India digitális személyes adatok védelméről szóló (DPDP) törvénye túljutott az elméleti szakaszon. Mivel rendelkezéseinek többsége várhatóan 2027 májusáig lép hatályba, minden személyes adatot gyűjtő vagy feldolgozó vállalatnak – beleértve az induló vállalkozásokat is – új jogi kötelezettségeknek kell megfelelnie. A hétköznapi felhasználók számára azonban nem az a legsürgetőbb kérdés, hogy a startupok készen állnak-e. Hanem az, hogy a DPDP törvényben foglalt fogyasztói adatvédelmi jogok valójában mit jelentenek annak a személynek, akinek a telefonszáma, tartózkodási előzményei és pénzügyi adatai éppen tucatnyi alkalmazás adatbázisában pihennek.

Mit változtat a DPDP törvény a mindennapi indiai felhasználók számára

A legtöbb indiai állampolgárnak eddig alig volt formális beleszólása abba, hogy a regisztráció során átadott személyes adatait hogyan használják fel a vállalatok. A DPDP törvény újrakeretezi ezt a kapcsolatot. Az egyéneket „Data Principals”, az adataikat gyűjtő vállalatokat pedig „Data Fiduciaries” kategóriába sorolja – ez a megkülönböztetés bürokratikusnak hangzik, de valódi súlya van. A fiduciáriusok kötelesek annak a személynek az érdekében eljárni, akinek az adatait kezelik, nem csupán a saját kereskedelmi érdekeiket szem előtt tartva.

Egy ételkiszállító alkalmazást, hitelplatformot vagy fitneszkövetőt működtető startup számára ez azt jelenti, hogy a hozzájárulás többé nem lehet egy elásott jelölőnégyzet. A cégeknek világosan közölniük kell, miért gyűjtenek adatot, külön hozzájárulást kell kérniük ehhez a célhoz, és le kell állítaniuk az adatok használatát, amint a cél megvalósult. Ez az elmozdulás a „gyűjts össze mindent, és utólag kérj bocsánatot” megközelítéstől egy olyan rendszer felé, ahol a bizonyítási teher a vállalaton nyugszik.

Az Ön új adathoz fűződő jogai: hozzáférés, helyesbítés és törlés

A DPDP törvény gyakorlati értéke a fogyasztók számára néhány kikényszeríthető jogban rejlik. Amint a vonatkozó rendelkezések hatályba lépnek, az egyének kérhetik egy vállalattól, hogy tájékoztassa őket, milyen személyes adatokat tárol róluk, kérhetik azok helyesbítését, ha pontatlanok vagy elavultak, valamint követelhetik a törlést, ha a gyűjtés célja már nem áll fenn.

Ezek a jogok nem egyedülállóak Indiában, de jelentős eltérést jelentenek attól, ahogyan a legtöbb indiai alkalmazás és platform jelenleg működik. Manapság egy fiók törlése ritkán jelenti azt, hogy az adatok eltűnnek a vállalat szervereiről. A DPDP törvény alapján a vállalatoknak valós mechanizmusokat – nem csupán irányelvekben megfogalmazott szövegeket – kell kiépíteniük, hogy az emberek gyakorolhassák ezeket a jogokat. Ennek valós következményei vannak arra nézve, hogyan építik fel a startupok termékeiket az alapoktól kezdve – ezt a változást részletesen bemutatja az a cikk, amely arról szól, hogyan viszi a DPDP törvény India adatvédelmét a vállalatvezetés elé, ahol a megfelelőség vezetői szintű kérdéssé válik ahelyett, hogy csendben a jogi csapatok intéznék.

