Підхід Індії до захисту даних пройшов шлях від конституційного принципу до детальної законодавчої та регуляторної бази. У центрі цього — Закон про захист цифрових персональних даних 2023 року (DPDP Act). Для пересічних користувачів практичне питання просте: що ви тепер можете вимагати від компаній, які зберігають ваші дані? Цей посібник роз'яснює права користувачів на приватність за індійським законом DPDP простою мовою та уточнює, де VPN доречний, а де ні.

Від конституційного права до закону: як Індія до цього дійшла

Роками приватність в Індії була переважно конституційною ідеєю. Це був принцип, на який могли посилатися суди та законодавці, але він не супроводжувався єдиним детальним зводом правил, який казав би компанії, що вона має робити, коли збирає ваш номер телефону, місцезнаходження чи історію покупок.

Закон DPDP 2023 року це змінює. Згідно з аналізом, що спонукав до написання цієї статті, ландшафт захисту даних у країні еволюціонував у комплексну систему, яка перетворює принцип на обов'язкові до виконання зобов'язання. Коротко кажучи, приватність більше не є лише правом, за яке можна аргументувати в принципі. Це набір обов'язків, до виконання яких можна притягнути компанії.

Закон використовує власну термінологію. Ви — Data Principal (суб'єкт даних), особа, про яку йдеться в даних. Організація, яка вирішує, чому і як обробляються ваші дані, — це Data Fiduciary (довірена особа даних). Слово «довірена» вжите навмисно: воно сигналізує про відносини довіри, де компанія зберігає вашу інформацію для визначеної мети, а не володіє нею беззастережно.

Ваші права щодо згоди за законом DPDP

Згода лежить в основі цієї системи. Коментарі до Закону описують його як модель, де згода стоїть на першому місці: компанії мають запитати перед обробкою ваших персональних даних, а не припускати дозвіл, захований у довгій політиці.

Згідно з опублікованими резюме закону, особам надаються конкретні права, зокрема:

  • Доступ: право отримати інформацію про персональні дані, які компанія зберігає про вас (для цього зазвичай посилаються на статтю 11(1)).
  • Виправлення: право на виправлення неточних даних.
  • Видалення: право вимагати видалення ваших даних.
  • Розгляд скарг: право подати скаргу та отримати її розгляд.

На практиці це означає, що ви можете написати компанії, запитати, що вона зберігає, вказати на помилки або попросити видалення. Якщо компанія не відповідає належним чином, існує визначений шлях для скарг. Це інструменти, які варто знати, навіть якщо ви ніколи не скористаєтеся більш ніж одним із них.

Що тепер мають робити довірені особи даних

Інший бік ваших прав — це перелік обов'язків для організацій. Резюме Закону описують зобов'язання довірених осіб даних обробляти дані законно, забезпечувати їхню безпеку та реагувати на запити користувачів. Згода має бути змістовною, що штовхає компанії геть від розпливчастих, об'єднаних дозволів.

Ці обов'язки тягнуть за собою наслідки. Наш роз'яснювач про штрафи та санкції за законом DPDP розміром до ₹250 крор показує, як правозастосування підкріплює правила, що важливо, адже право без санкції компанії легко проігнорувати.

Терміни також мають значення. Зобов'язання впроваджуються поетапно через правила та дедлайни, тож не всі обов'язки застосовуються в один день. Наш огляд термінів відповідності DPDPA та ризиків для директорів охоплює, коли компанії мають виконати ці вимоги та хто може нести відповідальність всередині організації.

Де закон не дотягує і що користувачі можуть зробити самі

Закон може регулювати те, що компанії роблять із зібраними даними. Він не може сам по собі зупинити кожен спосіб, яким ваша інформація розкривається. Кілька обмежень варто зрозуміти.

Права залежать від того, чи користуєтеся ви ними. Запити на доступ, виправлення та видалення працюють, лише якщо ви їх надсилаєте. Більшість людей ніколи цього не робить.

Закон регулює відносини з компанією, а не мережу між вами. Ось тут з'являється VPN, і ось тут він закінчується. VPN шифрує трафік між вашим пристроєм і VPN-сервером та приховує вашу IP-адресу від сайтів і локальних спостерігачів у мережі. Це може зменшити відстеження та підглядання в публічному Wi-Fi. Але VPN не змінює того, що компанія робить з інформацією, яку ви передаєте безпосередньо, як-от ваше ім'я, електронна пошта чи дані облікового запису після входу. Він не є заміною ваших прав за DPDP, і Закон не робить VPN ані необхідним, ані непотрібним.

Втома від згоди реальна. Навіть модель, де згода стоїть на першому місці, може бути підірвана, якщо люди натискають «прийняти» на кожному запиті. Закон дає вам вибір; вам все одно потрібно читати й обирати.

Що це означає для вас

Якщо ви живете в Індії або користуєтеся сервісами, які працюють з даними індійських користувачів, закон DPDP дає вам чіткішу основу, щоб ставити запитання й очікувати відповідей. Ви можете запитати, що компанія зберігає, попросити виправлень і домагатися видалення. Якщо компанія не відповідає, ви можете скористатися шляхом скарги.

Водночас Закон не є щитом від кожного ризику. Сприймайте його як один із шарів. Ваші власні звички — як-от дозволи, які ви надаєте, облікові записи, які ви зберігаєте, і мережевий захист, який ви обираєте, — формують решту.

Практичні висновки

  • Перегляньте запити на згоду перед прийняттям. Відмовтеся від усього, що не потрібне для роботи сервісу.
  • Скористайтеся своїми правами. Надішліть запит на доступ або видалення до сервісу, яким більше не користуєтеся.
  • Зберігайте записи запитів і відповідей на випадок, якщо доведеться ескалувати скаргу.
  • Приберіть старі облікові записи, які досі зберігають ваші персональні дані.
  • Використовуйте VPN із правильної причини: щоб захистити трафік у недовірених мережах, а не щоб контролювати, як компанія використовує дані, які ви їй передаєте.

Права користувачів на приватність за індійським законом DPDP настільки сильні, наскільки сильні люди, які ними користуються, і правозастосування, що стоїть за ними. Щоб побачити, як штрафи надають цим правам реальної ваги, прочитайте наш роз'яснювач про штрафи DPDP і перегляньте матеріал про терміни відповідності, щоб зрозуміти, коли компанії мають почати виконувати ці обов'язки.