Индийский Закон о защите цифровых персональных данных (DPDP) перешел из теоретической плоскости в практическую. Ожидается, что большинство его положений вступит в силу к маю 2027 года, и каждой компании, собирающей или обрабатывающей персональные данные, включая стартапы, придется соблюдать новый набор правовых обязательств. Однако более насущный вопрос для обычных пользователей заключается не в готовности стартапов. Он в том, что права потребителей данных по закону DPDP на самом деле означают для человека, чей номер телефона, история местоположений и финансовые данные прямо сейчас хранятся в базах данных десятков приложений.

Что меняет Закон DPDP для повседневных индийских пользователей

До сих пор большинство индийцев практически не имели официального права голоса в отношении того, как компании используют их личную информацию после ее передачи при регистрации. Закон DPDP перестраивает эти отношения. Он определяет физических лиц как «Принципалов данных», а компании, собирающие их данные, — как «Фидуциариев данных»; это различие звучит бюрократично, но имеет реальный вес. Фидуциарии обязаны действовать в интересах человека, чьи данные они хранят, а не только в собственных коммерческих интересах.

Для стартапа, управляющего приложением по доставке еды, кредитной платформой или фитнес-трекером, это означает, что согласие больше не может быть спрятано в незаметной галочке. Компании должны будут четко указывать, зачем они собирают данные, получать конкретное согласие для этой цели и прекращать использование данных после того, как эта цель будет достигнута. Это переход от принципа «собирай всё, проси прощения потом» к системе, где бремя обоснования лежит на компании.

Ваши новые права на данные: доступ, исправление и удаление

Практическая ценность Закона DPDP для потребителей заключается в нескольких защищенных законом правах. Как только соответствующие положения вступят в силу, люди смогут запрашивать у компании информацию о том, какие персональные данные она хранит о них, требовать исправлений, если эти данные неточны или устарели, и требовать удаления, как только цель, для которой они были собраны, перестанет быть актуальной.

Эти права не уникальны для Индии, но они представляют собой значительный отход от того, как в настоящее время работает большинство индийских приложений и платформ. Сегодня удаление аккаунта редко означает, что ваши данные исчезают с серверов компании. В соответствии с Законом DPDP, компании будут обязаны создавать реальные механизмы, а не просто формулировки в политиках, чтобы люди могли реализовать эти права. Это имеет реальные последствия для того, как стартапы выстраивают архитектуру своих продуктов с нуля, — сдвиг, подробно рассмотренный в материале о том, как Закон DPDP выводит вопросы конфиденциальности данных в Индии на уровень совета директоров, где соблюдение требований становится задачей уровня руководства, а не чем-то, чем тихо занимаются юридические отделы.

Уведомление об утечках и что происходит, когда стартапы не соблюдают требования

Права на бумаге имеют значение только тогда, когда за их игнорирование наступают последствия. Закон DPDP вводит обязательства по уведомлению об утечках, а это означает, что компании должны будут информировать как регулирующие органы, так и пострадавших лиц, когда персональные данные будут скомпрометированы. Для страны, где утечки данных часто оставались непризнанными или обнаруживались только благодаря исследователям безопасности или сообщениям в СМИ, это значимое изменение в подотчетности.

Закон также наделяет регулирующие органы полномочиями налагать финансовые штрафы на компании, которые не выполняют свои обязательства, будь то неадекватные меры безопасности, игнорирование требований к согласию или отсутствие уведомления пострадавших пользователей после утечки. Для стартапов, работающих с низкой маржой, период подготовки к соблюдению требований с настоящего момента до мая 2027 года предназначен для того, чтобы дать им время правильно выстроить эти системы, а не суетиться постфактум.

Что это значит для вас: требования, которые нужно выдвигать до 2027 года

Крайний срок соблюдения требований еще впереди, а это означает, что текущий разрыв между тем, что обещает закон, и тем, что фактически делают приложения, остается широким. Пользователям не нужно пассивно ждать 2027 года, чтобы начать задавать вопросы. Прежде чем доверять приложению конфиденциальные данные, разумно поинтересоваться, как долго эти данные хранятся, передаются ли они третьим лицам и есть ли у компании четкий процесс обработки запросов на удаление уже сегодня, а не просто обещание на будущее.

Также стоит сохранять скептицизм относительно того, какой уровень защиты обеспечит одно лишь регулирование. Эффективность Закона DPDP сильно зависит от правоприменения, и уже возникли вопросы о том, насколько независимым на практике окажется Совет по защите данных Индии. Это критически важная деталь, потому что закон с сильными правами на бумаге мало что значит, если орган, ответственный за его исполнение, не обладает независимостью для привлечения к ответственности влиятельных компаний. Читателям, обеспокоенным этим пробелом, следует внимательно ознакомиться с материалом о том, что независимость Совета по защите данных Индии подвергается критике, где объясняется, почему регуляторная защита может оказаться не той системой безопасности, которую ожидают потребители.

Суть

Закон DPDP устанавливает значимый новый минимальный стандарт прав потребителей данных по Закону DPDP в Индии, давая физическим лицам правовую основу для доступа, исправления и удаления своих персональных данных, а также обязывая компании раскрывать информацию об утечках, а не скрывать их. Однако период между настоящим моментом и полным вступлением в силу в 2027 году — это именно то время, когда бдительность наиболее важна. Спрашивайте приложения и сервисы напрямую о хранении и удалении данных уже сейчас, не считайте, что молчание означает соблюдение требований, и следите за тем, насколько независимо на самом деле функционирует Совет по защите данных, как только начнется реальное правоприменение. Права, существующие на бумаге, становятся реальными только тогда, когда кто-то готов ими воспользоваться, а стоящий за ними механизм принуждения обладает реальной силой.