Đạo luật Bảo vệ Dữ liệu Cá nhân Kỹ thuật số (DPDP) của Ấn Độ đã vượt ra khỏi giai đoạn lý thuyết. Với hầu hết các điều khoản dự kiến có hiệu lực vào tháng 5 năm 2027, mọi công ty thu thập hoặc xử lý dữ liệu cá nhân, bao gồm cả các startup, sẽ cần tuân thủ một loạt nghĩa vụ pháp lý mới. Nhưng câu hỏi cấp bách hơn đối với người dùng thông thường không phải là liệu các startup đã sẵn sàng hay chưa. Đó là quyền dữ liệu tiêu dùng của Đạo luật DPDP thực sự có ý nghĩa gì đối với người mà số điện thoại, lịch sử vị trí và chi tiết tài chính của họ hiện đang nằm trong hàng chục cơ sở dữ liệu ứng dụng.

Những thay đổi của Đạo luật DPDP đối với người dùng Ấn Độ hàng ngày

Cho đến nay, hầu hết người Ấn Độ có rất ít tiếng nói chính thức về cách các công ty sử dụng thông tin cá nhân của họ một khi đã cung cấp trong quá trình đăng ký. Đạo luật DPDP tái định hình mối quan hệ đó. Đạo luật chỉ định các cá nhân là "Bên chính Dữ liệu" và các công ty thu thập dữ liệu của họ là "Bên ủy thác Dữ liệu", một sự phân biệt nghe có vẻ mang tính quan liêu nhưng lại có sức nặng thực sự. Bên ủy thác có nghĩa vụ hành động vì lợi ích của người mà họ nắm giữ dữ liệu, chứ không chỉ vì lợi ích thương mại của riêng họ.

Đối với một startup điều hành ứng dụng giao đồ ăn, nền tảng cho vay, hoặc ứng dụng theo dõi thể dục, điều này có nghĩa là sự đồng ý không còn có thể là một ô đánh dấu bị chôn vùi. Công ty sẽ cần nêu rõ lý do thu thập dữ liệu, nhận được sự đồng ý cụ thể cho mục đích đó, và ngừng sử dụng dữ liệu một khi mục đích đó đã hoàn thành. Đó là sự thay đổi từ "thu thập mọi thứ, xin lỗi sau" sang một hệ thống mà gánh nặng biện minh thuộc về công ty.

Các quyền dữ liệu mới của bạn: Truy cập, Chỉnh sửa và Xóa

Giá trị thực tiễn của Đạo luật DPDP đối với người tiêu dùng nằm ở một số quyền có thể thực thi. Một khi các điều khoản liên quan có hiệu lực, các cá nhân sẽ có thể yêu cầu một công ty cho biết dữ liệu cá nhân nào họ đang nắm giữ về mình, yêu cầu chỉnh sửa nếu dữ liệu đó không chính xác hoặc lỗi thời, và yêu cầu xóa một khi mục đích thu thập không còn áp dụng nữa.

Những quyền này không phải là độc nhất đối với Ấn Độ, nhưng chúng thể hiện một sự khác biệt đáng kể so với cách hầu hết các ứng dụng và nền tảng Ấn Độ hiện đang hoạt động. Ngày nay, việc xóa tài khoản hiếm khi có nghĩa là dữ liệu của bạn biến mất khỏi máy chủ của công ty. Theo Đạo luật DPDP, các công ty sẽ được yêu cầu xây dựng các cơ chế thực tế, chứ không chỉ là ngôn từ chính sách, để mọi người thực hiện các quyền này. Điều đó có hậu quả thực sự đối với cách các startup thiết kế sản phẩm của họ ngay từ đầu, một sự thay đổi được khám phá chi tiết hơn trong bài viết về cách Đạo luật DPDP đưa quyền riêng tư dữ liệu của Ấn Độ vào phòng họp, nơi tuân thủ đang trở thành mối quan tâm cấp lãnh đạo thay vì điều âm thầm được xử lý bởi các đội ngũ pháp lý.

