Het Hooggerechtshof van Kerala heeft de federale regering opgedragen om India's Data Protection Board binnen acht weken operationeel te maken. Volgens The Hindu zei het hof dat de privacy van burgers wordt geschonden, en de zorgen die het overwoog omvatten onder meer hoe passagiersgegevens op luchthavens worden verwerkt. De beschikking van het Hooggerechtshof van Kerala over de Data Protection Board stelt een deadline voor een orgaan waarop de Digital Personal Data Protection (DPDP) Act, 2023 vertrouwt voor handhaving.

De beschikbare berichtgeving is beknopt, dus dit bericht houdt zich aan wat bevestigd is en legt uit waarom het belangrijk is.

Wat het Hooggerechtshof van Kerala heeft bevolen

Het hof droeg het Centrum op om de Data Protection Board binnen acht weken te activeren. De aanwijzing kwam te midden van privacyzorgen over passagiersgegevens op luchthavens, en het hof merkte op dat de privacy van burgers wordt geschonden.

De beschikking creëert geen nieuwe wet of nieuwe verplichtingen. Het vraagt de regering om de instelling in te stellen die de bestaande wet al beschrijft. Dat onderscheid is belangrijk: het wettelijk kader bestaat, maar het hof geeft aan dat een kader zonder werkend handhavingsorgaan in de praktijk niemand beschermt.

Waarom de Data Protection Board belangrijk is voor de DPDP Act

De DPDP Act 2023 stelt regels vast voor hoe organisaties met persoonsgegevens omgaan. Regels op papier tellen alleen als iemand klachten kan onderzoeken, overtredingen kan beoordelen en er actie op kan ondernemen. De Data Protection Board is bedoeld als dat orgaan.

Zolang het niet functioneert, hebben mensen die menen dat hun gegevens zijn misbruikt geen volledig werkende toezichthouder om die klacht naartoe te brengen. Organisaties ondervinden op hun beurt weinig praktische druk om te veranderen hoe zij informatie verzamelen en opslaan. Dit is de kern van het handhavingstekort waarnaar de beschikking van het hof wijst: een wet kan zijn aangenomen en toch grotendeels onuitvoerbaar blijven.

Het venster van acht weken is een concrete test. Lezers kunnen in de gaten houden of de Board daadwerkelijk operationeel wordt gemaakt voor de deadline, en welke bevoegdheden en personele bezetting het heeft zodra dat het geval is.

Hoe het verzamelen van passagiersgegevens op luchthavens reizigers in gevaar brengt

Luchthavens zijn een kwetsbaar punt voor persoonsgegevens. Reizigers overhandigen identiteitsdocumenten, reisroutes en in sommige systemen biometrische informatie als onderdeel van de routinematige verwerking. De zorg in deze zaak richt zich op passagiersgegevens op luchthavens, en het is gemakkelijk te begrijpen waarom: mensen hebben weinig keuze om ze te verstrekken, en ze weten zelden waar ze worden opgeslagen, wie er toegang toe heeft of hoe lang ze worden bewaard.

Grote, gecentraliseerde verzamelingen van dit soort zijn aantrekkelijke doelwitten en zijn alleen zo veilig als de controles eromheen. Zonder een toezichthouder die klachten kan onderzoeken of praktijken kan beoordelen, hebben reizigers beperkte verhaalmogelijkheden als er iets misgaat. Recente incidenten elders laten zien hoe blootstelling eruitziet. De inbreuk op het ANTS-paspoortportaal van Frankrijk betrof het agentschap achter de beveiligde identiteitsdocumenten van het land, en de inbreuk op het staatsregister van Litouwen trof gegevens die door de staat zelf werden beheerd.

Hoe het handhavingstekort in India zich verhoudt tot andere privacyregimes

Veel privacyregimes combineren wettelijke rechten met een autoriteit die klachten kan ontvangen en gevolgen kan opleggen. Het verschil in het geval van India, zoals de beschikking van het hof benadrukt, is dat de wet is aangenomen terwijl het orgaan dat deze moet handhaven nog niet werkt. We hebben in de bronberichtgeving geen details gezien over hoe de Board zal worden gestructureerd, dus vergelijkingen moeten voorzichtig worden gemaakt.

Wat gezegd kan worden, is dat sterke wettekst alleen blootstelling niet voorkomt. Databases in handen van de overheid zijn in andere landen gecompromitteerd. De datainbreuk in Mexico waarbij 195 miljoen identiteiten werden blootgesteld en de 10 miljoen records die uitlekten uit het Burgerlijk Register van Chili laten zien wat er kan gebeuren wanneer burgergegevens op grote schaal worden bewaard en slecht beschermd.

Wat dit voor u betekent

Als u via Indiase luchthavens reist, verandert de beschikking niets aan wat vandaag van u wordt verzameld. Wat het wel doet, is de druk opvoeren voor een werkende toezichthouder die uiteindelijk die praktijken kan onderzoeken en klachten kan behandelen.

Voor reizigers en inwoners in bredere zin is het praktische punt dat u niet kunt vertrouwen op een toezichthouder om gegevens te beschermen die al zijn verzameld. Een VPN helpt niet bij gegevens die u bij een incheckbalie of grensbalie overhandigt, dus de focus moet liggen op het beperken van wat u deelt en het beveiligen van uw eigen accounts.

Bruikbare conclusies

  • Deel alleen de persoonlijke informatie die vereist is, en vraag indien mogelijk wat er wordt verzameld en waarom.
  • Houd kopieën van uw reis- en identiteitsdocumenten veilig en vermijd het verzenden ervan via onversleutelde kanalen.
  • Gebruik unieke wachtwoorden en multi-factorauthenticatie op accounts van luchtvaartmaatschappijen, boekingsdiensten en overheidsdiensten.
  • Let op meldingen van datainbreuken die diensten treffen die u gebruikt, en wijzig inloggegevens onmiddellijk als u getroffen bent.
  • Volg of de Data Protection Board operationeel is zodra de deadline van acht weken is verstreken.

De beschikking van het Hooggerechtshof van Kerala over de Data Protection Board is een herinnering dat rechten op papier een instelling achter zich nodig hebben. Zwakke handhaving in combinatie met grote databases in handen van de overheid leidt tot echte blootstelling, zoals de inbreuken in Mexico en Chili laten zien. Totdat India's Board werkt, ga zorgvuldig met uw gegevens om en deel ze spaarzaam.