De Digital Personal Data Protection Act, 2023 (de DPDP Act) is India's eerste specifieke wet voor de bescherming van persoonsgegevens. Een recente uitleg van een beveiligingsonderzoeker op DEV Community leidt ontwikkelaars door waarom de wet nodig was en wat deze betekent voor hun technologiestack. Dit artikel neemt een andere invalshoek. Het is een India DPDP Act uitgelegd-gids voor alledaagse gebruikers, met aandacht voor wat de wet u biedt, hoe deze zich verhoudt tot de GDPR van Europa, en wat deze wel en niet kan betekenen voor uw privacy.
Wat de DPDP Act u geeft als dataprincipaal
De wet gebruikt een eigen vocabulaire. U, het individu wiens gegevens worden verzameld, bent het "dataprincipaal". Het bedrijf of de organisatie die bepaalt waarom en hoe uw gegevens worden verwerkt, is de "datafiduciair". De formulering is belangrijk omdat zij de relatie kadert als een van vertrouwen en verplichting, niet alleen als een commerciële transactie.
Als raamwerk regelt de wet hoe bedrijven de persoonsgegevens van mensen in India verzamelen, gebruiken, delen en verwijderen. In de praktijk vallen de beschermingen die er het meest toe doen voor gewone gebruikers uiteen in vier gebieden:
- Toestemming: Organisaties worden geacht te vertrouwen op uw instemming bij het verwerken van uw gegevens, in plaats van deze stilletjes op de achtergrond te verzamelen.
- Toegang: U kunt vragen welke persoonsgegevens een organisatie over u heeft en hoe deze worden gebruikt.
- Correctie en wissing: U kunt vragen om onjuiste gegevens te corrigeren en om gegevens te verwijderen wanneer deze niet langer nodig zijn.
- Datalekmelding: Wanneer er iets misgaat, heeft de organisatie die uw gegevens beheert de plicht dit te melden, zodat u niet in het ongewisse blijft.
Deze rechten helpen alleen als u ze gebruikt. Een toestemmingsscherm waar u doorheen klikt zonder te lezen is nog steeds een beslissing die namens u wordt genomen.
Hoe DPDP zich verhoudt tot GDPR
Lezers die bekend zijn met de General Data Protection Regulation van de EU herkennen de brede vorm: een op rechten gebaseerd model rond toestemming, transparantie en verantwoordingsplicht. Net als de GDPR vervangt de DPDP Act een veel beperkter eerder raamwerk door een alomvattend nationaal kader.
De verschillen zijn de moeite waard om te kennen, zelfs als u alleen het grote geheel nodig heeft. Een opvallend gebied is grensoverschrijdende data. Analisten beschrijven de DPDP Act als wetgeving die het toestaat persoonsgegevens buiten India over te dragen, behalve naar landen die de Centrale Regering als beperkt heeft aangemerkt. Dat is een ander mechanisme dan de op adequaatheid gebaseerde aanpak die velen met de GDPR associëren, en sommige commentatoren hebben vraagtekens gezet bij of dit op zichzelf voldoende waarborg biedt.
De praktische conclusie: ga er niet van uit dat beschermingen die u van de GDPR kent identiek gelden in India. Terminologie, reikwijdte en handhavingsdetails verschillen, dus controleer de bijzonderheden voordat u vertrouwt op een recht dat u elders heeft.
Wat er verandert voor apps en diensten die Indiase data verwerken
Voor organisaties introduceert de wet nalevingsverplichtingen bij het verzamelen, verwerken, opslaan en overdragen van digitale persoonsgegevens. Dat reikt veel verder dan bedrijven die in India zijn gevestigd. Elke app of dienst die persoonsgegevens van mensen in India verwerkt, heeft reden om te herzien hoe zij toestemming verkrijgt, hoe lang zij gegevens bewaart en hoe zij reageert op verzoeken van gebruikers.
Voor u zou dit zich moeten uiten in duidelijkere toestemmingsprompts, beter toegankelijke instellingen voor het beheren of verwijderen van gegevens, en meer gestructureerde communicatie als er een datalek optreedt. Wereldwijde gebruikers van Indiase platforms kunnen ook veranderingen opmerken in hoe die diensten beschrijven waar gegevens naartoe gaan en waarom.
Handhaving is wat deze plichten gewicht geeft. Onze uiteenzetting van DPDP Act-boetes en boeten tot ₹250 crore laat zien hoe de financiële gevolgen van niet-naleving duidelijker worden, wat een sterke prikkel is voor bedrijven om verzoeken van gebruikers serieus te nemen.
Waar een VPN helpt en waar niet
Een VPN en een wet voor gegevensbescherming lossen verschillende problemen op, en het is gemakkelijk om ze te verwarren.
Een VPN versleutelt uw verkeer tussen uw apparaat en de VPN-server en verbergt uw IP-adres voor de sites die u bezoekt. Dat kan blootstelling op openbare wifi beperken en sommige tracking op netwerkniveau verminderen.
Wat een VPN niet doet, is veranderen wat u overdraagt zodra u bent ingelogd. Als u een app uw naam, telefoonnummer of contactenlijst geeft, weerhoudt de VPN die app er niet van deze te verwerken. Dat is precies het terrein dat de DPDP Act bestrijkt: wat organisaties mogen doen met gegevens die u heeft gedeeld, en welk verhaal u daarna heeft.
Zie ze als complementaire lagen. De wet regelt hoe organisaties met uw gegevens omgaan. Een VPN beschermt de verbinding waarover ze reizen. Geen van beide vervangt zorgvuldige keuzes over wat u deelt.
Wat dit voor u betekent
Als u in India woont of Indiase apps en diensten gebruikt, geeft de DPDP Act u een duidelijker set hulpmiddelen dan u voorheen had. De wet kan niet namens u handelen tenzij u er gebruik van maakt. Behandel toestemmingsprompts als echte beslissingen, en gebruik verzoeken om toegang en wissing wanneer een dienst gegevens heeft die u daar niet meer wilt.
Als u buiten India woont maar Indiase platforms gebruikt, verwacht dan dat die diensten hun omgang met gegevens en communicatie daarover aanpassen. Ga er niet van uit dat uw rechten uit uw thuisland met u meereizen, en lees de privacyvoorwaarden van elke dienst.
Concrete actiepunten
- Controleer toestemmingsinstellingen in de Indiase apps en diensten die u gebruikt, en trek machtigingen in die u niet nodig heeft.
- Vraag toegang tot de gegevens die een dienst over u heeft als u niet zeker weet wat deze verzamelt.
- Vraag correctie of verwijdering van verouderde of onnodige gegevens, vooral voor accounts die u niet meer gebruikt.
- Let op datalekmeldingen en handel er snel naar, bijvoorbeeld door wachtwoorden te wijzigen.
- Gebruik een VPN waarvoor deze goed is, het beschermen van uw verbinding, en vertrouw op wettelijke rechten om te regelen wat er gebeurt met gegevens die u deelt.
Om te begrijpen hoe de wet wordt gehandhaafd en wat niet-naleving kan kosten, lees onze gids over DPDP Act-boetes. Neem dan tien minuten om uw toestemmings- en gegevensinstellingen door te nemen. Nu de India DPDP Act is uitgelegd, is de volgende stap het in de praktijk brengen van zijn rechten.
