Закон Индии о защите цифровых персональных данных 2023 года (DPDPA) и сопутствующие Правила 2025 года призваны изменить подход цифровой коммерции к обработке персональных данных. Недавний анализ Lexology по этой теме рассматривает корзину покупок как точку сбора данных, и такой подход полезен. Каждая регистрация учётной записи, сохранённый адрес, платёжные предпочтения и модель просмотра в приложении для покупок — это персональные данные. Для тех, кто следит за конфиденциальностью при онлайн-покупках по DPDPA в Индии, вопрос в том, что вы реально получаете как покупатель и что не может сделать для вас ни один инструмент.

Конфиденциальность при онлайн-покупках по DPDPA в Индии: что меняется для данных электронной коммерции

DPDPA — это первая комплексная система Индии, регулирующая сбор, обработку и хранение персональных данных. В ней используются особые термины: лицо, чьи данные собираются, — это «Data Principal» (субъект данных), а компания, определяющая, зачем и как используются данные, — «Data Fiduciary» (фидуциар данных). На практике вы — субъект данных, а торговая площадка — фидуциар данных.

Краткие обзоры Правил от юридических фирм указывают на конкретные обязательства для крупных платформ. Согласно этим обзорам, Правила устанавливают требования к удалению данных для определённых категорий фидуциаров данных, включая субъекты электронной коммерции, социальные платформы и компании онлайн-игр. В одном из обзоров требование описано так: данные неактивных пользователей должны быть удалены через три года, с предварительным уведомлением пользователя за 48 часов. В другом говорится об удалении в течение трёх лет с момента последнего обращения субъекта данных к компании.

Детали того, какие платформы подпадают под требование и как определяется «неактивность», важны, поэтому воспринимайте эти цифры как краткое изложение, а не как юридическую консультацию. Направление всё же ясно: собирать данные бессрочно и хранить их «на всякий случай» становится труднее оправдать.

Права на согласие, удаление и исправление, которые получают покупатели

Закон построен вокруг согласия. Компании должны сообщать вам, какие данные они собирают и зачем, и обрабатывать их именно для этой цели. Для покупателей это должно означать более понятные запросы при регистрации и оформлении заказа, а не единое bundled-одобрение, спрятанное в условиях и положениях.

Права, которые вы можете использовать, включают:

  • Отзыв согласия. Вы должны иметь возможность отозвать ранее данное разрешение, и процесс не должен быть сложнее, чем его предоставление.
  • Исправление. Если ваш адрес, номер телефона или другие данные неверны, вы можете попросить их исправить.
  • Удаление. Вы можете запросить удаление ваших персональных данных с учётом законодательных исключений.
  • Рассмотрение жалоб. Платформы должны предоставлять способ подать жалобу на то, как обрабатываются ваши данные.

Правило удаления по неактивности добавляет страховку для учётных записей, о которых вы забыли. Заброшенный профиль покупателя с сохранённым адресом и историей заказов — именно та запись, которая склонна храниться годами и в итоге попасть в утечку.

Что VPN может и чего не может делать при онлайн-покупках

VPN шифрует соединение между вашим устройством и VPN-сервером и скрывает ваш IP-адрес от сайтов, которые вы посещаете. Это помогает в публичных Wi-Fi-сетях и ограничивает один из сигналов, которые сайты используют для оценки вашего местоположения. Это полезный слой, но он решает иную задачу, чем DPDPA.

Когда вы входите в приложение для покупок, платформа всё равно знает, кто вы. Она видит вашу учётную запись, адрес доставки, платёжные данные и историю покупок, что бы ни говорил ваш IP-адрес. VPN не мешает компании собирать данные, которые вы передаёте добровольно, и не контролирует, как долго эти данные хранятся и удаляются ли они. Это юридические вопросы, и DPDPA — инструмент для них.

Есть и практическое ограничение. VPN зависят от работающего соединения и не помогут, если доступ сам по себе отключён. Наш разбор на тему что VPN может и чего не может во время отключения интернета описывает другой сценарий, но показывает тот же принцип: VPN — это один инструмент с определёнными границами, а не универсальный щит.

Верно и обратное. Закон не защищает вас от подглядывающей сети или незашифрованной точки доступа. Лучше всего эти два инструмента работают вместе.

Что это значит для вас: шаги по ограничению отслеживания при оформлении заказа

Вам не нужно ждать полного вступления в силу всех положений, чтобы начать укреплять свои привычки. Рассмотрите эти шаги:

  1. Проверьте настройки согласия в ваших приложениях для покупок. Найдите настройки конфиденциальности или данных и отключите необязательное отслеживание, персонализированную рекламу и синхронизацию контактов, которые вам не нужны.
  2. Удалите учётные записи, которые вы больше не используете. Не полагайтесь только на автоматическое удаление после периода неактивности. Используйте встроенную в приложение опцию удаления или запроса на стирание данных, если она есть.
  3. Проверьте и исправьте сохранённые данные. Устаревшие адреса и номера телефонов — это одновременно проблема конфиденциальности и проблема доставки.
  4. По возможности оформляйте заказ как гость. Меньше сохранённых профилей — меньше записей, которые нужно защищать.
  5. Сообщайте только необходимое. Если форма запрашивает больше, чем нужно для доставки и оплаты, считайте необязательные поля необязательными.
  6. Ужесточите настройки браузера. Блокируйте сторонние cookie, периодически очищайте данные сайтов и используйте встроенные в браузер функции защиты от отслеживания.
  7. Используйте VPN в недоверенных сетях. Он защищает соединение, а не данные вашей учётной записи.
  8. Сохраняйте записи о ваших запросах. Если вы подаёте запрос на удаление или исправление, сохраните подтверждение на случай, если потребуется эскалировать жалобу.

Почему эти ограничения важны за пределами покупок? Потому что персональные данные редко остаются в одном месте. В Индии активно идут дискуссии об идентификационных данных и мониторинге — от дебатов о конфиденциальности распознавания лиц в рамках статьи 21 до опасений по поводу предлагаемого требования Aadhaar для регистрации в социальных сетях в Карнатаке. Ограничение того, что собирают коммерческие платформы, — часть более широкого разговора о том, кто хранит вашу информацию и как долго.

Ключевые выводы

Конфиденциальность при онлайн-покупках по DPDPA в Индии сводится к разделению обязанностей. Закон даёт вам права в отношении согласия, исправления и удаления и устанавливает ограничения на хранение для крупных платформ электронной коммерции. VPN и разумные настройки браузера снижают уязвимость в сети и от сторонних трекеров, но они не могут заставить ритейлера забыть то, что вы ему сообщили.

На этой неделе откройте приложения для покупок, которыми вы пользуетесь чаще всего, проверьте переключатели согласия и найдите опцию удаления учётной записи или стирания данных. Удалите профили, которые вам больше не нужны, и пользуйтесь своими правами по мере вступления Правил в силу. Детали реализации могут меняться, поэтому сверяйтесь с уведомлением о конфиденциальности платформы и официальными рекомендациями для получения актуальных требований.