La Ley de Protección de Datos Personales Digitales de India, 2023 (DPDPA) y las Reglas que la acompañan, 2025, están destinadas a reconfigurar cómo el comercio digital maneja los datos personales. Un reciente análisis de Lexology sobre el tema enmarca el carrito de compras como un punto de recolección de datos, y ese enfoque es útil. Cada registro de cuenta, dirección guardada, preferencia de pago y patrón de navegación en una aplicación de compras son datos personales. Para cualquiera que siga la privacidad en compras en línea según la DPDPA de India, la pregunta es qué gana realmente como comprador y qué no puede hacer ninguna herramienta por usted.
Privacidad en compras en línea según la DPDPA de India: qué cambia para los datos del comercio electrónico
La DPDPA es el primer marco integral de India que rige la recolección, el procesamiento y el almacenamiento de datos personales. Utiliza términos específicos: la persona cuyos datos se recopilan es un "Titular de los Datos" (Data Principal), y la empresa que decide por qué y cómo se usan los datos es un "Responsable de los Datos" (Data Fiduciary). En la práctica, usted es el Titular de los Datos y la plataforma de compras es el Responsable de los Datos.
Los resúmenes de las Reglas elaborados por bufetes de abogados señalan obligaciones específicas para las grandes plataformas. Según esos resúmenes, las Reglas establecen requisitos de eliminación para ciertas clases de Responsables de los Datos, incluidas las entidades de comercio electrónico, las plataformas de redes sociales y las empresas de juegos en línea. Un resumen describe el requisito de esta manera: los datos de usuarios inactivos deben eliminarse después de tres años, con un aviso previo de 48 horas al usuario. Otro describe la eliminación dentro de los tres años posteriores a la última vez que el Titular de los Datos se acercó a la empresa.
Los detalles sobre qué plataformas califican y cómo se define "inactivo" importan, así que trate estas cifras como un resumen y no como asesoramiento legal. La dirección sigue siendo clara: recopilar datos indefinidamente y conservarlos "por si acaso" se vuelve más difícil de justificar.
Consentimiento, eliminación y derechos de corrección que obtienen los compradores
La Ley se construye en torno al consentimiento. Se espera que las empresas le digan qué datos recopilan y por qué, y que los procesen para ese propósito. Para los compradores, eso debería significar avisos más claros al registrarse y al pagar, en lugar de una única aprobación agrupada enterrada en los términos y condiciones.
Los derechos que puede esperar ejercer incluyen:
- Retirar el consentimiento. Debería poder retirar el permiso que otorgó previamente, y el proceso no debería ser más difícil que darlo.
- Corrección. Si su dirección, número de teléfono u otros detalles son incorrectos, puede solicitar que se corrijan.
- Eliminación. Puede solicitar que se eliminen sus datos personales, sujeto a excepciones legales.
- Resolución de quejas. Las plataformas deben ofrecer una forma de presentar quejas sobre cómo se manejan sus datos.
La regla de eliminación por inactividad añade una red de seguridad para las cuentas que olvidó. Un perfil de compras abandonado con una dirección guardada e historial de pedidos es exactamente el tipo de registro que tiende a permanecer durante años y terminar en una filtración.
Qué puede y qué no puede hacer una VPN al comprar en línea
Una VPN cifra la conexión entre su dispositivo y el servidor VPN y oculta su dirección IP de los sitios que visita. Eso ayuda en el Wi-Fi público y limita una señal que los sitios usan para estimar su ubicación. Es una capa útil, pero resuelve un problema diferente al que resuelve la DPDPA.
Cuando inicia sesión en una aplicación de compras, la plataforma sigue sabiendo quién es usted. Ve su cuenta, su dirección de entrega, sus datos de pago y su historial de compras, sin importar lo que diga su dirección IP. Una VPN no impide que una empresa recopile datos que usted entrega voluntariamente, y no controla cuánto tiempo se almacenan esos datos ni si se eliminan. Esas son cuestiones legales, y la DPDPA es la herramienta para ellas.
También hay un límite práctico. Las VPN dependen de una conexión funcional, y no pueden ayudar si el acceso mismo se corta. Nuestra explicación sobre qué puede y qué no puede hacer una VPN durante un apagón de internet cubre un escenario diferente, pero muestra el mismo principio: una VPN es una herramienta con límites definidos, no un escudo total.
Lo contrario también es cierto. La ley no lo protege de una red fisgona o un punto de acceso sin cifrar. Ambos funcionan mejor juntos.
Qué significa esto para usted: pasos para limitar el rastreo al pagar
No necesita esperar a que cada disposición esté plenamente en vigor para empezar a ajustar sus hábitos. Considere estos pasos:
- Revise la configuración de consentimiento en sus aplicaciones de compras. Busque la configuración de privacidad o datos y desactive el rastreo opcional, la publicidad personalizada y la sincronización de contactos que no necesite.
- Elimine las cuentas que ya no use. No dependa solo de la eliminación automática tras un período de inactividad. Utilice la opción de eliminación o solicitud de borrado dentro de la aplicación cuando exista.
- Verifique y corrija sus datos guardados. Las direcciones y números de teléfono desactualizados son tanto un problema de privacidad como de entrega.
- Use el pago como invitado cuando pueda. Menos perfiles almacenados significa menos registros que proteger.
- Comparta solo lo necesario. Si un formulario solicita más de lo que la entrega y el pago necesitan, trate los campos opcionales como opcionales.
- Refuerce la configuración del navegador. Bloquee las cookies de terceros, borre periódicamente los datos de los sitios y use las funciones de protección contra el rastreo integradas en su navegador.
- Use una VPN en redes no confiables. Protege la conexión, no los datos de su cuenta.
- Guarde registros de sus solicitudes. Si presenta una solicitud de eliminación o corrección, guarde la confirmación en caso de que necesite escalar una queja.
¿Por qué importan estos límites más allá de las compras? Porque los datos personales rara vez permanecen en un solo lugar. Los debates sobre datos de identidad y vigilancia en India están activos, desde el debate sobre la privacidad del reconocimiento facial bajo el Artículo 21 hasta las preocupaciones sobre un requisito propuesto de Aadhaar para registrarse en redes sociales en Karnataka. Limitar lo que las plataformas comerciales recopilan es una parte de una conversación más amplia sobre quién posee su información y durante cuánto tiempo.
Conclusiones clave
La privacidad en compras en línea según la DPDPA de India se reduce a una división del trabajo. La ley le otorga derechos sobre el consentimiento, la corrección y la eliminación, y establece límites de retención para las grandes plataformas de comercio electrónico. Una VPN y una configuración sensata del navegador reducen la exposición en la red y frente a los rastreadores de terceros, pero no pueden hacer que un minorista olvide lo que usted le dijo.
Esta semana, abra las aplicaciones de compras que más usa, revise los interruptores de consentimiento y busque la opción de eliminación de cuenta o borrado de datos. Elimine los perfiles que ya no necesita y ejerza sus derechos a medida que las Reglas entren en vigor. Los detalles de implementación pueden evolucionar, así que consulte el aviso de privacidad de la plataforma y las orientaciones oficiales para conocer los requisitos más recientes.
