Uma nova onda de atividade de conformidade está se formando em torno da Lei de Proteção de Dados Pessoais Digitais da Índia, 2023 (Lei DPDP), à medida que escritórios de advocacia e consultorias correm para ajudar empresas a se prepararem. De acordo com um relatório da ETLegalWorld, a Foresight Law Offices lançou recentemente um "Balcão DPDP" dedicado, juntamente com uma Ferramenta Interativa de Avaliação de Prontidão, projetada para ajudar organizações a identificar lacunas de conformidade antes que as regras da lei entrem totalmente em vigor. Embora esse anúncio seja voltado diretamente para equipes jurídicas corporativas, é um sinal útil também para usuários comuns da internet: a Lei DPDP está passando do papel para a prática, e a forma como as empresas indianas coletam, armazenam e compartilham dados pessoais está prestes a mudar de maneiras que afetam diretamente os consumidores.

Se você nunca leu a Lei DPDP em si, não está sozinho. A maioria das pessoas só entra em contato com a lei de proteção de dados indiretamente, por meio de pop-ups de consentimento, políticas de privacidade ou e-mails de notificação de violação. Mas a Lei DPDP é uma das leis de privacidade mais significativas a surgir na Índia em décadas, e entender seus fundamentos pode ajudar você a saber o que esperar dos aplicativos e serviços que usa todos os dias.

O que a Lei DPDP Realmente Exige

Em sua essência, a Lei DPDP estabelece regras sobre como "fiduciários de dados" (essencialmente qualquer organização que coleta ou processa dados pessoais) devem lidar com essas informações. As empresas precisarão de consentimento claro e específico antes de coletar dados pessoais, devem declarar por que estão coletando esses dados e são obrigadas a excluí-los assim que não forem mais necessários para a finalidade declarada. A lei também cria caminhos para que indivíduos acessem, corrijam ou retirem o consentimento de seus próprios dados, e introduz um órgão regulador, o Conselho de Proteção de Dados, para lidar com reclamações e aplicação da lei.

Esta é uma mudança notável para um país onde as práticas de coleta de dados historicamente foram pouco regulamentadas. Como mostram as reportagens sobre a Lei DPDP da Índia levando a privacidade de dados para a sala do conselho, a conformidade não é mais algo que as empresas podem delegar silenciosamente aos departamentos de TI. Está se tornando uma questão de governança que os conselhos e executivos devem assumir diretamente, com responsabilidade real se algo der errado.

Como Ela se Compara ao GDPR

Observadores de privacidade comparam frequentemente a Lei DPDP ao Regulamento Geral de Proteção de Dados (GDPR) da União Europeia, e há semelhanças significativas: ambos os frameworks exigem consentimento para coleta de dados, ambos dão aos indivíduos direitos sobre suas próprias informações, e ambos criam penalidades por não conformidade. Mas a Lei DPDP é geralmente considerada mais restrita em escopo. Ela se concentra especificamente em dados pessoais digitais, enquanto o GDPR cobre uma gama mais ampla de informações pessoais, independentemente do formato. A Lei DPDP também dá ao governo indiano mais discricionariedade em certas áreas, como isenções para agências governamentais e regras sobre transferências transfronteiriças de dados, do que o GDPR normalmente permite.

Para os consumidores, a conclusão prática é que a Lei DPDP é um passo genuíno em direção a proteções de privacidade mais fortes, mas pode não oferecer a mesma amplitude de direitos que o GDPR proporcionou aos usuários na Europa. É um piso, não necessariamente um teto.

Por que o Cronograma Importa

Um detalhe frequentemente ausente na cobertura focada em conformidade é quão apertado é o prazo para as empresas se prepararem. Startups, por exemplo, estão enfrentando prazos rígidos, com a Lei DPDP da Índia sinalizando um prazo de maio de 2027 para startups reformularem suas práticas de tratamento de dados. De forma mais ampla, as Regras DPDP devem entrar totalmente em vigor em 2027, o que significa que os fluxos de consentimento, políticas de exclusão de dados e processos de notificação de violação que muitas empresas estão construindo atualmente devem estar totalmente operacionais até lá. Analistas jurídicos também apontaram para cronogramas de conformidade e responsabilidade em nível de diretoria como um ponto de pressão crescente, conforme detalhado na cobertura sobre cronogramas de conformidade da DPDPA da Índia e risco para diretores. Em outras palavras, as ferramentas e balcões que empresas como a Foresight estão lançando agora existem porque o relógio já está correndo.

O Que Isso Significa para Você

Se você usa aplicativos, sites ou serviços sediados na Índia, ou interage com empresas indianas como cliente, deve começar a notar mudanças nos próximos dois anos. Espere solicitações de consentimento mais explícitas, explicações mais claras sobre por que seus dados estão sendo coletados e (eventualmente) maneiras mais fáceis de solicitar a exclusão dos seus dados. Empresas que lidam com dados sensíveis, de aplicativos financeiros a plataformas de mensagens, estão sob pressão crescente para reforçar suas práticas bem antes do prazo de 2027. Vale lembrar que plataformas com enormes bases de usuários indianos já estão ajustando suas práticas de dados em antecipação a um escrutínio mais rigoroso, semelhante à forma como o WhatsApp vem testando recursos de verificação de idade para seus aproximadamente 600 milhões de usuários indianos.

Dito isso, a aplicação da lei ainda está alcançando o texto da legislação, e as regras completas ainda não estão em vigor em todos os lugares. Não espere uma transformação da noite para o dia. Em vez disso, observe mudanças graduais nas políticas de privacidade, telas de consentimento e na forma como as empresas respondem quando você pergunta quais dados elas têm sobre você.

Conclusões Práticas

Comece a prestar mais atenção às solicitações de consentimento e avisos de privacidade de aplicativos e serviços indianos, pois eles provavelmente se tornarão mais detalhados à medida que as regras da Lei DPDP forem implementadas gradualmente. Se você interage com uma empresa que lida com dados pessoais sensíveis, como informações financeiras ou de saúde, pergunte diretamente quais são suas políticas de retenção e exclusão de dados. E se você administra ou aconselha uma empresa que opera na Índia, trate os prazos de 2027 da Lei DPDP como firmes, e não distantes, já que a base de conformidade, do gerenciamento de consentimento às estruturas internas de responsabilidade, leva tempo real para ser construída. Seja você um consumidor ou proprietário de empresa, a Lei DPDP é um lembrete de que a privacidade de dados na Índia está mudando de uma preocupação legal secundária para um requisito operacional, e manter-se informado agora tornará a transição muito menos disruptiva no futuro.