Indyjska ustawa o ochronie danych osobowych w internecie z 2023 r. (DPDPA) oraz towarzyszące jej przepisy z 2025 r. mają na nowo ukształtować sposób, w jaki handel cyfrowy przetwarza dane osobowe. Najnowsza analiza Lexology na ten temat przedstawia koszyk zakupowy jako punkt zbierania danych i takie ujęcie jest użyteczne. Każda rejestracja konta, zapisany adres, preferencja płatności i wzorzec przeglądania w aplikacji zakupowej to dane osobowe. Dla każdego, kto śledzi temat prywatności w zakupach online według indyjskiej DPDPA, pytanie brzmi, co faktycznie zyskujesz jako kupujący i czego żadne narzędzie nie może za ciebie zrobić.

Prywatność w zakupach online według indyjskiej DPDPA: co zmienia się w danych e-commerce

DPDPA to pierwsze kompleksowe ramy prawne w Indiach regulujące zbieranie, przetwarzanie i przechowywanie danych osobowych. Posługuje się konkretnymi terminami: osoba, której dane są zbierane, to „Data Principal” (podmiot danych), a firma decydująca o tym, dlaczego i w jaki sposób dane są wykorzystywane, to „Data Fiduciary” (powiernik danych). W praktyce ty jesteś podmiotem danych, a platforma zakupowa jest powiernikiem danych.

Streszczenia przepisów przygotowane przez kancelarie prawne wskazują na konkretne obowiązki dużych platform. Według tych streszczeń przepisy określają wymogi usuwania danych dla某些 kategorii powierników danych, w tym podmiotów e-commerce, platform mediów społecznościowych i firm zajmujących się grami online. Jedno ze streszczeń opisuje ten wymóg następująco: dane nieaktywnych użytkowników muszą zostać usunięte po trzech latach, z 48-godzinnym wcześniejszym powiadomieniem użytkownika. Inne opisuje usunięcie w ciągu trzech lat od ostatniego kontaktu podmiotu danych z firmą.

Szczegóły dotyczące tego, które platformy się kwalifikują i jak zdefiniowana jest „nieaktywność”, mają znaczenie, więc te liczby należy traktować jako podsumowanie, a nie poradę prawną. Kierunek jest jednak jasny: zbieranie danych bezterminowo i przechowywanie ich „na wszelki wypadek” staje się trudniejsze do uzasadnienia.

Prawa do zgody, usunięcia i sprostowania, które zyskują kupujący

Ustawa opiera się na zgodzie. Od firm oczekuje się informowania cię, jakie dane zbierają i dlaczego, oraz przetwarzania ich w tym celu. Dla kupujących powinno to oznaczać czytelniejsze komunikaty przy rejestracji i finalizacji zakupu, a nie jedną zbiorczą zgodę ukrytą w regulaminie.

Prawa, z których możesz korzystać, obejmują:

  • Wycofanie zgody. Powinieneś mieć możliwość wycofania wcześniej udzielonej zgody, a proces ten nie powinien być trudniejszy niż jej udzielenie.
  • Sprostowanie. Jeśli twój adres, numer telefonu lub inne dane są błędne, możesz poprosić o ich poprawienie.
  • Usunięcie. Możesz zażądać usunięcia swoich danych osobowych, z zastrzeżeniem wyjątków prawnych.
  • Rozpatrywanie skarg. Platformy muszą zapewnić sposób zgłaszania skarg dotyczących sposobu obsługi twoich danych.

Zasada usuwania danych oparta na nieaktywności stanowi dodatkową siatkę bezpieczeństwa dla kont, o których zapomniałeś. Porzucony profil zakupowy z zapisanym adresem i historią zamówień to dokładnie ten rodzaj rekordu, który ma tendencję do zalegania przez lata i trafiania do wycieku danych.

Co VPN może, a czego nie może zrobić podczas zakupów online

VPN szyfruje połączenie między twoim urządzeniem a serwerem VPN i ukrywa twój adres IP przed odwiedzanymi stronami. Pomaga to w publicznych sieciach Wi-Fi i ogranicza jeden sygnał, którego strony używają do szacowania twojej lokalizacji. To przydatna warstwa ochrony, ale rozwiązuje inny problem niż DPDPA.

