Đạo luật Bảo vệ Dữ liệu Cá nhân Kỹ thuật số năm 2023 của Ấn Độ (DPDPA) và các Quy tắc kèm theo năm 2025 sẽ định hình lại cách thương mại số xử lý dữ liệu cá nhân. Một phân tích gần đây của Lexology về chủ đề này đặt giỏ hàng mua sắm như một điểm thu thập dữ liệu, và cách tiếp cận đó rất hữu ích. Mỗi lần đăng ký tài khoản, địa chỉ đã lưu, tùy chọn thanh toán và mẫu duyệt web trong ứng dụng mua sắm đều là dữ liệu cá nhân. Đối với bất kỳ ai quan tâm đến quyền riêng tư khi mua sắm trực tuyến theo DPDPA của Ấn Độ, câu hỏi là bạn thực sự được gì với tư cách người mua sắm, và công cụ nào không thể làm gì cho bạn.
Quyền riêng tư khi mua sắm trực tuyến theo DPDPA của Ấn Độ: Những thay đổi đối với dữ liệu thương mại điện tử
DPDPA là khuôn khổ toàn diện đầu tiên của Ấn Độ quản lý việc thu thập, xử lý và lưu trữ dữ liệu cá nhân. Đạo luật sử dụng các thuật ngữ cụ thể: người có dữ liệu được thu thập là "Data Principal" (Chủ thể Dữ liệu), và công ty quyết định lý do và cách thức sử dụng dữ liệu là "Data Fiduciary" (Bên Ủy thác Dữ liệu). Trên thực tế, bạn là Data Principal và nền tảng mua sắm là Data Fiduciary.
Các bản tóm tắt của công ty luật về Quy tắc chỉ ra các nghĩa vụ cụ thể đối với các nền tảng lớn. Theo những bản tóm tắt đó, Quy tắc đặt ra yêu cầu xóa dữ liệu đối với một số nhóm Data Fiduciary nhất định, bao gồm các thực thể thương mại điện tử, nền tảng truyền thông xã hội và công ty trò chơi trực tuyến. Một bản tóm tắt mô tả yêu cầu này như sau: dữ liệu người dùng không hoạt động phải bị xóa sau ba năm, với thông báo trước 48 giờ cho người dùng. Một bản khác mô tả việc xóa trong vòng ba năm kể từ lần cuối Data Principal liên hệ với công ty.
Chi tiết về nền tảng nào đủ điều kiện và cách định nghĩa "không hoạt động" rất quan trọng, vì vậy hãy coi những con số này là tóm tắt chứ không phải tư vấn pháp lý. Định hướng vẫn rõ ràng: việc thu thập dữ liệu vô thời hạn và giữ lại "để phòng khi cần" trở nên khó biện minh hơn.
Quyền đồng ý, xóa và chỉnh sửa mà người mua sắm được hưởng
Đạo luật được xây dựng xoay quanh sự đồng ý. Các công ty được kỳ vọng sẽ cho bạn biết họ thu thập dữ liệu gì và tại sao, và xử lý dữ liệu cho mục đích đó. Đối với người mua sắm, điều đó có nghĩa là các lời nhắc rõ ràng hơn khi đăng ký và thanh toán, thay vì một sự chấp thuận gộp duy nhất ẩn trong các điều khoản và điều kiện.
Các quyền bạn có thể mong đợi sử dụng bao gồm:
- Rút lại sự đồng ý. Bạn phải có khả năng thu hồi quyền mà bạn đã cấp trước đó, và quy trình không được khó hơn việc cấp quyền.
- Chỉnh sửa. Nếu địa chỉ, số điện thoại hoặc thông tin khác của bạn bị sai, bạn có thể yêu cầu sửa lại.
- Xóa dữ liệu. Bạn có thể yêu cầu xóa dữ liệu cá nhân của mình, tùy thuộc vào các ngoại lệ pháp lý.
- Giải quyết khiếu nại. Các nền tảng phải cung cấp cách để khiếu nại về cách dữ liệu của bạn được xử lý.
Quy tắc xóa dựa trên không hoạt động bổ sung một mạng lưới an toàn cho các tài khoản bạn đã quên. Một hồ sơ mua sắm bị bỏ rơi với địa chỉ đã lưu và lịch sử đơn hàng chính là loại bản ghi có xu hướng tồn tại trong nhiều năm và cuối cùng bị rò rỉ.
VPN có thể và không thể làm gì khi mua sắm trực tuyến
VPN mã hóa kết nối giữa thiết bị của bạn và máy chủ VPN và ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập. Điều đó hữu ích trên Wi-Fi công cộng và hạn chế một tín hiệu mà các trang web sử dụng để ước tính vị trí của bạn. Đây là một lớp bảo vệ hữu ích, nhưng nó giải quyết một vấn đề khác với DPDPA.
