Нова хвиля комплаєнс-активності наростає навколо індійського Закону про цифровий захист персональних даних 2023 року (Закон DPDP), оскільки юридичні фірми та консалтингові компанії змагаються, щоб допомогти бізнесу підготуватися. Згідно зі звітом ETLegalWorld, компанія Foresight Law Offices нещодавно запустила спеціалізований «DPDP Desk» разом з інтерактивним інструментом оцінки готовності, розробленим, щоб допомогти організаціям виявити прогалини у відповідності до того, як правила закону набудуть повної сили. Хоча це оголошення спрямоване безпосередньо на корпоративні юридичні команди, воно також є корисним сигналом для звичайних інтернет-користувачів: Закон DPDP переходить від паперу до практики, і спосіб, у який індійські компанії збирають, зберігають та обмінюються персональними даними, незабаром зміниться так, що це безпосередньо вплине на споживачів.

Якщо ви ніколи не читали сам Закон DPDP, ви не самотні. Більшість людей стикаються із законодавством про захист даних лише опосередковано — через спливаючі вікна згоди, політики конфіденційності або електронні листи про сповіщення про витік даних. Але Закон DPDP є одним із найбільш значущих законів про конфіденційність, які з'явилися в Індії за останні десятиліття, і розуміння його основ допоможе вам знати, чого очікувати від додатків і сервісів, якими ви користуєтеся щодня.

Що саме вимагає Закон DPDP

По своїй суті Закон DPDP встановлює правила щодо того, як «фідуціари даних» (по суті, будь-яка організація, яка збирає або обробляє персональні дані) повинні поводитися з цією інформацією. Бізнес повинен отримувати чітку, конкретну згоду перед збором персональних даних, має вказувати, чому він їх збирає, і зобов'язаний видаляти дані, щойно вони більше не потрібні для зазначеної мети. Закон також створює механізми для осіб, які дозволяють отримувати доступ до власних даних, виправляти їх або відкликати згоду, а також запроваджує регуляторний орган — Раду із захисту даних — для розгляду скарг і забезпечення дотримання вимог.

Це помітний зсув для країни, де практики збору даних історично були слабо регульовані. Як показали репортажі про те, як Закон DPDP Індії виводить конфіденційність даних на рівень правлінь компаній, дотримання вимог більше не є чимось, що компанії можуть тихо делегувати ІТ-відділам. Це стає питанням корпоративного управління, яке ради директорів і керівники повинні очолювати безпосередньо, з реальною підзвітністю у разі проблем.

Як це порівнюється з GDPR

Експерти з питань конфіденційності часто порівнювали Закон DPDP із Загальним регламентом захисту даних Європейського Союзу (GDPR), і тут є значущі подібності: обидві рамки вимагають згоди на збір даних, обидві надають особам права на власну інформацію, і обидві передбачають штрафи за недотримання вимог. Але Закон DPDP загалом вважається вужчим за обсягом. Він зосереджується конкретно на цифрових персональних даних, тоді як GDPR охоплює ширший спектр персональної інформації незалежно від формату. Закон DPDP також надає індійському уряду більше дискреційних повноважень у певних сферах, таких як винятки для державних органів і правила щодо транскордонної передачі даних, ніж зазвичай дозволяє GDPR.

Для споживачів практичний висновок полягає в тому, що Закон DPDP є справжнім кроком до сильнішого захисту конфіденційності, але він може не забезпечити такої ж широти прав, яку GDPR надав користувачам у Європі. Це мінімальний стандарт, а не обов'язково максимум.

Чому часові рамки важливі

Одна деталь, яка часто відсутня у висвітленні, орієнтованому на комплаєнс, — це те, наскільки стислий час для бізнесу підготуватися. Стартапи, наприклад, стикаються з жорсткими дедлайнами, оскільки Закон DPDP Індії встановлює дедлайн травня 2027 року для стартапів, щоб перебудувати свої практики роботи з даними. У більш широкому сенсі, Правила DPDP мають набути повної сили у 2027 році, що означає: потоки згоди, політики видалення даних і процеси сповіщення про витоки, які зараз будують багато компаній, мають бути повністю операційними до того часу. Юридичні аналітики також вказували на часові рамки комплаєнсу та підзвітність директорів як на зростаючий фактор тиску, як детально описано у висвітленні часових рамок комплаєнсу та ризиків для директорів за DPDPA Індії. Іншими словами, інструменти та відділи, які такі фірми, як Foresight, запускають зараз, існують тому, що годинник уже цокає.

Що це означає для вас

Якщо ви користуєтеся додатками, вебсайтами чи сервісами, розташованими в Індії, або взаємодієте з індійськими компаніями як клієнт, ви маєте почати помічати зміни протягом наступних кількох років. Очікуйте більш явних запитів на згоду, чіткіших пояснень, чому ваші дані збираються, та (зрештою) простіших способів надіслати запит на видалення ваших даних. Компанії, які обробляють чутливі дані — від фінансових додатків до месенджерів — перебувають під зростаючим тиском посилити свої практики задовго до дедлайну 2027 року. Варто пам'ятати, що платформи з величезною індійською аудиторією вже коригують свої практики роботи з даними в очікуванні жорсткішого контролю, подібно до того, як WhatsApp тестує функції верифікації віку для своїх приблизно 600 мільйонів індійських користувачів.

Що сказано, правозастосування все ще наздоганяє текст закону, і повні правила ще не діють усюди. Не очікуйте миттєвої трансформації. Натомість слідкуйте за поступовими змінами в політиках конфіденційності, екранах згоди та в тому, як компанії реагують, коли ви питаєте, які дані вони про вас зберігають.

Практичні висновки

Почніть приділяти більше уваги запитам на згоду та повідомленням про конфіденційність від індійських додатків і сервісів, оскільки вони, ймовірно, стануть детальнішими, коли правила Закону DPDP поетапно вводитимуться. Якщо ви взаємодієте з компанією, яка обробляє чутливі персональні дані, такі як фінансова чи медична інформація, прямо запитайте, як виглядають їхні політики зберігання та видалення даних. А якщо ви керуєте бізнесом в Індії або консультуєте його, ставтеся до дедлайнів Закону DPDP 2027 року як до твердих, а не віддалених, оскільки комплаєнс-фундамент — від управління згодою до внутрішніх структур підзвітності — потребує реального часу для побудови. Незалежно від того, чи ви споживач, чи власник бізнесу, Закон DPDP є нагадуванням про те, що конфіденційність даних в Індії переходить від юридичної думки заднім числом до операційної вимоги, і поінформованість зараз зробить цей перехід значно менш руйнівним пізніше.