Закон Індії про захист цифрових персональних даних 2023 року (DPDPA) та супровідні Правила 2025 року покликані змінити те, як цифрова комерція поводиться з персональними даними. Нещодавній аналіз цієї теми від Lexology розглядає кошик для покупок як точку збору даних, і такий підхід є корисним. Кожна реєстрація облікового запису, збережена адреса, платіжні вподобання та схема перегляду в застосунку для покупок є персональними даними. Для всіх, хто стежить за конфіденційністю онлайн-покупок за DPDPA в Індії, питання полягає в тому, що ви насправді отримуєте як покупець і що жоден інструмент не може зробити для вас.
Конфіденційність онлайн-покупок за DPDPA в Індії: що змінюється для даних електронної комерції
DPDPA — це перша всеосяжна рамка Індії, що регулює збір, обробку та зберігання персональних даних. Вона використовує конкретні терміни: особа, чиї дані збираються, є «Володільцем даних» (Data Principal), а компанія, яка вирішує, чому і як використовуються дані, є «Розпорядником даних» (Data Fiduciary). На практиці ви є Володільцем даних, а платформа для покупок — Розпорядником даних.
Узагальнення Правил юридичними фірмами вказують на конкретні зобов'язання для великих платформ. Згідно з цими узагальненнями, Правила встановлюють вимоги щодо видалення для певних категорій Розпорядників даних, включаючи суб'єктів електронної комерції, платформи соціальних мереж та компанії онлайн-ігор. Одне узагальнення описує вимогу так: дані неактивних користувачів мають бути видалені через три роки, з попереднім повідомленням користувача за 48 годин. Інше описує видалення протягом трьох років з моменту останнього звернення Володільця даних до компанії.
Деталі того, які платформи підпадають під дію та як визначається «неактивність», мають значення, тому сприймайте ці цифри як узагальнення, а не як юридичну консультацію. Напрямок усе одно зрозумілий: збирати дані безстроково і зберігати їх «про всяк випадок» стає дедалі важче виправдати.
Права на згоду, видалення та виправлення, які отримують покупці
Закон побудований навколо згоди. Компанії повинні повідомляти вам, які дані вони збирають і навіщо, та обробляти їх для цієї мети. Для покупців це має означати чіткіші запити під час реєстрації та оформлення замовлення, а не єдине пакетне схвалення, заховане в умовах і положеннях.
Права, які ви можете очікувати використовувати, включають:
- Відкликання згоди. Ви повинні мати можливість відкликати дозвіл, який ви раніше надали, і цей процес не повинен бути складнішим за надання згоди.
- Виправлення. Якщо ваша адреса, номер телефону або інші дані є неправильними, ви можете попросити їх виправити.
- Видалення. Ви можете попросити видалити ваші персональні дані, з урахуванням законодавчих винятків.
- Розгляд скарг. Платформи повинні пропонувати спосіб подати скарги щодо поводження з вашими даними.
Правило видалення на основі неактивності додає запобіжну сітку для облікових записів, про які ви забули. Занедбаний профіль для покупок зі збереженою адресою та історією замовлень — це саме той тип запису, який зазвичай зберігається роками і врешті-решт потрапляє у витік даних.
Що VPN може і не може робити під час онлайн-покупок
VPN шифрує з'єднання між вашим пристроєм і сервером VPN та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Це допомагає в публічних Wi-Fi мережах і обмежує один із сигналів, які сайти використовують для оцінки вашого місцезнаходження. Це корисний шар, але він вирішує іншу проблему, ніж DPDPA.
Коли ви входите в застосунок для покупок, платформа все одно знає, хто ви. Вона бачить ваш обліковий запис, вашу адресу доставки, ваші платіжні дані та вашу історію покупок, незалежно від того, що каже ваша IP-адреса. VPN не заважає компанії збирати дані, які ви надаєте добровільно, і не контролює, як довго ці дані зберігаються чи чи видаляються вони. Це юридичні питання, і DPDPA є інструментом для них.
Існує також практичне обмеження. VPN залежать від працюючого з'єднання, і вони не можуть допомогти, якщо сам доступ відключено. Наше пояснення про те, що VPN може і не може робити під час відключення інтернету охоплює інший сценарій, але воно показує той самий принцип: VPN — це один інструмент із визначеними межами, а не універсальний щит.
Зворотне також вірно. Закон не захищає вас від підглядаючої мережі або незашифрованої точки доступу. Найкраще вони працюють разом.
Що це означає для вас: кроки для обмеження відстеження під час оформлення замовлення
Вам не потрібно чекати, поки кожне положення набуде повної чинності, щоб почати вдосконалювати свої звички. Розгляньте ці кроки:
- Перегляньте налаштування згоди у ваших застосунках для покупок. Знайдіть налаштування конфіденційності чи даних і вимкніть необов'язкове відстеження, персоналізовану рекламу та синхронізацію контактів, які вам не потрібні.
- Видаліть облікові записи, які ви більше не використовуєте. Не покладайтеся лише на автоматичне видалення після періоду неактивності. Використовуйте опцію видалення в застосунку або запиту на видалення, де вона існує.
- Перевірте та виправте збережені дані. Застарілі адреси та номери телефонів — це і проблема конфіденційності, і проблема доставки.
- Використовуйте оформлення замовлення як гість, коли можете. Менше збережених профілів означає менше записів для захисту.
- Діліться лише тим, що потрібно. Якщо форма запитує більше, ніж потрібно для доставки та оплати, ставтеся до необов'язкових полів як до необов'язкових.
- Посильте налаштування браузера. Блокуйте сторонні файли cookie, періодично очищайте дані сайтів і використовуйте функції захисту від відстеження, вбудовані у ваш браузер.
- Використовуйте VPN у ненадійних мережах. Він захищає з'єднання, а не дані вашого облікового запису.
- Зберігайте записи про ваші запити. Якщо ви подаєте запит на видалення чи виправлення, збережіть підтвердження на випадок, якщо вам потрібно буде ескалувати скаргу.
Чому ці обмеження важливі не лише для покупок? Тому що персональні дані рідко залишаються в одному місці. Дебати щодо даних про особу та спостереження в Індії активні — від дебатів про конфіденційність розпізнавання облич за статтею 21 до занепокоєнь щодо запропонованої вимоги Aadhaar для реєстрації в соціальних мережах у Карнатаці. Обмеження того, що збирають комерційні платформи, є однією частиною ширшої розмови про те, хто володіє вашою інформацією і як довго.
Ключові висновки
Конфіденційність онлайн-покупок за DPDPA в Індії зводиться до розподілу праці. Закон дає вам права щодо згоди, виправлення та видалення, і він встановлює обмеження на зберігання для великих платформ електронної комерції. VPN і розумні налаштування браузера зменшують вразливість у мережі та від сторонніх трекерів, але вони не можуть змусити рітейлера забути те, що ви йому повідомили.
Цього тижня відкрийте застосунки для покупок, якими ви користуєтеся найчастіше, перегляньте перемикачі згоди та знайдіть опцію видалення облікового запису або видалення даних. Видаліть профілі, які вам більше не потрібні, і скористайтеся своїми правами в міру набуття чинності Правилами. Деталі впровадження можуть змінюватися, тому перевіряйте повідомлення про конфіденційність платформи та офіційні рекомендації щодо останніх вимог.
