Indijski Zakon o digitalnoj zaštiti osobnih podataka (DPDP Act), usvojen 2023., više nije samo lista pravne usklađenosti koju u tišini rješavaju IT ili pravni timovi. Prema nedavnoj analizi objavljenoj na ETLegalWorldu, zakon mijenja način na koji indijske tvrtke razmišljaju o upravljanju privatnošću podataka, podižući ga na razinu pitanja koje upravni odbori moraju aktivno nadzirati, a ne delegirati i zaboraviti.
Ovaj pomak je važan jer mijenja temeljni odnos između korporativnog vodstva i rukovanja osobnim podacima. Godinama se usklađenost s privatnošću u mnogim organizacijama tretirala kao operativni zadatak, nešto što CISO ili pravni savjetnik trebaju voditi u pozadini. DPDP Act tu odgovornost gura prema gore, čineći upravljanje privatnošću podataka strateškim pitanjem koje dotiče odbore za rizike, revizijske funkcije i, u konačnici, sam upravni odbor.
Zašto je upravljanje privatnošću podataka sada pitanje za upravni odbor
DPDP Act nanovo uokviruje kako indijske tvrtke moraju pristupiti cijelom životnom ciklusu osobnih podataka, od prikupljanja i obrade do pohrane i konačnog brisanja. U tom okviru, od organizacija koje rukuju osobnim podacima indijskih građana očekuje se da izgrade strukture odgovornosti koje mogu izdržati nadzor ne samo regulatora, već i samog upravnog odbora.
To je značajan odmak od načina na koji se privatnost tradicionalno tretirala u korporativnom upravljanju. Ranije su mnoge tvrtke zaštitu podataka smatrale tehničkom ili pravnom funkcijom, nečim što se rješava reaktivno kad se pojavi problem. DPDP Act gura prema proaktivnijem stavu, gdje upravni odbori trebaju imati uvid u to kako se podacima rukuje u cijeloj organizaciji, a ne tek nakon što nešto pođe po zlu.
Taj proaktivni stav sve je potrebniji s obzirom na to koliko često organizacije otkrivaju slabosti u privatnosti tek nakon što incident natjera na suočavanje s problemom. Odvojeno istraživanje o korporativnoj kibernetičkoj otpornosti, uključujući RSM-ovo otkriće da je svaka treća australska tvrtka bila pogođena ransomwareom, pokazuje ponavljajući obrazac: mnoge tvrtke vjeruju da je njihovo upravljanje podacima čvrsto sve dok stvarni proboj ne razotkrije jaz između pretpostavke i stvarnosti. Upravni odbori koji čekaju krizu da bi se uključili u rizik privatnosti, zapravo se kockaju s regulatornom i reputacijskom izloženošću.
Što se mijenja za indijske tvrtke
Za indijska poduzeća, praktična implikacija pozicioniranja DPDP Acta u upravni odbor jest da usklađenost više ne može živjeti u izolaciji. Upravljanje privatnošću podataka sada mora biti utkano u šire upravljanje rizicima poduzeća, uz financijske kontrole, kibersigurnosni položaj i operativnu otpornost.
To znači da se od upravnih odbora očekuje da postavljaju teža pitanja: Koje osobne podatke tvrtka prikuplja i zašto? Kako se privola dobiva i prati? Tko ima pristup osjetljivim informacijama i kako se taj pristup revidira? Što se događa ako partner za obradu podataka ne ispuni svoje obveze? To više nisu pitanja rezervirana za tromjesečno izvješće službenika za usklađenost. Postaju stalne točke dnevnog reda koje direktori moraju razumjeti i na koje trebaju djelovati.
Tvrtke koje su povijesno tretirale usklađenost privatnosti kao puko odrađivanje popisa mogu smatrati ovu tranziciju neugodnom. Izgradnja istinskih okvira upravljanja podacima koji zadovoljavaju nadzor na razini upravnog odbora zahtijeva vrijeme, resurse i međufunkcionalnu koordinaciju između pravnih, IT i izvršnih čelnika. No, alternativa – tretiranje privatnosti kao naknadne misli – nosi rastući strateški rizik kako regulatorna očekivanja sazrijevaju.
Što to znači za vas
Ako radite za indijsku tvrtku ili s njom komunicirate kao kupac, zaposlenik ili partner, ovaj pomak u filozofiji upravljanja ima stvarne posljedice. Tvrtke pod pritiskom da pokažu odgovornost na razini upravnog odbora za privatnost podataka vjerojatnije će ulagati u snažnije mehanizme privole, jasnije politike zadržavanja podataka i bolje protokole za odgovor na povrede. To se može pretočiti u veću transparentnost o tome kako se vaši osobni podaci koriste i štite.
Za zaposlenike koji rade u ulogama usklađenosti, prava ili IT sigurnosti, pozicioniranje DPDP Acta u upravni odbor također signalizira karijerni i organizacijski pomak. Profesionalci koji mogu tečno govoriti kroz pravne, tehničke i poslovne domene rizika bit će sve vrijedniji kako tvrtke restrukturiraju način na koji se donose i izvještavaju odluke o privatnosti.
Za potrošače, šira je lekcija povećana pregovaračka moć. Kako upravni odbori postaju osjetljiviji na privatnost podataka kao pitanje upravljanja, tvrtke imaju jače poticaje da budu responzivne kada pojedinci izraze zabrinutost o tome kako se njihovi podaci prikupljaju ili koriste. To ne znači da rizik nestaje, ali znači da strukture odgovornosti postaju formaliziranije.
Ključni zaključci
Poticaj DPDP Acta prema upravljanju privatnošću podataka na razini upravnog odbora odražava širi globalni trend: privatnost više nije isključivo tehničko ili pravno pitanje – ona je strateško. Indijske tvrtke koje se rano prilagode, gradeći stvarne okvire upravljanja umjesto površinskih slojeva usklađenosti, bit će u boljem položaju za upravljanje regulatornim rizikom i očuvanje povjerenja kupaca.
Ako ste poslovni lider, sada je vrijeme da se zapitate tretira li vaša organizacija privatnost podataka kao stalni prioritet upravnog odbora ili kao naknadnu misao. Ako ste potrošač, informiranje o tome kako tvrtke rukuju vašim osobnim podacima i postavljanje pitanja kada transparentnost nedostaje ostaje jedan od najučinkovitijih načina da organizacije držite odgovornima u ovom evoluirajućem regulatornom okruženju.
