พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลดิจิทัล (DPDP) ของอินเดียได้ก้าวข้ามขั้นตอนทางทฤษฎีแล้ว โดยบทบัญญัติส่วนใหญ่คาดว่าจะมีผลบังคับใช้ภายในเดือนพฤษภาคม 2027 ทุกบริษัทที่เก็บรวบรวมหรือประมวลผลข้อมูลส่วนบุคคล รวมถึงสตาร์ตอัป จะต้องปฏิบัติตามข้อผูกพันทางกฎหมายชุดใหม่ แต่คำถามเร่งด่วนกว่าสำหรับผู้ใช้ทั่วไปไม่ใช่เรื่องว่าสตาร์ตอัปพร้อมหรือไม่ แต่อยู่ที่ว่าสิทธิข้อมูลผู้บริโภคภายใต้ พ.ร.บ. DPDP มีความหมายอย่างไรต่อบุคคลที่หมายเลขโทรศัพท์ ประวัติตำแหน่งที่ตั้ง และรายละเอียดทางการเงินของพวกเขากำลังอยู่ในฐานข้อมูลแอปนับสิบแห่ง ณ เวลานี้
สิ่งที่ พ.ร.บ. DPDP เปลี่ยนแปลงสำหรับผู้ใช้ชาวอินเดียทั่วไป
จนถึงปัจจุบัน ชาวอินเดียส่วนใหญ่แทบไม่มีสิทธิ์มีเสียงอย่างเป็นทางการเกี่ยวกับวิธีที่บริษัทต่างๆ ใช้ข้อมูลส่วนบุคคลของตนหลังจากที่ให้ไว้ตอนสมัครใช้งาน พ.ร.บ. DPDP ปรับเปลี่ยนความสัมพันธ์ดังกล่าว โดยกำหนดให้บุคคลธรรมดาเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Principals) และบริษัทที่เก็บรวบรวมข้อมูลเป็น "ผู้ดูแลผลประโยชน์ข้อมูล" (Data Fiduciaries) ซึ่งเป็นการจำแนกที่ฟังดูเป็นระบบราชการแต่มีน้ำหนักอย่างแท้จริง ผู้ดูแลผลประโยชน์ข้อมูลมีพันธะต้องกระทำเพื่อประโยชน์ของผู้ที่เป็นเจ้าของข้อมูล ไม่ใช่เพียงเพื่อผลประโยชน์ทางการค้าของตนเอง
สำหรับสตาร์ตอัปที่ให้บริการแอปสั่งอาหาร แพลตฟอร์มสินเชื่อ หรือแอปติดตามฟิตเนส นี่หมายความว่าการขอความยินยอมไม่สามารถเป็นเพียงช่องกาเครื่องหมายที่ซ่อนอยู่ได้อีกต่อไป บริษัทจะต้องระบุอย่างชัดเจนว่าเก็บข้อมูลไปเพื่ออะไร ขอความยินยอมแบบเฉพาะเจาะจงเพื่อวัตถุประสงค์นั้น และหยุดใช้ข้อมูลเมื่อวัตถุประสงค์นั้นบรรลุแล้ว เป็นการเปลี่ยนจากแนวคิด "เก็บทุกอย่างไว้ก่อน แล้วค่อยขอขมาทีหลัง" ไปสู่ระบบที่ภาระในการหาเหตุผลสนับสนุนตกอยู่ที่บริษัท
สิทธิข้อมูลใหม่ของคุณ: การเข้าถึง แก้ไข และลบ
