Privacidade em compras online sob a DPDPA da Índia: o que muda para os dados do comércio eletrônico
A DPDPA é o primeiro marco abrangente da Índia que rege a coleta, o processamento e o armazenamento de dados pessoais. Ela utiliza termos específicos: a pessoa cujos dados são coletados é um "Titular dos Dados" (Data Principal), e a empresa que decide por que e como os dados são usados é um "Fiduciário dos Dados" (Data Fiduciary). Na prática, você é o Titular dos Dados e a plataforma de compras é o Fiduciário dos Dados.
Resumos jurídicos das Regras apontam obrigações específicas para grandes plataformas. Segundo esses resumos, as Regras estabelecem requisitos de eliminação para certas classes de Fiduciários dos Dados, incluindo entidades de comércio eletrônico, plataformas de mídia social e empresas de jogos online. Um resumo descreve o requisito desta forma: dados de usuários inativos devem ser excluídos após três anos, com aviso prévio de 48 horas ao usuário. Outro descreve a eliminação dentro de três anos a partir do último contato do Titular dos Dados com a empresa.
Os detalhes sobre quais plataformas se qualificam e como "inativo" é definido importam, portanto trate esses números como um resumo, e não como aconselhamento jurídico. A direção, porém, é clara: coletar dados indefinidamente e mantê-los "por precaução" torna-se mais difícil de justificar.
Direitos de consentimento, exclusão e correção que os compradores ganham
A Lei é construída em torno do consentimento. Espera-se que as empresas informem quais dados coletam e por quê, e que os processem para essa finalidade. Para os compradores, isso deveria significar avisos mais claros no cadastro e no checkout, em vez de uma única aprovação agrupada escondida nos termos e condições.
Os direitos que você pode esperar exercer incluem:
- Retirada do consentimento. Você deve poder retirar a permissão que deu anteriormente, e o processo não deve ser mais difícil do que concedê-la.
- Correção. Se seu endereço, número de telefone ou outros dados estiverem errados, você pode solicitar que sejam corrigidos.
- Eliminação. Você pode solicitar que seus dados pessoais sejam excluídos, sujeito a exceções legais.
- Resolução de reclamações. As plataformas devem oferecer uma forma de registrar reclamações sobre como seus dados são tratados.
A regra de exclusão por inatividade adiciona uma rede de segurança para as contas que você esqueceu. Um perfil de compras abandonado com um endereço salvo e histórico de pedidos é exatamente o tipo de registro que tende a permanecer por anos e acabar em uma violação de dados.
O que uma VPN pode e não pode fazer ao comprar online
Uma VPN criptografa a conexão entre seu dispositivo e o servidor VPN e oculta seu endereço IP dos sites que você visita. Isso ajuda em Wi-Fi público e limita um sinal que os sites usam para estimar sua localização. É uma camada útil, mas resolve um problema diferente do que a DPDPA resolve.
Quando você faz login em um aplicativo de compras, a plataforma ainda sabe quem você é. Ela vê sua conta, seu endereço de entrega, seus dados de pagamento e seu histórico de compras, independentemente do que seu endereço IP diga. Uma VPN não impede que uma empresa colete dados que você entrega voluntariamente, e não controla por quanto tempo esses dados são armazenados ou se serão excluídos. Essas são questões legais, e a DPDPA é a ferramenta para elas.
Há também um limite prático. As VPNs dependem de uma conexão funcional e não podem ajudar se o acesso em si for cortado. Nosso explicador sobre o que uma VPN pode e não pode fazer durante um apagão de internet cobre um cenário diferente, mas mostra o mesmo princípio: uma VPN é uma ferramenta com limites definidos, não um escudo abrangente.
O inverso também é verdadeiro. A lei não protege você de uma rede bisbilhoteira ou de um ponto de acesso não criptografado. As duas coisas funcionam melhor juntas.
O que isso significa para você: passos para limitar o rastreamento no checkout
Você não precisa esperar que cada disposição esteja plenamente em vigor para começar a apertar seus hábitos. Considere estes passos:
- Revise as configurações de consentimento em seus aplicativos de compras. Procure as configurações de privacidade ou dados e desative o rastreamento opcional, a publicidade personalizada e a sincronização de contatos de que você não precisa.
- Exclua contas que você não usa mais. Não dependa apenas da exclusão automática após um período de inatividade. Use a opção de exclusão no aplicativo ou de solicitação de eliminação, quando existir.
- Verifique e corrija seus dados salvos. Endereços e números de telefone desatualizados são tanto um problema de privacidade quanto de entrega.
- Use o checkout como convidado quando puder. Menos perfis armazenados significa menos registros a proteger.
- Compartilhe apenas o necessário. Se um formulário pede mais do que a entrega e o pagamento exigem, trate os campos opcionais como opcionais.
- Reforce as configurações do navegador. Bloqueie cookies de terceiros, limpe periodicamente os dados do site e use os recursos de proteção contra rastreamento integrados ao seu navegador.
- Use uma VPN em redes não confiáveis. Ela protege a conexão, não os dados da sua conta.
- Mantenha registros de suas solicitações. Se você enviar uma solicitação de exclusão ou correção, guarde a confirmação caso precise escalar uma reclamação.
Por que esses limites importam além das compras? Porque dados pessoais raramente ficam em um só lugar. Os debates sobre dados de identidade e monitoramento na Índia estão ativos, desde o debate sobre privacidade e reconhecimento facial sob o Artigo 21 até preocupações com uma proposta de exigência de Aadhaar para cadastros em mídias sociais em Karnataka. Limitar o que as plataformas comerciais coletam é uma parte de uma conversa maior sobre quem detém suas informações e por quanto tempo.
Principais conclusões
A privacidade em compras online sob a DPDPA da Índia se resume a uma divisão de trabalho. A lei lhe dá direitos sobre consentimento, correção e exclusão, e impõe limites de retenção às grandes plataformas de comércio eletrônico. Uma VPN e configurações de navegador sensatas reduzem a exposição na rede e a rastreadores de terceiros, mas não podem fazer um varejista esquecer o que você lhe contou.
Esta semana, abra os aplicativos de compras que você mais usa, revise os botões de consentimento e encontre a opção de exclusão de conta ou de eliminação de dados. Remova os perfis de que você não precisa mais e exerça seus direitos à medida que as Regras entrarem em vigor. Os detalhes de implementação podem evoluir, portanto consulte o aviso de privacidade da plataforma e as orientações oficiais para obter os requisitos mais recentes.
