A independência do Conselho de Proteção de Dados da Índia sob ataque
Quando a Índia aprovou a Lei de Proteção de Dados Pessoais Digitais (DPDP) em 2023, prometeu aos cidadãos um quadro moderno para controlar como as empresas e os órgãos governamentais tratam as suas informações pessoais. Fundamental para essa promessa é o Conselho de Proteção de Dados da Índia, o órgão encarregado de fazer cumprir a lei, investigar queixas e penalizar os infratores. Mas um coro crescente de especialistas jurídicos coloca uma questão incisiva: será este conselho suficientemente independente para responsabilizar instituições poderosas, incluindo o próprio governo?
A preocupação não é hipotética. A independência regulatória determina se um organismo de controlo pode atuar contra empresas com ligações políticas ou departamentos governamentais sem receio de retaliação. Se o órgão destinado a proteger a privacidade dos seus dados responde principalmente ao mesmo poder executivo que pode ter de investigar, toda a estrutura de fiscalização corre o risco de se tornar simbólica em vez de substantiva.
Como o Conselho de Proteção de Dados escolhe os seus membros
Ao contrário dos reguladores independentes de outras jurisdições, a composição e o funcionamento do Conselho de Proteção de Dados são fortemente moldados por regras que o próprio governo central elabora e controla. O governo determina o processo de seleção do presidente e dos membros do Conselho, as condições do seu mandato e as circunstâncias em que podem ser exonerados. Este arranjo concentra uma influência significativa sobre a liderança do Conselho nas mãos do mesmo poder executivo que um dia poderá ter de fiscalizar, quer esse escrutínio envolva uma base de dados estatal, um banco do setor público ou uma empresa privada com estreitas ligações ao governo.
Os críticos assinalam que a verdadeira independência regulatória exige normalmente mandatos fixos, procedimentos de nomeação transparentes e protegidos, e salvaguardas contra a exoneração que impeçam a interferência política. Sem estas garantias, um conselho pode existir tecnicamente no papel, funcionando como uma extensão das preferências do executivo e não como um árbitro neutro dos direitos sobre os dados.
Um problema conhecido, mesmo com leis mais fortes
Este não é um dilema exclusivamente indiano. O Regulamento Geral sobre a Proteção de Dados (RGPD) da União Europeia é frequentemente apontado como o padrão de excelência na aplicação da privacidade, mas as suas próprias autoridades de proteção de dados enfrentaram anos de críticas devido a uma aplicação desigual, subfinanciamento crónico e investigações lentas, sobretudo contra grandes empresas tecnológicas multinacionais sediadas em países com reguladores menos rigorosos. A lição da experiência da UE é que uma linguagem legal forte, por si só, não garante uma aplicação eficaz. A independência tem de estar integrada na estrutura institucional, no financiamento e no processo de nomeação, e não apenas afirmada no preâmbulo da lei.
A situação da Índia acrescenta outra camada de complexidade: grande parte do quadro prático da Lei DPDP, incluindo o funcionamento diário do Conselho, é deixada para regulamentos e notificações emitidos pelo governo a posteriori. Isto confere ao poder executivo uma influência contínua sobre o rigor, ou a brandura, com que a lei é aplicada, muito depois de a própria legislação ter sido aprovada.
Por que razão isto é importante para além dos círculos jurídicos
Este debate não é meramente académico. A Índia já assistiu a exposições em larga escala de dados pessoais sensíveis, incluindo incidentes como a má configuração do armazenamento na nuvem do CBSE que expôs registos ligados a cerca de dois milhões de estudantes. Quando ocorrem violações que envolvem instituições ligadas ao governo, a questão de saber se o organismo de fiscalização pode investigar de forma imparcial torna-se imediatamente prática e não teórica. Um conselho visto como subserviente ao mesmo governo cujas agências trataram incorretamente os dados tem menos credibilidade para exigir responsabilização, transparência ou correção.
O que isto significa para si
Se é residente na Índia, isto não significa que a Lei DPDP não tenha sentido. Significa que não deve assumir que a proteção regulatória chegará rapidamente ou com firmeza, especialmente em casos que envolvam entidades governamentais ou paraestatais. Até que a independência do Conselho de Proteção de Dados seja testada através de ações de fiscalização reais, os indivíduos continuam a ser a primeira linha de defesa dos seus próprios dados.
Isso significa ser deliberado sobre as informações pessoais que partilha com aplicações, sites e portais governamentais, usar palavras-passe fortes e únicas e ativar a autenticação de dois fatores sempre que disponível. Significa também prestar mais atenção à forma como as organizações com que interage – escolas, bancos, prestadores de cuidados de saúde – divulgam as práticas de tratamento de dados, e contestar quando as divulgações são vagas ou incompletas.
Pontos-chave
- Reveja as definições de privacidade e as permissões de partilha de dados nas aplicações e serviços que utiliza regularmente e revogue os acessos de que já não necessita.
- Não presuma que uma violação que envolva uma entidade ligada ao governo será investigada com o mesmo rigor que uma que envolva uma empresa privada; pergunte diretamente que proteções se lhe aplicam.
- Pratique a minimização de dados: partilhe apenas o que é legalmente exigido, especialmente em plataformas ligadas a instituições públicas.
- Observe como o Conselho de Proteção de Dados trata os seus primeiros casos de fiscalização de grande visibilidade. O seu comportamento real, e não apenas o seu mandato legal, revelará até que ponto é verdadeiramente independente.
O quadro de proteção de dados da Índia ainda é recente, e as preocupações com a independência levantadas agora podem moldar reformas futuras. Manter-se informado e ser cauteloso com os seus próprios dados continua a ser a salvaguarda mais fiável enquanto esse quadro amadurece.
