucovacími opatřeními, jsou jednotlivci stále první linií obrany svých vlastních dat.

To znamená být obezřetný ohledně toho, jaké osobní údaje sdílíte s aplikacemi, webovými stránkami a vládními portály, používat silná, jedinečná hesla a zapínat dvoufaktorové ověřování všude, kde je nabízeno. Znamená to také věnovat větší pozornost tomu, jak organizace, se kterými přicházíte do styku – školy, banky, poskytovatelé zdravotní péče – zveřejňují postupy nakládání s daty, a ozývat se, když jsou tato zveřejnění vágní nebo neúplná.

Klíčové body

• Zkontrolujte nastavení soukromí a oprávnění ke sdílení údajů u aplikací a služeb, které pravidelně používáte, a odeberte přístupy, které již nepotřebujete.
• Nepředpokládejte, že únik dat u subjektu napojeného na vládu bude vyšetřován stejně důrazně jako u soukromé společnosti; ptejte se přímo, jaká ochrana se na vás vztahuje.
• Praktikujte minimalizaci údajů: sdílejte pouze to, co je právně vyžadováno, zejména u platforem spojených s veřejnými institucemi.
• Sledujte, jak Úřad pro ochranu osobních údajů zvládne své první významné případy vymáhání. Jeho skutečné chování, nikoli jen zákonný mandát, odhalí, jak nezávislý ve skutečnosti je.

Rámec ochrany osobních údajů v Indii je stále mladý a obavy o nezávislost vznesené nyní by mohly v budoucnu ovlivnit reformy. Zůstat informován a být obezřetný se svými vlastními daty zůstává nejspolehlivější ochranou, dokud tento rámec dozrává.