Digital Personal Data Protection Act, 2023 (DPDP-lagen) är Indiens första dedikerade lag för skydd av personuppgifter. En nyligen publicerad förklaring från en säkerhetsforskare på DEV Community guidar utvecklare genom varför lagen behövdes och vad den innebär för deras teknikstack. Det här inlägget tar en annan vinkel. Det är en Indiens DPDP-lag förklarad-guide för vanliga användare, som täcker vad lagen ger dig, hur den jämförs med EU:s GDPR, och vad den kan och inte kan göra för din integritet.
Vad DPDP-lagen ger dig som registrerad person
Lagen använder sin egen terminologi. Du, individen vars uppgifter samlas in, är den "registrerade" (data principal). Företaget eller organisationen som beslutar varför och hur dina uppgifter behandlas är den "personuppgiftsansvarige" (data fiduciary). Ordvalet spelar roll eftersom det ramar in förhållandet som ett av förtroende och skyldighet, inte bara en kommersiell transaktion.
Som ramverk styr lagen hur företag samlar in, använder, delar och raderar personuppgifter tillhörande personer i Indien. I praktiken faller de skydd som betyder mest för vanliga användare inom fyra områden:
- Samtycke: Organisationer förväntas förlita sig på ditt medgivande när de behandlar dina uppgifter, snarare än att samla in dem i tysthet i bakgrunden.
- Åtkomst: Du kan begära att få veta vilka personuppgifter en organisation har om dig och hur de används.
- Rättelse och radering: Du kan begära att felaktiga uppgifter korrigeras och att uppgifter raderas när de inte längre behövs.
- Anmälan vid intrång: När något går fel har organisationen som innehar dina uppgifter skyldighet att rapportera det, så att du inte lämnas i mörkret.
Dessa rättigheter hjälper bara om du använder dem. En samtyckesskärm du klickar igenom utan att läsa är fortfarande ett beslut som fattas för din räkning.
Hur DPDP jämförs med GDPR
Läsare som är bekanta med EU:s allmänna dataskyddsförordning (GDPR) kommer att känna igen den övergripande formen: en rättighetsbaserad modell uppbyggd kring samtycke, transparens och ansvarsskyldighet. Precis som GDPR ersätter DPDP-lagen ett mycket mer begränsat tidigare ramverk med ett omfattande nationellt sådant.
Skillnaderna är värda att känna till, även om du bara behöver helhetsbilden. Ett anmärkningsvärt område är gränsöverskridande data. Analytiker beskriver DPDP-lagen som att den tillåter att personuppgifter överförs utanför Indien utom till länder som centralregeringen har meddelat som begränsade. Det är en annan mekanism än den adekvansbaserade ansats som många förknippar med GDPR, och vissa kommentatorer har ifrågasatt om den kommer att ge tillräcklig trygghet i sig.
Den praktiska slutsatsen: anta inte att skydd du känner till från GDPR gäller identiskt i Indien. Terminologi, omfattning och tillsynsdetaljer skiljer sig, så kontrollera specifikationerna innan du förlitar dig på en rättighet du har på andra håll.
Vad som förändras för appar och tjänster som hanterar indiska uppgifter
För organisationer inför lagen efterlevnadsskyldigheter inom insamling, behandling, lagring och överföring av digitala personuppgifter. Det sträcker sig långt bortom företag baserade i Indien. Alla appar eller tjänster som hanterar personuppgifter tillhörande personer i Indien har anledning att se över hur de samlar in samtycke, hur länge de behåller uppgifter och hur de svarar på användarförfrågningar.
För dig bör detta visa sig som tydligare samtyckesprompter, mer tillgängliga inställningar för att hantera eller radera uppgifter, och mer strukturerad kommunikation om ett intrång inträffar. Globala användare av indiska plattformar kan också märka förändringar i hur dessa tjänster beskriver vart uppgifter tar vägen och varför.
Tillsyn är det som ger dessa skyldigheter tyngd. Vår genomgång av DPDP-lagens påföljder och böter på upp till ₹250 crore visar hur de ekonomiska konsekvenserna av bristande efterlevnad blir allt tydligare, vilket är ett starkt incitament för företag att ta användarförfrågningar på allvar.
Var en VPN hjälper och var den inte gör det
En VPN och en dataskyddslag löser olika problem, och det är lätt att blanda ihop dem.
En VPN krypterar din trafik mellan din enhet och VPN-servern och döljer din IP-adress för de webbplatser du besöker. Det kan minska exponeringen på offentliga Wi-Fi-nät och begränsa viss spårning på nätverksnivå.
Vad en VPN inte gör är att förändra vad du lämnar över när du väl är inloggad. Om du ger en app ditt namn, telefonnummer eller kontaktlista hindrar VPN:en inte appen från att behandla dem. Det är exakt det område som DPDP-lagen täcker: vad organisationer får göra med uppgifter du har delat, och vilka möjligheter du har efteråt.
Se dem som kompletterande lager. Lagen styr hur organisationer behandlar dina uppgifter. En VPN skyddar anslutningen de färdas över. Inget av dem ersätter genomtänkta val om vad du delar.
Vad detta innebär för dig
Om du bor i Indien eller använder indiska appar och tjänster ger DPDP-lagen dig en tydligare uppsättning verktyg än du hade tidigare. Lagen kan inte agera för din räkning om du inte engagerar dig i den. Behandla samtyckesprompter som verkliga beslut, och använd begäranden om åtkomst och radering när en tjänst har uppgifter du inte längre vill att den ska ha.
Om du befinner dig utanför Indien men använder indiska plattformar, förvänta dig att dessa tjänster anpassar hur de hanterar uppgifter och kommunicerar om det. Anta inte att dina rättigheter i hemlandet följer med dig, och läs integritetsvillkoren för varje tjänst.
Användbara slutsatser
- Granska samtyckesinställningar i de indiska appar och tjänster du använder, och återkalla behörigheter du inte behöver.
- Begär åtkomst till de uppgifter en tjänst har om dig om du är osäker på vad den samlar in.
- Be om rättelse eller radering av föråldrade eller onödiga uppgifter, särskilt för konton du inte längre använder.
- Håll utkik efter intrångsmeddelanden och agera snabbt, till exempel genom att byta lösenord.
- Använd en VPN till det den är bra på, att skydda din anslutning, medan du förlitar dig på juridiska rättigheter för att styra vad som händer med uppgifter du delar.
För att förstå hur lagen tillämpas och vad bristande efterlevnad kan kosta, läs vår guide om DPDP-lagens påföljder. Ta sedan tio minuter att gå igenom dina samtyckes- och datainställningar. Med Indiens DPDP-lag förklarad är nästa steg att sätta dess rättigheter i arbete.
