O Tribunal de Justiça de Kerala disse ao governo da União para tornar funcional o Conselho de Proteção de Dados da Índia dentro de oito semanas. Segundo o The Hindu, o tribunal afirmou que a privacidade dos cidadãos está a ser comprometida, e as preocupações que considerou incluem a forma como os dados dos passageiros são tratados nos aeroportos. A ordem do Tribunal de Justiça de Kerala relativa ao Conselho de Proteção de Dados impõe um prazo a um órgão no qual a Lei de Proteção de Dados Pessoais Digitais (DPDP) de 2023 se baseia para a aplicação da lei.

A cobertura disponível é breve, por isso este artigo cinge-se ao que foi confirmado e explica porque é importante.

O que o Tribunal de Justiça de Kerala ordenou

O tribunal ordenou ao Centro que ative o Conselho de Proteção de Dados dentro de oito semanas. A determinação surgiu em meio a preocupações com a privacidade dos dados dos passageiros nos aeroportos, e o tribunal observou que a privacidade dos cidadãos está a ser comprometida.

A ordem não cria uma nova lei nem novas obrigações. Pede ao governo que ponha em funcionamento a instituição que a lei existente já descreve. Essa distinção é importante: o quadro jurídico existe, mas o tribunal está a sinalizar que um quadro sem um órgão de aplicação funcional não protege ninguém na prática.

Porque o Conselho de Proteção de Dados é importante para a Lei DPDP

A Lei DPDP de 2023 estabelece regras sobre a forma como as organizações tratam os dados pessoais. As regras no papel só contam se alguém puder examinar queixas, avaliar violações e agir sobre elas. O Conselho de Proteção de Dados deve ser esse órgão.

Enquanto não for funcional, as pessoas que acreditam que os seus dados foram usados indevidamente não têm um regulador totalmente operacional a quem apresentar essa queixa. As organizações, por sua vez, enfrentam pouca pressão prática para mudar a forma como recolhem e armazenam informações. Este é o cerne da lacuna de aplicação que a ordem do tribunal aponta: uma lei pode ser promulgada e ainda assim permanecer largamente inexequível.

A janela de oito semanas é um teste concreto. Os leitores podem observar se o Conselho é efetivamente tornado operacional até ao prazo, e que poderes e pessoal tem uma vez que o seja.

Como a recolha de dados de passageiros nos aeroportos coloca os viajantes em risco

Os aeroportos são um ponto de pressão para os dados pessoais. Os viajantes entregam documentos de identidade, itinerários de viagem e, em alguns sistemas, informações biométricas como parte do processamento de rotina. A preocupação neste caso centra-se nos dados dos passageiros nos aeroportos, e é fácil perceber porquê: as pessoas têm pouca escolha quanto a fornecê-los, e raramente sabem onde são armazenados, quem pode aceder-lhes ou durante quanto tempo são conservados.

Grandes recolhas centralizadas deste tipo são alvos atrativos e são tão seguras quanto os controlos que as rodeiam. Sem um regulador capaz de investigar queixas ou examinar práticas, os viajantes têm recursos limitados se algo correr mal. Incidentes recentes noutros locais mostram como é a exposição. A violação do portal de passaportes ANTS de França envolveu a agência responsável pelos documentos de identidade seguros do país, e a violação do registo estatal da Lituânia afetou registos detidos pelo próprio Estado.

Como a lacuna de aplicação da Índia se compara com outros regimes de privacidade

Muitos regimes de privacidade combinam direitos legais com uma autoridade que pode receber queixas e impor consequências. A diferença no caso da Índia, como destaca a ordem do tribunal, é que a lei foi aprovada enquanto o órgão destinado a aplicá-la ainda não está a funcionar. Não vimos detalhes na cobertura da fonte sobre como o Conselho será estruturado, por isso as comparações devem ser feitas com cautela.

O que pode ser dito é que um texto forte por si só não impede a exposição. Bases de dados detidas por governos foram comprometidas noutros países. A violação de dados no México que expôs 195 milhões de identidades e os 10 milhões de registos divulgados do Registo Civil do Chile mostram o que pode acontecer quando dados de cidadãos são detidos em grande escala e mal protegidos.

O que isto significa para si

Se viaja através de aeroportos indianos, a ordem não altera o que é recolhido de si hoje. O que faz é aumentar a pressão para um regulador funcional que possa eventualmente examinar essas práticas e ouvir queixas.

Para os viajantes e residentes em geral, o ponto prático é que não pode contar com um regulador para salvaguardar dados que já foram recolhidos. Uma VPN não ajuda com dados que entrega num balcão de check-in ou numa delegação de fronteira, por isso o foco deve estar em limitar o que partilha e proteger as suas próprias contas.

Conclusões acionáveis

  • Partilhe apenas as informações pessoais que são exigidas, e pergunte o que é recolhido e porquê quando puder.
  • Mantenha cópias dos seus documentos de viagem e de identidade em segurança, e evite enviá-los através de canais não encriptados.
  • Use palavras-passe únicas e autenticação multifator nas contas de companhias aéreas, reservas e serviços governamentais.
  • Esteja atento a avisos de violações de dados que afetem serviços que utiliza, e altere as credenciais prontamente se for afetado.
  • Acompanhe se o Conselho de Proteção de Dados está operacional após o prazo de oito semanas terminar.

A ordem do Tribunal de Justiça de Kerala relativa ao Conselho de Proteção de Dados é um lembrete de que os direitos no papel precisam de uma instituição por trás deles. A aplicação fraca combinada com grandes bases de dados detidas por governos conduz a exposição real, como mostram as violações no México e no Chile. Enquanto o Conselho da Índia não estiver a funcionar, trate os seus dados com cuidado e partilhe-os com parcimónia.

FAQ: Q1: O que ordenou o Tribunal de Justiça de Kerala ao governo da União? A1: O tribunal ordenou ao Centro que ative o Conselho de Proteção de Dados dentro de oito semanas, citando preocupações de que a privacidade dos cidadãos está a ser comprometida, incluindo na forma como os dados dos passageiros são tratados nos aeroportos. Q2: A ordem do Tribunal de Justiça de Kerala cria novas leis ou obrigações? A2: Não, a ordem não cria uma nova lei nem novas obrigações; pede ao governo que ponha em funcionamento a instituição que a Lei DPDP de 2023 já descreve. Q3: Porque é importante o Conselho de Proteção de Dados ao abrigo da Lei DPDP? A3: O Conselho de Proteção de Dados deve ser o órgão que examina queixas, avalia violações e age sobre elas, pelo que sem ele as regras da Lei DPDP permanecem largamente inexequíveis. Q4: O que acontece enquanto o Conselho de Proteção de Dados não for funcional? A4: As pessoas que acreditam que os seus dados foram usados indevidamente não têm um regulador totalmente operacional a quem apresentar a sua queixa, e as organizações enfrentam pouca pressão prática para mudar a forma como recolhem e armazenam informações. Q5: Porque são os dados dos passageiros dos aeroportos uma preocupação neste caso? A5: Os viajantes entregam documentos de identidade, itinerários e por vezes informações biométricas com pouca escolha, e raramente sabem onde são armazenados, quem pode aceder-lhes ou durante quanto tempo são conservados. ---END---