Hindistan'ın veri korumaya yaklaşımı, anayasal bir ilkeden ayrıntılı bir yasal ve düzenleyici çerçeveye geçmiştir. Bunun merkezinde Dijital Kişisel Veri Koruma Yasası, 2023 (DPDP Yasası) yer almaktadır. Gündelik kullanıcılar için pratik soru basittir: Verilerinizi elinde bulunduran şirketlerden artık neler talep edebilirsiniz? Bu rehber, Hindistan DPDP Yasası kullanıcı gizlilik haklarını sade bir dille açıklamakta ve bir VPN'in nereye uyduğunu, nereye uymadığını netleştirmektedir.

Anayasal haktan yasaya: Hindistan buraya nasıl geldi

Yıllar boyunca Hindistan'da gizlilik esas olarak anayasal bir fikirdi. Mahkemelerin ve yasa koyucuların işaret edebileceği bir ilkeydi, ancak bir şirketin telefon numaranızı, konumunuzu veya satın alma geçmişinizi topladığında ne yapması gerektiğini söyleyen tek, ayrıntılı bir kural kitabı yoktu.

DPDP Yasası, 2023 bunu değiştirmektedir. Bu yazıya ilham veren analize göre, ülkenin veri koruma ortamı, ilkeyi uygulanabilir yükümlülüklere dönüştüren kapsamlı bir çerçeveye evrilmiştir. Kısacası, gizlilik artık yalnızca ilke olarak savunabileceğiniz bir hak değildir. Şirketlerin uyması gereken bir dizi görevdir.

Yasa kendi sözcük dağarcığını kullanır. Siz Veri Sahibi (Data Principal), yani verinin hakkında olduğu kişisiniz. Verinizin neden ve nasıl işleneceğine karar veren kuruluş ise Veri Sorumlusu (Data Fiduciary) olarak adlandırılır. "Sorumlu" (fiduciary) sözcüğü kasıtlıdır: Şirketin bilgilerinizi doğrudan sahiplenmek yerine belirli bir amaç için elinde bulundurduğu bir güven ilişkisine işaret eder.

DPDP Yasası kapsamındaki rıza haklarınız

Rıza, çerçevenin merkezinde yer alır. Yasa hakkındaki yorumlar bunu rıza öncelikli bir model olarak tanımlamaktadır: Şirketlerin, uzun bir politikaya gömülü izin varsaymak yerine kişisel verilerinizi işlemeden önce sormanız beklenir.

Yasanın yayımlanmış özetlerine göre, bireylere belirli haklar verilmektedir:

  • Erişim: Bir şirketin hakkınızda elinde bulundurduğu kişisel veriler hakkında bilgi edinme hakkı (bunun için genellikle Madde 11(1) atıfta bulunulur).
  • Düzeltme: Yanlış verilerin düzeltilmesini talep etme hakkı.
  • Silme: Verilerinizin silinmesini talep etme hakkı.
  • Şikâyet çözümü: Bir şikâyet sunma ve bunun ele alınmasını sağlama hakkı.

Pratikte bu, bir şirkete yazabileceğiniz, neyi elinde bulundurduğunu sorabileceğiniz, hatalara işaret edebileceğiniz veya silme talep edebileceğiniz anlamına gelir. Şirket düzgün yanıt vermezse, şikâyetler için tanımlanmış bir yol vardır. Bunlar, birden fazlasını hiç kullanmasanız bile bilmeye değer araçlardır.

Veri sorumlularının artık yapması gerekenler

Haklarınızın diğer yüzü, kuruluşlar için bir görev listesidir. Yasanın özetleri, veri sorumlularının verileri hukuka uygun şekilde işleme, güvenli tutma ve kullanıcılardan gelen talepleri ele alma yükümlülüklerini tanımlamaktadır. Rızanın anlamlı olması gerekir; bu da şirketleri belirsiz, paketlenmiş izinlerden uzaklaştırır.

Bu görevlerin sonuçları vardır. DPDP Yasası cezaları ve 250 crore ₹'ye varan para cezaları hakkındaki açıklayıcımız, yaptırımların kuralları nasıl desteklediğini göstermektedir; bu önemlidir çünkü cezası olmayan bir hakkı bir şirketin görmezden gelmesi kolaydır.

