Закон про захист цифрових персональних даних 2023 року (Закон DPDP) — це перший в Індії спеціалізований закон про захист персональних даних. Нещодавнє роз'яснення від дослідника з безпеки на DEV Community проводить розробників через те, чому цей закон був потрібен і що він означає для їхнього технологічного стеку. Цей пост має інший кут зору. Це роз'яснення Закону DPDP Індії для пересічних користувачів, яке охоплює те, що закон дає вам, як він порівнюється з GDPR Європи, і що він може і не може зробити для вашої приватності.
Що Закон DPDP дає вам як суб'єкту даних
Закон використовує власну термінологію. Ви, особа, чиї дані збираються, є «суб'єктом даних». Компанія або організація, яка вирішує, чому і як обробляються ваші дані, є «розпорядником даних». Формулювання має значення, оскільки воно подає ці відносини як відносини довіри та зобов'язання, а не просто комерційну транзакцію.
Як рамковий документ, Закон регулює те, як бізнес збирає, використовує, передає та видаляє персональні дані людей в Індії. На практиці захист, який найбільше важливий для звичайних користувачів, охоплює чотири сфери:
- Згода: Очікується, що організації покладаються на вашу згоду під час обробки ваших даних, а не збирають їх тихо у фоновому режимі.
- Доступ: Ви можете запитати, які персональні дані про вас зберігає організація та як вони використовуються.
- Виправлення та видалення: Ви можете попросити виправити неточні дані та видалити дані, коли вони більше не потрібні.
- Повідомлення про порушення: Коли щось іде не так, організація, яка зберігає ваші дані, має обов'язки повідомити про це, щоб вас не залишили в невіданні.
Ці права допомагають лише тоді, коли ви ними користуєтеся. Екран згоди, який ви прокликуєте не читаючи, все одно залишається рішенням, ухваленим від вашого імені.
Як DPDP порівнюється з GDPR
Читачі, знайомі із Загальним регламентом про захист даних ЄС, упізнають загальну форму: модель, заснована на правах, побудована навколо згоди, прозорості та підзвітності. Як і GDPR, Закон DPDP замінює значно обмеженішу попередню рамку комплексною національною.
Відмінності варто знати, навіть якщо вам потрібна лише загальна картина. Одна помітна сфера — транскордонні дані. Аналітики описують Закон DPDP як такий, що дозволяє передавати персональні дані за межі Індії, крім країн, які Центральний уряд визначив як обмежені. Це інший механізм, ніж підхід на основі адекватності, який багато хто асоціює з GDPR, і деякі коментатори ставлять під сумнів, чи забезпечить він достатні гарантії сам по собі.
Практичний висновок: не припускайте, що засоби захисту, відомі вам із GDPR, застосовуються в Індії ідентично. Термінологія, обсяг і деталі правозастосування відрізняються, тож перевіряйте конкретику, перш ніж покладатися на право, яке ви маєте деінде.
Що змінюється для застосунків і сервісів, які обробляють індійські дані
Для організацій Закон запроваджує зобов'язання щодо відповідності у сферах збору, обробки, зберігання та передачі цифрових персональних даних. Це сягає далеко за межі компаній, розташованих в Індії. Будь-який застосунок чи сервіс, що обробляє персональні дані людей в Індії, має підстави переглянути, як він отримує згоду, як довго зберігає дані та як відповідає на запити користувачів.
Для вас це має проявлятися як чіткіші запити на згоду, доступніші налаштування для керування даними чи їх видалення та структурованіша комунікація у разі порушення. Глобальні користувачі індійських платформ також можуть помітити зміни в тому, як ці сервіси описують, куди потрапляють дані та чому.
Саме правозастосування надає цим обов'язкам ваги. Наш розбір штрафів за Законом DPDP розміром до ₹250 крор показує, як фінансові наслідки недотримання стають чіткішими, що є сильним стимулом для компаній ставитися до запитів користувачів серйозно.
Де VPN допомагає, а де ні
VPN і закон про захист даних вирішують різні проблеми, і їх легко сплутати.
VPN шифрує ваш трафік між вашим пристроєм і VPN-сервером та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Це може зменшити вразливість у публічних Wi-Fi мережах і обмежити деяке відстеження на рівні мережі.
Чого VPN не робить — не змінює те, що ви передаєте після входу в систему. Якщо ви надаєте застосунку своє ім'я, номер телефону чи список контактів, VPN не заважає цьому застосунку обробляти їх. Це саме та територія, яку охоплює Закон DPDP: що організації можуть робити з даними, які ви поділили, і які засоби правового захисту ви маєте після цього.
Розглядайте їх як взаємодоповнювальні рівні. Закон регулює те, як організації поводяться з вашими даними. VPN захищає з'єднання, яким вони передаються. Жоден із них не замінює обережних рішень щодо того, чим ви ділитеся.
Що це означає для вас
Якщо ви живете в Індії або користуєтеся індійськими застосунками та сервісами, Закон DPDP дає вам чіткіший набір інструментів, ніж ви мали раніше. Закон не може діяти від вашого імені, якщо ви не взаємодієте з ним. Ставтеся до запитів на згоду як до справжніх рішень і використовуйте запити на доступ і видалення, коли сервіс зберігає дані, які ви більше не хочете йому надавати.
Якщо ви за межами Індії, але користуєтеся індійськими платформами, очікуйте, що ці сервіси адаптують те, як вони поводяться з даними та повідомляють про це. Не припускайте, що ваші права країни походження подорожують разом із вами, і читайте умови приватності кожного сервісу.
Практичні висновки
- Перегляньте налаштування згоди в індійських застосунках і сервісах, якими користуєтеся, та відкличте дозволи, які вам не потрібні.
- Запросіть доступ до даних, які сервіс зберігає про вас, якщо ви не впевнені, що саме він збирає.
- Попросіть виправити або видалити застарілі чи непотрібні дані, особливо для акаунтів, якими ви більше не користуєтеся.
- Стежте за повідомленнями про порушення та дійте швидко, наприклад змінюючи паролі.
- Використовуйте VPN для того, у чому він добрий — захисту вашого з'єднання, — покладаючись на юридичні права для регулювання того, що відбувається з даними, якими ви ділитеся.
Щоб зрозуміти, як Закон застосовується та скільки може коштувати недотримання, прочитайте наш посібник про штрафи за Законом DPDP. Потім витратьте десять хвилин, щоб переглянути свої налаштування згоди та даних. Тепер, коли Закон DPDP Індії роз'яснено, наступний крок — задіяти його права на практиці.