Adatvédelmi incidens bejelentése és mi történik, ha az induló vállalkozások nem felelnek meg

A papíron létező jogok csak akkor számítanak, ha figyelmen kívül hagyásuknak következményei vannak. A DPDP törvény bevezeti az adatvédelmi incidens bejelentésének kötelezettségét, ami azt jelenti, hogy a vállalatoknak értesíteniük kell mind a szabályozó hatóságokat, mind az érintett egyéneket, ha a személyes adatok sérülnek. Egy olyan országban, ahol az adatvédelmi incidensek gyakran észrevétlenek maradtak, vagy csak biztonsági kutatók vagy a sajtó jelentései révén derültek ki, ez érdemi változást jelent az elszámoltathatóság terén.

A törvény a szabályozóknak jogkört ad arra is, hogy pénzbírságot szabjanak ki azokra a vállalatokra, amelyek nem teljesítik kötelezettségeiket – legyen szó nem megfelelő biztonsági intézkedésekről, a hozzájárulási követelmények figyelmen kívül hagyásáról vagy az érintett felhasználók értesítésének elmulasztásáról egy incidens után. A szűkös árréssel működő startupok számára a mostantól 2027 májusáig rendelkezésre álló felkészülési időszak arra szolgál, hogy legyen idejük ezeket a rendszereket megfelelően kiépíteni, ahelyett, hogy utólag kapkodnának.

Mit jelent ez Önnek: követelések, amelyeket 2027 előtt meg kell fogalmazni

A megfelelési határidő még előttünk áll, ami azt jelenti, hogy a törvény által ígért védelem és az alkalmazások által jelenleg nyújtott gyakorlat közötti szakadék továbbra is széles. A felhasználóknak nem kell passzívan várniuk 2027-ig ahhoz, hogy kérdéseket tegyenek fel. Mielőtt bizalmas adatokat bíznánk egy alkalmazásra, érdemes megkérdezni, mennyi ideig tárolják ezeket az adatokat, megosztják-e harmadik felekkel, és van-e a vállalatnak világos folyamata a törlési kérelmek kezelésére már ma is, nem csupán egy jövőbeli ígéret.

Érdemes szkeptikusnak maradnunk azzal kapcsolatban is, hogy a szabályozás önmagában mennyi védelmet fog nyújtani. A DPDP törvény hatékonysága erősen függ a végrehajtástól, és máris felmerültek kérdések, mennyire lesz független India Adatvédelmi Testülete a gyakorlatban. Ez kritikus részlet, mert egy erős papíron létező jogokat biztosító törvény keveset ér, ha a végrehajtásért felelős szerv nem rendelkezik a függetlenséggel ahhoz, hogy felelősségre vonja a befolyásos vállalatokat. Azok az olvasók, akiket aggaszt ez a hiányosság, alaposan nézzék meg azt a beszámolót, amely bemutatja, hogyan került tűz alá India Adatvédelmi Testületének függetlensége, és hogy a szabályozói védelem miért nem biztos, hogy olyan biztonsági hálót nyújt, mint azt a fogyasztók várják.

A lényeg

A DPDP törvény érdemi új minimumot határoz meg a fogyasztói adatvédelmi jogok terén Indiában, jogalapot biztosítva az egyéneknek személyes adataikhoz való hozzáféréshez, azok helyesbítéséhez és törléséhez, valamint kötelezi a vállalatokat az incidensek nyilvánosságra hozatalára azok eltussolása helyett. Ám a mostantól a 2027-es teljes körű végrehajtásig tartó időszak pontosan az, amikor az éberség a legfontosabb. Kérdezzen rá közvetlenül az alkalmazásoknál és szolgáltatásoknál az adatok tárolására és törlésére már most, ne feltételezze, hogy a hallgatás megfelelést jelent, és kísérje figyelemmel, mennyire működik függetlenül az Adatvédelmi Testület, amint a valódi végrehajtás megkezdődik. A papíron létező jogok csak akkor válnak valósággá, ha valaki hajlandó élni velük, és ha a mögöttük álló végrehajtási mechanizmusnak megvan a kellő ereje ahhoz, hogy érvényt is szerezzen nekik.