2023年デジタル個人データ保護法（DPDP法）は、インド初の個人データ保護に特化した法律です。DEV Communityにおけるセキュリティ研究者による最近の解説記事では、開発者向けにこの法律が必要とされた理由と、それが技術スタックにとって何を意味するのかが説明されています。本記事は異なる視点からアプローチします。これは一般ユーザー向けのインドDPDP法解説ガイドであり、この法律があなたに何を与えるのか、欧州のGDPRとどう比較されるのか、そしてあなたのプライバシーに対して何ができて何ができないのかを網羅しています。

データプリンシパルとしてDPDP法があなたに与えるもの

この法律は独自の用語を使用しています。データを収集される個人であるあなたは「データプリンシパル」です。あなたのデータがなぜ、どのように処理されるかを決定する企業や組織は「データフィデューシャリー」です。この文言は、関係を単なる商業取引ではなく、信頼と義務の関係として位置づけるため、重要です。

枠組みとして、この法律は企業がインド国内の人々の個人データをどのように収集、使用、共有、削除するかを規定しています。実際には、一般ユーザーにとって最も重要な保護は4つの領域に分かれます：

  • 同意： 組織は、バックグラウンドで静かにデータを収集するのではなく、データ処理においてあなたの同意に依拠することが求められます。
  • アクセス： 組織があなたについて保有する個人データとその使用目的を尋ねることができます。
  • 訂正と消去： 不正確なデータの修正と、不要になったデータの削除を求めることができます。
  • 侵害通知： 問題が発生した場合、あなたのデータを保有する組織には報告義務があり、あなたが知らないままにされることはありません。

これらの権利は、あなたが行使して初めて役立ちます。読まずにクリックする同意画面も、依然としてあなたに代わってなされた決定です。

DPDPとGDPRの比較

EUの一般データ保護規則（GDPR）に馴染みのある読者は、その全体的な形を認識するでしょう：同意、透明性、説明責任を中心に構築された権利ベースのモデルです。GDPRと同様に、DPDP法ははるかに限定的な以前の枠組みを、包括的な国内枠組みに置き換えるものです。

たとえ大きな全体像だけが必要であっても、違いを知る価値はあります。注目すべき領域の一つは国境を越えたデータです。アナリストは、DPDP法が中央政府が制限国として通知した国を除き、個人データのインド国外への移転を許可していると説明しています。これは、多くの人がGDPRと関連付ける十分性ベースのアプローチとは異なるメカニズムであり、一部の評論家はそれだけでは十分な保証を提供できるか疑問視しています。

実践的な結論：GDPRで知っている保護がインドでも同一に適用されると想定しないでください。用語、範囲、執行の詳細が異なるため、他国で持つ権利に依拠する前に詳細を確認してください。

インドのデータを扱うアプリとサービスに何が変わるか

組織にとって、この法律はデジタル個人データの収集、処理、保存、移転にわたるコンプライアンス義務を導入しています。それはインド拠点の企業をはるかに超えて及びます。インド国内の人々の個人データを扱うあらゆるアプリやサービスは、同意の収集方法、データの保持期間、ユーザーリクエストへの対応方法を見直す理由があります。

あなたにとって、これはより明確な同意プロンプト、データの管理や削除のためのよりアクセスしやすい設定、侵害が発生した場合のより体系的なコミュニケーションとして現れるはずです。インドのプラットフォームのグローバルユーザーも、それらのサービスがデータの行き先と理由をどう説明するかの変化に気づくかもしれません。

これらの義務に重みを与えるのは執行です。最大₹250クローのDPDP法罰則と罰金の解説は、非遵守の経済的影響がより明確になりつつあることを示しており、企业がユーザーリクエストを真剣に受け止める強い動機となっています。

VPNが役立つ場面とそうでない場面

VPNとデータ保護法は異なる問題を解決し、それらを混同するのは容易です。

VPNはデバイスとVPNサーバー間のトラフィックを暗号化し、訪問するサイトからあなたのIPアドレスを隠します。これは公共Wi-Fiでの露出を減らし、一部のネットワークレベルの追跡を制限することができます。

VPNがしないことは、ログイン後にあなたが渡すものを変えることです。アプリに名前、電話番号、連絡先リストを提供すれば、VPNはそのアプリがそれを処理するのを止めません。それこそがDPDP法がカバーする領域です：組織があなたが共有したデータで何をしてよいか、そしてその後あなたにどんな救済手段があるか。

これらを補完的な層と考えてください。法律は組織があなたのデータをどう扱うかを規定します。VPNはそれが通る接続を保護します。どちらも何を共有するかについての慎重な選択を代替するものではありません。

これがあなたにとって意味すること

インドに住んでいる、またはインドのアプリやサービスを使用しているなら、DPDP法は以前よりも明確なツールセットをあなたに与えます。あなたが関与しなければ、法律はあなたに代わって行動できません。同意プロンプトを本当の決定として扱い、サービスがあなたにもう持っていてほしくないデータを保有している場合は、アクセスと消去のリクエストを使用してください。

インド国外にいながらインドのプラットフォームを使用している場合は、それらのサービスがデータの扱い方とその説明方法を調整することを期待してください。母国の権利がそのまま適用されると想定せず、各サービスのプライバシー条項を読んでください。

実行可能なポイント

  1. 同意設定を確認する — 使用しているインドのアプリやサービスで、不要な許可を撤回しましょう。
  2. アクセスを請求する — サービスが何を収集しているか不明な場合、あなたについて保有するデータへのアクセスを求めましょう。
  3. 訂正または削除を求める — 古くなった、または不要なデータ、特に使用しなくなったアカウントのデータについて。
  4. 侵害通知に注意する — 例えばパスワード変更など、迅速に対応しましょう。
  5. VPNを得意なことに使う — 接続を保護しつつ、共有したデータの扱いを規定するのは法的権利に頼りましょう。

この法律がどのように執行され、非遵守が何を要するかを理解するには、DPDP法罰則ガイドをお読みください。その後、10分かけて同意とデータ設定を見直しましょう。インドDPDP法の解説を読んだら、次のステップはその権利を実際に活用することです。