La Ley de Protección de Datos Personales Digitales (DPDP) de la India ha superado la fase teórica. Con la mayoría de sus disposiciones previstas para entrar en vigor en mayo de 2027, toda empresa que recopile o procese datos personales, incluidas las startups, deberá cumplir con un nuevo conjunto de obligaciones legales. Pero la pregunta más urgente para los usuarios comunes no es si las startups están preparadas. Es qué significan realmente los derechos del consumidor de la Ley DPDP para la persona cuyo número de teléfono, historial de ubicación y datos financieros están ahora mismo en docenas de bases de datos de aplicaciones.

Lo que la Ley DPDP cambia para los usuarios indios cotidianos

Hasta ahora, la mayoría de los indios han tenido poca voz formal sobre cómo las empresas usan su información personal una vez que la entregan durante el registro. La Ley DPDP replantea esa relación. Designa a los individuos como "Titulares de los Datos" y a las empresas que recopilan sus datos como "Responsables del Tratamiento de Datos", una distinción que suena burocrática pero que tiene un peso real. Los responsables del tratamiento están obligados a actuar en interés de la persona cuyos datos poseen, no solo en su propio interés comercial.

Para una startup que gestiona una aplicación de reparto de comida, una plataforma de préstamos o un rastreador de actividad física, esto significa que el consentimiento ya no puede ser una casilla de verificación oculta. Las empresas deberán declarar claramente por qué recopilan datos, obtener un consentimiento específico para ese fin y dejar de usar los datos una vez que se haya cumplido dicho propósito. Es un cambio de "recopilar todo, pedir perdón después" a un sistema donde la carga de la justificación recae en la empresa.

Sus nuevos derechos sobre los datos: Acceso, rectificación y supresión

El valor práctico de la Ley DPDP para los consumidores radica en un puñado de derechos exigibles. Una vez que las disposiciones pertinentes surtan efecto, las personas podrán preguntar a una empresa qué datos personales tiene sobre ellas, solicitar correcciones si esos datos son inexactos o están desactualizados, y exigir su supresión una vez que el propósito para el que fueron recopilados ya no sea aplicable.

Estos derechos no son exclusivos de la India, pero representan un cambio significativo con respecto a cómo operan actualmente la mayoría de las aplicaciones y plataformas indias. Hoy en día, eliminar una cuenta rara vez significa que sus datos desaparezcan de los servidores de una empresa. Bajo la Ley DPDP, las empresas estarán obligadas a construir mecanismos reales, no solo lenguaje de política, para que las personas ejerzan estos derechos. Eso tiene consecuencias reales sobre cómo las startups diseñan sus productos desde cero, un cambio explorado con más detalle en la cobertura sobre cómo la Ley DPDP lleva la privacidad de datos de la India a la sala de juntas, donde el cumplimiento se está convirtiendo en una preocupación a nivel de liderazgo en lugar de algo gestionado discretamente por los equipos legales.

Notificación de brechas y qué sucede cuando las startups no cumplen

Los derechos sobre el papel solo importan si hay consecuencias cuando se ignoran. La Ley DPDP introduce obligaciones de notificación de brechas, lo que significa que las empresas deberán informar tanto a los reguladores como a las personas afectadas cuando los datos personales se vean comprometidos. Para un país donde las brechas de datos a menudo han pasado desapercibidas o se han descubierto solo a través de investigadores de seguridad o reportajes en los medios, este es un cambio significativo en la rendición de cuentas.

La ley también otorga a los reguladores el poder de imponer sanciones financieras contra las empresas que no cumplan con sus obligaciones, ya sea por medidas de seguridad inadecuadas, ignorar los requisitos de consentimiento o no notificar a los usuarios afectados después de una brecha. Para las startups que operan con márgenes ajustados, el período de adaptación al cumplimiento entre ahora y mayo de 2027 está destinado a darles tiempo para construir estos sistemas adecuadamente en lugar de hacerlo a las carreras a posteriori.

Lo que esto significa para usted: Exigencias que hacer antes de 2027

La fecha límite de cumplimiento aún está por delante, lo que significa que la brecha actual entre lo que la ley promete y lo que las aplicaciones realmente hacen sigue siendo amplia. Los usuarios no necesitan esperar pasivamente hasta 2027 para empezar a hacer preguntas. Antes de confiar en una aplicación con datos sensibles, es razonable preguntar cuánto tiempo se conservan esos datos, si se comparten con terceros y si la empresa tiene un proceso claro para las solicitudes de eliminación hoy, no solo una promesa para el futuro.

También vale la pena mantenerse escéptico sobre cuánta protección proporcionará la regulación por sí sola. La eficacia de la Ley DPDP depende en gran medida de su aplicación, y ya se han planteado preguntas sobre cuán independiente será en la práctica la Junta de Protección de Datos de la India. Ese es un detalle crítico, porque una ley con fuertes derechos sobre el papel significa poco si el organismo responsable de hacerla cumplir carece de la independencia para responsabilizar a las empresas poderosas. Los lectores preocupados por esta brecha deberían examinar de cerca el reportaje sobre cómo la independencia de la Junta de Protección de Datos de la India está siendo criticada, que expone por qué la protección regulatoria puede no ser la red de seguridad que los consumidores esperan.

La conclusión final

La Ley DPDP establece un nuevo suelo significativo para los derechos del consumidor de la Ley DPDP en India, dando a las personas una base legal para acceder, rectificar y suprimir sus datos personales, y exigiendo a las empresas revelar las brechas en lugar de ocultarlas. Pero el período entre ahora y la plena aplicación en 2027 es exactamente cuando la vigilancia más importa. Pregunte a las aplicaciones y servicios directamente sobre la retención y eliminación de datos ahora, no asuma que el silencio significa cumplimiento, y esté atento a cuán independientemente funciona realmente la Junta de Protección de Datos una vez que comience la aplicación real. Los derechos que existen sobre el papel solo se vuelven reales cuando alguien está dispuesto a usarlos, y cuando el mecanismo de aplicación que los respalda tiene los dientes para hacerlos valer.