Nezavisnost indijskog Odbora za zaštitu podataka pod pritiskom
Kada je Indija 2023. godine donijela Zakon o zaštiti digitalnih osobnih podataka (DPDP), obećala je stanovnicima moderan okvir za kontrolu nad time kako tvrtke i vladine agencije obrađuju njihove osobne podatke. U središtu tog obećanja nalazi se Odbor za zaštitu podataka Indije, tijelo zaduženo za provedbu zakona, istraživanje pritužbi i kažnjavanje prekršitelja. No, sve veći broj pravnih stručnjaka postavlja izravno pitanje: je li taj odbor doista dovoljno neovisan da poziva na odgovornost moćne institucije, uključujući i samu vladu?
Ta zabrinutost nije hipotetska. Regulatorna neovisnost određuje može li nadzorno tijelo djelovati protiv politički povezanih tvrtki ili vladinih odjela bez straha od odmazde. Ako tijelo koje bi trebalo štititi privatnost vaših podataka prvenstveno odgovara istoj izvršnoj vlasti koju će možda trebati istraživati, cijela provedbena struktura riskira da postane simbolična, a ne suštinska.
Kako Odbor za zaštitu podataka dobiva svoje članove
Za razliku od neovisnih regulatora u nekim drugim jurisdikcijama, sastav i funkcioniranje Odbora za zaštitu podataka uvelike su oblikovani pravilima koja središnja vlada sama izrađuje i kontrolira. Vlada određuje postupak odabira predsjednika i članova Odbora, uvjete njihove službe te okolnosti pod kojima mogu biti razriješeni. Ovakav raspored koncentrira značajan utjecaj nad vodstvom Odbora u rukama upravo one izvršne vlasti koju će jednoga dana možda trebati podvrgnuti nadzoru, bilo da se taj nadzor odnosi na državnu bazu podataka, banku u javnom sektoru ili privatnu tvrtku s bliskim vezama s vladom.
Kritičari ističu da istinska regulatorna neovisnost obično zahtijeva fiksne mandate, transparentne i izolirane postupke imenovanja te zaštitu od razrješenja koja sprječava političko uplitanje. Bez tih zaštitnih mehanizama, odbor može tehnički postojati na papiru, dok funkcionira kao produžetak izvršnih preferencija, a ne kao neutralni arbitar prava na zaštitu podataka.
Poznat problem, čak i pod jačim zakonima
Ovo nije isključivo indijska dilema. Opća uredba o zaštiti podataka Europske unije (GDPR) često se ističe kao zlatni standard za provedbu privatnosti, no njezina vlastita tijela za zaštitu podataka godinama su se suočavala s kritikama zbog nejednake provedbe, kronične podfinanciranosti i sporih istraga, osobito protiv velikih multinacionalnih tehnoloških tvrtki sa sjedištem u zemljama s blažim regulatorima. Pouka iz iskustva EU-a jest da snažan zakonski tekst sam po sebi ne jamči snažnu provedbu. Neovisnost mora biti ugrađena u institucionalni dizajn, financiranje i strukturu imenovanja, a ne samo deklarirana u preambuli zakona.
Situacija u Indiji dodaje još jedan sloj složenosti: velik dio praktičnog okvira DPDP zakona, uključujući kako Odbor zapravo svakodnevno funkcionira, prepušten je pravilima i obavijestima koje vlada naknadno izdaje. To izvršnoj vlasti daje trajan utjecaj na to koliko će se strogo ili labavo zakon provoditi, dugo nakon što je samo zakonodavstvo usvojeno.
Zašto je ovo važno i izvan pravnih krugova
Ova rasprava nije samo akademska. Indija je već svjedočila velikim izloženostima osjetljivih osobnih podataka, uključujući incidente poput pogrešne konfiguracije CBSE pohrane u oblaku koja je izložila podatke povezane s otprilike dva milijuna učenika. Kada dođe do povreda podataka koje uključuju institucije povezane s vladom, pitanje može li provedbeno tijelo provesti nepristranu istragu odmah postaje praktično, a ne teorijsko. Odbor koji se percipira kao podložan istoj vladi čije su agencije loše postupale s podacima ima manji kredibilitet za zahtijevanje odgovornosti, transparentnosti ili sanacije.
Što to znači za vas
Ako ste stanovnik Indije, to ne znači da je DPDP zakon beznačajan. To znači da ne biste trebali pretpostaviti da će regulatorna zaštita stići brzo ili snažno, osobito u slučajevima koji uključuju vladina ili kvazi-vladina tijela. Sve dok neovisnost Odbora za zaštitu podataka ne bude testirana kroz stvarne provedbene mjere, pojedinci su i dalje prva linija obrane vlastitih podataka.
To znači biti promišljen o tome koje osobne podatke dijelite s aplikacijama, web stranicama i vladinim portalima, koristiti snažne, jedinstvene lozinke i uključiti dvofaktorsku autentifikaciju gdje god je to moguće. To također znači obraćati veću pozornost na to kako organizacije s kojima komunicirate — škole, banke, pružatelji zdravstvenih usluga — objavljuju podatke o praksama rukovanja podacima i reagirati kada su te objave nejasne ili nepotpune.
Ključni zaključci
- Pregledajte postavke privatnosti i dopuštenja za dijeljenje podataka na aplikacijama i uslugama koje redovito koristite i opozovite pristup koji vam više nije potreban.
- Nemojte pretpostavljati da će se povreda podataka koja uključuje subjekt povezan s vladom istraživati jednako agresivno kao ona koja uključuje privatnu tvrtku; izravno pitajte koja se zaštita odnosi na vas.
- Prakticirajte minimiziranje podataka: dijelite samo ono što je zakonski obavezno, osobito s platformama povezanim s javnim institucijama.
- Pratite kako Odbor za zaštitu podataka rješava svoje prve visokoprofilirane provedbene slučajeve. Njegovo stvarno ponašanje, a ne samo zakonski mandat, otkrit će koliko je doista neovisan.
Indijski okvir za zaštitu podataka još je mlad, a zabrinutosti oko neovisnosti iznesene sada mogle bi oblikovati reforme u budućnosti. Biti informiran i oprezan s vlastitim podacima ostaje najpouzdanija zaštita dok taj okvir sazrijeva.
