Wysoki Trybunał w Kerali nakazał rządowi centralnemu uruchomienie indyjskiej Rady Ochrony Danych w ciągu ośmiu tygodni. Jak podaje The Hindu, sąd stwierdził, że prywatność obywateli jest naruszana, a wśród rozpatrywanych kwestii znalazło się m.in. przetwarzanie danych pasażerów na lotniskach. Postanowienie Wysokiego Trybunału w Kerali dotyczące Rady Ochrony Danych wyznacza termin dla organu, na którym opiera się egzekwowanie ustawy o cyfrowej ochronie danych osobowych (DPDP) z 2023 roku.

Dostępne doniesienia są zwięzłe, dlatego ten artykuł ogranicza się do tego, co zostało potwierdzone, i wyjaśnia, dlaczego ma to znaczenie.

Co nakazał Wysoki Trybunał w Kerali

Sąd nakazał rządowi centralnemu uruchomienie Rady Ochrony Danych w ciągu ośmiu tygodni. Nakaz wydano w związku z obawami o prywatność danych pasażerów na lotniskach, a sąd zauważył, że prywatność obywateli jest naruszana.

Postanowienie nie tworzy nowego prawa ani nowych obowiązków. Wzywa rząd do ustanowienia instytucji, którą obowiązujące prawo już opisuje. To rozróżnienie ma znaczenie: ramy prawne istnieją, ale sąd sygnalizuje, że ramy bez działającego organu egzekwującego nie chronią nikogo w praktyce.

Dlaczego Rada Ochrony Danych ma znaczenie dla ustawy DPDP

Ustawa DPDP z 2023 roku określa zasady przetwarzania danych osobowych przez organizacje. Zasady na papierze liczą się tylko wtedy, gdy ktoś może rozpatrywać skargi, oceniać naruszenia i podejmować działania. Rada Ochrony Danych ma być tym organem.

Dopóki nie funkcjonuje, osoby, które uważają, że ich dane zostały niewłaściwie wykorzystane, nie mają w pełni działającego regulatora, do którego mogłyby złożyć skargę. Organizacje z kolei odczuwają niewielką presję praktyczną, by zmienić sposób gromadzenia i przechowywania informacji. To jest sedno luki w egzekwowaniu, na którą wskazuje postanowienie sądu: prawo może zostać uchwalone i nadal pozostawać w dużej mierze niewykonalne.

Ośmiotygodniowe okno to konkretny test. Czytelnicy mogą obserwować, czy Rada zostanie faktycznie uruchomiona do wyznaczonego terminu oraz jakie będzie miała uprawnienia i personel, gdy zacznie działać.

Jak gromadzenie danych pasażerów na lotniskach naraża podróżnych

Lotniska są punktem newralgicznym dla danych osobowych. Podróżni przekazują dokumenty tożsamości, plany podróży, a w niektórych systemach dane biometryczne w ramach rutynowego przetwarzania. W tej sprawie obawy koncentrują się na danych pasażerów na lotniskach i łatwo zrozumieć dlaczego: ludzie mają niewielki wybór co do ich przekazania i rzadko wiedzą, gdzie są przechowywane, kto ma do nich dostęp ani jak długo są zachowywane.

Duże, scentralizowane zbiory tego rodzaju są atrakcyjnym celem i są tak bezpieczne, jak zabezpieczenia wokół nich. Bez regulatora zdolnego do badania skarg lub analizowania praktyk podróżni mają ograniczone możliwości dochodzenia praw, jeśli coś pójdzie nie tak. Niedawne incydenty gdzie indziej pokazują, jak wygląda ekspozycja. Naruszenie portalu paszportowego ANTS we Francji dotyczyło agencji stojącej za bezpiecznymi dokumentami tożsamości tego kraju, a naruszenie litewskiego rejestru państwowego objęło rekordy będące w posiadaniu samego państwa.

Jak luka w egzekwowaniu w Indiach wypada na tle innych systemów ochrony prywatności

Wiele systemów ochrony prywatności łączy prawa wynikające z przepisów z organem, który może przyjmować skargi i nakładać konsekwencje. Różnica w przypadku Indii, jak podkreśla postanowienie sądu, polega na tym, że ustawa została uchwalona, podczas gdy organ mający ją egzekwować jeszcze nie działa. W doniesieniach źródłowych nie widzieliśmy szczegółów dotyczących struktury Rady, dlatego porównania należy przeprowadzać ostrożnie.

Można powiedzieć, że same silne przepisy nie zapobiegają ekspozycji. Bazy danych będące w posiadaniu rządów zostały naruszone w innych krajach. Naruszenie danych w Meksyku, które ujawniło 195 milionów tożsamości oraz wyciek 10 milionów rekordów z chilijskiego Rejestru Stanu Cywilnego pokazują, co może się stać, gdy dane obywateli są przechowywane na dużą skalę i słabo chronione.

Co to oznacza dla Ciebie

Jeśli podróżujesz przez indyjskie lotniska, postanowienie nie zmienia tego, co jest od Ciebie obecnie zbierane. Zwiększa jednak presję na działającego regulatora, który mógłby w końcu analizować te praktyki i rozpatrywać skargi.

Dla podróżnych i mieszkańców szerzej rzecz ujmując, praktyczny wniosek jest taki, że nie można polegać na regulatorze w zakresie ochrony danych, które już zostały zebrane. VPN nie pomoże w przypadku danych, które przekazujesz przy stanowisku odprawy lub na przejściu granicznym, dlatego należy skupić się na ograniczaniu tego, co udostępniasz, i zabezpieczeniu własnych kont.

Praktyczne wnioski

  • Udostępniaj tylko te dane osobowe, które są wymagane, i pytaj, co jest zbierane i dlaczego, gdy tylko możesz.
  • Przechowuj kopie dokumentów podróży i tożsamości w bezpiecznym miejscu i unikaj wysyłania ich niezaszyfrowanymi kanałami.
  • Używaj unikalnych haseł i uwierzytelniania wieloskładnikowego na kontach linii lotniczych, rezerwacyjnych i usług rządowych.
  • Śledź komunikaty o naruszeniach danych dotyczących usług, z których korzystasz, i niezwłocznie zmieniaj dane uwierzytelniające, jeśli jesteś poszkodowany.
  • Obserwuj, czy Rada Ochrony Danych zacznie działać po upływie ośmiotygodniowego terminu.

Postanowienie Wysokiego Trybunału w Kerali dotyczące Rady Ochrony Danych przypomina, że prawa na papierze potrzebują instytucji, która za nimi stoi. Słabe egzekwowanie w połączeniu z dużymi bazami danych będącymi w posiadaniu rządu prowadzi do realnej ekspozycji, co pokazują naruszenia w Meksyku i Chile. Dopóki indyjska Rada nie zacznie działać, traktuj swoje dane ostrożnie i udostępniaj je oszczędnie.