Indyjska ustawa o ochronie cyfrowych danych osobowych (DPDP) wyszła poza etap teorii. Ponieważ większość jej przepisów ma wejść w życie do maja 2027 roku, każda firma zbierająca lub przetwarzająca dane osobowe, w tym startupy, będzie musiała przestrzegać nowego zestawu obowiązków prawnych. Jednak pilniejsze pytanie dla zwykłych użytkowników nie dotyczy tego, czy startupy są gotowe. Chodzi o to, jakie prawa konsumenckie wynikające z ustawy DPDP faktycznie oznaczają dla osoby, której numer telefonu, historia lokalizacji i dane finansowe znajdują się właśnie teraz w dziesiątkach baz danych aplikacji.

Co ustawa DPDP zmienia dla codziennych użytkowników w Indiach

Do tej pory większość Hindusów miała niewielki formalny wpływ na to, jak firmy wykorzystują ich dane osobowe po tym, jak zostaną one przekazane podczas rejestracji. Ustawa DPDP zmienia tę relację. Określa jednostki jako podmioty danych, a firmy zbierające ich dane jako administratorów danych – rozróżnienie to brzmi biurokratycznie, ale ma realną wagę. Administratorzy są zobowiązani działać w interesie osoby, której dane przechowują, a nie wyłącznie we własnym interesie komercyjnym.

Dla startupu prowadzącego aplikację do dostawy jedzenia, platformę pożyczkową czy monitor aktywności fizycznej oznacza to, że zgoda nie może już być ukrytym polem wyboru. Firmy będą musiały jasno określić, dlaczego zbierają dane, uzyskać konkretną zgodę na ten cel i zaprzestać wykorzystywania danych, gdy cel ten zostanie osiągnięty. To przejście od podejścia „zbieraj wszystko, przepraszaj później” do systemu, w którym ciężar uzasadnienia spoczywa na firmie.

Twoje nowe prawa do danych: dostęp, poprawianie i usuwanie

Praktyczna wartość ustawy DPDP dla konsumentów leży w kilku egzekwowalnych prawach. Gdy odpowiednie przepisy wejdą w życie, osoby fizyczne będą mogły zapytać firmę, jakie dane osobowe o nich przechowuje, zażądać poprawek, jeśli są one nieprawidłowe lub nieaktualne, oraz domagać się ich usunięcia, gdy cel, dla którego zostały zebrane, przestanie obowiązywać.

Prawa te nie są unikalne dla Indii, ale stanowią znaczące odejście od sposobu, w jaki obecnie działa większość indyjskich aplikacji i platform. Dziś usunięcie konta rzadko oznacza, że twoje dane znikają z serwerów firmy. Zgodnie z ustawą DPDP firmy będą zobowiązane do zbudowania rzeczywistych mechanizmów, a nie tylko zapisów w polityce, aby umożliwić osobom korzystanie z tych praw. Ma to realne konsekwencje dla tego, jak startupy projektują swoje produkty od podstaw – zmiana ta została szerzej omówiona w relacji o tym, jak ustawa DPDP wprowadza prywatność danych w Indiach na poziom zarządu, gdzie zgodność staje się kwestią na szczeblu kierowniczym, a nie czymś, co po cichu załatwiają zespoły prawne.

Powiadomienia o naruszeniach i co się dzieje, gdy startupy nie przestrzegają przepisów

Prawa na papierze mają znaczenie tylko wtedy, gdy istnieją konsekwencje ich ignorowania. Ustawa DPDP wprowadza obowiązek powiadamiania o naruszeniach, co oznacza, że firmy będą musiały informować zarówno organy regulacyjne, jak i osoby dotknięte naruszeniem, gdy dane osobowe zostaną naruszone. W kraju, w którym naruszenia danych często pozostawały niepotwierdzone lub odkrywane dopiero przez badaczy bezpieczeństwa lub doniesienia medialne, jest to znacząca zmiana w zakresie odpowiedzialności.

Prawo daje również regulatorom możliwość nakładania kar finansowych na firmy, które nie wywiązują się ze swoich obowiązków – czy to z powodu nieodpowiednich zabezpieczeń, ignorowania wymogów dotyczących zgody, czy niepowiadamiania dotkniętych użytkowników po naruszeniu. Dla startupów działających na niskich marżach okres przejściowy do maja 2027 roku ma dać im czas na właściwe zbudowanie tych systemów, zamiast gorączkowego działania po fakcie.

Co to oznacza dla ciebie: żądania, które należy stawiać przed 2027 rokiem

Termin osiągnięcia zgodności jest jeszcze przed nami, co oznacza, że obecna przepaść między tym, co obiecuje prawo, a tym, co faktycznie robią aplikacje, pozostaje szeroka. Użytkownicy nie muszą biernie czekać do 2027 roku, aby zacząć zadawać pytania. Zanim zaufasz aplikacji w kwestii wrażliwych danych, warto zapytać, jak długo te dane są przechowywane, czy są udostępniane stronom trzecim i czy firma ma jasny proces realizacji żądań usunięcia już dziś, a nie tylko obietnicę na przyszłość.

Warto również zachować sceptycyzm co do tego, jak wiele ochrony zapewni sama regulacja. Skuteczność ustawy DPDP w dużej mierze zależy od egzekwowania, a już pojawiły się pytania o to, jak niezależna będzie w praktyce Indyjska Rada Ochrony Danych. To kluczowy szczegół, ponieważ prawo z silnymi prawami na papierze niewiele znaczy, jeśli organ odpowiedzialny za jego egzekwowanie nie ma niezależności, by pociągnąć potężne firmy do odpowiedzialności. Czytelnicy zaniepokojeni tą luką powinni przyjrzeć się relacjom na temat tego, jak niezależność Indyjskiej Rady Ochrony Danych znalazła się pod ostrzałem, które wyjaśniają, dlaczego ochrona regulacyjna może nie być takim parasolem bezpieczeństwa, jakiego oczekują konsumenci.

Konkluzja

Ustawa DPDP wyznacza istotny nowy poziom dla praw konsumenckich wynikających z ustawy DPDP w Indiach, dając jednostkom podstawę prawną do dostępu, poprawiania i usuwania swoich danych osobowych oraz zobowiązując firmy do ujawniania naruszeń zamiast ich ukrywania. Jednak okres od teraz do pełnego egzekwowania w 2027 roku jest właśnie tym czasem, w którym czujność ma największe znaczenie. Pytaj aplikacje i usługi bezpośrednio o przechowywanie i usuwanie danych już teraz, nie zakładaj, że milczenie oznacza zgodność, i obserwuj, jak niezależnie faktycznie funkcjonuje Rada Ochrony Danych, gdy rozpocznie się realne egzekwowanie. Prawa istniejące na papierze stają się rzeczywistością dopiero wtedy, gdy ktoś jest gotów z nich skorzystać, a mechanizm egzekwowania za nimi ma kły, by je wesprzeć.