Khi bạn đăng nhập vào ứng dụng mua sắm, nền tảng vẫn biết bạn là ai. Họ thấy tài khoản, địa chỉ giao hàng, chi tiết thanh toán và lịch sử mua hàng của bạn, bất kể địa chỉ IP của bạn nói gì. VPN không ngăn công ty thu thập dữ liệu bạn tự nguyện cung cấp, và nó không kiểm soát thời gian lưu trữ dữ liệu đó hoặc liệu dữ liệu có bị xóa hay không. Đó là những câu hỏi pháp lý, và DPDPA là công cụ cho chúng.
Cũng có một giới hạn thực tế. VPN phụ thuộc vào kết nối hoạt động, và chúng không thể giúp nếu bản thân việc truy cập bị cắt. Bài giải thích của chúng tôi về những gì VPN có thể và không thể làm trong thời gian ngừng internet đề cập đến một tình huống khác, nhưng nó cho thấy cùng một nguyên tắc: VPN là một công cụ với ranh giới xác định, không phải là lá chắn toàn diện.
Điều ngược lại cũng đúng. Luật không bảo vệ bạn khỏi mạng theo dõi hoặc điểm phát sóng không mã hóa. Hai công cụ này hoạt động tốt nhất khi kết hợp với nhau.
Điều này có ý nghĩa gì với bạn: Các bước hạn chế theo dõi khi thanh toán
Bạn không cần phải chờ mọi quy định có hiệu lực đầy đủ để bắt đầu thắt chặt thói quen của mình. Hãy cân nhắc các bước sau:
- Xem lại cài đặt đồng ý trong ứng dụng mua sắm của bạn. Tìm cài đặt quyền riêng tư hoặc dữ liệu và tắt theo dõi tùy chọn, quảng cáo cá nhân hóa và đồng bộ danh bạ mà bạn không cần.
- Xóa các tài khoản bạn không còn sử dụng. Đừng chỉ dựa vào việc xóa tự động sau một thời gian không hoạt động. Sử dụng tùy chọn xóa trong ứng dụng hoặc yêu cầu xóa dữ liệu nếu có.
- Kiểm tra và chỉnh sửa thông tin đã lưu. Địa chỉ và số điện thoại lỗi thời vừa là vấn đề quyền riêng tư vừa là vấn đề giao hàng.
- Sử dụng thanh toán khách khi có thể. Ít hồ sơ được lưu trữ hơn có nghĩa là ít bản ghi cần bảo vệ hơn.
- Chỉ chia sẻ những gì được yêu cầu. Nếu biểu mẫu yêu cầu nhiều hơn mức cần thiết cho giao hàng và thanh toán, hãy coi các trường tùy chọn là tùy chọn.
- Thắt chặt cài đặt trình duyệt. Chặn cookie của bên thứ ba, xóa dữ liệu trang web định kỳ và sử dụng các tính năng bảo vệ theo dõi có sẵn trong trình duyệt của bạn.
- Sử dụng VPN trên các mạng không đáng tin cậy. Nó bảo vệ kết nối, không phải dữ liệu tài khoản của bạn.
- Lưu giữ hồ sơ về các yêu cầu của bạn. Nếu bạn gửi yêu cầu xóa hoặc chỉnh sửa, hãy lưu xác nhận để phòng trường hợp bạn cần nâng cấp khiếu nại.
Tại sao những giới hạn này lại quan trọng ngoài việc mua sắm? Bởi vì dữ liệu cá nhân hiếm khi chỉ nằm ở một nơi. Các cuộc tranh luận về dữ liệu danh tính và giám sát ở Ấn Độ đang diễn ra sôi nổi, từ cuộc tranh luận về quyền riêng tư nhận diện khuôn mặt theo Điều 21 đến những lo ngại về đề xuất yêu cầu Aadhaar cho việc đăng ký truyền thông xã hội ở Karnataka. Hạn chế những gì các nền tảng thương mại thu thập là một phần của cuộc trò chuyện lớn hơn về ai nắm giữ thông tin của bạn và trong bao lâu.
Điểm chính
Quyền riêng tư khi mua sắm trực tuyến theo DPDPA của Ấn Độ quy về sự phân công lao động. Luật trao cho bạn quyền về đồng ý, chỉnh sửa và xóa, và đặt giới hạn lưu trữ đối với các nền tảng thương mại điện tử lớn. VPN và cài đặt trình duyệt hợp lý giảm thiểu rủi ro trên mạng và từ các trình theo dõi của bên thứ ba, nhưng chúng không thể khiến nhà bán lẻ quên những gì bạn đã nói với họ.
Tuần này, hãy mở các ứng dụng mua sắm bạn sử dụng nhiều nhất, xem lại các công tắc đồng ý, và tìm tùy chọn xóa tài khoản hoặc xóa dữ liệu. Xóa các hồ sơ bạn không còn cần, và thực hiện quyền của bạn khi các Quy tắc có hiệu lực. Chi tiết triển khai có thể thay đổi, vì vậy hãy kiểm tra thông báo quyền riêng tư của nền tảng và hướng dẫn chính thức để biết các yêu cầu mới nhất.
