India 2023-ban elfogadott digitális személyes adatvédelmi törvénye (DPDP Act) már nem csupán egy jogi megfelelőségi ellenőrzőlista, amelyet az IT- vagy a jogi csapatok csendben kezelnek. Az ETLegalWorld friss elemzése szerint a jogszabály átalakítja, hogyan gondolkodnak az indiai vállalatok az adatvédelmi irányításról, és olyan üggyé emeli, amelyet az igazgatótanácsoknak aktívan felügyelniük kell, nem pedig delegálni és elfelejteni.
Ez a változás azért számít, mert alapjaiban alakítja át a vállalatvezetés és a személyes adatok kezelése közötti viszonyt. Éveken át a legtöbb szervezetnél az adatvédelmi megfelelést operatív feladatként kezelték – valami, amit a CISO vagy a jogtanácsos a háttérben intéz. A DPDP törvény ezt a felelősséget felfelé tolja: az adatvédelmi irányítás stratégiai kérdéssé válik, amely érinti a kockázati bizottságokat, az audit funkciókat és végső soron magát az igazgatótanácsot.
Miért lett most igazgatótanácsi ügy az adatvédelmi irányítás?
A DPDP törvény új keretbe helyezi, hogyan kell az indiai vállalatoknak kezelniük a személyes adatok teljes életciklusát – a gyűjtéstől és feldolgozástól kezdve a tároláson át a végleges törlésig. E keretrendszer szerint az indiai állampolgárok személyes adatait kezelő szervezetektől elvárás, hogy olyan elszámoltathatósági struktúrákat építsenek ki, amelyek nemcsak a szabályozó hatóságok, hanem maga az igazgatótanács vizsgálatát is kiállják.
Ez jelentős eltérés attól, ahogyan a vállalatirányítás hagyományosan kezelte az adatvédelmet. Korábban sok vállalat az adatvédelmet technikai vagy jogi funkciónak tekintette, amit akkor kell reaktív módon kezelni, ha probléma merül fel. A DPDP törvény proaktívabb hozzáállást sürget, ahol az igazgatótanácsnak rálátással kell rendelkeznie arra, hogyan kezelik az adatokat a teljes szervezetben, nem csupán akkor, ha valami baj történt.
Ez a proaktív szemlélet egyre szükségesebbé válik, tekintve, hogy a szervezetek milyen gyakran csak egy incidens után fedezik fel az adatvédelmi hiányosságokat. A vállalati kiberellenálló képességgel kapcsolatos más kutatások, köztük az RSM megállapítása, miszerint minden harmadik ausztrál vállalatot ért zsarolóvírus-támadás, egy visszatérő mintát mutatnak: sok cég azt hiszi, hogy az adatkezelése szilárd, mígnem egy valós incidens leleplezi a feltételezés és a valóság közötti szakadékot. Azok az igazgatótanácsok, amelyek megvárják a válságot, hogy foglalkozzanak az adatvédelmi kockázattal, lényegében a szabályozói és reputációs kitettséggel játszanak.
Mi változik az indiai vállalatok számára?
Az indiai cégek számára a DPDP törvény igazgatótanácsi keretbe helyezésének gyakorlati következménye, hogy a megfelelés többé nem létezhet elszigetelten. Az adatvédelmi irányítást mostantól a szélesebb vállalati kockázatkezelésbe kell szőni, a pénzügyi kontrollok, a kiberbiztonsági védelem és a működési ellenálló képesség mellé.
Ez azt jelenti, hogy az igazgatótanácsoktól elvárás, hogy keményebb kérdéseket tegyenek fel: Milyen személyes adatokat gyűjt a vállalat, és miért? Hogyan szerzik be és követik nyomon a hozzájárulásokat? Ki fér hozzá az érzékeny információkhoz, és hogyan auditálják ezt a hozzáférést? Mi történik, ha egy adatfeldolgozó partner nem teljesíti a kötelezettségeit? Ezek többé nem olyan kérdések, amelyeket egy megfelelőségi tisztviselő negyedéves jelentésében tartogatnak. Olyan állandó napirendi pontokká válnak, amelyeket az igazgatóknak meg kell érteniük, és amelyekre reagálniuk kell.
A vállalatok, amelyek történelmileg csupán egy kipipálandó feladatként kezelték az adatvédelmi megfelelést, kényelmetlennek találhatják ezt az átmenetet. Valódi adatkezelési keretrendszerek kiépítése, amelyek megfelelnek az igazgatótanácsi szintű ellenőrzésnek, időt, erőforrásokat és a jogi, az IT- és a felsővezetői szint közötti, részlegeken átívelő koordinációt igényel. De az alternatíva – az adatvédelem utólagos gondolatként való kezelése – egyre nagyobb stratégiai kockázatot hordoz, ahogy a szabályozói elvárások érnek.
Mit jelent ez Önnek?
Ha egy indiai vállalatnál dolgozik, vagy ügyfélként, munkavállalóként, partnerként kapcsolatba kerül eggyel, az irányítási filozófia ezen elmozdulásának valós következményei vannak. Azok a vállalatok, amelyek nyomás alatt állnak, hogy igazgatótanácsi szintű elszámoltathatóságot mutassanak az adatvédelem terén, nagyobb valószínűséggel fektetnek be erősebb hozzájárulási mechanizmusokba, egyértelműbb adatmegőrzési szabályokba és jobb incidenskezelési protokollokba. Ez átláthatóbbá teheti a személyes adatai felhasználását és védelmét.
A megfelelőségi, jogi vagy IT-biztonsági szerepkörben dolgozó munkavállalók számára a DPDP törvény igazgatótanácsi keretbe helyezése karrier- és szervezeti változást is jelez. Azok a szakemberek, akik folyékonyan beszélnek a jogi, a technikai és az üzleti kockázmenedzsment területein, egyre értékesebbé válnak, ahogy a cégek átalakítják az adatvédelmi döntéshozatal és -jelentés folyamatát.
A fogyasztók számára a szélesebb tanulság a megnövekedett érdekérvényesítő képesség. Ahogy az igazgatótanácsok egyre inkább irányítási kérdésként tekintenek az adatvédelemre, a vállalatok erősebb ösztönzést kapnak arra, hogy reagáljanak, amikor az egyének aggályokat vetnek fel az adataik gyűjtésével vagy felhasználásával kapcsolatban. Ez nem azt jelenti, hogy a kockázat megszűnik, de az elszámoltathatósági struktúrák formálisabbá válnak.
Főbb tanulságok
A DPDP törvény azon törekvése, hogy az adatvédelmi irányítást igazgatótanácsi szintre emelje, egy szélesebb globális trendet tükröz: az adatvédelem többé nem pusztán technikai vagy jogi kérdés, hanem stratégiai. Azok az indiai vállalatok, amelyek korán alkalmazkodnak, és valódi irányítási struktúrákat építenek ki felszínes megfelelőségi rétegek helyett, jobb helyzetben lesznek a szabályozói kockázat kezelésére és az ügyfelek bizalmának megőrzésére.
Ha Ön üzleti vezető, itt az ideje megkérdezni, hogy a szervezete az adatvédelmet állandó igazgatótanácsi prioritásként vagy utólagos gondolatként kezeli-e. Ha Ön fogyasztó, a tájékozottság arról, hogyan kezelik a vállalatok a személyes adatait, és a kérdések feltevése, ahol hiányos az átláthatóság, továbbra is az egyik leghatékonyabb módja annak, hogy a szervezeteket elszámoltassuk ebben a változó szabályozási környezetben.
