Kéralský vrchní soud nařídil svazové vládě, aby do osmi týdnů zprovoznila indický Úřad pro ochranu dat. Podle The Hindu soud uvedl, že soukromí občanů je ohroženo, a mezi obavami, které posuzoval, je i to, jak jsou nakládána s daty cestujících na letištích. Příkaz kéralského vrchního soudu týkající se Úřadu pro ochranu dat stanovuje lhůtu pro orgán, na němž závisí vymáhání zákona o digitální ochraně osobních údajů (DPDP) z roku 2023.

Dostupné zpravodajství je stručné, proto se tento příspěvek drží toho, co bylo potvrzeno, a vysvětluje, proč na tom záleží.

Co kéralský vrchní soud nařídil

Soud uložil centru, aby do osmi týdnů aktivovalo Úřad pro ochranu dat. Příkaz přišel v souvislosti s obavami o soukromí týkajícími se dat cestujících na letištích a soud konstatoval, že soukromí občanů je ohroženo.

Příkaz nevytváří nový zákon ani nové povinnosti. Žádá vládu, aby zavedla instituci, kterou stávající zákon již popisuje. Tento rozdíl je důležitý: právní rámec existuje, ale soud signalizuje, že rámec bez funkčního donucovacího orgánu v praxi nikoho nechrání.

Proč je Úřad pro ochranu dat důležitý pro zákon DPDP

Zákon DPDP z roku 2023 stanoví pravidla pro to, jak organizace nakládají s osobními údaji. Pravidla na papíře se počítají jen tehdy, pokud někdo může zkoumat stížnosti, posuzovat porušení a jednat podle nich. Úřad pro ochranu dat má být tímto orgánem.

Dokud není funkční, lidé, kteří se domnívají, že jejich data byla zneužita, nemají plně fungujícího regulátora, na kterého by se s takovou stížností obrátili. Organizace naopak čelí jen malému praktickému tlaku měnit způsob, jakým shromažďují a uchovávají informace. To je jádro mezery ve vymáhání, na kterou příkaz soudu poukazuje: zákon může být přijat a přesto zůstat z velké části nevymahatelný.

Osmitýdenní lhůta je konkrétní zkouškou. Čtenáři mohou sledovat, zda bude Úřad skutečně uveden do provozu ve stanovené lhůtě a jaké pravomoci a personální obsazení bude mít, jakmile bude.

Jak shromažďování dat cestujících na letištích vystavuje cestující riziku

Letiště jsou tlakovým bodem pro osobní údaje. Cestující odevzdávají doklady totožnosti, cestovní itineráře a v některých systémech i biometrické informace jako součást rutinního zpracování. Obava v tomto případě se soustředí na data cestujících na letištích a je snadné pochopit proč: lidé mají jen malou možnost je neposkytnout a zřídka vědí, kde jsou uložena, kdo k nim má přístup nebo jak dlouho jsou uchovávána.

Velké, centralizované sbírky tohoto druhu jsou atraktivními cíli a jsou jen tak bezpečné, jaké jsou kontroly kolem nich. Bez regulátora schopného vyšetřovat stížnosti nebo zkoumat postupy mají cestující omezené možnosti nápravy, pokud se něco pokazí. Nedávné incidenty jinde ukazují, jak expozice vypadá. Únik dat z francouzského pasového portálu ANTS se týkal agentury stojící za bezpečnostními doklady totožnosti země a únik dat z litevského státního registru zasáhl záznamy držené samotným státem.

Jak si indická mezera ve vymáhání stojí ve srovnání s jinými režimy ochrany soukromí

Mnohé režimy ochrany soukromí spojují zákonná práva s orgánem, který může přijímat stížnosti a ukládat následky. Rozdíl v případě Indie, jak zdůrazňuje příkaz soudu, spočívá v tom, že zákon byl přijat, zatímco orgán, který má být jeho vykonavatelem, ještě nefunguje. Ve zdrojovém zpravodajství jsme neviděli podrobnosti o tom, jak bude Úřad strukturován, proto je třeba srovnání činit obezřetně.

Co lze říci je, že silný text sám o sobě expozici nezabrání. Vlády držené databáze byly kompromitovány v jiných zemích. Únik dat v Mexiku, který odhalil 195 milionů identit a 10 milionů záznamů uniklých z chilského občanského registru ukazují, co se může stát, když jsou občanská data držena ve velkém měřítku a špatně chráněna.

Co to znamená pro vás

Pokud cestujete přes indická letiště, příkaz nemění to, co je od vás dnes shromažďováno. Zvyšuje však tlak na fungujícího regulátora, který by nakonec mohl tyto postupy zkoumat a vyslechnout stížnosti.

Pro cestující a obyvatele obecně platí, že se nelze spoléhat na regulátora, pokud jde o ochranu dat, která již byla shromážděna. VPN nepomůže s daty, která odevzdáte u přepážky pro odbavení nebo na hraničním přechodu, proto by se pozornost měla zaměřit na omezení toho, co sdílíte, a na zabezpečení vlastních účtů.

Praktická doporučení

  • Sdílejte pouze osobní informace, které jsou povinné, a když můžete, ptejte se, co je shromažďováno a proč.
  • Uchovávejte kopie cestovních a identifikačních dokumentů v bezpečí a vyhněte se jejich zasílání nešifrovanými kanály.
  • Používejte jedinečná hesla a vícefaktorové ověřování u účtů leteckých společností, rezervačních a vládních služeb.
  • Sledujte oznámení o únicích dat týkajících se služeb, které používáte, a pokud jste zasaženi, neprodleně změňte přihlašovací údaje.
  • Sledujte, zda je Úřad pro ochranu dat funkční po uplynutí osmitýdenní lhůty.

Příkaz kéralského vrchního soudu týkající se Úřadu pro ochranu dat je připomínkou, že práva na papíře potřebují instituci, která za nimi stojí. Slabé vymáhání v kombinaci s velkými vládními databázemi vede k reálné expozici, jak ukazují úniky v Mexiku a Chile. Dokud indický Úřad nefunguje, zacházejte se svými daty opatrně a sdílejte je střídmě.