Een nieuwe golf van nalevingsactiviteit bouwt zich op rond India's Digital Personal Data Protection Act, 2023 (DPDP-wet), terwijl advocatenkantoren en consultancybedrijven racen om bedrijven te helpen zich voor te bereiden. Volgens een rapport van ETLegalWorld heeft Foresight Law Offices onlangs een speciale "DPDP Desk" gelanceerd, samen met een interactieve Readiness Assessment Tool die organisaties moet helpen nalevingslacunes te identificeren voordat de regels van de wet volledig van kracht worden. Hoewel die aankondiging rechtstreeks gericht is op bedrijfsjuridische teams, is het ook een nuttig signaal voor gewone internetgebruikers: de DPDP-wet gaat van papier naar praktijk, en de manier waarop Indiase bedrijven persoonlijke gegevens verzamelen, opslaan en delen, staat op het punt te veranderen op manieren die consumenten direct raken.

Als je de DPDP-wet zelf nooit hebt gelezen, ben je niet de enige. De meeste mensen komen alleen indirect in aanraking met gegevensbeschermingsrecht, via toestemmingspop-ups, privacybeleid of e-mails over datalekken. Maar de DPDP-wet is een van de belangrijkste privacywetten die India in decennia heeft voortgebracht, en het begrijpen van de basisprincipes kan je helpen te weten wat je kunt verwachten van de apps en diensten die je dagelijks gebruikt.

Wat de DPDP-wet daadwerkelijk vereist

In de kern stelt de DPDP-wet regels vast voor hoe "data fiduciaries" (in wezen elke organisatie die persoonlijke gegevens verzamelt of verwerkt) met die informatie moeten omgaan. Bedrijven zullen duidelijke, specifieke toestemming moeten verkrijgen voordat ze persoonlijke gegevens verzamelen, moeten aangeven waarom ze die verzamelen, en zijn verplicht om gegevens te verwijderen zodra ze niet langer nodig zijn voor dat vermelde doel. De wet creëert ook mogelijkheden voor individuen om toegang te krijgen tot hun eigen gegevens, deze te corrigeren of hun toestemming in te trekken, en introduceert een regelgevend orgaan, de Data Protection Board, om klachten en handhaving te behandelen.

Dit is een opmerkelijke verschuiving voor een land waar gegevensverzamelingspraktijken historisch gezien losjes werden gereguleerd. Zoals berichtgeving over India's DPDP-wet die gegevensprivacy naar de bestuurskamer brengt heeft aangetoond, is naleving niet langer iets dat bedrijven stilzwijgend aan IT-afdelingen kunnen delegeren. Het wordt een governance-kwestie waarvan besturen en directeuren worden geacht eigenaar te zijn, met echte verantwoordelijkheid als er dingen misgaan.

Hoe het zich verhoudt tot de AVG

Privacywaarnemers hebben de DPDP-wet vaak vergeleken met de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie, en er zijn zinvolle overeenkomsten: beide kaders vereisen toestemming voor gegevensverzameling, beide geven individuen rechten over hun eigen informatie, en beide creëren boetes voor niet-naleving. Maar de DPDP-wet wordt over het algemeen als beperkter in omvang beschouwd. Deze richt zich specifiek op digitale persoonlijke gegevens, terwijl de AVG een breder scala aan persoonlijke informatie dekt, ongeacht de vorm. De DPDP-wet geeft de Indiase overheid ook meer speelruimte op bepaalde gebieden, zoals vrijstellingen voor overheidsinstanties en regels rond grensoverschrijdende gegevensoverdrachten, dan de AVG doorgaans toestaat.

Voor consumenten is de praktische conclusie dat de DPDP-wet een echte stap is richting sterkere privacybescherming, maar dat deze mogelijk niet dezelfde breedte aan rechten biedt die de AVG aan gebruikers in Europa heeft gegeven. Het is een minimum, niet noodzakelijkerwijs een plafond.

Waarom de tijdlijn ertoe doet

Een detail dat vaak ontbreekt in op naleving gerichte berichtgeving is hoe krap de aanlooptijd is voor bedrijven om zich voor te bereiden. Startups bijvoorbeeld staan voor harde deadlines, waarbij India's DPDP-wet een deadline van mei 2027 markeert voor startups om hun gegevensverwerkingspraktijken te herzien. Meer in het algemeen worden de DPDP-regels naar verwachting in 2027 volledig van kracht, wat betekent dat de toestemmingsstromen, gegevensverwijderingsbeleid en meldingsprocessen voor datalekken die veel bedrijven momenteel opbouwen, bedoeld zijn om dan volledig operationeel te zijn. Juridische analisten hebben ook gewezen op nalevingstijdlijnen en verantwoordelijkheid op directieniveau als een groeiend drukpunt, zoals gedetailleerd in berichtgeving over India's DPDPA-nalevingstijdlijnen en directeurrisico. Met andere woorden, de tools en desks die bedrijven zoals Foresight nu uitrollen, bestaan omdat de klok al loopt.

Wat dit voor jou betekent

Als je apps, websites of diensten gebruikt die in India zijn gevestigd, of als klant met Indiase bedrijven omgaat, zou je de komende paar jaar veranderingen moeten gaan opmerken. Verwach meer expliciete toestemmingsverzoeken, duidelijkere uitleg over waarom je gegevens worden verzameld, en (uiteindelijk) gemakkelijkere manieren om te verzoeken dat je gegevens worden verwijderd. Bedrijven die gevoelige gegevens verwerken, van financiële apps tot messaging-platforms, staan onder toenemende druk om hun praktijken ruim vóór de deadline van 2027 aan te scherpen. Het is de moeite waard om te onthouden dat platforms met enorme Indiase gebruikersbestanden hun gegevenspraktijken al aanpassen in afwachting van strengere controle, vergelijkbaar met hoe WhatsApp leeftijdsverificatiefuncties test voor zijn ongeveer 600 miljoen Indiase gebruikers.

Dat gezegd hebbende, de handhaving loopt nog steeds achter op de tekst van de wet, en volledige regels zijn nog niet overal van kracht. Verwach geen verandering van de ene op de andere dag. Let in plaats daarvan op geleidelijke veranderingen in privacybeleid, toestemmingsschermen en hoe bedrijven reageren wanneer je vraagt welke gegevens ze over je hebben.

Praktische adviezen

Begin meer aandacht te besteden aan toestemmingsverzoeken en privacykennisgevingen van Indiase apps en diensten, aangezien deze waarschijnlijk gedetailleerder worden naarmate de regels van de DPDP-wet gefaseerd worden ingevoerd. Als je te maken hebt met een bedrijf dat gevoelige persoonlijke gegevens verwerkt, zoals financiële of gezondheidsinformatie, vraag dan direct naar hun beleid voor gegevensbewaring en -verwijdering. En als je een bedrijf runt of adviseert dat in India opereert, behandel de deadlines van 2027 van de DPDP-wet dan als hard in plaats van ver weg, omdat het nalevingsfundament, van toestemmingsbeheer tot interne verantwoordelijkheidsstructuren, echte tijd kost om op te bouwen. Of je nu een consument of een bedrijfseigenaar bent, de DPDP-wet is een herinnering dat gegevensprivacy in India verschuift van een juridische bijzaak naar een operationele vereiste, en nu geïnformeerd blijven zal de overgang later veel minder verstorend maken.