พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลดิจิทัลของอินเดีย (DPDP Act) ซึ่งบังคับใช้ในปี 2023 ไม่ได้เป็นเพียงรายการตรวจสอบการปฏิบัติตามกฎหมายที่ฝ่ายไอทีหรือทีมกฎหมายจัดการเงียบๆ อีกต่อไป จากการวิเคราะห์ล่าสุดที่เผยแพร่โดย ETLegalWorld กฎหมายฉบับนี้กำลังเปลี่ยนวิธีที่บริษัทอินเดียคิดเกี่ยวกับการกำกับดูแลความเป็นส่วนตัวของข้อมูล ยกระดับให้เป็นเรื่องที่คณะกรรมการบริษัทต้องกำกับดูแลอย่างจริงจัง แทนที่จะมอบหมายแล้วลืมมันไป
การเปลี่ยนแปลงนี้สำคัญเพราะมันเปลี่ยนความสัมพันธ์พื้นฐานระหว่างผู้นำองค์กรและการจัดการข้อมูลส่วนบุคคล หลายปีที่ผ่านมา การปฏิบัติตามกฎหมายความเป็นส่วนตัวในหลายองค์กรมักถูกมองว่าเป็นงานปฏิบัติการ เป็นสิ่งที่ CISO หรือที่ปรึกษากฎหมายจัดการอยู่เบื้องหลัง พ.ร.บ. DPDP กำลังผลักดันความรับผิดชอบนั้นขึ้นไปข้างบน ทำให้การกำกับดูแลความเป็นส่วนตัวของข้อมูลกลายเป็นข้อกังวลเชิงกลยุทธ์ที่กระทบต่อคณะกรรมการความเสี่ยง ฝ่ายตรวจสอบ และท้ายที่สุดคือห้องประชุมคณะกรรมการเอง
เหตุใดการกำกับดูแลความเป็นส่วนตัวของข้อมูลจึงกลายเป็นเรื่องของคณะกรรมการ
พ.ร.บ. DPDP กำหนดกรอบใหม่ว่าบริษัทอินเดียต้องจัดการวงจรชีวิตทั้งหมดของข้อมูลส่วนบุคคลอย่างไร ตั้งแต่การเก็บรวบรวม การประมวลผล การจัดเก็บ ไปจนถึงการลบทิ้งในที่สุด ภายใต้กรอบนี้ องค์กรที่จัดการข้อมูลส่วนบุคคลของพลเมืองอินเดียถูกคาดหวังให้สร้างโครงสร้างความรับผิดชอบที่สามารถทนต่อการตรวจสอบได้ ไม่เพียงแต่จากหน่วยงานกำกับดูแลเท่านั้น แต่จากตัวคณะกรรมการเองด้วย
นี่คือการออกห่างอย่างมีความหมายจากวิธีที่ความเป็นส่วนตัวเคยถูกปฏิบัติในการกำกับดูแลกิจการ ก่อนหน้านี้ หลายบริษัทมองการคุ้มครองข้อมูลว่าเป็นฟังก์ชันทางเทคนิคหรือกฎหมาย เป็นสิ่งที่ต้องจัดการเมื่อเกิดปัญหาเท่านั้น พ.ร.บ. DPDP ผลักดันให้มีท่าทีเชิงรุกมากขึ้น ที่คณะกรรมการต้องมองเห็นภาพว่าข้อมูลถูกจัดการอย่างไรทั่วทั้งองค์กร ไม่ใช่แค่หลังจากมีสิ่งผิดปกติเกิดขึ้น
