กระแสการดำเนินงานเพื่อให้เป็นไปตามข้อกำหนดระลอกใหม่กำลังก่อตัวขึ้นรอบๆ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลดิจิทัล พ.ศ. 2566 (DPDP Act) ของอินเดีย เนื่องจากสำนักงานกฎหมายและบริษัทที่ปรึกษาต่างแข่งขันกันเพื่อช่วยให้ธุรกิจเตรียมความพร้อม ตามรายงานจาก ETLegalWorld สำนักงานกฎหมาย Foresight Law Offices เพิ่งเปิดตัว "DPDP Desk" โดยเฉพาะ พร้อมกับเครื่องมือประเมินความพร้อมเชิงโต้ตอบที่ออกแบบมาเพื่อช่วยให้องค์กรระบุช่องว่างด้านการปฏิบัติตามข้อกำหนดก่อนที่กฎระเบียบภายใต้กฎหมายนี้จะมีผลบังคับใช้เต็มรูปแบบ แม้ว่าประกาศดังกล่าวจะมุ่งเป้าไปที่ทีมกฎหมายขององค์กรโดยตรง แต่ก็เป็นสัญญาณที่มีประโยชน์สำหรับผู้ใช้อินเทอร์เน็ตทั่วไปด้วยเช่นกัน นั่นคือ DPDP Act กำลังเปลี่ยนจากกระดาษสู่การปฏิบัติจริง และวิธีการที่บริษัทอินเดียเก็บ รวบรวม และแบ่งปันข้อมูลส่วนบุคคลกำลังจะเปลี่ยนแปลงในรูปแบบที่ส่งผลกระทบโดยตรงต่อผู้บริโภค

หากคุณไม่เคยอ่าน DPDP Act ด้วยตัวเอง คุณไม่ได้อยู่คนเดียว คนส่วนใหญ่พบเจอกฎหมายคุ้มครองข้อมูลโดยอ้อมเท่านั้น ผ่านป๊อปอัปขอความยินยอม นโยบายความเป็นส่วนตัว หรืออีเมลแจ้งการละเมิดข้อมูล แต่ DPDP Act เป็นหนึ่งในกฎหมายความเป็นส่วนตัวที่สำคัญที่สุดที่เกิดขึ้นจากอินเดียในรอบหลายทศวรรษ และการเข้าใจพื้นฐานของกฎหมายนี้จะช่วยให้คุณรู้ว่าควรคาดหวังอะไรจากแอปและบริการที่คุณใช้ทุกวัน

สิ่งที่ DPDP Act กำหนดจริงๆ

โดยแก่นแท้แล้ว DPDP Act กำหนดกฎเกณฑ์ว่าหน่วยงานที่ดูแลข้อมูล ("data fiduciaries" ซึ่งโดยพื้นฐานแล้วคือองค์กรใดก็ตามที่เก็บรวบรวมหรือประมวลผลข้อมูลส่วนบุคคล) ต้องจัดการกับข้อมูลนั้นอย่างไร ธุรกิจจะต้องได้รับความยินยอมที่ชัดเจนและเฉพาะเจาะจงก่อนเก็บรวบรวมข้อมูลส่วนบุคคล ต้องระบุเหตุผลที่เก็บรวบรวมข้อมูล และต้องลบข้อมูลเมื่อไม่จำเป็นสำหรับวัตถุประสงค์ที่ระบุไว้อีกต่อไป กฎหมายนี้ยังสร้างช่องทางให้บุคคลสามารถเข้าถึง แก้ไข หรือถอนความยินยอมสำหรับข้อมูลของตนเอง และยังจัดตั้งหน่วยงานกำกับดูแลคือ คณะกรรมการคุ้มครองข้อมูล (Data Protection Board) เพื่อจัดการกับข้อร้องเรียนและการบังคับใช้กฎหมาย

