Kerala High Court har bedt Union government om å gjøre Indias Data Protection Board funksjonelt innen åtte uker. Ifølge The Hindu sa retten at innbyggernes personvern blir kompromittert, og blant bekymringene den vurderte er hvordan passasjerdata håndteres på flyplasser. Kerala High Courts pålegg om Data Protection Board setter en frist for et organ som Digital Personal Data Protection (DPDP) Act, 2023 er avhengig av for håndheving.

Den tilgjengelige rapporteringen er kort, så dette innlegget holder seg til det som er bekreftet og forklarer hvorfor det er viktig.

Hva Kerala High Court påla

Retten påla sentralmyndighetene å aktivere Data Protection Board innen åtte uker. Pålegget kom i kjølvannet av personvernbekymringer knyttet til passasjerdata på flyplasser, og retten bemerket at innbyggernes personvern blir kompromittert.

Pålegget skaper ikke en ny lov eller nye forpliktelser. Det ber myndighetene om å etablere institusjonen som den eksisterende loven allerede beskriver. Den forskjellen er viktig: Det juridiske rammeverket finnes, men retten signaliserer at et rammeverk uten et fungerende håndhevingsorgan ikke beskytter noen i praksis.

Hvorfor Data Protection Board er viktig for DPDP Act

DPDP Act 2023 fastsetter regler for hvordan organisasjoner håndterer personopplysninger. Regler på papiret teller bare hvis noen kan undersøke klager, vurdere brudd og handle på dem. Data Protection Board er ment å være det organet.

Inntil det er funksjonelt, har personer som mener at dataene deres er misbrukt, ingen fullt operativ regulator å klage til. Organisasjoner møter på sin side lite praktisk press for å endre hvordan de samler inn og lagrer informasjon. Dette er kjernen i håndhevingsgapet som rettens pålegg peker på: En lov kan vedtas og likevel forbli i stor grad uhåndhevbar.

Åtteukersvinduet er en konkret test. Lesere kan følge med på om Board faktisk blir satt i drift innen fristen, og hvilke fullmakter og bemanning det har når det skjer.

Hvordan innsamling av passasjerdata på flyplasser utsetter reisende for risiko

Flyplasser er et presspunkt for personopplysninger. Reisende overlater identitetsdokumenter, reiseplaner og i noen systemer biometrisk informasjon som en del av rutinemessig behandling. Bekymringen i denne saken dreier seg om passasjerdata på flyplasser, og det er lett å se hvorfor: Folk har lite valg når det gjelder å oppgi dem, og de vet sjelden hvor de lagres, hvem som kan få tilgang til dem, eller hvor lenge de oppbevares.

Store, sentraliserte samlinger av denne typen er attraktive mål og er bare så trygge som kontrollene rundt dem. Uten en regulator som kan etterforske klager eller granske praksis, har reisende begrensede muligheter hvis noe går galt. Nylige hendelser andre steder viser hvordan eksponering ser ut. Frankrikes ANTS-passportportal brutt involverte etaten bak landets sikre identitetsdokumenter, og Litauens brudd i statens register påvirket registre som staten selv holdt.

Hvordan Indias håndhevingsgap sammenlignes med andre personvernregimer

Mange personvernregimer kombinerer juridiske rettigheter med en myndighet som kan motta klager og ilegge konsekvenser. Forskjellen i Indias tilfelle, slik rettens pålegg fremhever, er at loven er vedtatt mens organet som skal håndheve den, ennå ikke fungerer. Vi har ikke sett detaljer i kilde rapporteringen om hvordan Board vil være strukturert, så sammenligninger bør gjøres med forsiktighet.

Det som kan sies, er at sterk tekst alene ikke forhindrer eksponering. Statlige databaser har blitt kompromittert i andre land. Dataangrepet i Mexico som eksponerte 195 millioner identiteter og 10 millioner poster lekket fra Chiles sivile register viser hva som kan skje når innbyggernes data holdes i stor skala og er dårlig beskyttet.

Hva dette betyr for deg

Hvis du reiser gjennom indiske flyplasser, endrer pålegget ikke hva som samles inn fra deg i dag. Det det gjør, er å øke presset for en fungerende regulator som til slutt kan granske denne praksisen og behandle klager.

For reisende og innbyggere mer generelt er det praktiske poenget at du ikke kan stole på at en regulator beskytter data som allerede er samlet inn. En VPN hjelper ikke med data du overlater i en innsjekkingsskranke eller ved en grensekontroll, så fokuset bør være på å begrense hva du deler og sikre dine egne kontoer.

Konkrete tiltak

  • Del bare personopplysningene som kreves, og spør hva som samles inn og hvorfor når du kan.
  • Oppbevar kopier av reise- og identitetsdokumentene dine sikkert, og unngå å sende dem over ukrypterte kanaler.
  • Bruk unike passord og flerfaktorautentisering på flyselskap-, bestillings- og offentlige tjenestekontoer.
  • Følg med på varsler om datainnbrudd som påvirker tjenester du bruker, og endre påloggingsopplysninger raskt hvis du blir rammet.
  • Følg med på om Data Protection Board er i drift etter at åtteukersfristen har gått.

Kerala High Courts pålegg om Data Protection Board er en påminnelse om at rettigheter på papiret trenger en institusjon bak seg. Svak håndheving kombinert med store statlige databaser fører til reell eksponering, slik bruddene i Mexico og Chile viser. Inntil Indias Board fungerer, behandle dataene dine med omhu og del dem sparsomt.