Indijski pristup zaštiti podataka evoluirao je od ustavnog načela do detaljnog zakonodavnog i regulatornog okvira. U njegovom središtu je Zakon o digitalnoj zaštiti osobnih podataka iz 2023. (DPDP zakon). Za svakodnevne korisnike praktično je pitanje jednostavno: što sada možete zatražiti od tvrtki koje drže vaše podatke? Ovaj vodič na jednostavnom jeziku raščlanjuje korisnička prava na privatnost prema indijskom DPDP zakonu i pojašnjava gdje se VPN uklapa, a gdje ne.

Od ustavnog prava do zakona: kako je Indija došla dovde

Godinama je privatnost u Indiji uglavnom bila ustavna ideja. Bilo je to načelo na koje su se sudovi i zakonodavci mogli pozivati, ali nije dolazilo s jednim, detaljnim pravilnikom koji tvrtki nalaže što mora učiniti kada prikuplja vaš broj telefona, lokaciju ili povijest kupnji.

DPDP zakon iz 2023. to mijenja. Prema analizi koja je potaknula ovaj tekst, krajolik zaštite podataka u zemlji razvio se u sveobuhvatan okvir koji načelo pretvara u obveze koje se mogu provoditi. Ukratko, privatnost više nije samo pravo za koje se možete načelno zalagati. To je skup dužnosti kojih se tvrtke mogu držati odgovornima.

Zakon koristi vlastiti rječnik. Vi ste Data Principal (nostitelj podataka), osoba na koju se podaci odnose. Organizacija koja odlučuje zašto i kako se vaši podaci obrađuju je Data Fiduciary (povjerenik za podatke). Riječ "povjerenik" je namjerna: ona signalizira odnos povjerenja, u kojem tvrtka čuva vaše informacije za definiranu svrhu, a ne posjeduje ih potpuno.

Vaša prava na privolu prema DPDP zakonu

Privola je u središtu okvira. Komentari zakona opisuju ga kao model koji prvenstveno počiva na privoli: od tvrtki se očekuje da pitaju prije obrade vaših osobnih podataka, umjesto da pretpostavljaju dopuštenje skriveno u dugom pravilniku.

Na temelju objavljenih sažetaka zakona, pojedincima se daju konkretna prava, uključujući:

  • Pristup: pravo na dobivanje informacija o osobnim podacima koje tvrtka drži o vama (za to se obično navodi članak 11(1)).
  • Ispravak: pravo na ispravljanje netočnih podataka.
  • Brisanje: pravo zatražiti brisanje svojih podataka.
  • Rješavanje pritužbi: pravo podnijeti pritužbu i dobiti odgovor na nju.

U praksi to znači da možete pisati tvrtki, pitati što drži, ukazati na pogreške ili zatražiti brisanje. Ako tvrtka ne odgovori primjereno, postoji definiran put za pritužbe. To su alati koje vrijedi poznavati, čak i ako nikada ne upotrijebite više od jednog od njih.

Što povjerenici za podatke sada moraju činiti

Druga strana vaših prava je popis dužnosti za organizacije. Sažeci zakona opisuju obveze povjerenika za podatke da obrađuju podatke zakonito, da ih čuvaju sigurnima i da rješavaju zahtjeve korisnika. Privola mora biti smislena, što tvrtke odvraća od nejasnih, objedinjenih dopuštenja.

Te dužnosti nose posljedice. Naš tekst o kaznama i novčanim kaznama prema DPDP zakonu do 250 crore rupija pokazuje kako provedba podupire pravila, što je važno jer je pravo bez kazne lako zanemariti.

Vrijeme je također važno. Obveze se uvode postupno kroz pravila i rokove, pa se ne primjenjuju sve dužnosti istog dana. Naš pregled rokova usklađenosti s DPDPA-om i rizika za direktore pokriva kada se od tvrtki očekuje ispunjavanje tih zahtjeva i koga se može smatrati odgovornim unutar organizacije.

Gdje zakon ne doseže i što korisnici mogu sami učiniti

Zakon može uređivati što tvrtke rade s podacima koje su prikupile. Ne može sam po sebi zaustaviti svaki način na koji su vaše informacije izložene. Nekoliko ograničenja vrijedi razumjeti.

Prava ovise o tome da ih koristite. Zahtjevi za pristup, ispravak i brisanje djeluju samo ako ih pošaljete. Većina ljudi to nikada ne učini.

Zakon uređuje odnos s tvrtkom, a ne mrežu između. Tu VPN ulazi u igru i tu se zaustavlja. VPN šifrira promet između vašeg uređaja i VPN poslužitelja te skriva vašu IP adresu od stranica i lokalnih promatrača mreže. To može smanjiti praćenje i prisluškivanje na javnom Wi-Fi-ju. No VPN ne mijenja ono što tvrtka radi s informacijama koje joj izravno predate, poput imena, e-adrese ili podataka o računu nakon prijave. Nije zamjena za vaša DPDP prava, a zakon VPN ne čini ni nužnim ni nepotrebnim.

Zasićenje privolom je stvarno. Čak i model koji prvenstveno počiva na privoli može biti oslabljen ako ljudi kliknu "prihvati" na svaki upit. Zakon vam daje mogućnost; još uvijek morate čitati i birati.

Što to znači za vas

Ako živite u Indiji ili koristite usluge koje obrađuju podatke indijskih korisnika, DPDP zakon daje vam jasniju osnovu za postavljanje pitanja i očekivanje odgovora. Možete zatražiti uvid u ono što tvrtka drži, zatražiti ispravke i zatražiti brisanje. Ako tvrtka ne odgovori, možete se poslužiti putem za pritužbe.

Istodobno, zakon nije štit od svakog rizika. Tretirajte ga kao jedan sloj. Vaše vlastite navike, poput dopuštenja koja dajete, računa koje držite i mrežnih zaštita koje odaberete, čine ostatak.

Praktični zaključci

  • Pregledajte upite za privolu prije prihvaćanja. Odbijte sve što nije potrebno za uslugu.
  • Iskoristite svoja prava. Pošaljite zahtjev za pristup ili brisanje usluzi koju više ne koristite.
  • Vodite evidenciju o zahtjevima i odgovorima u slučaju da trebate eskalirati pritužbu.
  • Očistite stare račune koji još drže vaše osobne podatke.
  • Koristite VPN iz pravog razloga: za zaštitu prometa na nepouzdanim mrežama, a ne za kontrolu nad tim kako tvrtka koristi podatke koje s njom dijelite.

Korisnička prava na privatnost prema indijskom DPDP zakonu jaka su onoliko koliko su jaki ljudi koji ih ostvaruju i provedba koja stoji za njima. Da biste vidjeli kako kazne tim pravima daju težinu, pročitajte naš tekst o DPDP kaznama i provjerite tekst o rokovima usklađenosti kako biste razumjeli kada tvrtke moraju početi ispunjavati te dužnosti.