Zamanlama da önemlidir. Yükümlülükler, kurallar ve son tarihler aracılığıyla aşamalı olarak yürürlüğe girer; dolayısıyla her görev aynı gün geçerli olmaz. DPDPA uyum takvimleri ve yönetici riski başlıklı incelememiz, şirketlerin bu gereklilikleri ne zaman karşılaması beklendiğini ve bir kuruluş içinde kimin sorumlu tutulabileceğini ele almaktadır.

Yasanın yetersiz kaldığı yerler ve kullanıcıların kendi başına yapabilecekleri

Bir yasa, şirketlerin topladıkları verilerle ne yaptığını düzenleyebilir. Tek başına, bilgilerinizin açığa çıkmasının her yolunu durduramaz. Birkaç sınırı anlamakta fayda var.

Haklar, onları kullanmanıza bağlıdır. Erişim, düzeltme ve silme talepleri yalnızca siz gönderirseniz işe yarar. Çoğu kişi hiç göndermez.

Yasa, şirketle olan ilişkiyi düzenler, aradaki ağı değil. İşte burada bir VPN devreye girer ve burada durur. Bir VPN, cihazınız ile VPN sunucusu arasındaki trafiği şifreler ve IP adresinizi sitelerden ve yerel ağ gözlemcilerinden gizler. Bu, halka açık Wi-Fi'de izlemeyi ve gözetlemeyi azaltabilir. Ancak bir VPN, bir şirketin doğrudan verdiğiniz bilgilerle (örneğin oturum açtıktan sonra adınız, e-postanız veya hesap bilgileriniz) ne yaptığını değiştirmez. DPDP haklarınızın yerini tutmaz ve Yasa bir VPN'i ne gerekli ne de gereksiz kılar.

Rıza yorgunluğu gerçektir. Rıza öncelikli bir model bile, insanlar her istemde "kabul et"e tıklarsa zayıflatılabilir. Yasa size seçenek sunar; yine de okumanız ve seçmeniz gerekir.

Bu Sizin İçin Ne Anlama Geliyor

Hindistan'da yaşıyorsanız veya Hint kullanıcıların verilerini işleyen hizmetleri kullanıyorsanız, DPDP Yasası size soru sormak ve yanıt beklemek için daha net bir dayanak sağlar. Bir şirketin neyi elinde bulundurduğunu görmeyi talep edebilir, düzeltme isteyebilir ve silme talep edebilirsiniz. Bir şirket yanıt vermezse, şikâyet yolunu kullanabilirsiniz.

Aynı zamanda, Yasa her riske karşı bir kalkan değildir. Onu bir katman olarak görün. Kendi alışkanlıklarınız, örneğin verdiğiniz izinler, tuttuğunuz hesaplar ve seçtiğiniz ağ korumaları, geri kalanını oluşturur.

Uygulanabilir çıkarımlar

  • Rıza istemlerini kabul etmeden önce gözden geçirin. Hizmet için gerekli olmayan her şeyi reddedin.
  • Haklarınızı kullanın. Artık kullanmadığınız bir hizmete erişim veya silme talebi gönderin.
  • Bir şikâyeti tırmandırmanız gerekebileceği ihtimaline karşı taleplerin ve yanıtların kaydını tutun.
  • Kişisel verilerinizi hâlâ elinde bulunduran eski hesapları temizleyin.
  • Bir VPN'i doğru nedenle kullanın: Güvenilmeyen ağlardaki trafiği korumak için, bir şirketin onunla paylaştığınız verileri nasıl kullandığını kontrol etmek için değil.

Hindistan DPDP Yasası kullanıcı gizlilik hakları, yalnızca onları kullanan kişiler ve arkalarındaki yaptırım kadar güçlüdür. Cezaların bu haklara nasıl diş kazandırdığını görmek için DPDP cezaları açıklayıcımızı okuyun ve şirketlerin bu görevleri ne zaman yerine getirmeye başlaması gerektiğini anlamak için uyum takvimleri yazısına göz atın.