นี่คือการเปลี่ยนแปลงที่สำคัญสำหรับประเทศที่แนวปฏิบัติในการเก็บรวบรวมข้อมูลไม่ได้รับการกำกับดูแลอย่างเข้มงวดมาโดยตลอด ตามรายงานเกี่ยวกับ การที่ DPDP Act ของอินเดียผลักดันความเป็นส่วนตัวของข้อมูลเข้าสู่ห้องประชุมคณะกรรมการบริหาร การปฏิบัติตามข้อกำหนดไม่ใช่สิ่งที่บริษัทสามารถมอบหมายให้แผนกไอทีจัดการอย่างเงียบๆ ได้อีกต่อไป มันกำลังกลายเป็นประเด็นด้านธรรมาภิบาลที่คณะกรรมการและผู้บริหารระดับสูงต้องรับผิดชอบโดยตรง โดยมีความรับผิดชอบที่แท้จริงหากเกิดข้อผิดพลาด

เปรียบเทียบกับ GDPR อย่างไร

ผู้ติดตามข่าวด้านความเป็นส่วนตัวมักเปรียบเทียบ DPDP Act กับกฎหมายคุ้มครองข้อมูลทั่วไป (GDPR) ของสหภาพยุโรป และมีความคล้ายคลึงที่มีนัยสำคัญ: ทั้งสองกรอบกฎหมายกำหนดให้ต้องได้รับความยินยอมในการเก็บรวบรวมข้อมูล ทั้งสองให้สิทธิบุคคลเหนือข้อมูลของตนเอง และทั้งสองกำหนดบทลงโทษสำหรับการไม่ปฏิบัติตามข้อกำหนด แต่โดยทั่วไปแล้ว DPDP Act ถือว่ามีขอบเขตที่แคบกว่า โดยมุ่งเน้นเฉพาะข้อมูลส่วนบุคคลในรูปแบบดิจิทัล ในขณะที่ GDPR ครอบคลุมข้อมูลส่วนบุคคลในวงกว้างกว่าโดยไม่จำกัดรูปแบบ DPDP Act ยังให้ดุลยพินิจแก่รัฐบาลอินเดียมากขึ้นในบางพื้นที่ เช่น การยกเว้นสำหรับหน่วยงานของรัฐ และกฎเกณฑ์เกี่ยวกับการโอนข้อมูลข้ามพรมแดน มากกว่าที่ GDPR โดยทั่วไปจะอนุญาต

สำหรับผู้บริโภค บทเรียนเชิงปฏิบัติคือ DPDP Act เป็นก้าวสำคัญสู่การคุ้มครองความเป็นส่วนตัวที่แข็งแกร่งขึ้น แต่อาจไม่ได้ให้สิทธิในวงกว้างเท่ากับที่ GDPR มอบให้ผู้ใช้ในยุโรป มันคือพื้นขั้นต่ำ ไม่จำเป็นต้องเป็นเพดานสูงสุด

