A abordagem da Índia à proteção de dados evoluiu de um princípio constitucional para um arcabouço estatutário e regulatório detalhado. No centro disso está a Lei de Proteção de Dados Pessoais Digitais de 2023 (Lei DPDP). Para os usuários cotidianos, a pergunta prática é simples: o que você pode agora exigir das empresas que detêm seus dados? Este guia detalha os direitos de privacidade do usuário na Lei DPDP da Índia em linguagem simples, e esclarece onde uma VPN se encaixa e onde não.

Do direito constitucional ao estatuto: como a Índia chegou aqui

Durante anos, a privacidade na Índia foi principalmente uma ideia constitucional. Era um princípio ao qual tribunais e legisladores podiam se referir, mas não vinha com um único livro de regras detalhado dizendo a uma empresa o que ela deve fazer quando coleta seu número de telefone, localização ou histórico de compras.

A Lei DPDP de 2023 muda isso. De acordo com a análise que motivou este artigo, o cenário de proteção de dados do país evoluiu para um arcabouço abrangente que transforma o princípio em obrigações exigíveis. Em resumo, a privacidade não é mais apenas um direito pelo qual você pode argumentar em princípio. É um conjunto de deveres pelos quais as empresas podem ser responsabilizadas.

A lei usa seu próprio vocabulário. Você é o Titular dos Dados (Data Principal), a pessoa a quem os dados se referem. A organização que decide por que e como seus dados são processados é a Fiduciária de Dados (Data Fiduciary). A palavra "fiduciária" é deliberada: sinaliza uma relação de confiança, onde a empresa detém suas informações para uma finalidade definida, em vez de possuí-las de forma irrestrita.

Seus direitos de consentimento sob a Lei DPDP

O consentimento está no centro do arcabouço. Comentários sobre a Lei a descrevem como um modelo que prioriza o consentimento: espera-se que as empresas perguntem antes de processar seus dados pessoais, em vez de presumir permissão enterrada em uma longa política.

Com base em resumos publicados da lei, os indivíduos recebem direitos específicos, incluindo:

  • Acesso: o direito de obter informações sobre os dados pessoais que uma empresa detém sobre você (a Seção 11(1) é comumente citada para isso).
  • Correção: o direito de ter dados imprecisos corrigidos.
  • Exclusão: o direito de solicitar a exclusão dos seus dados.
  • Resolução de reclamações: o direito de apresentar uma reclamação e tê-la atendida.

Na prática, isso significa que você pode escrever para uma empresa, perguntar o que ela detém, apontar erros ou solicitar exclusão. Se a empresa não responder adequadamente, há uma via definida para reclamações. Essas são as ferramentas que vale a pena conhecer, mesmo que você nunca use mais do que uma delas.

O que as fiduciárias de dados devem fazer agora

O outro lado dos seus direitos é uma lista de deveres para as organizações. Resumos da Lei descrevem obrigações para as fiduciárias de dados de processar dados legalmente, mantê-los seguros e lidar com solicitações dos usuários. O consentimento precisa ser significativo, o que afasta as empresas de permissões vagas e agrupadas.

Esses deveres trazem consequências. Nosso explicador sobre penalidades e multas da Lei DPDP de até ₹250 crore mostra como a aplicação sustenta as regras, o que importa porque um direito sem penalidade é fácil para uma empresa ignorar.

O timing também importa. As obrigações são implementadas gradualmente por meio de regras e prazos, então nem todo dever se aplica no mesmo dia. Nossa análise sobre prazos de conformidade da DPDPA e risco para diretores cobre quando se espera que as empresas cumpram esses requisitos e quem pode ser responsabilizado dentro de uma organização.

Onde a lei fica aquém e o que os usuários podem fazer por conta própria

Um estatuto pode governar o que as empresas fazem com os dados que coletaram. Ele não pode, por si só, impedir todas as formas pelas quais suas informações são expostas. Alguns limites vale a pena entender.

Os direitos dependem de você usá-los. Solicitações de acesso, correção e exclusão só funcionam se você enviá-las. A maioria das pessoas nunca o faz.

A lei governa a relação com a empresa, não a rede no meio. É aqui que uma VPN entra, e onde ela para. Uma VPN criptografa o tráfego entre seu dispositivo e o servidor VPN e oculta seu endereço IP de sites e observadores da rede local. Isso pode reduzir o rastreamento e a espionagem em Wi-Fi público. Mas uma VPN não muda o que uma empresa faz com as informações que você entrega diretamente, como seu nome, e-mail ou detalhes da conta após fazer login. Não é um substituto para seus direitos na DPDP, e a Lei não torna uma VPN necessária ou desnecessária.

A fadiga de consentimento é real. Mesmo um modelo que prioriza o consentimento pode ser minado se as pessoas clicarem em "aceitar" em cada solicitação. A lei lhe dá a opção; você ainda precisa ler e escolher.

O Que Isso Significa Para Você

Se você mora na Índia ou usa serviços que lidam com dados de usuários indianos, a Lei DPDP lhe dá uma base mais clara para fazer perguntas e esperar respostas. Você pode solicitar ver o que uma empresa detém, pedir correções e buscar a exclusão. Se uma empresa não responder, você pode usar a via de reclamações.

Ao mesmo tempo, a Lei não é um escudo contra todos os riscos. Trate-a como uma camada. Seus próprios hábitos, como as permissões que você concede, as contas que mantém e as proteções de rede que escolhe, formam o restante.

Conclusões práticas

  • Revise os pedidos de consentimento antes de aceitar. Recuse qualquer coisa que não seja necessária para o serviço.
  • Use seus direitos. Envie uma solicitação de acesso ou exclusão para um serviço que você não usa mais.
  • Mantenha um registro de solicitações e respostas caso precise escalar uma reclamação.
  • Limpe contas antigas que ainda detêm seus dados pessoais.
  • Use uma VPN pelo motivo certo: para proteger o tráfego em redes não confiáveis, não para controlar como uma empresa usa os dados que você compartilha com ela.

Os direitos de privacidade do usuário na Lei DPDP da Índia são tão fortes quanto as pessoas que os exercem e a aplicação por trás deles. Para ver como as penalidades dão dentes a esses direitos, leia nosso explicador sobre penalidades da DPDP, e confira o artigo sobre prazos de conformidade para entender quando as empresas devem começar a cumprir esses deveres.