El Tribunal Superior de Kerala ha ordenado al gobierno de la Unión que haga funcional la Junta de Protección de Datos de la India en un plazo de ocho semanas. Según The Hindu, el tribunal afirmó que la privacidad de los ciudadanos está siendo comprometida, y entre las preocupaciones que consideró se incluye cómo se manejan los datos de los pasajeros en los aeropuertos. La orden del Tribunal Superior de Kerala sobre la Junta de Protección de Datos impone un plazo a un organismo en el que la Ley de Protección de Datos Personales Digitales (DPDP) de 2023 se apoya para su aplicación.

La cobertura disponible es breve, por lo que esta publicación se ciñe a lo que se ha confirmado y explica por qué es importante.

Qué ordenó el Tribunal Superior de Kerala

El tribunal ordenó al Gobierno central que active la Junta de Protección de Datos en un plazo de ocho semanas. La orden se produjo en medio de preocupaciones por la privacidad de los datos de los pasajeros en los aeropuertos, y el tribunal observó que la privacidad de los ciudadanos está siendo comprometida.

La orden no crea una nueva ley ni nuevas obligaciones. Pide al gobierno que ponga en marcha la institución que la ley existente ya describe. Esa distinción importa: el marco legal existe, pero el tribunal está señalando que un marco sin un organismo de aplicación que funcione no protege a nadie en la práctica.

Por qué la Junta de Protección de Datos importa para la Ley DPDP

La Ley DPDP de 2023 establece normas sobre cómo las organizaciones manejan los datos personales. Las normas sobre el papel solo cuentan si alguien puede examinar las quejas, evaluar las infracciones y actuar en consecuencia. Se supone que la Junta de Protección de Datos es ese organismo.

Hasta que sea funcional, las personas que creen que sus datos han sido mal utilizados no tienen un regulador plenamente operativo al que llevar esa queja. Las organizaciones, a su vez, enfrentan poca presión práctica para cambiar cómo recopilan y almacenan la información. Este es el núcleo de la brecha de aplicación que señala la orden del tribunal: una ley puede promulgarse y aun así permanecer en gran medida inaplicable.

El plazo de ocho semanas es una prueba concreta. Los lectores pueden observar si la Junta se pone realmente en funcionamiento antes de la fecha límite, y qué poderes y personal tiene una vez que lo esté.

Cómo la recopilación de datos de pasajeros en aeropuertos pone en riesgo a los viajeros

Los aeropuertos son un punto de presión para los datos personales. Los viajeros entregan documentos de identidad, itinerarios de viaje y, en algunos sistemas, información biométrica como parte del procesamiento rutinario. La preocupación en este caso se centra en los datos de los pasajeros en los aeropuertos, y es fácil ver por qué: las personas tienen poca elección sobre proporcionarlos, y rara vez saben dónde se almacenan, quién puede acceder a ellos o cuánto tiempo se conservan.

Las colecciones grandes y centralizadas de este tipo son objetivos atractivos y solo son tan seguras como los controles que las rodean. Sin un regulador capaz de investigar quejas o examinar prácticas, los viajeros tienen recursos limitados si algo sale mal. Incidentes recientes en otros lugares muestran cómo se ve la exposición. La brecha del portal de pasaportes ANTS de Francia involucró a la agencia detrás de los documentos de identidad seguros del país, y la brecha del registro estatal de Lituania afectó registros en poder del propio Estado.

Cómo se compara la brecha de aplicación de la India con otros regímenes de privacidad

Muchos regímenes de privacidad combinan derechos legales con una autoridad que puede recibir quejas e imponer consecuencias. La diferencia en el caso de la India, como destaca la orden del tribunal, es que la ley ha sido aprobada mientras que el organismo destinado a aplicarla aún no está funcionando. No hemos visto detalles en la cobertura de origen sobre cómo se estructurará la Junta, por lo que las comparaciones deben hacerse con cautela.

Lo que puede decirse es que un texto sólido por sí solo no previene la exposición. Las bases de datos en poder de gobiernos han sido comprometidas en otros países. La brecha de datos en México que expuso 195 millones de identidades y los 10 millones de registros filtrados del Registro Civil de Chile muestran lo que puede suceder cuando los datos de los ciudadanos se mantienen a gran escala y con una protección deficiente.

Qué significa esto para ti

Si viajas por aeropuertos indios, la orden no cambia lo que se recopila de ti hoy. Lo que sí hace es aumentar la presión para contar con un regulador que funcione y que eventualmente pueda examinar esas prácticas y escuchar quejas.

Para los viajeros y residentes en general, el punto práctico es que no puedes confiar en un regulador para salvaguardar datos que ya han sido recopilados. Una VPN no ayuda con los datos que entregas en un mostrador de facturación o en una oficina fronteriza, por lo que el enfoque debe estar en limitar lo que compartes y asegurar tus propias cuentas.

Conclusiones prácticas

  • Comparte solo la información personal que sea requerida, y pregunta qué se recopila y por qué cuando puedas.
  • Mantén copias de tus documentos de viaje e identidad seguras, y evita enviarlos por canales no cifrados.
  • Usa contraseñas únicas y autenticación multifactor en cuentas de aerolíneas, reservas y servicios gubernamentales.
  • Estate atento a avisos de brechas de datos que afecten a servicios que uses, y cambia las credenciales con prontitud si te ves afectado.
  • Sigue si la Junta de Protección de Datos está operativa una vez que pase el plazo de ocho semanas.

La orden del Tribunal Superior de Kerala sobre la Junta de Protección de Datos es un recordatorio de que los derechos sobre el papel necesitan una institución detrás de ellos. Una aplicación débil combinada con grandes bases de datos en poder del gobierno conduce a una exposición real, como muestran las brechas de México y Chile. Hasta que la Junta de la India esté funcionando, trata tus datos con cuidado y compártelos con moderación.