ทำไมกรอบเวลาจึงมีความสำคัญ

รายละเอียดหนึ่งที่มักหายไปจากรายงานที่มุ่งเน้นการปฏิบัติตามข้อกำหนดคือระยะเวลาเตรียมการที่ค่อนข้างกระชั้นชิดสำหรับธุรกิจในการเตรียมความพร้อม สตาร์ทอัพเผชิญกำหนดเส้นตายที่ชัดเจน โดย DPDP Act ของอินเดียกำหนดเส้นตายเดือนพฤษภาคม 2027 สำหรับสตาร์ทอัพ ในการปรับปรุงแนวปฏิบัติด้านการจัดการข้อมูล โดยรวมแล้ว กฎระเบียบ DPDP มีกำหนดมีผลบังคับใช้เต็มรูปแบบในปี 2027 ซึ่งหมายความว่ากระบวนการขอความยินยอม นโยบายการลบข้อมูล และขั้นตอนการแจ้งการละเมิดข้อมูลที่หลายบริษัทกำลังสร้างอยู่ในขณะนี้ ตั้งใจให้ทำงานได้อย่างเต็มรูปแบบภายในเวลานั้น นักวิเคราะห์กฎหมายยังชี้ให้เห็นถึงกรอบเวลาการปฏิบัติตามข้อกำหนดและความรับผิดชอบระดับกรรมการว่าเป็นจุดกดดันที่เพิ่มขึ้น ดังรายละเอียดในรายงานเกี่ยวกับ กรอบเวลาการปฏิบัติตามข้อกำหนด DPDPA ของอินเดียและความเสี่ยงของกรรมการ กล่าวอีกนัยหนึ่ง เครื่องมือและโต๊ะทำงานที่บริษัทอย่าง Foresight กำลังเปิดตัวในตอนนี้มีอยู่เพราะเวลากำลังเดินไปแล้ว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณใช้แอป เว็บไซต์ หรือบริการที่ตั้งอยู่ในอินเดีย หรือโต้ตอบกับบริษัทอินเดียในฐานะลูกค้า คุณควรเริ่มสังเกตเห็นการเปลี่ยนแปลงในอีกสองสามปีข้างหน้า คาดว่าจะมีการขอความยินยอมที่ชัดเจนมากขึ้น คำอธิบายที่ละเอียดขึ้นว่าทำไมข้อมูลของคุณจึงถูกเก็บรวบรวม และ (ในที่สุด) วิธีที่ง่ายขึ้นในการขอให้ลบข้อมูลของคุณ บริษัทที่จัดการข้อมูลที่ละเอียดอ่อน ตั้งแต่แอปการเงินไปจนถึงแพลตฟอร์มส่งข้อความ กำลังอยู่ภายใต้แรงกดดันที่เพิ่มขึ้นให้กระชับแนวปฏิบัติของตนก่อนกำหนดเส้นตายปี 2027 เป็นที่น่าจดจำว่าแพลตฟอร์มที่มีฐานผู้ใช้ชาวอินเดียจำนวนมากกำลังปรับแนวปฏิบัติด้านข้อมูลของตนล่วงหน้าเพื่อรับมือกับการตรวจสอบที่เข้มงวดขึ้น คล้ายกับที่ WhatsApp กำลังทดสอบฟีเจอร์การยืนยันอายุสำหรับผู้ใช้ชาวอินเดียประมาณ 600 ล้านคน

อย่างไรก็ตาม การบังคับใช้กฎหมายยังตามหลังเนื้อหาของกฎหมายอยู่ และกฎระเบียบฉบับเต็มยังไม่มีผลบังคับใช้ในทุกที่ อย่าคาดหวังการเปลี่ยนแปลงข้ามคืน แต่ให้สังเกตการเปลี่ยนแปลงทีละน้อยในนโยบายความเป็นส่วนตัว หน้าจอขอความยินยอม และวิธีที่บริษัทตอบสนองเมื่อคุณถามว่าพวกเขาเก็บข้อมูลใดเกี่ยวกับคุณไว้

ข้อควรปฏิบัติเชิงปฏิบัติ

เริ่มให้ความสนใจมากขึ้นกับคำขอความยินยอมและประกาศความเป็นส่วนตัวจากแอปและบริการของอินเดีย เนื่องจากสิ่งเหล่านี้มีแนวโน้มจะมีความละเอียดมากขึ้นเมื่อกฎระเบียบ DPDP Act ทยอยบังคับใช้ หากคุณโต้ตอบกับบริษัทที่จัดการข้อมูลส่วนบุคคลที่ละเอียดอ่อน เช่น ข้อมูลทางการเงินหรือสุขภาพ ให้ถามโดยตรงว่านโยบายการเก็บรักษาและการลบข้อมูลของพวกเขาเป็นอย่างไร และหากคุณดำเนินธุรกิจหรือให้คำแนะนำแก่ธุรกิจที่ดำเนินงานในอินเดีย ให้ถือว่ากำหนดเส้นตายปี 2027 ของ DPDP Act เป็นเรื่องที่แน่นอน มิใช่เรื่องไกลตัว เนื่องจากการวางรากฐานการปฏิบัติตามข้อกำหนด ตั้งแต่การจัดการความยินยอมไปจนถึงโครงสร้างความรับผิดชอบภายใน ต้องใช้เวลาจริงในการสร้าง ไม่ว่าคุณจะเป็นผู้บริโภคหรือเจ้าของธุรกิจ DPDP Act เป็นเครื่องเตือนใจว่าความเป็นส่วนตัวของข้อมูลในอินเดียกำลังเปลี่ยนจากสิ่งที่มองข้ามทางกฎหมายไปเป็นข้อกำหนดในการดำเนินงาน และการรับทราบข้อมูลตั้งแต่ตอนนี้จะทำให้การเปลี่ยนผ่านนั้นเกิดการหยุดชะงักน้อยลงมากในภายหลัง