คุณค่าในทางปฏิบัติของ พ.ร.บ. DPDP สำหรับผู้บริโภคอยู่ที่สิทธิจำนวนหนึ่งที่สามารถบังคับใช้ได้ เมื่อบทบัญญัติที่เกี่ยวข้องมีผลบังคับใช้ บุคคลจะสามารถขอให้บริษัทแจ้งว่ามีข้อมูลส่วนบุคคลใดบ้างเกี่ยวกับตน ขอให้แก้ไขหากข้อมูลนั้นไม่ถูกต้องหรือล้าสมัย และเรียกร้องให้ลบข้อมูลเมื่อวัตถุประสงค์ในการจัดเก็บหมดไป
สิทธิเหล่านี้ไม่ใช่เรื่องใหม่สำหรับอินเดียเท่านั้น แต่ถือเป็นการเปลี่ยนทิศทางครั้งสำคัญจากวิธีที่แอปและแพลตฟอร์มอินเดียส่วนใหญ่ดำเนินการอยู่ในปัจจุบัน ทุกวันนี้ การลบบัญชีแทบไม่ได้หมายความว่าข้อมูลของคุณจะหายไปจากเซิร์ฟเวอร์ของบริษัท ภายใต้ พ.ร.บ. DPDP บริษัทต่างๆ จะต้องสร้างกลไกจริง ๆ ไม่ใช่แค่ถ้อยคำในนโยบาย เพื่อให้ผู้คนใช้สิทธิเหล่านี้ได้ นั่นส่งผลกระทบจริงต่อวิธีที่สตาร์ตอัปออกแบบผลิตภัณฑ์ตั้งแต่ต้น ซึ่งเป็นการเปลี่ยนแปลงที่สำรวจในรายละเอียดเพิ่มเติมในบทความเกี่ยวกับวิธีที่ พ.ร.บ. DPDP ผลักดันความเป็นส่วนตัวข้อมูลของอินเดียเข้าสู่ห้องประชุมผู้บริหาร ซึ่งการปฏิบัติตามกฎระเบียบกำลังกลายเป็นประเด็นระดับผู้นำ แทนที่จะเป็นสิ่งที่ทีมกฎหมายจัดการเงียบ ๆ
การแจ้งเหตุละเมิดข้อมูล และสิ่งที่จะเกิดขึ้นเมื่อสตาร์ตอัปไม่ปฏิบัติตาม
สิทธิที่เขียนบนกระดาษจะมีความหมายก็ต่อเมื่อมีผลตามมาเมื่อถูกละเลย พ.ร.บ. DPDP นำเสนอข้อผูกพันในการแจ้งเหตุละเมิดข้อมูล หมายความว่าบริษัทจะต้องแจ้งทั้งหน่วยงานกำกับดูแลและบุคคลที่ได้รับผลกระทบเมื่อข้อมูลส่วนบุคคลถูกละเมิด สำหรับประเทศที่เหตุละเมิดข้อมูลมักไม่ได้รับการยอมรับหรือถูกค้นพบผ่านนักวิจัยความปลอดภัยหรือการรายงานของสื่อเท่านั้น นี่คือการเปลี่ยนแปลงที่มีนัยสำคัญในด้านความรับผิดชอบ
กฎหมายยังให้อำนาจผู้กำกับดูแลในการเรียกเก็บค่าปรับทางการเงินจากบริษัทที่ไม่ปฏิบัติตามข้อผูกพัน ไม่ว่าจะเป็นมาตรการรักษาความปลอดภัยที่ไม่เพียงพอ การเพิกเฉยต่อข้อกำหนดเรื่องความยินยอม หรือการไม่แจ้งผู้ใช้ที่ได้รับผลกระทบหลังเหตุละเมิด สำหรับสตาร์ตอัปที่ดำเนินธุรกิจด้วยส่วนต่างกำไรที่จำกัด ช่วงเวลาเตรียมความพร้อมตั้งแต่นี้จนถึงพฤษภาคม 2027 นั้นมีไว้เพื่อให้เวลาพวกเขาสร้างระบบเหล่านี้อย่างเหมาะสม แทนที่จะต้องรีบเร่งตามหลังเมื่อกฎหมายบังคับใช้แล้ว
สิ่งนี้มีความหมายต่อคุณอย่างไร: ข้อเรียกร้องที่ควรทำก่อนปี 2027
