Indyjska ustawa DPDP: Co dla Ciebie oznacza termin 2027 roku

Nowa fala działań związanych z zapewnieniem zgodności narasta wokół indyjskiej ustawy o ochronie danych osobowych w formie cyfrowej z 2023 r. (DPDP Act), ponieważ kancelarie prawne i firmy konsultingowe ścigają się, aby pomóc przedsiębiorstwom w przygotowaniach. Według raportu ETLegalWorld, kancelaria Foresight Law Offices niedawno uruchomiła dedykowane „Biuro DPDP” wraz z interaktywnym narzędziem do oceny gotowości (Readiness Assessment Tool), zaprojektowanym, aby pomóc organizacjom w identyfikacji luk w zgodności, zanim przepisy ustawy w pełni wejdą w życie. Choć ogłoszenie to jest skierowane wprost do korporacyjnych zespołów prawnych, stanowi także użyteczny sygnał dla zwykłych użytkowników internetu: DPDP Act przechodzi z fazy papierowej do praktyki, a sposób, w jaki indyjskie firmy zbierają, przechowują i udostępniają dane osobowe, wkrótce się zmieni w sposób, który bezpośrednio wpłynie na konsumentów.

Jeśli nigdy nie czytaliście samych przepisów DPDP Act, nie jesteście w tym osamotnieni. Większość ludzi styka się z prawem ochrony danych jedynie pośrednio – przez wyskakujące okienka zgody, polityki prywatności czy wiadomości e-mail o naruszeniu danych. Jednak DPDP Act to jedna z najważniejszych ustaw o prywatności, jaka powstała w Indiach od dziesięcioleci, a zrozumienie jej podstaw pomoże wam wiedzieć, czego spodziewać się po aplikacjach i usługach, z których korzystacie na co dzień.

Czego właściwie wymaga DPDP Act

U podstaw DPDP Act leżą zasady określające, jak „podmioty zarządzające danymi” (data fiduciaries) – czyli zasadniczo każda organizacja, która zbiera lub przetwarza dane osobowe – muszą obchodzić się z tymi informacjami. Przedsiębiorstwa będą musiały uzyskiwać jasną, konkretną zgodę przed zebraniem danych osobowych, muszą określić, dlaczego je zbierają, a także są zobowiązane do usunięcia danych, gdy nie będą już potrzebne do tego określonego celu. Ustawa tworzy również ścieżki umożliwiające osobom fizycznym dostęp do własnych danych, ich poprawianie lub wycofanie zgody, a także wprowadza organ regulacyjny – Radę Ochrony Danych (Data Protection Board) – do rozpatrywania skarg i egzekwowania przepisów.

To znacząca zmiana dla kraju, w którym praktyki zbierania danych były historycznie regulowane w sposób dość swobodny. Jak pokazują raporty na temat indyjskiej ustawy DPDP, która wprowadza prywatność danych do sal posiedzeń zarządów, zgodność nie jest już czymś, co firmy mogą po cichu zlecać działom IT. Staje się to kwestią nadzoru korporacyjnego, za którą zarządy i kadra kierownicza mają odpowiadać bezpośrednio, z realną odpowiedzialnością w razie nieprawidłowości.

Jak wypada w porównaniu z RODO

Obserwatorzy prywatności często porównywali DPDP Act z unijnym ogólnym rozporządzeniem o ochronie danych (RODO) i rzeczywiście istnieją istotne podobieństwa: oba akty wymagają zgody na zbieranie danych, oba przyznają osobom fizycznym prawa do własnych informacji oraz oba przewidują kary za nieprzestrzeganie przepisów. Jednak DPDP Act jest powszechnie uznawany za węższy zakresowo. Koncentruje się on konkretnie na danych osobowych w formie cyfrowej, podczas gdy RODO obejmuje szerszy zakres informacji osobowych, niezależnie od ich formatu. DPDP Act daje także indyjskiemu rządowi większą swobodę w niektórych obszarach, takich jak zwolnienia dla organów rządowych czy zasady dotyczące transgranicznego przekazywania danych, niż zwykle dopuszcza RODO.

