Un nou val de activitate de conformitate se conturează în jurul Legii indiene privind protecția datelor personale digitale, 2023 (Legea DPDP), pe măsură ce firmele de avocatură și companiile de consultanță se grăbesc să ajute afacerile să se pregătească. Potrivit unui raport ETLegalWorld, Foresight Law Offices a lansat recent un dedicat „DPDP Desk" alături de un instrument interactiv de evaluare a pregătirii, conceput pentru a ajuta organizațiile să identifice lacunele de conformitate înainte ca normele legii să intre pe deplin în vigoare. Deși acest anunț este vizat direct către echipele juridice corporative, este și un semnal util pentru utilizatorii obișnuiți de internet: Legea DPDP trece de pe hârtie în practică, iar modul în care companiile indiene colectează, stochează și partajează datele personale este pe cale să se schimbe în moduri care afectează direct consumatorii.

Dacă nu ai citit niciodată Legea DPDP în sine, nu ești singur. Majoritatea oamenilor întâlnesc legislația privind protecția datelor doar indirect, prin ferestre de consimțământ, politici de confidențialitate sau e-mailuri de notificare a încălcărilor de securitate. Dar Legea DPDP este una dintre cele mai semnificative legi privind confidențialitatea apărute în India în ultimele decenii, iar înțelegerea elementelor de bază te poate ajuta să știi la ce să te aștepți de la aplicațiile și serviciile pe care le folosești zilnic.

Ce solicită efectiv Legea DPDP

La bază, Legea DPDP stabilește reguli privind modul în care „fiduciarii de date" (în esență orice organizație care colectează sau procesează date personale) trebuie să gestioneze aceste informații. Companiile vor avea nevoie de un consimțământ clar și specific înainte de a colecta date personale, trebuie să precizeze de ce le colectează și sunt obligate să șteargă datele odată ce acestea nu mai sunt necesare pentru scopul declarat. Legea creează, de asemenea, căi pentru ca persoanele fizice să acceseze, să corecteze sau să-și retragă consimțământul pentru propriile date și introduce un organism de reglementare, Consiliul pentru Protecția Datelor, pentru a gestiona plângerile și aplicarea legii.

Aceasta este o schimbare notabilă pentru o țară în care practicile de colectare a datelor au fost istoric slab reglementate. După cum a arătat reportajul despre Legea DPDP din India care aduce confidențialitatea datelor în sala de consiliu, conformitatea nu mai este ceva ce companiile pot delega în liniște departamentelor IT. Devine o problemă de guvernanță pe care consiliile de administrație și directorii executivi sunt așteptați să o dețină direct, cu o responsabilitate reală dacă lucrurile merg prost.

Cum se compară cu GDPR

Observatorii confidențialității au comparat frecvent Legea DPDP cu Regulamentul General privind Protecția Datelor (GDPR) al Uniunii Europene, și există asemănări semnificative: ambele cadre necesită consimțământ pentru colectarea datelor, ambele oferă persoanelor fizice drepturi asupra propriilor informații și ambele creează penalități pentru neconformitate. Dar Legea DPDP este considerată în general mai restrânsă ca domeniu. Se concentrează specific pe datele personale digitale, în timp ce GDPR acoperă o gamă mai largă de informații personale, indiferent de format. Legea DPDP oferă, de asemenea, guvernului indian mai multă libertate în anumite domenii, cum ar fi excepțiile pentru agențiile guvernamentale și regulile privind transferurile transfrontaliere de date, decât permite de obicei GDPR.

Pentru consumatori, concluzia practică este că Legea DPDP reprezintă un pas real către protecții mai puternice ale confidențialității, dar s-ar putea să nu ofere aceeași amploare a drepturilor pe care GDPR le-a oferit utilizatorilor din Europa. Este un nivel minim, nu neapărat un plafon.

De ce contează termenul limită

Un detaliu adesea omis din acoperirea axată pe conformitate este cât de strâns este calendarul pentru ca afacerile să se pregătească. Startup-urile, de exemplu, se confruntă cu termene limită stricte, cu Legea DPDP din India semnalând un termen limită în mai 2027 pentru startup-uri pentru a-și revizui practicile de gestionare a datelor. Mai larg, Normele DPDP sunt programate să intre pe deplin în vigoare în 2027, ceea ce înseamnă că fluxurile de consimțământ, politicile de ștergere a datelor și procesele de notificare a încălcărilor pe care multe companii le construiesc în prezent sunt menite să fie pe deplin operaționale până atunci. Analiștii juridici au subliniat, de asemenea, termenele de conformitate și responsabilitatea la nivel de director ca un punct de presiune tot mai mare, așa cum este detaliat în acoperirea privind termenele de conformitate DPDPA din India și riscul directorilor. Cu alte cuvinte, instrumentele și birourile pe care firme precum Foresight le lansează acum există pentru că ceasul rulează deja.

Ce înseamnă asta pentru tine

Dacă folosești aplicații, site-uri web sau servicii cu sediul în India, sau interacționezi cu companii indiene ca client, ar trebui să începi să observi schimbări în următorii câțiva ani. Așteaptă-te la cereri de consimțământ mai explicite, explicații mai clare despre de ce sunt colectate datele tale și (în cele din urmă) modalități mai ușoare de a solicita ștergerea datelor tale. Companiile care gestionează date sensibile, de la aplicații financiare la platforme de mesagerie, sunt sub presiune tot mai mare să își consolideze practicile cu mult înainte de termenul limită din 2027. Merită să reții că platformele cu baze masive de utilizatori indieni își ajustează deja practicile de date în anticiparea unei supravegheri mai stricte, similar modului în care WhatsApp testează funcții de verificare a vârstei pentru aproximativ 600 de milioane de utilizatori indieni.

Acestea fiind spuse, aplicarea legii este încă în urma textului legislativ, iar normele complete nu sunt încă în vigoare peste tot. Nu te aștepta la o transformare peste noapte. În schimb, urmărește schimbări graduale în politicile de confidențialitate, ecranele de consimțământ și modul în care companiile răspund când întrebi ce date dețin despre tine.

Concluzii acționabile

Începe să fii mai atent la cererile de consimțământ și la notificările de confidențialitate de la aplicațiile și serviciile indiene, deoarece acestea vor deveni probabil mai detaliate pe măsură ce normele Legii DPDP intră în vigoare treptat. Dacă interacționezi cu o companie care gestionează date personale sensibile, cum ar fi informații financiare sau de sănătate, întreabă direct care sunt politicile lor de păstrare și ștergere a datelor. Și dacă conduci sau consiliezi o afacere care operează în India, tratează termenele limită din 2027 ale Legii DPDP ca fiind ferme, nu îndepărtate, deoarece fundația conformității, de la gestionarea consimțământului la structurile interne de responsabilitate, necesită timp real pentru a fi construită. Fie că ești consumator sau proprietar de afacere, Legea DPDP este o reamintire că confidențialitatea datelor în India se mută de la o considerație juridică ulterioară la o cerință operațională, iar a rămâne informat acum va face tranziția mult mai puțin disruptivă mai târziu.