Onafhankelijkheid van de Indiase Data Protection Board onder vuur

Toen India in 2023 de Digital Personal Data Protection (DPDP) Act aannam, beloofde het de inwoners een modern kader voor de controle over hoe bedrijven en overheidsinstanties met hun persoonlijke gegevens omgaan. Centraal in die belofte staat de Data Protection Board of India, het orgaan dat belast is met de handhaving van de wet, het onderzoeken van klachten en het bestraffen van overtreders. Maar een groeiend koor van juridische experts stelt een indringende vraag: is deze raad daadwerkelijk onafhankelijk genoeg om machtige instellingen, waaronder de overheid zelf, ter verantwoording te roepen?

De zorg is niet hypothetisch. Onafhankelijkheid van toezichthouders bepaalt of een waakhond kan optreden tegen politiek verbonden bedrijven of overheidsinstanties zonder bang te zijn voor vergelding. Als het orgaan dat bedoeld is om jouw gegevensprivacy te beschermen, voornamelijk verantwoording aflegt aan dezelfde uitvoerende macht die het mogelijk moet onderzoeken, loopt de hele handhavingsstructuur het risico symbolisch te worden in plaats van inhoudelijk.

Hoe de Data Protection Board zijn leden krijgt

In tegenstelling tot onafhankelijke toezichthouders in sommige andere rechtsgebieden, worden de samenstelling en het functioneren van de Data Protection Board sterk bepaald door regels die de centrale overheid zelf opstelt en beheert. De overheid bepaalt de selectieprocedure voor de voorzitter en de leden van de raad, hun dienstverband en de voorwaarden waaronder zij kunnen worden ontslagen. Deze regeling concentreert aanzienlijke invloed over het leiderschap van de raad in handen van precies die uitvoerende macht die het op een dag mogelijk moet onderzoeken, of dat onderzoek nu een staatsdatabase, een publieke sectorbank of een particuliere onderneming met nauwe overheidsbanden betreft.

Critici wijzen erop dat echte onafhankelijkheid van toezichthouders doorgaans een vaste ambtstermijn, transparante en afgeschermde benoemingsprocedures en bescherming tegen ontslag vereist om politieke inmenging te voorkomen. Zonder deze waarborgen kan een raad technisch gezien op papier bestaan, maar functioneren als een verlengstuk van de uitvoerende voorkeur in plaats van als neutrale scheidsrechter van gegevensrechten.

Een bekend probleem, zelfs onder strengere wetten

Dit is geen typisch Indiaas dilemma. De Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie wordt vaak gezien als de gouden standaard voor privacyhandhaving, maar de eigen gegevensbeschermingsautoriteiten hebben jarenlange kritiek gekregen op ongelijke handhaving, chronische onderfinanciering en trage onderzoeken, met name tegen grote multinationale techbedrijven die gevestigd zijn in landen met soepeler toezicht. De les uit de ervaring van de EU is dat sterke wettelijke taal alleen geen sterke handhaving garandeert. Onafhankelijkheid moet ingebouwd zijn in het institutionele ontwerp, de financiering en de benoemingsstructuur, niet alleen beweerd in de preambule van de wet.

De situatie in India voegt een extra laag complexiteit toe: veel van het praktische kader van de DPDP Act, inclusief hoe de raad daadwerkelijk dagelijks functioneert, wordt overgelaten aan regels en kennisgevingen die de overheid achteraf uitgeeft. Dat geeft de uitvoerende macht voortdurende invloed op hoe strikt, of soepel, de wet wordt gehandhaafd, lang nadat de wet zelf is aangenomen.

Waarom dit van belang is buiten juridische kringen

Dit debat is niet alleen academisch. India heeft al grootschalige blootstelling van gevoelige persoonsgegevens gezien, waaronder incidenten zoals de CBSE-cloudopslagconfiguratiefout die gegevens van ongeveer twee miljoen studenten blootlegde. Wanneer er inbreuken plaatsvinden waarbij aan de overheid gelieerde instellingen betrokken zijn, wordt de vraag of de handhavingsinstantie onpartijdig kan onderzoeken onmiddellijk praktisch in plaats van theoretisch. Een raad die wordt gezien als onderhorig aan dezelfde overheid waarvan de instanties gegevens verkeerd hebben behandeld, heeft minder geloofwaardigheid om verantwoording, transparantie of herstel te eisen.

Wat dit voor jou betekent

Als je een inwoner van India bent, betekent dit niet dat de DPDP Act zinloos is. Het betekent wel dat je niet moet aannemen dat de bescherming door de toezichthouder snel of krachtig zal komen, vooral in zaken waarbij de overheid of semi-overheidsinstellingen betrokken zijn. Totdat de onafhankelijkheid van de Data Protection Board wordt getest door daadwerkelijke handhavingsacties, zijn individuen nog steeds de eerste verdedigingslinie voor hun eigen gegevens.

Dat betekent dat je weloverwogen moet zijn over welke persoonlijke informatie je deelt met apps, websites en overheidsportalen, sterke, unieke wachtwoorden gebruiken en tweefactorauthenticatie inschakelen waar dat wordt aangeboden. Het betekent ook dat je beter moet letten op hoe organisaties waarmee je te maken hebt – scholen, banken, zorgverleners – hun gegevensverwerkingspraktijken bekendmaken, en dat je tegenspel biedt wanneer die bekendmakingen vaag of onvolledig zijn.

Belangrijkste punten

Controleer de privacy-instellingen en toestemmingen voor het delen van gegevens op apps en diensten die je regelmatig gebruikt, en trek toegang in die je niet langer nodig hebt.
Ga er niet van uit dat een inbreuk waarbij een aan de overheid gelieerde instantie betrokken is, net zo grondig zal worden onderzocht als een inbreuk bij een particulier bedrijf; vraag direct welke beschermingen voor jou van toepassing zijn.
Pas dataminimalisatie toe: deel alleen wat wettelijk verplicht is, vooral bij platforms die verbonden zijn aan openbare instellingen.
Let op hoe de Data Protection Board zijn eerste spraakmakende handhavingszaken aanpakt. Het daadwerkelijke gedrag, niet alleen het wettelijke mandaat, zal onthullen hoe onafhankelijk de raad werkelijk is.

Het Indiase gegevensbeschermingskader is nog jong, en de zorgen over onafhankelijkheid die nu worden geuit, kunnen toekomstige hervormingen vormgeven. Geïnformeerd blijven en voorzichtig omgaan met je eigen gegevens blijft de meest betrouwbare bescherming terwijl dat kader volwassen wordt.