インドのデジタル個人データ保護法2023（DPDPA）と付随する規則2025は、デジタルコマースにおける個人データの取り扱いを大きく変えようとしています。この話題に関する最近のLexologyの分析は、ショッピングカートをデータ収集ポイントとして位置づけており、その枠組みは有用です。ショッピングアプリにおけるアカウント登録、保存された住所、支払い設定、閲覧パターンのすべてが個人データです。インドDPDPAのオンラインショッピングプライバシーに関心を持つ人にとっての疑問は、買い物客として実際に何を得られるのか、そしてどのツールにもできないことは何か、という点です。

インドDPDPAオンラインショッピングプライバシー：Eコマースデータに何が変わるか

DPDPAは、個人データの収集、処理、保存を統括するインド初の包括的枠組みです。特定の用語を用いており、データを収集される人物を「データ主体（Data Principal）」、データがなぜどのように使用されるかを決定する企業を「データ管理者（Data Fiduciary）」と呼びます。実際には、あなたがデータ主体であり、ショッピングプラットフォームがデータ管理者です。

法律事務所による規則の要約は、大規模プラットフォームに対する具体的な義務を指摘しています。それらの要約によれば、規則はEコマース事業者、ソーシャルメディアプラットフォーム、オンラインゲーミング企業を含む特定のクラスのデータ管理者に対する消去要件を定めています。ある要約はこの要件を次のように説明しています。非アクティブなユーザーデータは3年後に削除されなければならず、ユーザーには48時間前の通知が必要です。別の要約は、データ主体が最後に企業にアクセスしてから3年以内の消去を説明しています。

どのプラットフォームが該当するか、また「非アクティブ」がどのように定義されるかの詳細は重要ですので、これらの数字は法的助言ではなく要約として扱ってください。方向性は依然として明確です。無期限にデータを収集し、「念のため」に保持することは正当化が難しくなります。

買い物客が得る同意、削除、訂正の権利

この法律は同意を中心に構築されています。企業は、どのようなデータをなぜ収集するかを伝え、その目的のために処理することが求められます。買い物客にとっては、利用規約に埋もれた単一の包括的承認ではなく、登録時やチェックアウト時により明確なプロンプトが表示されるべきことを意味します。

期待できる権利には以下が含まれます。

  • 同意の撤回。 以前に与えた許可を撤回できるべきであり、そのプロセスは許可を与える場合より難しくあってはなりません。
  • 訂正。 住所、電話番号、その他の詳細が誤っている場合、修正を求めることができます。
  • 消去。 法的例外を条件として、個人データの削除を要求できます。
  • 苦情処理。 プラットフォームは、データの取り扱いに関する苦情を申し立てる方法を提供しなければなりません。

非アクティブに基づく削除ルールは、忘れていたアカウントに対する安全網を追加します。保存された住所と注文履歴を持つ放置されたショッピングプロフィールは、何年も残り、侵害に巻き込まれる傾向があるまさにその種の記録です。

オンラインショッピング中にVPNができることとできないこと

VPNはデバイスとVPNサーバー間の接続を暗号化し、訪問するサイトからIPアドレスを隠します。これは公共Wi-Fi上で役立ち、サイトが位置を推定するために使用する一つの信号を制限します。有用な層ですが、DPDPAとは異なる問題を解決します。

ショッピングアプリにログインすると、プラットフォームは依然としてあなたが誰かを知っています。IPアドレスが何を示していても、アカウント、配送先住所、支払い詳細、購入履歴が見えます。VPNは、企業が自発的に提供したデータの収集を止めるものではなく、そのデータがどのくらい保存されるか、削除されるかどうかを制御するものでもありません。これらは法的問題であり、DPDPAがそのためのツールです。

実用的な限界もあります。VPNは機能する接続に依存しており、アクセス自体が遮断された場合は役に立ちません。インターネット遮断中にVPNができることとできないことに関する解説は別のシナリオを扱っていますが、同じ原則を示しています。VPNは定義された境界を持つ一つのツールであり、包括的な盾ではありません。

逆もまた真です。法律は、覗き見するネットワークや暗号化されていないホットスポットからあなたを保護しません。両者は組み合わせることで最もよく機能します。

あなたにとっての意味：チェックアウト時のトラッキングを制限するステップ

すべての規定が完全に施行されるのを待つ必要はありません。習慣を厳しくし始めましょう。以下のステップを検討してください。

  1. ショッピングアプリの同意設定を見直す。 プライバシーやデータ設定を探し、不要なオプションのトラッキング、パーソナライズ広告、連絡先の同期をオフにしてください。
  2. 使わなくなったアカウントを削除する。 一定期間の非アクティブ後の自動削除だけに頼らないでください。アプリ内の削除または消去リクエストオプションがあれば利用してください。
  3. 保存された詳細を確認し訂正する。 古い住所や電話番号は、プライバシーと配送の両方の問題です。
  4. 可能な場合はゲストチェックアウトを使用する。 保存されるプロフィールが少なければ、保護すべき記録も少なくなります。
  5. 必要な情報だけを共有する。 フォームが配送と支払いに必要な以上の情報を求めている場合、任意のフィールドは任意として扱ってください。
  6. ブラウザ設定を厳しくする。 サードパーティCookieをブロックし、サイトデータを定期的に消去し、ブラウザに組み込まれたトラッキング保護機能を使用してください。
  7. 信頼できないネットワークではVPNを使用する。 それは接続を保護するものであり、アカウントデータを保護するものではありません。
  8. リクエストの記録を保管する。 削除や訂正のリクエストを提出した場合、苦情をエスカレーションする必要が生じた場合に備えて確認を保存してください。

なぜこれらの制限がショッピング以外でも重要なのでしょうか。個人データは一箇所にとどまることはほとんどないからです。インドでは身元データと監視に関する議論が活発であり、第21条に基づく顔認識プライバシー論争から、カルナータカ州におけるソーシャルメディア登録へのアーダール要件提案に関する懸念まで、さまざまです。商業プラットフォームが収集するものを制限することは、誰があなたの情報を保有し、どのくらいの期間保有するかについてのより大きな議論の一部です。

まとめ

インドDPDPAのオンラインショッピングプライバシーは、役割分担に帰結します。法律は同意、訂正、削除に関する権利を与え、大規模なEコマースプラットフォームに保持制限を課します。VPNと適切なブラウザ設定は、ネットワーク上およびサードパーティトラッカーからの露出を減らしますが、小売業者にあなたが伝えたことを忘れさせることはできません。

今週、最もよく使うショッピングアプリを開き、同意のトグルを見直し、アカウント削除またはデータ消去のオプションを見つけてください。不要になったプロフィールを削除し、規則の施行に伴い権利を行使してください。実施の詳細は進化する可能性があるため、最新の要件についてはプラットフォームのプライバシー通知と公式ガイダンスを確認してください。