ท่าทีเชิงรุกนั้นจำเป็นมากขึ้นเรื่อยๆ เนื่องจากบ่อยครั้งที่องค์กรค้นพบจุดอ่อนด้านความเป็นส่วนตัวหลังจากเกิดเหตุการณ์บังคับให้ประเด็นนี้ปรากฏขึ้นเท่านั้น งานวิจัยแยกต่างหากเกี่ยวกับความยืดหยุ่นทางไซเบอร์ขององค์กร ซึ่งรวมถึง รายงานของ RSM ที่พบว่าหนึ่งในสามของบริษัทออสเตรเลียถูกโจมตีด้วยแรนซัมแวร์ แสดงให้เห็นรูปแบบที่เกิดซ้ำ: หลายบริษัทเชื่อว่าการกำกับดูแลข้อมูลของตนแข็งแกร่ง จนกระทั่งการรั่วไหลที่เกิดขึ้นจริงเปิดโปงช่องว่างระหว่างสมมติฐานกับความเป็นจริง คณะกรรมการที่รอให้เกิดวิกฤตจึงค่อยจัดการความเสี่ยงด้านความเป็นส่วนตัว แท้จริงแล้วกำลังพนันกับการเปิดรับความเสี่ยงด้านกฎระเบียบและชื่อเสียง
สิ่งที่เปลี่ยนแปลงสำหรับบริษัทอินเดีย
สำหรับธุรกิจอินเดีย ผลกระทบเชิงปฏิบัติของการยกระดับ พ.ร.บ. DPDP ขึ้นสู่ห้องประชุมคณะกรรมการก็คือ การปฏิบัติตามกฎหมายไม่สามารถอยู่อย่างโดดเดี่ยวได้อีกต่อไป การกำกับดูแลความเป็นส่วนตัวของข้อมูลตอนนี้ต้องถูกถักทอเข้ากับการบริหารความเสี่ยงขององค์กรในภาพรวม ควบคู่ไปกับการควบคุมทางการเงิน ท่าทีด้านความปลอดภัยทางไซเบอร์ และความยืดหยุ่นในการดำเนินงาน
นั่นหมายความว่าคณะกรรมการถูกคาดหวังให้ถามคำถามที่ยากขึ้น: บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลอะไร และเพราะเหตุใด ได้รับความยินยอมและติดตามความยินยอมอย่างไร ใครมีสิทธิ์เข้าถึงข้อมูลที่ละเอียดอ่อน และการเข้าถึงนั้นถูกตรวจสอบอย่างไร จะเกิดอะไรขึ้นหากคู่ค้าที่ประมวลผลข้อมูลไม่สามารถปฏิบัติตามพันธกรณีของตนได้ เหล่านี้ไม่ใช่คำถามที่สงวนไว้สำหรับรายงานรายไตรมาสของเจ้าหน้าที่กำกับดูแลการปฏิบัติตามอีกต่อไป แต่มันกำลังกลายเป็นระเบียบวาระยืนที่กรรมการถูกคาดหวังให้เข้าใจและดำเนินการ
บริษัทที่เคยปฏิบัติต่อการปฏิบัติตามกฎหมายความเป็นส่วนตัวเหมือนการติ๊กช่องอาจพบว่าการเปลี่ยนผ่านนี้อึดอัด การสร้างกรอบการกำกับดูแลข้อมูลที่แท้จริงซึ่งตอบสนองการตรวจสอบระดับคณะกรรมการต้องใช้เวลา ทรัพยากร และการประสานงานข้ามสายงานระหว่างฝ่ายกฎหมาย ไอที และผู้นำระดับบริหาร แต่ทางเลือกอื่น นั่นคือการมองความเป็นส่วนตัวเป็นเรื่องรอง กลับแบกรับความเสี่ยงเชิงกลยุทธ์ที่เพิ่มขึ้นเมื่อความคาดหวังด้านกฎระเบียบ matured ขึ้น
สิ่งนี้หมายถึงอะไรสำหรับคุณ