Thông báo vi phạm và điều gì xảy ra khi startup không tuân thủ

Quyền trên giấy tờ chỉ có giá trị nếu có hậu quả khi chúng bị bỏ qua. Đạo luật DPDP đưa ra nghĩa vụ thông báo vi phạm, có nghĩa là các công ty sẽ cần thông báo cho cả cơ quan quản lý và cá nhân bị ảnh hưởng khi dữ liệu cá nhân bị xâm phạm. Đối với một quốc gia nơi các vi phạm dữ liệu thường không được thừa nhận hoặc chỉ bị phát hiện thông qua các nhà nghiên cứu bảo mật hoặc báo chí, đây là một thay đổi có ý nghĩa về trách nhiệm giải trình.

Luật cũng trao cho các cơ quan quản lý quyền phạt tiền đối với các công ty không đáp ứng nghĩa vụ của họ, dù đó là biện pháp bảo vệ an ninh không đầy đủ, phớt lờ yêu cầu về sự đồng ý, hay không thông báo cho người dùng bị ảnh hưởng sau vi phạm. Đối với các startup hoạt động với biên lợi nhuận mỏng, khoảng thời gian tuân thủ từ nay đến tháng 5 năm 2027 nhằm cho họ thời gian để xây dựng các hệ thống này một cách phù hợp thay vì phải xoay sở sau khi đã muộn.

Điều này có ý nghĩa gì với bạn: Những yêu cầu cần đưa ra trước năm 2027

Thời hạn tuân thủ vẫn còn ở phía trước, có nghĩa là khoảng cách hiện tại giữa những gì luật hứa hẹn và những gì ứng dụng thực sự làm vẫn còn rất lớn. Người dùng không cần phải thụ động chờ đến năm 2027 để bắt đầu đặt câu hỏi. Trước khi tin tưởng một ứng dụng với dữ liệu nhạy cảm, việc hỏi xem dữ liệu đó được giữ trong bao lâu, liệu nó có được chia sẻ với bên thứ ba hay không, và công ty liệu đã có quy trình rõ ràng cho yêu cầu xóa vào ngày hôm nay không, chứ không phải chỉ là một lời hứa cho tương lai, là điều hợp lý.

Cũng nên hoài nghi về mức độ bảo vệ mà chỉ riêng quy định pháp lý sẽ mang lại. Hiệu quả của Đạo luật DPDP phụ thuộc rất nhiều vào việc thực thi, và các câu hỏi đã được đặt ra về mức độ độc lập thực sự của Hội đồng Bảo vệ Dữ liệu Ấn Độ trong thực tế. Đó là một chi tiết quan trọng, bởi vì một luật có các quyền mạnh mẽ trên giấy tờ sẽ chẳng có ý nghĩa gì nếu cơ quan chịu trách nhiệm thực thi nó thiếu tính độc lập để buộc các công ty quyền lực phải chịu trách nhiệm. Những độc giả lo ngại về khoảng cách này nên xem xét kỹ bài viết về tính độc lập của Hội đồng Bảo vệ Dữ liệu Ấn Độ đang bị đe dọa, trong đó giải thích lý do tại sao sự bảo vệ của cơ quan quản lý có thể không phải là tấm lưới an toàn mà người tiêu dùng mong đợi.

Kết luận

Đạo luật DPDP đặt ra một tiêu chuẩn mới có ý nghĩa cho quyền dữ liệu tiêu dùng của Đạo luật DPDP tại Ấn Độ, trao cho cá nhân cơ sở pháp lý để truy cập, chỉnh sửa và xóa dữ liệu cá nhân của họ, và yêu cầu các công ty tiết lộ các vi phạm thay vì che giấu chúng. Nhưng giai đoạn từ nay đến khi thực thi đầy đủ vào năm 2027 chính là lúc sự cảnh giác là quan trọng nhất. Hãy đặt câu hỏi trực tiếp với các ứng dụng và dịch vụ về việc lưu giữ và xóa dữ liệu ngay bây giờ, đừng cho rằng im lặng có nghĩa là tuân thủ, và hãy để mắt đến cách Hội đồng Bảo vệ Dữ liệu thực sự hoạt động độc lập ra sao một khi việc thực thi thực sự bắt đầu. Các quyền chỉ tồn tại trên giấy tờ sẽ trở thành hiện thực khi ai đó sẵn sàng sử dụng chúng, và khi cơ chế thực thi đằng sau chúng có đủ sức mạnh để hậu thuẫn.