Gdy logujesz się do aplikacji zakupowej, platforma nadal wie, kim jesteś. Widzi twoje konto, adres dostawy, dane płatności i historię zakupów, niezależnie od tego, co mówi twój adres IP. VPN nie powstrzymuje firmy przed zbieraniem danych, które przekazujesz dobrowolnie, i nie kontroluje, jak długo te dane są przechowywane ani czy zostaną usunięte. To kwestie prawne, a narzędziem do nich jest DPDPA.

Istnieje też ograniczenie praktyczne. VPN-y zależą od działającego połączenia i nie pomogą, jeśli sam dostęp zostanie odcięty. Nasze wyjaśnienie na temat tego, co VPN może, a czego nie może zrobić podczas przerwy w dostępie do internetu dotyczy innego scenariusza, ale pokazuje tę samą zasadę: VPN to jedno narzędzie o określonych granicach, a nie wszechstronna tarcza.

Jest też odwrotnie. Prawo nie chroni cię przed podsłuchującą siecią ani niezaszyfrowanym hotspotem. Oba rozwiązania działają najlepiej razem.

Co to dla ciebie oznacza: kroki ograniczające śledzenie przy finalizacji zakupu

Nie musisz czekać, aż każde przepisowe rozwiązanie w pełni wejdzie w życie, aby zacząć zaostrzać swoje nawyki. Rozważ następujące kroki:

  1. Przejrzyj ustawienia zgody w swoich aplikacjach zakupowych. Poszukaj ustawień prywatności lub danych i wyłącz opcjonalne śledzenie, spersonalizowaną reklamę i synchronizację kontaktów, których nie potrzebujesz.
  2. Usuń konta, których już nie używasz. Nie polegaj wyłącznie na automatycznym usunięciu po okresie nieaktywności. Skorzystaj z opcji usunięcia konta lub żądania usunięcia danych w aplikacji, jeśli taka istnieje.
  3. Sprawdź i popraw zapisane dane. Nieaktualne adresy i numery telefonów to zarówno problem prywatności, jak i dostawy.
  4. Korzystaj z zakupu jako gość, kiedy to możliwe. Mniej przechowywanych profili oznacza mniej rekordów do ochrony.
  5. Udostępniaj tylko to, co jest wymagane. Jeśli formularz prosi o więcej, niż wymaga dostawa i płatność, traktuj pola opcjonalne jako opcjonalne.
  6. Zaostrz ustawienia przeglądarki. Blokuj pliki cookie stron trzecich, okresowo usuwaj dane witryn i korzystaj z funkcji ochrony przed śledzeniem wbudowanych w przeglądarkę.
  7. Używaj VPN w niezaufanych sieciach. Chroni połączenie, a nie dane twojego konta.
  8. Przechowuj zapisy swoich żądań. Jeśli składasz wniosek o usunięcie lub sprostowanie, zachowaj potwierdzenie na wypadek, gdybyś musiał eskalować skargę.

Dlaczego te ograniczenia mają znaczenie poza zakupami? Ponieważ dane osobowe rzadko pozostają w jednym miejscu. Debaty na temat danych tożsamości i monitorowania w Indiach są żywe, od debaty o prywatności dotyczącej rozpoznawania twarzy na gruncie artykułu 21 po obawy o proponowany wymóg Aadhaar przy rejestracji w mediach społecznościowych w Karnatace. Ograniczanie tego, co zbierają platformy komercyjne, to jedna część szerszej rozmowy o tym, kto przechowuje twoje informacje i jak długo.

Najważniejsze wnioski

Prywatność w zakupach online według indyjskiej DPDPA sprowadza się do podziału obowiązków. Prawo daje ci prawa dotyczące zgody, sprostowania i usunięcia oraz nakłada limity przechowywania danych na duże platformy e-commerce. VPN i rozsądne ustawienia przeglądarki zmniejszają ekspozycję w sieci i ze strony zewnętrznych mechanizmów śledzących, ale nie mogą sprawić, by sprzedawca zapomniał, co mu powiedziałeś.

W tym tygodniu otwórz aplikacje zakupowe, których używasz najczęściej, przejrzyj przełączniki zgody i znajdź opcję usunięcia konta lub danych. Usuń profile, których już nie potrzebujesz, i korzystaj ze swoich praw w miarę wchodzenia w życie przepisów. Szczegóły wdrożenia mogą się zmieniać, więc sprawdzaj informację o prywatności platformy i oficjalne wytyczne, aby poznać najnowsze wymogi.