Uusi vaatimustenmukaisuustoiminnan aalto rakentuu Intian digitaalisen henkilötietojen suojelulain (DPDP-laki, 2023) ympärille, kun lakitoimistot ja konsulttiyritykset kilpailevat auttaakseen yrityksiä valmistautumaan. ETLegalWorldin raportin mukaan Foresight Law Offices lanseerasi hiljattain oman "DPDP-palvelupisteen" sekä interaktiivisen valmiusarviointityökalun, joka on suunniteltu auttamaan organisaatioita tunnistamaan vaatimustenmukaisuuspuutteet ennen kuin lain säännökset tulevat täysimääräisesti voimaan. Vaikka tuo ilmoitus on suunnattu suoraan yritysten lakitiimeille, se on hyödyllinen signaali myös tavallisille internetin käyttäjille: DPDP-laki siirtyy paperilta käytäntöön, ja tapa, jolla intialaiset yritykset keräävät, säilyttävät ja jakavat henkilötietoja, on muuttumassa tavoilla, jotka vaikuttavat suoraan kuluttajiin.

Jos et ole koskaan lukenut itse DPDP-lakia, et ole yksin. Useimmat ihmiset kohtaavat tietosuojalainsäädännön vain epäsuorasti suostumusponnahdusikkunoiden, tietosuojakäytäntöjen tai tietomurtoilmoitussähköpostien kautta. Mutta DPDP-laki on yksi merkittävimmistä tietosuojalaeista, joita Intiasta on tullut vuosikymmeniin, ja sen perusteiden ymmärtäminen voi auttaa sinua tietämään, mitä odottaa sovelluksilta ja palveluilta, joita käytät päivittäin.

Mitä DPDP-laki itse asiassa edellyttää

Ytimeltään DPDP-laki asettaa säännöt sille, miten "tietovastaavien" (käytännössä minkä tahansa organisaation, joka kerää tai käsittelee henkilötietoja) on käsiteltävä näitä tietoja. Yritykset tarvitsevat selkeän ja yksilöidyn suostumuksen ennen henkilötietojen keräämistä, niiden on ilmoitettava, miksi ne keräävät tietoja, ja niiden on poistettava tiedot, kun niitä ei enää tarvita ilmoitettuun tarkoitukseen. Laki luo myös väyliä yksilöille päästä käsiksi omiin tietoihinsa, oikaista niitä tai peruuttaa suostumus, ja se ottaa käyttöön sääntelyelimen, tietosuojalautakunnan, käsittelemään valituksia ja valvontaa.

Tämä on huomattava muutos maalle, jossa tiedonkeruukäytäntöjä on historiallisesti säännelty löyhästi. Kuten raportointi Intian DPDP-lain työntämisestä tietosuojan hallitushuoneisiin on osoittanut, vaatimustenmukaisuus ei ole enää asia, jonka yritykset voivat hiljaa delegoida IT-osastoille. Siitä on tulossa hallinnointikysymys, jonka hallitukset ja johtajat odotetaan ottavan suoraan omistukseensa, ja todellinen vastuu on sillä, jos asiat menevät pieleen.

Miten se vertautuu GDPR:ään

Tietosuojatarkkailijat ovat usein verranneet DPDP-lakia Euroopan unionin yleiseen tietosuoja-asetukseen (GDPR), ja yhtäläisyyksiä on merkittävästi: molemmat kehykset edellyttävät suostumusta tiedonkeruuseen, molemmat antavat yksilöille oikeuksia omaan tietoonsa, ja molemmat luovat seuraamuksia noudattamatta jättämisestä. Mutta DPDP-lakia pidetään yleisesti kapeampana soveltamisalaltaan. Se keskittyy erityisesti digitaalisiin henkilötietoihin, kun taas GDPR kattaa laajemman valikoiman henkilötietoja muodosta riippumatta. DPDP-laki antaa myös Intian hallitukselle enemmän harkintavaltaa tietyillä alueilla, kuten viranomaisia koskevissa poikkeuksissa ja rajat ylittäviä tiedonsiirtoja koskevissa säännöissä, kuin GDPR tyypillisesti sallii.

Kuluttajille käytännön johtopäätös on, että DPDP-laki on aito askel kohti vahvempia tietosuojatoimia, mutta se ei välttämättä tarjoa yhtä laajoja oikeuksia kuin GDPR on tarjonnut käyttäjille Euroopassa. Se on lattia, ei välttämättä katto.

