Высокий суд Кералы обязал центральное правительство обеспечить функционирование Совета по защите данных Индии в течение восьми недель. По данным The Hindu, суд заявил, что неприкосновенность частной жизни граждан нарушается, и среди рассмотренных им вопросов — то, как обрабатываются данные пассажиров в аэропортах. Постановление Высокого суда Кералы о Совете по защите данных устанавливает крайний срок для органа, на который опирается Закон о цифровой защите персональных данных (DPDP) 2023 года для обеспечения правоприменения.

Доступные сообщения кратки, поэтому в этом материале мы придерживаемся только подтверждённых фактов и объясняем, почему это важно.

Что постановил Высокий суд Кералы

Суд обязал центр активировать Совет по защите данных в течение восьми недель. Это указание было дано на фоне обеспокоенности по поводу конфиденциальности данных пассажиров в аэропортах, и суд отметил, что неприкосновенность частной жизни граждан нарушается.

Постановление не создаёт нового закона или новых обязательств. Оно требует от правительства создать институт, который уже описан в действующем законе. Это различие важно: правовая база существует, но суд сигнализирует, что рамки без работающего правоприменительного органа никого не защищают на практике.

Почему Совет по защите данных важен для закона DPDP

Закон DPDP 2023 года устанавливает правила обработки персональных данных организациями. Правила на бумаге имеют значение только тогда, когда кто-то может рассматривать жалобы, оценивать нарушения и принимать меры. Совет по защите данных и должен быть таким органом.

Пока он не функционирует, люди, считающие, что их данные были использованы неправомерно, не имеют полностью работающего регулятора, к которому можно обратиться с жалобой. Организации, в свою очередь, почти не испытывают практического давления, побуждающего изменить то, как они собирают и хранят информацию. В этом суть пробела в правоприменении, на который указывает постановление суда: закон может быть принят и при этом оставаться в значительной степени неисполнимым.

Восьминедельный срок — это конкретная проверка. Читатели могут наблюдать, будет ли Совет фактически введён в действие к крайнему сроку и какими полномочиями и кадровыми ресурсами он будет обладать после этого.

Как сбор данных пассажиров в аэропортах подвергает путешественников риску

Аэропорты — это точка повышенного давления для персональных данных. Путешественники передают удостоверяющие личность документы, маршруты поездок, а в некоторых системах — и биометрическую информацию в рамках обычной процедуры. В данном случае обеспокоенность сосредоточена на данных пассажиров в аэропортах, и причина очевидна: у людей почти нет выбора, предоставлять ли эти данные, и они редко знают, где они хранятся, кто имеет к ним доступ и как долго они сохраняются.

Крупные централизованные хранилища такого рода привлекательны для злоумышленников и настолько безопасны, насколько надёжны меры контроля вокруг них. Без регулятора, способного расследовать жалобы или изучать практики, у путешественников мало возможностей для защиты, если что-то пойдёт не так. Недавние инциденты в других странах показывают, как выглядит утечка. Взлом портала паспортов ANTS во Франции затронул агентство, отвечающее за защищённые удостоверяющие документы страны, а взлом государственного реестра Литвы затронул записи, хранящиеся самим государством.

Как пробел в правоприменении в Индии соотносится с другими режимами защиты приватности

Многие режимы защиты приватности сочетают юридические права с органом, который может принимать жалобы и применять последствия. Разница в случае Индии, как подчёркивает постановление суда, в том, что закон принят, тогда как орган, призванный его исполнять, ещё не работает. В источнике нет подробностей о том, как будет устроен Совет, поэтому сравнения следует проводить осторожно.

Можно сказать, что сильный текст сам по себе не предотвращает утечек. Государственные базы данных подвергались компрометации в других странах. Утечка данных в Мексике, раскрывшая 195 миллионов личностей и 10 миллионов записей, утёкших из Гражданского реестра Чили показывают, что может произойти, когда данные граждан хранятся в больших масштабах и плохо защищены.

Что это значит для вас

Если вы путешествуете через индийские аэропорты, постановление не меняет того, какие данные у вас собирают сегодня. Оно усиливает давление в пользу работающего регулятора, который со временем мог бы изучать эти практики и рассматривать жалобы.

Для путешественников и жителей в целом практический вывод таков: нельзя полагаться на регулятора в защите данных, которые уже собраны. VPN не поможет с данными, которые вы передаёте на стойке регистрации или на пограничном пункте, поэтому сосредоточьтесь на ограничении того, чем вы делитесь, и на защите собственных аккаунтов.

Практические выводы

  • Делитесь только той личной информацией, которая необходима, и спрашивайте, что собирают и зачем, когда это возможно.
  • Храните копии своих проездных и удостоверяющих документов в безопасности и избегайте их отправки по незашифрованным каналам.
  • Используйте уникальные пароли и многофакторную аутентификацию для аккаунтов авиакомпаний, сервисов бронирования и государственных услуг.
  • Следите за уведомлениями об утечках данных, затрагивающих используемые вами сервисы, и незамедлительно меняйте учётные данные, если вы пострадали.
  • Следите за тем, начнёт ли Совет по защите данных работать после истечения восьминедельного срока.

Постановление Высокого суда Кералы о Совете по защите данных — напоминание о том, что права на бумаге нуждаются в институте за ними. Слабое правоприменение в сочетании с крупными государственными базами данных ведёт к реальным утечкам, как показывают взломы в Мексике и Чили. Пока Совет Индии не работает, относитесь к своим данным бережно и делитесь ими скупо.