Indijski Zakon o zaštiti digitalnih osobnih podataka (DPDP) prešao je iz teorijske faze. S većinom odredbi koje bi trebale stupiti na snagu do svibnja 2027., svaka tvrtka koja prikuplja ili obrađuje osobne podatke, uključujući startupe, morat će se uskladiti s novim zakonskim obvezama. No, hitnije pitanje za obične korisnike nije jesu li startupi spremni. Pitanje je što potrošačka prava na zaštitu podataka prema DPDP zakonu zapravo znače za osobu čiji se broj telefona, povijest lokacije i financijski podaci upravo sada nalaze u desecima baza podataka aplikacija.

Što DPDP zakon mijenja za svakodnevne korisnike u Indiji

Do sada je većina Indijaca imala vrlo malo formalnog utjecaja na to kako tvrtke koriste njihove osobne podatke nakon što ih predaju prilikom registracije. DPDP zakon redefinira taj odnos. Pojedince označava kao "Nositelje podataka", a tvrtke koje prikupljaju njihove podatke kao "Povjerenike za podatke" – razlika koja zvuči birokratski, ali ima stvarnu težinu. Povjerenici su obvezni djelovati u interesu osobe čije podatke posjeduju, a ne samo u vlastitom komercijalnom interesu.

Za startup koji vodi aplikaciju za dostavu hrane, platformu za kreditiranje ili fitness tracker, to znači da pristanak više ne može biti skriveni potvrdni okvir. Tvrtke će morati jasno navesti zašto prikupljaju podatke, dobiti izričit pristanak za tu svrhu i prestati koristiti podatke nakon što se ta svrha ispuni. To je pomak od "prikupi sve, traži oprost kasnije" prema sustavu u kojem teret opravdanja leži na tvrtki.

Vaša nova prava na podatke: pristup, ispravak i brisanje

Praktična vrijednost DPDP zakona za potrošače leži u nekolicini provedivih prava. Nakon što relevantne odredbe stupe na snagu, pojedinci će moći od tvrtke zatražiti uvid u osobne podatke koje o njima posjeduje, zatražiti ispravke ako su ti podaci netočni ili zastarjeli te zahtijevati brisanje kada svrha zbog koje su prikupljeni više ne postoji.

Ta prava nisu jedinstvena za Indiju, ali predstavljaju značajan odmak od načina na koji većina indijskih aplikacija i platformi trenutno funkcionira. Danas brisanje računa rijetko znači da vaši podaci nestaju s poslužitelja tvrtke. Prema DPDP zakonu, tvrtke će morati izgraditi stvarne mehanizme, a ne samo formulacije u pravilnicima, kako bi ljudi mogli ostvariti ta prava. To ima stvarne posljedice na način na koji startupi arhitekturalno oblikuju svoje proizvode iz temelja – pomak koji je detaljnije istražen u izvještavanju o tome kako DPDP zakon gura indijsku privatnost podataka u sobe za sastanke, gdje usklađenost postaje pitanje na razini vodstva, a ne nešto što se tiho rješava unutar pravnih timova.

Obavijest o povredi podataka i što se događa kada startupi ne ispune obveze

Prava na papiru imaju smisla samo ako postoji posljedica kada se zanemare. DPDP zakon uvodi obveze obavještavanja o povredi podataka, što znači da će tvrtke morati obavijestiti i regulatore i pogođene pojedince kada su osobni podaci ugroženi. Za zemlju u kojoj su povrede podataka često prolazile nepriznate ili su otkrivene tek putem sigurnosnih istraživača ili medijskog izvještavanja, ovo je značajna promjena u odgovornosti.

Zakon također daje regulatorima ovlast izricanja novčanih kazni tvrtkama koje ne ispune svoje obveze, bilo da se radi o neodgovarajućim sigurnosnim mjerama, zanemarivanju zahtjeva za pristanak ili propuštanju obavještavanja pogođenih korisnika nakon povrede podataka. Za startupe koji posluju s malim maržama, razdoblje za usklađivanje od sada do svibnja 2027. zamišljeno je da im da vremena za pravilnu izgradnju tih sustava, umjesto da se snalaze naknadno.

Što ovo znači za vas: zahtjevi koje treba postaviti prije 2027.

Rok za usklađivanje tek predstoji, što znači da je trenutni jaz između onoga što zakon obećava i onoga što aplikacije zapravo rade i dalje velik. Korisnici ne trebaju pasivno čekati 2027. kako bi počeli postavljati pitanja. Prije nego što aplikaciji povjerite osjetljive podatke, razumno je pitati koliko dugo se ti podaci čuvaju, dijele li se s trećim stranama i ima li tvrtka jasan postupak za zahtjeve za brisanje već danas, a ne samo obećanje za budućnost.

Također vrijedi ostati skeptičan koliko će zaštite sama regulativa zaista pružiti. Učinkovitost DPDP zakona uvelike ovisi o provedbi, a već su se pojavila pitanja o tome koliko će indijski Odbor za zaštitu podataka biti neovisan u praksi. To je ključan detalj, jer zakon s jakim pravima na papiru malo znači ako tijelo odgovorno za njegovu provedbu nema neovisnost potrebnu za pozivanje moćnih tvrtki na odgovornost. Čitatelji zabrinuti zbog ovog jaza trebali bi pažljivo pogledati izvještavanje o tome kako je neovisnost indijskog Odbora za zaštitu podataka pod udarom kritika, koje objašnjava zašto regulatorna zaštita možda neće biti sigurnosna mreža kakvu potrošači očekuju.

Zaključak

DPDP zakon postavlja značajnu novu donju granicu za potrošačka prava na zaštitu podataka u Indiji, dajući pojedincima pravnu osnovu za pristup, ispravak i brisanje osobnih podataka te obvezujući tvrtke da prijave povrede podataka umjesto da ih prikrivaju. No, razdoblje od sada do pune provedbe 2027. upravo je vrijeme kada je oprez najvažniji. Već sada postavljajte aplikacijama i uslugama izravna pitanja o čuvanju i brisanju podataka, nemojte pretpostavljati da šutnja znači usklađenost i pratite koliko neovisno Odbor za zaštitu podataka zapravo funkcionira kada prava provedba započne. Prava koja postoje na papiru postaju stvarna tek kada ih je netko spreman koristiti i kada provedbeni mehanizam iza njih ima snage poduprijeti ih.