Hindistan'daki girişimler, kişisel verileri nasıl işlediklerini kökten değiştirmek için kesin bir son tarih aldı. The Logical Indian'ın haberine göre, Dijital Kişisel Veri Koruma (DPDP) Yasası'nın Mayıs 2027'ye kadar tamamen yürürlüğe girmesi bekleniyor; bu da şirketlere Hintli kullanıcıların kişisel bilgilerini toplama, saklama ve koruma biçimlerini yeniden inşa etmek için bir buçuk yıldan az bir süre tanıyor.

DPDP Yasası 2023'te kabul edilmiş olsa da, uygulamaya yönelik kurallar ancak Kasım 2025'te yayımlandı ve işte bu kademeli yürürlük, uzaktaki bir yasama vaadini işletmelerin artık görmezden gelemeyeceği operasyonel bir son tarihe dönüştürdü. Kullanıcı verilerini asgari sürtünmeyle toplamaya alışmış Hindistan girişim ekosistemi için bu değişim, ülkenin dijital tarihindeki en önemli düzenleyici dönüşümlerden birini temsil ediyor.

DPDP Yasası Aslında Ne Gerektiriyor?

Özünde DPDP Yasası, girişimler de dahil olmak üzere kişisel veri toplayan veya işleyen her şirketi "Veri Sorumlusu" (Data Fiduciary) olarak yeniden sınıflandırıyor. Bu tanımlama yasal sorumlulukları da beraberinde getiriyor: işletmeler, kişisel bilgi toplamadan önce geçerli ve bilgilendirilmiş onay almak, bu verileri korumak için makul güvenlik önlemleri uygulamak ve düzenleyiciler sorduğunda hukuka uygun işleme faaliyetini gösterebilmek zorunda.

Bu, pek çok girişimin dayandığı gevşek veri uygulamalarından anlamlı bir kopuş anlamına geliyor. Onay, artık yoğun hizmet koşulları metinlerinin içine gömülemez veya belirsiz katılım tercihleri üzerinden varsayılamaz. İşletmelerin, kişisel verilerin nasıl kullanılacağına dair açık ve belirli izinlere ve bunu kanıtlayacak sistemlere ihtiyacı olacak. Bu değişimin sıradan kullanıcılar için ne anlama geldiğini daha derinlemesine incelemek için, DPDP Yasası'nın 2027 son tarihi, Hintlilerin kazanacağı yeni hakları açıklıyor başlıklı yazı, yasanın tam olarak yürürlüğe girmesiyle birlikte insanların bilgilerinin nasıl toplandığı ve kullanıldığı üzerinde daha fazla kontrol de dahil olmak üzere edinecekleri hakları ele alıyor.

Girişimler Neden Baskı Altında?

Büyük ölçekli işletmelerin genellikle özel hukuk ve uyum ekiplerinin yanı sıra dışarıdan danışman tutmak veya şirket içi gizlilik altyapısı kurmak için bütçeleri olur. Girişimler, özellikle de erken aşamadakiler, bu lükse genellikle sahip değildir. Birçoğu, ürünlerini hızlı ve düşük sürtünmeli veri toplama etrafında inşa etmiştir: telefon numarasıyla kaydol, birkaç izin ver, uygulamayı hemen kullanmaya başla.

DPDP Yasası'nın uyum gereklilikleri, daha küçük şirketler için anlamlı bir şekilde ölçeklenmez. Girişimler yine de düzgün onay yönetim sistemleri, güvenli veri depolama uygulamaları ve kullanıcıların kendi verileriyle ilgili taleplerine yanıt verme süreçleri oluşturmak zorunda kalacak. Bu, yalnızca birkaç mühendise sahip olan ve özel bir gizlilik yetkilisi bulunmayan şirketler için önemli bir teknik ve hukuki yük.

Bunu yanlış yapmanın riskleri de oldukça büyük. 250 crore ₹'ye kadar çıkabilen DPDP Yasası cezalarının ayrıntılı olarak açıklandığı bir analizde belirtildiği gibi, uyumsuzluk küçük bir idari uyarıdan ibaret değil. Erken aşamadaki bir şirket için tek bir ciddi ihlal mali açıdan yıkıcı olabilir; bu da proaktif uyum planlamasını sonradan tepki vermekten çok daha ucuz hale getirir.

Zaman Şimdiden İşliyor

Mayıs 2027 kulağa uzak gelebilir, ancak sıfırdan uyumlu veri altyapısı inşa etmek zaman alır. Girişimlerin, düzenleyiciler yasayı aktif olarak uygulamaya başlamadan önce, şu anda hangi kişisel verileri topladıklarını denetlemesi, bu verilerin sistemlerinde nasıl aktığını haritalandırması, onay mekanizmalarını yeniden tasarlaması ve güvenlik önlemlerini uygulaması gerekiyor. Bu sürece başlamak için son tarihe aylar kala beklemek, özellikle mevcut uygulamalarındaki açıkları kazdıkça fark eden şirketler için hata payını azaltır.

Burada daha geniş bir piyasa sinyali de var. Yatırımcılar ve kurumsal ortaklar, anlaşma imzalamadan önce girişimlere veri koruma duruşları hakkında giderek daha fazla soru soracak. DPDP Yasası'na hazır olduğunu gösterebilmek, yalnızca düzenleyici bir kutucuğu işaretlemekten öte bir rekabet avantajına dönüşebilir.

Bu Sizin İçin Ne Anlama Geliyor?

Hintli kullanıcılardan isim, telefon numarası, konum verisi veya davranışsal bilgi gibi herhangi bir kişisel veri toplayan bir girişim işletiyorsanız, bu yasa sizin için geçerli. Mayıs 2027 son tarihini uzak bir mesele olarak görmek risklidir. Onay yeniden tasarımı, veri haritalandırma ve güvenlik yükseltmeleri gibi uyum çalışmaları haftalar değil, genelde aylar sürer.

Sıradan kullanıcılar için DPDP Yasası, sonuçta kişisel bilgilerinize ne olduğuna dair daha fazla şeffaflık ve bir şirket bunları kötü yönetirse daha güçlü yasal dayanak anlamına gelmeli. Bu arada, tam yaptırım bugünden aktif olmaktan ziyade hâlâ ufukta olduğu için, uygulamalarla ve hizmetlerle hangi verileri paylaştığınız konusunda bilinçli olmak hâlâ önemli.

Eyleme Geçirilebilir Çıkarımlar

Girişim kurucuları ve yöneticileri şimdi başlamalı, sonra değil. İlk olarak şirketinizin tam olarak hangi kişisel verileri ve neden topladığını denetleyerek işe başlayın, ardından bu verilerin sistemlerinizde nasıl hareket ettiğini ve nerede saklandığını haritalandırın. Mevcut onay akışlarınızı gözden geçirin ve açık, belirli ve bilgilendirilmiş izin konusundaki eksikleri tespit edin. Uygun güvenlik önlemlerini sonradan akla gelen bir şey olarak değil, baştan inşa etmek için zaman ve kaynak ayırın. Ve 2027 son tarihi yaklaşırken çıkacak ilave düzenleyici kılavuzları takip edin, çünkü uygulama mekanizmaları şekillendikçe yeni açıklamalar gelmesi muhtemel.

DPDP Yasası, Hindistan'ın dijital ekonomisinde kişisel verilerin nasıl ele alınacağına dair temel bir değişimi temsil ediyor. Önümüzdeki yılları, görmezden gelinecek bir geri sayım yerine gerçek bir hazırlık dönemi olarak gören girişimler, tam yaptırım dönemi başladığında çok daha iyi konumlanmış olacak.