Miksi aikataulu on tärkeä

Yksi yksityiskohta, joka usein puuttuu vaatimustenmukaisuuteen keskittyvästä uutisoinnista, on se, kuinka tiukka aikataulu yrityksillä on valmistautua. Esimerkiksi startupit kohtaavat kovat määräajat, kun Intian DPDP-laki asettaa toukokuun 2027 määräajan startupeille tietojenkäsittelykäytäntöjensä uudistamiselle. Laajemmin DPDP-säännöt astuvat täysimääräisesti voimaan vuonna 2027, mikä tarkoittaa, että suostumusvirrat, tiedonpoistokäytännöt ja tietomurtoilmoitusprosessit, joita monet yritykset parhaillaan rakentavat, on tarkoitus saada täysin toimiviksi siihen mennessä. Lakianalyytikot ovat myös viitanneet vaatimustenmukaisuuden aikatauluihin ja johtajatason vastuuseen kasvavana painopisteenä, kuten on kuvattu uutisoinnissa Intian DPDPA-vaatimustenmukaisuuden aikatauluista ja johtajien riskistä. Toisin sanoen työkalut ja palvelupisteet, joita yritykset kuten Foresight ottavat nyt käyttöön, ovat olemassa, koska kello käy jo.

Mitä tämä tarkoittaa sinulle

Jos käytät sovelluksia, verkkosivustoja tai palveluita, jotka sijaitsevat Intiassa, tai olet vuorovaikutuksessa intialaisten yritysten kanssa asiakkaana, sinun pitäisi alkaa huomata muutoksia seuraavan parin vuoden aikana. Odota selkeämpiä suostumuspyyntöjä, selkeämpiä selityksiä siitä, miksi tietojasi kerätään, ja (lopulta) helpompia tapoja pyytää tietojesi poistamista. Yritykset, jotka käsittelevät arkaluonteisia tietoja, rahoitussovelluksista viestintäalustoihin, ovat kasvavan paineen alla tiukentamaan käytäntöjään hyvissä ajoin ennen vuoden 2027 määräaikaa. On syytä muistaa, että alustat, joilla on valtavat intialaiset käyttäjäkunnat, sopeuttavat jo tietokäytäntöjään ennakoivasti tiukempaa valvontaa varten, samalla tavalla kuin WhatsApp on testannut ikävahvistusominaisuuksia noin 600 miljoonalle intialaiselle käyttäjälleen.

Sanottakoon, että täytäntöönpano on edelleen jäljessä lain tekstistä, eivätkä täydet säännöt ole vielä voimassa kaikkialla. Älä odota yön yli tapahtuvaa muutosta. Sen sijaan tarkkaile asteittaisia muutoksia tietosuojakäytännöissä, suostumusnäytöissä ja siinä, miten yritykset vastaavat, kun kysyt, mitä tietoja ne sinusta säilyttävät.

Käytännön olennaiset kohdat

Ala kiinnittää enemmän huomiota intialaisten sovellusten ja palveluiden suostumuspyyntöihin ja tietosuojailmoituksiin, koska nämä todennäköisesti muuttuvat yksityiskohtaisemmiksi DPDP-lain sääntöjen vaiheittaisen käyttöönoton myötä. Jos olet vuorovaikutuksessa yrityksen kanssa, joka käsittelee arkaluonteisia henkilötietoja, kuten talous- tai terveystietoja, kysy suoraan, millaiset niiden tietojen säilytys- ja poistokäytännöt ovat. Ja jos pyörität tai neuvot Intiassa toimivaa yritystä, käsittele DPDP-lain vuoden 2027 määräaikoja lujina eikä kaukaisina, koska vaatimustenmukaisuuden perustan rakentaminen suostumuksen hallinnasta sisäisiin vastuurakenteisiin vie todellista aikaa. Olitpa kuluttaja tai yrityksen omistaja, DPDP-laki on muistutus siitä, että tietosuoja Intiassa on siirtymässä juridisesta jälkiajatuksesta operatiiviseksi vaatimukseksi, ja ajan tasalla pysyminen nyt tekee siirtymästä paljon vähemmän häiritsevää myöhemmin.