Новая волна активности по обеспечению соответствия набирает силу вокруг индийского Закона о цифровой защите персональных данных 2023 года (Закон DPDP), поскольку юридические фирмы и консалтинговые компании соревнуются за помощь бизнесу в подготовке. Согласно отчету ETLegalWorld, юридическая фирма Foresight Law Offices недавно запустила специализированный «DPDP-деск» вместе с интерактивным инструментом оценки готовности, предназначенным для帮助 организаций выявлять пробелы в соответствии до того, как правила закона вступят в полную силу. Хотя это объявление адресовано в первую очередь корпоративным юридическим командам, оно также является полезным сигналом для обычных пользователей интернета: Закон DPDP переходит из теории в практику, и то, как индийские компании собирают, хранят и передают персональные данные, скоро изменится способами, которые напрямую затрагивают потребителей.
Если вы никогда не читали сам Закон DPDP, вы не одиноки. Большинство людей сталкиваются с законодательством о защите данных лишь косвенно — через всплывающие окна согласия, политики конфиденциальности или электронные письма об утечках данных. Но Закон DPDP — один из самых значимых законов о конфиденциальности, принятых в Индии за десятилетия, и понимание его основ поможет вам знать, чего ожидать от приложений и сервисов, которыми вы пользуетесь каждый день.
Что на самом деле требует Закон DPDP
По своей сути Закон DPDP устанавливает правила того, как «фидуциарии данных» (по сути, любая организация, которая собирает или обрабатывает персональные данные) должны обращаться с этой информацией. Бизнесу потребуется четкое и конкретное согласие перед сбором персональных данных, он должен указать, зачем собирает эти данные, и обязан удалять данные, как только они больше не нужны для заявленной цели. Закон также создает механизмы для физических лиц, позволяющие получать доступ к своим данным, исправлять их или отзывать согласие на их обработку, а также вводит регулирующий орган — Совет по защите данных — для рассмотрения жалоб и обеспечения правоприменения.
Это заметный сдвиг для страны, где практика сбора данных исторически регулировалась слабо. Как показали репортажи о том, как Закон DPDP Индии выводит конфиденциальность данных на уровень советов директоров, соответствие требованиям больше не является чем-то, что компании могут тихо делегировать ИТ-отделам. Это становится вопросом корпоративного управления, за который советы директоров и руководители должны отвечать напрямую, с реальной подотчетностью в случае ошибок.
Сравнение с GDPR
Наблюдатели за конфиденциальностью часто сравнивают Закон DPDP с Общим регламентом защиты данных Европейского союза (GDPR), и между ними есть значимые сходства: обе системы требуют согласия на сбор данных, обе предоставляют физическим лицам права на их собственную информацию, и обе предусматривают штрафы за несоблюдение требований. Но Закон DPDP, как правило, считается более узким по охвату. Он касается конкретно цифровых персональных данных, в то время как GDPR охватывает более широкий спектр персональной информации независимо от формата. Закон DPDP также предоставляет индийскому правительству больше свободы действий в определенных областях, таких как исключения для государственных органов и правила трансграничной передачи данных, чем обычно допускает GDPR.
Для потребителей практический вывод заключается в том, что Закон DPDP — это реальный шаг к более надежной защите конфиденциальности, но он может не обеспечить такой же широты прав, какую GDPR предоставил пользователям в Европе. Это минимум, а не обязательно максимум.
Почему сроки имеют значение
Одна деталь, которая часто упускается в материалах о соответствии требованиям, — это то, насколько ограниченным является запас времени для бизнеса на подготовку. Стартапы, например, сталкиваются с жесткими дедлайнами: Закон DPDP Индии устанавливает крайний срок май 2027 года для стартапов по перестройке практики обработки данных. В более широком смысле правила DPDP должны вступить в полную силу в 2027 году, что означает, что потоки согласия, политики удаления данных и процессы уведомления об утечках, которые многие компании сейчас создают, должны быть полностью работоспособны к этому сроку. Юридические аналитики также указывают на сроки обеспечения соответствия и подотчетность директоров как на растущий источник давления, как подробно описано в материалах о сроках соответствия DPDPA в Индии и рисках для директоров. Иными словами, инструменты и дески, которые такие фирмы, как Foresight, запускают сейчас, существуют потому, что часы уже тикают.
Что это значит для вас
Если вы пользуетесь приложениями, веб-сайтами или сервисами, базирующимися в Индии, или взаимодействуете с индийскими компаниями как клиент, в ближайшие пару лет вы должны начать замечать изменения. Ожидайте более явных запросов на согласие, более четких объяснений того, зачем собираются ваши данные, и (в конечном итоге) более простых способов запросить удаление ваших данных. Компании, работающие с чувствительными данными — от финансовых приложений до мессенджеров — находятся под растущим давлением необходимости ужесточить свою практику задолго до дедлайна 2027 года. Стоит помнить, что платформы с огромной индийской пользовательской базой уже корректируют свою практику работы с данными в ожидании более пристального контроля, подобно тому как WhatsApp тестирует функции проверки возраста для своих примерно 600 миллионов индийских пользователей.
Тем не менее, правоприменение все еще догоняет текст закона, и полные правила еще не действуют повсеместно. Не ожидайте мгновенной трансформации. Вместо этого следите за постепенными изменениями в политиках конфиденциальности, экранах согласия и в том, как компании реагируют, когда вы спрашиваете, какие данные они о вас хранят.
Практические выводы
Начните уделять больше внимания запросам на согласие и уведомлениям о конфиденциальности от индийских приложений и сервисов, поскольку они, скорее всего, станут более подробными по мере поэтапного введения правил Закона DPDP. Если вы взаимодействуете с компанией, которая обрабатывает чувствительные персональные данные, такие как финансовая или медицинская информация, напрямую спросите, как выглядят их политики хранения и удаления данных. А если вы управляете бизнесом, работающим в Индии, или консультируете такой бизнес, относитесь к дедлайнам Закона DPDP 2027 года как к жестким, а не отдаленным, поскольку фундамент соответствия — от управления согласием до внутренних структур подотчетности — требует реального времени для построения. Будь вы потребитель или владелец бизнеса, Закон DPDP напоминает о том, что конфиденциальность данных в Индии переходит из разряда юридической мысли задним числом в разряд операционных требований, и информированность сейчас сделает этот переход гораздо менее разрушительным в будущем.
