Cách tiếp cận của Ấn Độ đối với bảo vệ dữ liệu đã chuyển từ một nguyên tắc hiến pháp sang một khuôn khổ luật định và quy định chi tiết. Trung tâm của nó là Đạo luật Bảo vệ Dữ liệu Cá nhân Kỹ thuật số, 2023 (DPDP Act). Đối với người dùng thông thường, câu hỏi thực tế rất đơn giản: bạn có thể yêu cầu gì từ các công ty đang nắm giữ dữ liệu của bạn? Hướng dẫn này giải thích quyền riêng tư của người dùng theo Đạo luật DPDP Ấn Độ bằng ngôn ngữ đơn giản, và làm rõ VPN phù hợp ở đâu và không phù hợp ở đâu.

Từ quyền hiến pháp đến luật thành văn: Ấn Độ đã đi đến đây như thế nào

Trong nhiều năm, quyền riêng tư ở Ấn Độ chủ yếu là một ý tưởng hiến pháp. Đó là một nguyên tắc mà tòa án và nhà lập pháp có thể viện dẫn, nhưng nó không đi kèm với một cuốn sách quy tắc chi tiết, duy nhất nói cho một công ty biết họ phải làm gì khi thu thập số điện thoại, vị trí hoặc lịch sử mua hàng của bạn.

Đạo luật DPDP, 2023 thay đổi điều đó. Theo phân tích đã thúc đẩy bài viết này, bối cảnh bảo vệ dữ liệu của đất nước đã phát triển thành một khuôn khổ toàn diện, biến nguyên tắc thành các nghĩa vụ có thể thực thi. Nói ngắn gọn, quyền riêng tư không còn chỉ là một quyền mà bạn có thể tranh luận về mặt nguyên tắc. Đó là một tập hợp các nghĩa vụ mà các công ty có thể bị buộc phải tuân thủ.

Luật sử dụng từ ngữ riêng của mình. Bạn là Data Principal (Chủ thể Dữ liệu), người mà dữ liệu nói về. Tổ chức quyết định lý do và cách thức dữ liệu của bạn được xử lý là Data Fiduciary (Bên Được Ủy Thác Dữ liệu). Từ "fiduciary" (ủy thác) là có chủ đích: nó báo hiệu một mối quan hệ tin cậy, trong đó công ty nắm giữ thông tin của bạn cho một mục đích xác định thay vì sở hữu nó hoàn toàn.

Quyền đồng ý của bạn theo Đạo luật DPDP

Sự đồng ý nằm ở trung tâm của khuôn khổ. Các bình luận về Đạo luật mô tả nó như một mô hình ưu tiên đồng ý: các công ty được kỳ vọng sẽ hỏi trước khi xử lý dữ liệu cá nhân của bạn, thay vì giả định sự cho phép được chôn trong một chính sách dài.

Dựa trên các bản tóm tắt đã công bố của luật, các cá nhân được trao các quyền cụ thể, bao gồm:

  • Truy cập: quyền có được thông tin về dữ liệu cá nhân mà một công ty nắm giữ về bạn (Điều 11(1) thường được viện dẫn cho điều này).
  • Chỉnh sửa: quyền yêu cầu sửa dữ liệu không chính xác.
  • Xóa: quyền yêu cầu xóa dữ liệu của bạn.
  • Giải quyết khiếu nại: quyền nêu khiếu nại và được giải quyết.

Trong thực tế, điều này có nghĩa là bạn có thể viết thư cho một công ty, hỏi họ nắm giữ những gì, chỉ ra lỗi sai, hoặc yêu cầu xóa. Nếu công ty không phản hồi đúng cách, có một lộ trình khiếu nại được xác định. Đây là những công cụ đáng biết, ngay cả khi bạn không bao giờ sử dụng nhiều hơn một trong số chúng.

Những gì bên được ủy thác dữ liệu phải làm bây giờ

Mặt khác của quyền của bạn là danh sách các nghĩa vụ đối với các tổ chức. Các bản tóm tắt của Đạo luật mô tả nghĩa vụ của bên được ủy thác dữ liệu là xử lý dữ liệu một cách hợp pháp, giữ nó an toàn, và xử lý các yêu cầu từ người dùng. Sự đồng ý phải có ý nghĩa, điều này đẩy các công ty ra khỏi các quyền hạn mơ hồ, gộp chung.

