Visoki sud u Kerali poručio je saveznoj vladi da u roku od osam tjedana učini indijski Odbor za zaštitu podataka funkcionalnim. Prema The Hindu, sud je naveo da je privatnost građana ugrožena, a među razmatranim concernima je i način na koji se postupa s podacima putnika u zračnim lukama. Nalog Visokog suda u Kerali o Odboru za zaštitu podataka postavlja rok tijelu na koje se Zakon o digitalnoj zaštiti osobnih podataka (DPDP) iz 2023. oslanja za provedbu.

Dostupno izvještavanje je kratko, pa se ovaj članak drži onoga što je potvrđeno i objašnjava zašto je to važno.

Što je Visoki sud u Kerali naložio

Sud je naložio Centru da aktivira Odbor za zaštitu podataka u roku od osam tjedana. Nalog je uslijedio usred zabrinutosti za privatnost podataka putnika u zračnim lukama, a sud je primijetio da je privatnost građana ugrožena.

Nalog ne stvara novi zakon ni nove obveze. Traži od vlade da uspostavi instituciju koju postojeći zakon već opisuje. Ta razlika je važna: pravni okvir postoji, ali sud signalizira da okvir bez funkcionalnog provedbenog tijela nikoga u praksi ne štiti.

Zašto je Odbor za zaštitu podataka važan za DPDP zakon

DPDP zakon iz 2023. postavlja pravila o tome kako organizacije postupaju s osobnim podacima. Pravila na papiru vrijede samo ako netko može ispitati pritužbe, procijeniti kršenja i postupati po njima. Odbor za zaštitu podataka trebao bi biti to tijelo.

Dok ne bude funkcionalan, ljudi koji vjeruju da su njihovi podaci zloupotrijebljeni nemaju potpuno operativnog regulatora kojem bi uputili pritužbu. Organizacije se pak suočavaju s malim praktičnim pritiskom da promijene način na koji prikupljaju i pohranjuju informacije. To je srž provedbenog jaza na koji upućuje nalog suda: zakon može biti donesen i još uvijek ostati uvelike neprovediv.

Rok od osam tjedana konkretan je test. Čitatelji mogu pratiti hoće li Odbor do roka doista biti operativan te kakve će ovlasti i osoblje imati kad to postane.

Kako prikupljanje podataka o putnicima u zračnim lukama izlaže putnike riziku

Zračne luke su točka pritiska za osobne podatke. Putnici predaju identifikacijske dokumente, planove putovanja, a u nekim sustavima i biometrijske podatke kao dio rutinske obrade. Zabrinutost u ovom slučaju usredotočena je na podatke putnika u zračnim lukama i lako je vidjeti zašto: ljudi nemaju mnogo izbora oko toga da ih daju i rijetko znaju gdje se pohranjuju, ko im može pristupiti ili koliko dugo se čuvaju.

Velike, centralizirane zbirke ove vrste privlačne su mete i sigurne su samo onoliko koliko su sigurne kontrole oko njih. Bez regulatora koji može istražiti pritužbe ili ispitati prakse, putnici imaju ograničena pravna sredstva ako nešto pođe po zlu. Nedavni incidenti drugdje pokazuju kako izloženost izgleda. Probijena sigurnost portala ANTS za putovnice u Francuskoj uključivala je agenciju koja stoji iza sigurnosnih identifikacijskih dokumenata zemlje, a probijena sigurnost državnog registra Litve zahvatila je zapise koje drži sama država.

Kako se indijski provedbeni jaz uspoređuje s drugim režimima privatnosti

Mnogi režimi privatnosti povezuju zakonska prava s tijelom koje može primati pritužbe i izricati posljedice. Razlika u indijskom slučaju, kako ističe nalog suda, jest da je zakon donesen, dok tijelo koje ga treba provoditi još ne radi. U izvornom izvještavanju nismo vidjeli pojedinosti o tome kako će Odbor biti ustrojen, pa usporedbe treba praviti oprezno.

Ono što se može reći jest da snažan tekst sam po sebi ne sprječava izloženost. Vladine baze podataka kompromitirane su u drugim zemljama. Probijena sigurnost podataka u Meksiku koja je izložila 195 milijuna identiteta i 10 milijuna zapisa procurjelo iz čileanskog Civilnog registra pokazuju što se može dogoditi kada se podaci građana drže u velikom opsegu i slabo štite.

Što to znači za vas

Ako putujete kroz indijske zračne luke, nalog ne mijenja ono što se danas od vas prikuplja. Ono što čini jest povećava pritisak za funkcionalnog regulatora koji bi jednog dana mogao ispitati te prakse i saslušati pritužbe.

Za putnike i stanovnike općenito, praktična poanta je da se ne možete osloniti na regulatora da zaštiti podatke koji su već prikupljeni. VPN ne pomaže s podacima koje predajete na šalteru za prijavu ili graničnom šalteru, pa bi fokus trebao biti na ograničavanju onoga što dijelite i osiguravanju vlastitih računa.

Ključni zaključci

  • Dijelite samo osobne informacije koje su potrebne i pitajte što se prikuplja i zašto kada možete.
  • Čuvajte kopije svojih putnih i identifikacijskih dokumenata na sigurnom i izbjegavajte njihovo slanje nešifriranim kanalima.
  • Koristite jedinstvene lozinke i višefaktorsku autentifikaciju na računima zračnih prijevoznika, rezervacijskih i državnih usluga.
  • Pazite na obavijesti o probijanjima sigurnosti podataka koja utječu na usluge koje koristite i odmah promijenite vjerodajnice ako ste pogođeni.
  • Pratite hoće li Odbor za zaštitu podataka biti operativan nakon isteka roka od osam tjedana.

Nalog Visokog suda u Kerali o Odboru za zaštitu podataka podsjetnik je da prava na papiru trebaju instituciju iza sebe. Slaba provedba u kombinaciji s velikim vladinim bazama podataka dovodi do stvarne izloženosti, kako pokazuju probijanja sigurnosti u Meksiku i Čileu. Dok indijski Odbor ne počne raditi, postupajte sa svojim podacima pažljivo i dijelite ih štedljivo.