Indyjskie start-upy właśnie otrzymały twardy termin na gruntowną przebudowę sposobu, w jaki obchodzą się z danymi osobowymi. Według doniesień The Logical Indian, ustawa o ochronie cyfrowych danych osobowych (DPDP) ma stać się w pełni egzekwowalna do maja 2027 roku, dając firmom niecałe półtora roku na przebudowę sposobu, w jaki zbierają, przechowują i chronią dane osobowe indyjskich użytkowników.

Choć ustawa DPDP została uchwalona już w 2023 roku, jej praktyczne przepisy wykonawcze pojawiły się dopiero w listopadzie 2025 roku i to właśnie to wdrożenie przekształciło odległą obietnicę ustawodawczą w operacyjny termin, którego firmy nie mogą dłużej ignorować. Dla ekosystemu start-upów w Indiach, który przyzwyczaił się do zbierania danych użytkowników przy minimalnych przeszkodach, ta zmiana stanowi jedną z najważniejszych regulacji w cyfrowej historii kraju.

Czego faktycznie wymaga ustawa DPDP

U podstaw ustawa DPDP przeklasyfikowuje każdą firmę, która zbiera lub przetwarza dane osobowe, w tym start-upy, jako „powiernika danych”. To oznaczenie wiąże się z odpowiedzialnością prawną: firmy muszą uzyskać ważną, świadomą zgodę przed zebraniem danych osobowych, wdrożyć odpowiednie zabezpieczenia w celu ochrony tych danych oraz być przygotowane do wykazania zgodnego z prawem przetwarzania, jeśli organy nadzoru o to zapytają.

To znaczące odejście od luźno regulowanych praktyk dotyczących danych, na których polegało wiele start-upów. Zgoda nie może już być ukrywana w zawiłym języku regulaminów ani domniemywana na podstawie niejasnych zgód opt-in. Firmy będą potrzebować wyraźnego, konkretnego pozwolenia na sposób wykorzystania danych osobowych oraz systemów umożliwiających udowodnienie tego. Aby głębiej przyjrzeć się temu, co ta zmiana oznacza dla zwykłych użytkowników, termin DPDP Act do 2027 roku wyjaśnia nowe prawa, które zyskają Hindusi po pełnym wejściu ustawy w życie, w tym większą kontrolę nad tym, jak ich dane są zbierane i wykorzystywane.

Dlaczego start-upy są pod presją

Większe przedsiębiorstwa często mają już dedykowane zespoły prawne i ds. zgodności, a także budżet na zaangażowanie zewnętrznych doradców lub budowę wewnętrznej infrastruktury ochrony prywatności. Start-upy, szczególnie te na wczesnym etapie, zazwyczaj nie mają tego luksusu. Wiele z nich zbudowało produkty wokół szybkiego, bezproblemowego zbierania danych: zarejestruj się numerem telefonu, udziel kilku uprawnień i od razu zacznij korzystać z aplikacji.

Wymogi zgodności z ustawą DPDP nie skalują się w dół w żaden znaczący sposób dla mniejszych firm. Start-upy nadal będą musiały zbudować odpowiednie systemy zarządzania zgodami, bezpieczne praktyki przechowywania danych oraz procesy odpowiadania na żądania użytkowników dotyczące ich własnych danych. To duży wysiłek techniczny i prawny dla firm, które mogą mieć zaledwie garstkę inżynierów i żadnego dedykowanego inspektora ochrony danych.

Stawka za popełnienie błędu jest również wysoka. Jak szczegółowo opisano w analizie kar ustawy DPDP, które mogą sięgnąć nawet 250 crore rupii, nieprzestrzeganie przepisów nie jest drobnym administracyjnym upomnieniem. Dla firmy na wczesnym etapie pojedyncze poważne naruszenie może być finansowo druzgocące, co sprawia, że proaktywne planowanie zgodności jest znacznie tańsze niż reakcja po fakcie.

Zegar już tyka

Maj 2027 może brzmieć odlegle, ale budowa zgodnej infrastruktury danych od podstaw wymaga czasu. Start-upy muszą przeprowadzić audyt tego, jakie dane osobowe obecnie zbierają, zmapować ich przepływ przez systemy, przeprojektować mechanizmy uzyskiwania zgody i wdrożyć zabezpieczenia – wszystko, zanim regulatorzy zaczną aktywnie egzekwować prawo. Czekanie z rozpoczęciem tego procesu do miesięcy przed terminem pozostawia niewiele miejsca na błędy, zwłaszcza dla firm, które odkrywają luki w swoich obecnych praktykach dopiero po dokładniejszym zbadaniu.

To także szerszy sygnał rynkowy. Inwestorzy i partnerzy biznesowi coraz częściej mogą pytać start-upy o ich podejście do ochrony danych przed podpisaniem umów. Umiejętność wykazania gotowości do zgodności z ustawą DPDP może stać się przewagą konkurencyjną, a nie tylko punktem do odhaczenia na liście regulacyjnej.

Co to oznacza dla Ciebie

Jeśli prowadzisz start-up, który zbiera jakiekolwiek dane osobowe od indyjskich użytkowników – czy to imiona i nazwiska, numery telefonów, dane o lokalizacji czy informacje behawioralne – ta ustawa dotyczy Ciebie. Traktowanie terminu w maju 2027 roku jako odległego problemu jest ryzykowne. Prace związane ze zgodnością, takie jak przeprojektowanie zgód, mapowanie danych i modernizacja zabezpieczeń, zazwyczaj trwają miesiące, a nie tygodnie.

Dla zwykłych użytkowników ustawa DPDP docelowo powinna oznaczać większą przejrzystość co do tego, co dzieje się z ich danymi osobowymi, oraz silniejszą podstawę prawną, jeśli firma niewłaściwie je wykorzysta. W międzyczasie nadal warto świadomie decydować, jakie dane udostępniasz aplikacjom i serwisom, ponieważ pełne egzekwowanie prawa jest nadal kwestią przyszłości, a nie teraźniejszości.

Konkretne wnioski do działania

Założyciele i operatorzy start-upów powinni zacząć już teraz, a nie później. Rozpocznij od audytu dokładnie tego, jakie dane osobowe zbiera Twoja firma i dlaczego, a następnie zmapuj, jak te dane przepływają przez Twoje systemy i gdzie są przechowywane. Przejrzyj swoje obecne ścieżki pozyskiwania zgód i zidentyfikuj, gdzie odbiegają one od jasnego, konkretnego i świadomego przyzwolenia. Przeznacz czas i zasoby na budowę odpowiednich zabezpieczeń, zamiast traktować je jako dodatek na później. I śledź dalsze wytyczne regulacyjne w miarę zbliżania się terminu 2027 roku, ponieważ prawdopodobne są dodatkowe wyjaśnienia w miarę kształtowania się mechanizmów egzekwowania.

Ustawa DPDP stanowi fundamentalną zmianę w sposobie obchodzenia się z danymi osobowymi w całej indyjskiej gospodarce cyfrowej. Start-upy, które potraktują nadchodzące lata jako czas na rzetelne przygotowania, a nie odliczanie do zignorowania, będą w znacznie lepszej pozycji, gdy nadejdzie pełne egzekwowanie prawa.