Những nghĩa vụ này mang theo hậu quả. Bài giải thích của chúng tôi về hình phạt và tiền phạt theo Đạo luật DPDP lên tới ₹250 crore cho thấy cách thực thi hỗ trợ các quy tắc, điều này quan trọng vì một quyền không có hình phạt thì dễ bị công ty phớt lờ.

Thời gian cũng quan trọng. Các nghĩa vụ được triển khai theo lộ trình thông qua các quy tắc và thời hạn, vì vậy không phải mọi nghĩa vụ đều áp dụng cùng một ngày. Bài viết của chúng tôi về lộ trình tuân thủ DPDPA và rủi ro cho giám đốc đề cập khi nào các công ty được kỳ vọng đáp ứng các yêu cầu này và ai có thể bị quy trách nhiệm trong một tổ chức.

Nơi luật còn thiếu sót và những gì người dùng có thể tự làm

Một đạo luật có thể điều chỉnh những gì các công ty làm với dữ liệu họ đã thu thập. Bản thân nó không thể ngăn chặn mọi cách mà thông tin của bạn bị phơi bày. Một vài giới hạn đáng để hiểu.

Quyền phụ thuộc vào việc bạn sử dụng chúng. Các yêu cầu truy cập, chỉnh sửa và xóa chỉ có hiệu lực nếu bạn gửi chúng. Hầu hết mọi người không bao giờ làm vậy.

Luật điều chỉnh mối quan hệ với công ty, không phải mạng lưới ở giữa. Đây là nơi VPN phát huy tác dụng, và cũng là nơi nó dừng lại. VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN và ẩn địa chỉ IP của bạn khỏi các trang web và người quan sát mạng cục bộ. Điều đó có thể giảm theo dõi và nghe lén trên Wi-Fi công cộng. Nhưng VPN không thay đổi những gì một công ty làm với thông tin bạn trực tiếp trao cho họ, chẳng hạn như tên, email, hoặc chi tiết tài khoản sau khi bạn đăng nhập. Nó không thay thế cho các quyền DPDP của bạn, và Đạo luật không làm cho VPN trở nên cần thiết hay không cần thiết.

Mệt mỏi vì đồng ý là có thật. Ngay cả một mô hình ưu tiên đồng ý cũng có thể bị suy yếu nếu mọi người nhấp "chấp nhận" vào mọi lời nhắc. Luật cho bạn lựa chọn; bạn vẫn phải đọc và chọn.

Điều này có ý nghĩa gì với bạn

Nếu bạn sống ở Ấn Độ hoặc sử dụng các dịch vụ xử lý dữ liệu của người dùng Ấn Độ, Đạo luật DPDP cho bạn một cơ sở rõ ràng hơn để đặt câu hỏi và mong đợi câu trả lời. Bạn có thể yêu cầu xem những gì một công ty nắm giữ, yêu cầu chỉnh sửa, và tìm cách xóa. Nếu một công ty không phản hồi, bạn có thể sử dụng lộ trình khiếu nại.

Đồng thời, Đạo luật không phải là lá chắn chống lại mọi rủi ro. Hãy coi nó như một lớp. Thói quen của chính bạn, chẳng hạn như các quyền bạn cấp, các tài khoản bạn duy trì, và các biện pháp bảo vệ mạng bạn chọn, tạo thành phần còn lại.

Những điểm cần hành động

  • Xem xét các lời nhắc đồng ý trước khi chấp nhận. Từ chối bất cứ điều gì không cần thiết cho dịch vụ.
  • Sử dụng quyền của bạn. Gửi yêu cầu truy cập hoặc xóa đến một dịch vụ bạn không còn sử dụng.
  • Giữ hồ sơ các yêu cầu và phản hồi trong trường hợp bạn cần nâng cấp khiếu nại.
  • Dọn dẹp các tài khoản cũ vẫn còn nắm giữ dữ liệu cá nhân của bạn.
  • Sử dụng VPN vì lý do đúng đắn: để bảo vệ lưu lượng trên các mạng không đáng tin cậy, không phải để kiểm soát cách một công ty sử dụng dữ liệu bạn chia sẻ với họ.

Quyền riêng tư của người dùng theo Đạo luật DPDP Ấn Độ chỉ mạnh mẽ bằng những người thực thi chúng và việc thực thi phía sau chúng. Để xem cách các hình phạt trao cho những quyền này sức mạnh, hãy đọc bài giải thích về hình phạt DPDP của chúng tôi, và xem bài về lộ trình tuân thủ để hiểu khi nào các công ty phải bắt đầu đáp ứng các nghĩa vụ này.