เส้นตายในการปฏิบัติตามกฎหมายยังอยู่ข้างหน้า นั่นหมายความว่าช่องว่างระหว่างสิ่งที่กฎหมายสัญญากับสิ่งที่แอปทำจริงยังคงกว้างอยู่ ผู้ใช้ไม่จำเป็นต้องรอจนถึงปี 2027 อย่างอดทนเพื่อเริ่มตั้งคำถาม ก่อนที่จะไว้วางใจแอปด้วยข้อมูลที่ละเอียดอ่อน เป็นเรื่องสมควรที่จะถามว่าข้อมูลนั้นถูกเก็บรักษาไว้นานเท่าใด มีการแบ่งปันกับบุคคลภายนอกหรือไม่ และบริษัทมีกระบวนการที่ชัดเจนในการรับคำขอลบข้อมูลในวันนี้หรือไม่ ไม่ใช่แค่คำสัญญาสำหรับอนาคต
นอกจากนี้ ยังควรตั้งคำถามต่อไปว่ากฎระเบียบเพียงอย่างเดียวจะให้ความคุ้มครองได้มากน้อยเพียงใด ประสิทธิผลของ พ.ร.บ. DPDP ขึ้นอยู่กับการบังคับใช้เป็นอย่างมาก และได้มีการตั้งคำถามแล้วว่าคณะกรรมการคุ้มครองข้อมูลของอินเดียจะมีความเป็นอิสระในทางปฏิบัติเพียงใด นั่นเป็นรายละเอียดที่สำคัญ เพราะกฎหมายที่มีสิทธิเข้มแข็งบนกระดาษจะมีความหมายน้อยมากหากหน่วยงานที่รับผิดชอบการบังคับใช้ขาดความเป็นอิสระในการทำให้บริษัทที่มีอำนาจต้องรับผิดชอบ ผู้อ่านที่กังวลเกี่ยวกับช่องว่างนี้ควรศึกษารายงานเรื่อง ความเป็นอิสระของคณะกรรมการคุ้มครองข้อมูลอินเดียกำลังถูกวิจารณ์ ซึ่งอธิบายว่าทำไมการคุ้มครองจากหน่วยงานกำกับดูแลอาจไม่ใช่ตาข่ายนิรภัยที่ผู้บริโภคคาดหวัง
สิ่งสำคัญที่สุด
พ.ร.บ. DPDP กำหนดมาตรฐานขั้นต่ำใหม่ที่มีความหมายสำหรับสิทธิข้อมูลผู้บริโภคภายใต้ พ.ร.บ. DPDP ในอินเดีย โดยให้พื้นฐานทางกฎหมายแก่บุคคลในการเข้าถึง แก้ไข และลบข้อมูลส่วนบุคคลของตน และกำหนดให้บริษัทต้องเปิดเผยเหตุละเมิดข้อมูลแทนที่จะปิดบัง แต่ช่วงเวลาระหว่างนี้จนถึงการบังคับใช้เต็มรูปแบบในปี 2027 เป็นช่วงเวลาที่การเฝ้าระวังมีความสำคัญที่สุด จงถามคำถามตรง ๆ กับแอปและบริการเกี่ยวกับการเก็บรักษาและการลบข้อมูลเสียแต่วันนี้ อย่าคิดว่าความเงียบหมายถึงการปฏิบัติตาม และจับตาดูว่าคณะกรรมการคุ้มครองข้อมูลจะทำหน้าที่อย่างอิสระเพียงใดเมื่อการบังคับใช้จริงเริ่มต้นขึ้น สิทธิที่มีอยู่บนกระดาษจะกลายเป็นจริงก็ต่อเมื่อมีคนเต็มใจใช้มัน และเมื่อกลไกการบังคับใช้ที่อยู่เบื้องหลังมีอำนาจหนุนหลังอย่างแท้จริง