Dla konsumentów praktyczny wniosek jest taki, że DPDP Act to realny krok w kierunku silniejszej ochrony prywatności, ale może nie zapewniać takiej samej szerokości praw, jaką RODO przyznało użytkownikom w Europie. To podłoga, a niekoniecznie sufit.

Dlaczego harmonogram ma znaczenie

Jednym ze szczegółów często pomijanych w relacjach skupionych na zgodności jest to, jak krótki jest okres przygotowawczy dla przedsiębiorstw. Startupy, na przykład, stoją przed twardymi terminami, a indyjski DPDP Act wyznacza startupom termin maj 2027 na gruntowną przebudowę praktyk dotyczących danych. Mówiąc szerzej, zasady DPDP mają w pełni wejść w życie w 2027 roku, co oznacza, że mechanizmy zgody, polityki usuwania danych i procesy zgłaszania naruszeń, które wiele firm obecnie buduje, mają być w pełni operacyjne właśnie do tego czasu. Analitycy prawni wskazywali również na terminy zgodności i odpowiedzialność na poziomie zarządów jako rosnący punkt nacisku, co szczegółowo opisano w relacji o terminach zgodności z indyjską DPDPA i ryzyku dla członków zarządów. Innymi słowy, narzędzia i biura, które kancelarie takie jak Foresight wdrażają teraz, powstają, ponieważ zegar już tyka.

Co to oznacza dla Ciebie

Jeśli korzystacie z aplikacji, stron internetowych lub usług z siedzibą w Indiach albo macie kontakt z indyjskimi firmami jako klienci, w ciągu najbliższych kilku lat powinniście zacząć zauważać zmiany. Spodziewajcie się bardziej wyraźnych próśb o zgodę, jaśniejszych wyjaśnień, dlaczego wasze dane są zbierane, a w końcu – łatwiejszych sposobów na zażądanie usunięcia danych. Firmy przetwarzające dane wrażliwe, od aplikacji finansowych po platformy komunikacyjne, znajdują się pod rosnącą presją, aby zaostrzyć swoje praktyki na długo przed terminem w 2027 roku. Warto pamiętać, że platformy z ogromną liczbą użytkowników w Indiach już dostosowują swoje praktyki danych w oczekiwaniu na ostrzejszy nadzór, podobnie jak WhatsApp testuje funkcje weryfikacji wieku dla swoich około 600 milionów użytkowników w Indiach.

To powiedziawszy, egzekwowanie przepisów wciąż dogania tekst ustawy, a pełne zasady nie wszędzie jeszcze obowiązują. Nie oczekujcie zmiany z dnia na dzień. Zamiast tego zwracajcie uwagę na stopniowe zmiany w politykach prywatności, ekranach zgody i sposobie, w jaki firmy reagują, gdy pytacie, jakie dane o was posiadają.

Praktyczne wnioski

Zacznijcie zwracać większą uwagę na prośby o zgodę i informacje o prywatności pochodzące od indyjskich aplikacji i usług, ponieważ prawdopodobnie staną się one bardziej szczegółowe w miarę stopniowego wchodzenia w życie zasad DPDP Act. Jeśli macie do czynienia z firmą przetwarzającą wrażliwe dane osobowe, takie jak dane finansowe czy zdrowotne, pytajcie wprost o ich politykę przechowywania i usuwania danych. A jeśli prowadzicie lub doradzacie firmie działającej w Indiach, traktujcie terminy DPDP Act na rok 2027 jako twarde, a nie odległe, ponieważ fundamenty zgodności – od zarządzania zgodą po wewnętrzne struktury odpowiedzialności – wymagają realnego czasu na zbudowanie. Niezależnie od tego, czy jesteście konsumentami, czy właścicielami firm, DPDP Act przypomina, że prywatność danych w Indiach przechodzi z prawnego marginesu do wymogu operacyjnego, a bycie na bieżąco teraz sprawi, że transformacja będzie znacznie mniej uciążliwa w przyszłości.