Індійський Закон про захист цифрових персональних даних (DPDP) перейшов від теоретичної стадії. Очікується, що більшість його положень набудуть чинності до травня 2027 року, і кожна компанія, яка збирає або обробляє персональні дані, включаючи стартапи, повинна буде дотримуватися нового набору юридичних зобов’язань. Але більш нагальне питання для звичайних користувачів полягає не в тому, чи готові стартапи. Йдеться про те, що права споживачів, передбачені DPDP Act, насправді означають для людини, чий номер телефону, історія місцезнаходжень та фінансові дані просто зараз зберігаються в десятках баз даних додатків.

Що змінює DPDP Act для звичайних індійських користувачів

Досі більшість індійців майже не мали офіційного права голосу щодо того, як компанії використовують їхню особисту інформацію після її надання під час реєстрації. DPDP Act переформатовує ці відносини. Він визначає фізичних осіб як "Суб'єктів даних" (Data Principals), а компанії, що збирають їхні дані, — як "Опікунів даних" (Data Fiduciaries), — розмежування, яке звучить бюрократично, але має реальну вагу. Опікуни зобов'язані діяти в інтересах людини, чиї дані вони зберігають, а не лише у власних комерційних інтересах.

Для стартапу, який керує додатком доставки їжі, кредитною платформою чи фітнес-трекером, це означає, що згода більше не може бути прихованим прапорцем. Компанії повинні будуть чітко вказувати, навіщо вони збирають дані, отримувати конкретну згоду саме на цю мету та припиняти використання даних, коли ця мета буде досягнута. Це перехід від принципу "збирай усе, проси вибачення потім" до системи, де тягар обґрунтування лежить на компанії.

Ваші нові права на дані: доступ, виправлення та видалення

Практична цінність DPDP Act для споживачів полягає в кількох забезпечених правах. Після набрання чинності відповідними положеннями фізичні особи зможуть запитати компанію, які персональні дані вона про них зберігає, вимагати виправлення, якщо ці дані неточні або застарілі, а також вимагати видалення, коли мета, для якої вони були зібрані, більше не застосовується.

Ці права не є унікальними для Індії, але вони означають значний відхід від того, як зараз працює більшість індійських додатків і платформ. Сьогодні видалення облікового запису рідко означає, що ваші дані зникають із серверів компанії. Відповідно до DPDP Act, компанії будуть зобов'язані створювати реальні механізми, а не лише формулювання політики, щоб люди могли реалізувати ці права. Це має реальні наслідки для того, як стартапи проєктують свої продукти з нуля, — зміна, детальніше розглянута в матеріалі про те, як DPDP Act переносить конфіденційність даних в Індії на рівень керівництва, де дотримання вимог стає проблемою рівня керівництва, а не тим, чим тихо займаються юридичні відділи.

Повідомлення про витік даних і що відбувається, коли стартапи не дотримуються вимог

Права на папері мають значення лише тоді, коли за їх ігнорування настають наслідки. DPDP Act запроваджує обов'язок повідомляти про витік даних, тобто компанії повинні будуть інформувати як регуляторів, так і постраждалих осіб, коли персональні дані будуть скомпрометовані. Для країни, де витоки даних часто залишалися непоміченими або виявлялися лише завдяки дослідникам безпеки чи журналістським розслідуванням, це суттєва зміна в підзвітності.

Закон також надає регуляторам повноваження накладати фінансові штрафи на компанії, які не виконують своїх зобов'язань, будь то неадекватні заходи безпеки, ігнорування вимог щодо згоди або неповідомлення постраждалих користувачів після витоку. Для стартапів, що працюють із низькою маржею, перехідний період до травня 2027 року призначений для того, щоб дати їм час належним чином побудувати ці системи, а не гарячково наздоганяти потім.

Що це означає для вас: вимоги, які варто висунути до 2027 року

Кінцевий термін дотримання вимог ще попереду, а це означає, що розрив між тим, що обіцяє закон, і тим, що насправді роблять додатки, залишається значним. Користувачам не потрібно пасивно чекати 2027 року, щоб почати ставити запитання. Перш ніж довіряти додатку конфіденційні дані, розумно запитати, як довго ці дані зберігаються, чи передаються вони третім сторонам і чи має компанія чіткий процес обробки запитів на видалення вже сьогодні, а не лише обіцянку на майбутнє.

Також варто залишатися скептичними щодо того, наскільки захист забезпечить лише регулювання. Ефективність DPDP Act значною мірою залежить від правозастосування, і вже виникають питання щодо того, наскільки незалежною на практиці буде Індійська рада із захисту даних. Це критична деталь, оскільки закон із сильними правами на папері мало що означає, якщо орган, відповідальний за його виконання, не має незалежності для притягнення до відповідальності великих компаній. Читачам, стурбованим цією прогалиною, варто уважно ознайомитися з матеріалом про те, що незалежність Індійської ради із захисту даних опинилася під вогнем, де пояснюється, чому регуляторний захист може не бути тією захисною сіткою, на яку очікують споживачі.

Підсумок

DPDP Act встановлює новий значущий мінімальний рівень для прав споживачів на захист даних в Індії, надаючи фізичним особам юридичну основу для доступу, виправлення та видалення своїх персональних даних, а також зобов'язуючи компанії розкривати витоки, а не приховувати їх. Але період між сьогоднішнім днем і повним впровадженням у 2027 році — це саме той час, коли пильність має найбільше значення. Ставте додаткам і сервісам прямі запитання про зберігання та видалення даних уже зараз, не вважайте, що мовчання означає відповідність, і стежте за тим, наскільки незалежно насправді функціонує Рада із захисту даних, коли розпочнеться реальне правозастосування. Права, що існують на папері, стають реальними лише тоді, коли хтось готовий ними скористатися, і коли механізм їх забезпечення має реальні важелі для підтримки.