Indias lov om digital personvern (DPDP-loven), vedtatt i 2023, er ikke lenger bare en sjekkliste for juridisk etterlevelse som håndteres stille av IT- eller juridiske team. Ifølge en fersk analyse publisert av ETLegalWorld, omformer loven hvordan indiske selskaper tenker på styring av datapersonvern, og løfter det til noe styrene aktivt må føre tilsyn med i stedet for å delegere og glemme.

Dette skiftet er viktig fordi det endrer det grunnleggende forholdet mellom toppledelsen og håndtering av personopplysninger. I mange år ble personvernetterlevelse i mange organisasjoner behandlet som en operativ oppgave, noe CISO-en eller juridisk rådgiver skulle håndtere i bakgrunnen. DPDP-loven skyver dette ansvaret oppover, og gjør styring av datapersonvern til en strategisk bekymring som berører risikokomiteer, revisjonsfunksjoner og til slutt selve styrerommet.

Hvorfor styring av datapersonvern nå er en styresak

DPDP-loven omdefinerer hvordan indiske selskaper må tilnærme seg hele livssyklusen til personopplysninger, fra innsamling og behandling til lagring og endelig sletting. Under dette rammeverket forventes organisasjoner som håndterer personopplysninger om indiske borgere å bygge ansvarlighetsstrukturer som tåler granskning, ikke bare fra tilsynsmyndigheter, men fra styret selv.

Dette er et betydelig avvik fra hvordan personvern tradisjonelt ble behandlet i eierstyring og selskapsledelse. Tidligere så mange selskaper på databeskyttelse som en teknisk eller juridisk funksjon, noe som skulle håndteres reaktivt når et problem oppsto. DPDP-loven presser på for en mer proaktiv holdning, der styrene må ha innsyn i hvordan data håndteres i hele organisasjonen, ikke bare etter at noe har gått galt.

Den proaktive tilnærmingen blir stadig mer nødvendig, gitt hvor ofte organisasjoner oppdager personvernsvakheter først etter at en hendelse tvinger saken frem. Separat forskning om cybersikkerhetsresiliens i næringslivet, inkludert RSMs funn om at én av tre australske bedrifter har blitt rammet av løsepengevirus, viser et gjentakende mønster: mange selskaper tror datastyringen deres er solid helt til et reelt brudd avslører gapet mellom antakelse og virkelighet. Styrer som venter på en krise før de engasjerer seg i personvernrisiko, gambler i praksis med regulatorisk og omdømmemessig eksponering.

Hva endres for indiske selskaper

For indiske virksomheter er den praktiske implikasjonen av DPDP-lovens forankring i styrerommet at etterlevelse ikke lenger kan leve isolert. Styring av datapersonvern må nå veves inn i bredere virksomhetsrisikostyring, sammen med finansielle kontroller, cybersikkerhetsposisjon og operasjonell resiliens.

Dette betyr at styrene forventes å stille tøffere spørsmål: Hvilke personopplysninger samler selskapet inn, og hvorfor? Hvordan innhentes og spores samtykke? Hvem har tilgang til sensitiv informasjon, og hvordan revideres denne tilgangen? Hva skjer hvis en databehandlingspartner ikke oppfyller sine forpliktelser? Dette er ikke lenger spørsmål reservert for en etterlevelsesansvarligs kvartalsrapport. De er i ferd med å bli faste agendapunkter som styremedlemmer forventes å forstå og handle på.

Selskaper som historisk sett har behandlet personvernetterlevelse som en avkryssingsøvelse, kan oppleve denne overgangen som ubehagelig. Å bygge genuine datastyringsrammeverk som tilfredsstiller granskning på styreromsnivå tar tid, ressurser og tverrfaglig koordinering mellom juridisk, IT og toppledelsen. Men alternativet, å behandle personvern som en ettertanke, innebærer en økende strategisk risiko etter hvert som regulatoriske forventninger modnes.

Hva dette betyr for deg

Hvis du jobber for et indisk selskap, eller samhandler med et som kunde, ansatt eller partner, har dette skiftet i styringsfilosofi reelle konsekvenser. Selskaper under press for å demonstrere ansvarlighet på styrenivå for datapersonvern, er mer tilbøyelige til å investere i sterkere samtykkemekanismer, tydeligere retningslinjer for datalagring og bedre protokoller for avvikshåndtering. Det kan gi seg utslag i mer åpenhet om hvordan dine personopplysninger brukes og beskyttes.

For ansatte i roller innen etterlevelse, juridisk eller IT-sikkerhet signaliserer DPDP-lovens forankring i styrerommet også et skifte i karriere og organisasjon. Fagpersoner som kan kommunisere flytende på tvers av juridiske, tekniske og forretningsmessige risikodomener, vil bli stadig mer verdifulle etter hvert som selskaper omstrukturerer hvordan personvernbeslutninger tas og rapporteres.

For forbrukere er den bredere lærdommen økt gjennomslagskraft. Etter hvert som styrene blir mer oppmerksomme på datapersonvern som et styringsanliggende, får selskaper sterkere insentiver til å være lydhøre når enkeltpersoner tar opp bekymringer om hvordan dataene deres samles inn eller brukes. Det betyr ikke at risiko forsvinner, men det betyr at ansvarlighetsstrukturer blir mer formaliserte.

Hovedpunkter

DPDP-lovens press mot styring av datapersonvern på styreromsnivå gjenspeiler en bredere global trend: personvern er ikke lenger et rent teknisk eller juridisk spørsmål, det er strategisk. Indiske selskaper som tilpasser seg tidlig, ved å bygge reelle styringsstrukturer i stedet for overfladiske etterlevelseslag, vil være bedre posisjonert for å håndtere regulatorisk risiko og opprettholde kundenes tillit.

Hvis du er næringslivsleder, er tiden inne for å spørre om din organisasjon behandler datapersonvern som en fast styreprioritet eller en ettertanke. Hvis du er forbruker, er det å holde seg informert om hvordan selskaper håndterer personopplysningene dine, og å stille spørsmål når åpenheten mangler, fortsatt en av de mest effektive måtene å holde organisasjoner ansvarlige i dette landskapet av stadig nye reguleringer.