หากคุณทำงานให้กับบริษัทอินเดีย หรือมีปฏิสัมพันธ์กับบริษัทเหล่านั้นในฐานะลูกค้า พนักงาน หรือหุ้นส่วน การเปลี่ยนแปลงปรัชญาการกำกับดูแลนี้มีผลลัพธ์ที่จับต้องได้ บริษัทที่อยู่ภายใต้แรงกดดันให้แสดงความรับผิดชอบระดับคณะกรรมการต่อความเป็นส่วนตัวของข้อมูล มีแนวโน้มที่จะลงทุนในกลไกความยินยอมที่แข็งแกร่งขึ้น นโยบายการเก็บรักษาข้อมูลที่ชัดเจนขึ้น และระเบียบการรับมือการรั่วไหลที่ดีขึ้น นั่นสามารถแปลเป็นความโปร่งใสที่มากขึ้นเกี่ยวกับวิธีการใช้และปกป้องข้อมูลส่วนบุคคลของคุณ
สำหรับพนักงานที่ทำงานในบทบาทด้านการปฏิบัติตามกฎหมาย กฎหมาย หรือความปลอดภัยด้านไอที การยกระดับ พ.ร.บ. DPDP สู่ห้องประชุมคณะกรรมการยังส่งสัญญาณถึงการเปลี่ยนแปลงในอาชีพและองค์กรอีกด้วย ผู้เชี่ยวชาญที่สามารถพูดคุยคล่องแคล่วข้ามโดเมนความเสี่ยงทางกฎหมาย เทคนิค และธุรกิจ จะมีคุณค่าเพิ่มขึ้นเรื่อยๆ เมื่อบริษัทปรับโครงสร้างวิธีการตัดสินใจและรายงานเรื่องความเป็นส่วนตัว
สำหรับผู้บริโภค บทเรียนที่กว้างขึ้นคือการมีอำนาจต่อรองที่เพิ่มขึ้น เมื่อคณะกรรมการตระหนักถึงความเป็นส่วนตัวของข้อมูลในฐานะประเด็นการกำกับดูแลมากขึ้น บริษัทก็มีแรงจูงใจที่แข็งแกร่งขึ้นที่จะตอบสนองเมื่อปัจเจกบุคคลหยิบยกข้อกังวลเกี่ยวกับวิธีการเก็บรวบรวมหรือใช้ข้อมูลของตน นั่นไม่ได้หมายความว่าความเสี่ยงจะหายไป แต่หมายความว่าโครงสร้างความรับผิดชอบกำลังเป็นทางการมากขึ้น
ข้อสรุปหลัก
การผลักดันของ พ.ร.บ. DPDP ไปสู่การกำกับดูแลความเป็นส่วนตัวของข้อมูลในระดับคณะกรรมการสะท้อนแนวโน้มระดับโลกที่กว้างขึ้น: ความเป็นส่วนตัวไม่ใช่ประเด็นทางเทคนิคหรือกฎหมายเพียงอย่างเดียวอีกต่อไป แต่เป็นประเด็นเชิงกลยุทธ์ บริษัทอินเดียที่ปรับตัวเร็ว สร้างโครงสร้างการกำกับดูแลที่แท้จริงแทนที่จะเป็นชั้นการปฏิบัติตามแบบผิวเผิน จะอยู่ในตำแหน่งที่ดีกว่าในการจัดการความเสี่ยงด้านกฎระเบียบและรักษาความเชื่อมั่นของลูกค้า
หากคุณเป็นผู้นำธุรกิจ ถึงเวลาแล้วที่จะถามว่าองค์กรของคุณปฏิบัติต่อความเป็นส่วนตัวของข้อมูลในฐานะลำดับความสำคัญยืนของคณะกรรมการ หรือมองเป็นเรื่องที่ค่อยคิดทีหลัง หากคุณเป็นผู้บริโภค การรับทราบข้อมูลเกี่ยวกับวิธีที่บริษัทจัดการข้อมูลส่วนบุคคลของคุณ และการถามคำถามเมื่อขาดความโปร่งใส ยังคงเป็นหนึ่งในวิธีที่มีประสิทธิภาพที่สุดในการทำให้องค์กรรับผิดชอบในภูมิทัศน์กฎระเบียบที่กำลังพัฒนานี้
