Високий суд Керали зобов’язав центральний уряд зробити індійську Раду із захисту даних функціональною протягом восьми тижнів. За даними The Hindu, суд заявив, що приватність громадян порушується, а серед розглянутих ним питань було й те, як обробляються дані пасажирів в аеропортах. Розпорядження Високого суду Керали щодо Ради із захисту даних встановлює граничний строк для органу, на який покладається Закон про цифровий персональний захист даних (DPDP) 2023 року для забезпечення виконання.

Наявні повідомлення стислі, тому цей допис обмежується тим, що було підтверджено, і пояснює, чому це важливо.

Що постановив Високий суд Керали

Суд доручив центру активувати Раду із захисту даних протягом восьми тижнів. Це доручення було надано на тлі занепокоєння щодо приватності даних пасажирів в аеропортах, і суд зауважив, що приватність громадян порушується.

Постанова не створює нового закону чи нових зобов’язань. Вона вимагає від уряду запровадити інституцію, яку вже описує чинний закон. Ця відмінність важлива: правова рамка існує, але суд сигналізує, що рамка без працюючого органу правозастосування нікого не захищає на практиці.

Чому Рада із захисту даних важлива для DPDP Act

DPDP Act 2023 встановлює правила щодо того, як організації поводяться з персональними даними. Правила на папері мають значення лише тоді, коли хтось може розглядати скарги, оцінювати порушення та вживати заходів щодо них. Рада із захисту даних має бути саме таким органом.

Доки вона не функціонує, люди, які вважають, що їхні дані були використані неправомірно, не мають повністю діючого регулятора, до якого можна звернутися з такою скаргою. Організації, своєю чергою, майже не відчувають практичного тиску змінювати те, як вони збирають і зберігають інформацію. Це і є сутністю прогалини у правозастосуванні, на яку вказує постанова суду: закон може бути ухвалений і все одно залишатися значною мірою таким, що не виконується.

Восьмитижневий строк — це конкретна перевірка. Читачі можуть стежити за тим, чи справді Раду буде введено в дію до граничного строку, і які повноваження та персонал вона матиме після цього.

Як збір даних пасажирів в аеропортах наражає мандрівників на ризик

Аеропорти є точкою тиску для персональних даних. Мандрівники передають документи, що посвідчують особу, маршрути подорожей, а в деяких системах — і біометричну інформацію як частину звичайного процесу. У цій справі занепокоєння зосереджене на даних пасажирів в аеропортах, і легко зрозуміти чому: люди майже не мають вибору щодо їх надання, і вони рідко знають, де вони зберігаються, хто може до них отримати доступ або як довго їх зберігають.

Великі централізовані зібрання такого роду є привабливими цілями і є настільки безпечними, наскільки безпечні засоби контролю навколо них. Без регулятора, здатного розслідувати скарги чи вивчати практики, мандрівники мають обмежені можливості для відшкодування, якщо щось піде не так. Нещодавні інциденти в інших країнах показують, як виглядає така експозиція. Порушення безпеки паспортного порталу ANTS у Франції стосувалося агенції, що відповідає за захищені документи, які посвідчують особу країни, а порушення безпеки державного реєстру Литви торкнулося записів, які зберігала сама держава.

Як прогалина у правозастосуванні в Індії порівнюється з іншими режимами приватності

Багато режимів приватності поєднують юридичні права з органом, який може приймати скарги та накладати наслідки. Відмінність у випадку Індії, як підкреслює постанова суду, полягає в тому, що закон ухвалено, тоді як орган, покликаний його виконувати, ще не працює. Ми не бачили в джерельному повідомленні деталей про те, як буде структуровано Раду, тому порівняння слід робити обережно.

Можна сказати, що лише сильний текст не запобігає експозиції. Державні бази даних зазнавали порушень в інших країнах. Порушення даних у Мексиці, яке розкрило 195 мільйонів ідентичностей і 10 мільйонів записів, злитих із Реєстру громадянського стану Чилі показують, що може статися, коли дані громадян зберігаються у великих масштабах і погано захищені.

Що це означає для вас

Якщо ви подорожуєте через індійські аеропорти, постанова не змінює того, що з вас збирають сьогодні. Але вона посилює тиск на користь працюючого регулятора, який зрештою міг би вивчати ці практики та розглядати скарги.

Для мандрівників і мешканців загалом практичний момент полягає в тому, що не можна покладатися на регулятора щодо захисту даних, які вже зібрані. VPN не допомагає з даними, які ви передаєте на стійці реєстрації чи на прикордонному пункті, тому слід зосередитися на обмеженні того, чим ви ділитеся, і на захисті власних акаунтів.

Практичні висновки

  • Діліться лише тією персональною інформацією, яка є необхідною, і, коли можете, запитуйте, що саме збирають і навіщо.
  • Зберігайте копії своїх документів для подорожей та посвідчення особи в безпеці й уникайте надсилання їх незашифрованими каналами.
  • Використовуйте унікальні паролі та багатофакторну автентифікацію для акаунтів авіакомпаній, бронювання та державних сервісів.
  • Стежте за повідомленнями про порушення даних, що стосуються сервісів, якими ви користуєтеся, і своєчасно змінюйте облікові дані, якщо вас це торкнулося.
  • Стежте за тим, чи працюватиме Рада із захисту даних після завершення восьмитижневого строку.

Розпорядження Високого суду Керали щодо Ради із захисту даних нагадує, що права на папері потребують інституції за ними. Слабке правозастосування в поєднанні з великими державними базами даних призводить до реальної експозиції, як показують порушення в Мексиці та Чилі. Доки індійська Рада не працює, ставтеся до своїх даних обережно й діліться ними ощадливо.