Zakon o zaštiti digitalnih osobnih podataka iz 2023. (DPDP zakon) prvi je namjenski zakon Indije za zaštitu osobnih podataka. Nedavno objašnjenje sigurnosnog istraživača na DEV Community provodi developere kroz to zašto je zakon bio potreban i što znači za njihov tehnološki stack. Ovaj post zauzima drugačiji kut. Ovo je indijski DPDP zakon objašnjen vodič za svakodnevne korisnike, koji pokriva što vam zakon daje, kako se uspoređuje s europskim GDPR-om i što može, a što ne može učiniti za vašu privatnost.
Što vam DPDP zakon daje kao ispitaniku podataka
Zakon koristi vlastiti rječnik. Vi, pojedinac čiji se podaci prikupljaju, jeste "ispitanik podataka". Tvrtka ili organizacija koja odlučuje zašto i kako se vaši podaci obrađuju jest "voditelj obrade podataka". Formulacija je važna jer okviruje odnos kao odnos povjerenja i obveze, a ne samo komercijalne transakcije.
Kao okvir, zakon uređuje kako tvrtke prikupljaju, koriste, dijele i brišu osobne podatke osoba u Indiji. U praksi, zaštite koje su najvažnije običnim korisnicima padaju u četiri područja:
- Pristanak: Od organizacija se očekuje da se oslanjaju na vaš pristanak pri obradi vaših podataka, umjesto da ih prikupljaju tiho u pozadini.
- Pristup: Možete pitati koje osobne podatke organizacija ima o vama i kako ih koristi.
- Ispravak i brisanje: Možete zatražiti da se netočni podaci isprave i da se podaci izbrišu kada više nisu potrebni.
- Obavijest o povredi: Kada nešto pođe po zlu, organizacija koja čuva vaše podatke ima dužnost to prijaviti, kako ne biste ostali u neznanju.
Ova prava pomažu samo ako ih koristite. Zaslon za pristanak koji kliknete bez čitanja ipak je odluka donesena u vaše ime.
Kako se DPDP uspoređuje s GDPR-om
Čitatelji upoznati s Općom uredbom EU-a o zaštiti podataka prepoznat će širok oblik: model utemeljen na pravima izgrađen oko pristanka, transparentnosti i odgovornosti. Kao i GDPR, DPDP zakon zamjenjuje mnogo ograničeniji prethodni okvir sveobuhvatnim nacionalnim.
Razlike je vrijedno znati, čak i ako vam treba samo šira slika. Jedno značajno područje su prekogranični podaci. Analitičari opisuju DPDP zakon kao dopuštanje prijenosa osobnih podataka izvan Indije osim u zemlje koje je Središnja vlada notificirala kao ograničene. To je drugačiji mehanizam od pristupa temeljenog na adekvatnosti koji mnogi povezuju s GDPR-om, a neki komentatori dovode u pitanje hoće li sam po sebi pružiti dovoljno jamstava.
Praktični zaključak: nemojte pretpostavljati da se zaštite koje poznajete iz GDPR-a primjenjuju identično u Indiji. Terminologija, opseg i pojedinosti provedbe razlikuju se, stoga provjerite pojedinosti prije nego se pouzdate u pravo koje imate drugdje.
Što se mijenja za aplikacije i usluge koje obrađuju indijske podatke
Za organizacije, zakon uvodi obveze usklađenosti u prikupljanju, obradi, pohrani i prijenosu digitalnih osobnih podataka. To seže mnogo dalje od tvrtki sa sjedištem u Indiji. Svaka aplikacija ili usluga koja obrađuje osobne podatke osoba u Indiji ima razlog preispitati kako prikuplja pristanak, koliko dugo čuva podatke i kako odgovara na zahtjeve korisnika.
Za vas bi se to trebalo očitovati kao jasniji upiti za pristanak, pristupačnije postavke za upravljanje ili brisanje podataka i strukturiranija komunikacija ako dođe do povrede. Globalni korisnici indijskih platformi također mogu primijetiti promjene u načinu na koji te usluge opisuju kamo podaci idu i zašto.
Provedba je ono što tim dužnostima daje težinu. Naša analiza DPDP kazni i novčanih kazni do ₹250 crore pokazuje kako financijske posljedice neusklađenosti postaju jasnije, što je snažan poticaj tvrtkama da ozbiljno shvate zahtjeve korisnika.
Gdje VPN pomaže, a gdje ne
VPN i zakon o zaštiti podataka rješavaju različite probleme i lako ih je pomiješati.
VPN šifrira vaš promet između vašeg uređaja i VPN poslužitelja i skriva vašu IP adresu od stranica koje posjećujete. To može smanjiti izloženost na javnom Wi-Fi-ju i ograničiti neko praćenje na razini mreže.
Ono što VPN ne čini jest promjena onoga što predajete nakon što ste prijavljeni. Ako aplikaciji date svoje ime, telefonski broj ili popis kontakata, VPN ne sprječava tu aplikaciju da ih obrađuje. To je upravo područje koje pokriva DPDP zakon: što organizacije smiju činiti s podacima koje ste podijelili i kakav pravni lijek imate nakon toga.
Zamislite ih kao komplementarne slojeve. Zakon uređuje kako organizacije postupaju s vašim podacima. VPN štiti vezu kojom putuju. Nijedno ne zamjenjuje pažljive odluke o tome što dijelite.
Što to znači za vas
Ako živite u Indiji ili koristite indijske aplikacije i usluge, DPDP zakon daje vam jasniji skup alata nego prije. Zakon ne može djelovati u vaše ime ako se vi ne uključite. Tretirajte upite za pristanak kao stvarne odluke i koristite zahtjeve za pristup i brisanje kada usluga čuva podatke koje više ne želite da ima.
Ako ste izvan Indije, ali koristite indijske platforme, očekujte da će te usluge prilagoditi način na koji postupaju s podacima i komuniciraju o tome. Nemojte pretpostavljati da vaša prava iz matične zemlje putuju s vama i pročitajte uvjete privatnosti svake usluge.
Primjenjivi zaključci
- Pregledajte postavke pristanka u indijskim aplikacijama i uslugama koje koristite i povucite dopuštenja koja vam nisu potrebna.
- Zatražite pristup podacima koje usluga ima o vama ako niste sigurni što prikuplja.
- Zatražite ispravak ili brisanje zastarjelih ili nepotrebnih podataka, posebno za račune koje više ne koristite.
- Pazite na obavijesti o povredi i postupajte po njima brzo, na primjer promjenom lozinki.
- Koristite VPN za ono u čemu je dobar, štiteći svoju vezu, dok se oslanjate na zakonska prava za upravljanje onim što se događa s podacima koje dijelite.
Da biste razumjeli kako se zakon provodi i koliko neusklađenost može koštati, pročitajte naš vodič o DPDP kaznama. Zatim odvojite deset minuta za pregled svojih postavki pristanka i podataka. Uz objašnjeni indijski DPDP zakon, sljedeći je korak staviti njegova prava u funkciju.
