《2023年数字个人数据保护法案》（DPDP法案）是印度首部专门针对个人数据保护的法律。DEV Community上一位安全研究员近期发布的解读文章，向开发者介绍了该法律的出台背景及其对技术栈的影响。本文则从不同角度出发，是一篇面向普通用户的印度DPDP法案解读指南，涵盖该法律赋予你的权利、与欧洲GDPR的对比，以及它在隐私保护方面能做和不能做的事情。
DPDP法案赋予你作为数据主体的权利
该法案使用了自己的一套术语。你——个人数据被收集的个人——被称为“数据主体”（data principal）。决定为何以及如何处理你的数据的公司或组织被称为“数据受托人”（data fiduciary）。这些措辞很重要，因为它们将这种关系定位为一种信任和义务的关系，而不仅仅是商业交易。
作为一个框架，该法案规范企业如何收集、使用、共享和删除印度境内个人的个人数据。在实践中，对普通用户最重要的保护集中在四个方面：
- 同意： 组织在处理你的数据时应依赖你的同意，而非在后台悄悄收集。
- 访问： 你可以询问某个组织持有哪些关于你的个人数据以及这些数据如何被使用。
- 更正与删除： 你可以要求更正不准确的数据，并在数据不再需要时要求删除。
- 泄露通知： 当出现问题时，持有你数据的组织有义务进行报告，这样你不会被蒙在鼓里。
这些权利只有在你使用它们时才能发挥作用。一个你未加阅读就点击通过的同意页面，仍然是一项代表你做出的决定。
DPDP与GDPR的对比
熟悉欧盟《通用数据保护条例》的读者会认出大致框架：一种围绕同意、透明度和问责制构建的基于权利的模型。与GDPR一样，DPDP法案用一套全面的国家框架取代了此前局限性大得多的框架。
即使你只需要了解大致情况，这些差异也值得知道。一个值得注意的领域是跨境数据。分析人士将DPDP法案描述为允许个人数据传输到印度境外，但中央政府已通知限制的国家除外。这与许多人与GDPR关联的基于充分性认定的方式不同，一些评论者质疑这种方式本身是否能提供足够的保障。
实际结论是：不要假设你所了解的GDPR保护在印度同样适用。术语、范围和执法细节都有所不同，因此在依赖你在其他地方拥有的权利之前，请先核实具体情况。
处理印度数据的应用和服务会有什么变化
对于组织而言，该法案引入了涵盖数字个人数据收集、处理、存储和传输的合规义务。其影响远超印度本土公司。任何处理印度境内个人个人数据的应用或服务都有理由审视其如何获取同意、数据保留多长时间以及如何回应用户请求。
对你来说，这应表现为更清晰的同意提示、更便捷的数据管理或删除设置，以及发生数据泄露时更有条理的沟通。印度平台的全球用户也可能注意到这些服务在描述数据去向及原因方面的变化。
执法是这些义务具有分量的关键。我们对DPDP法案处罚及最高2.5亿卢比罚款的详细解读展示了不合规的财务后果正变得更加明确，这对企业认真对待用户请求形成了强有力的激励。
VPN在哪里有帮助，在哪里没有
VPN和数据保护法解决的是不同的问题，人们很容易将二者混淆。
VPN加密你的设备与VPN服务器之间的流量，并对你访问的网站隐藏你的IP地址。这可以减少在公共Wi-Fi上的暴露，并限制某些网络层面的追踪。
VPN做不到的是改变你登录后主动交出的信息。如果你把姓名、电话号码或通讯录给了某个应用，VPN无法阻止该应用处理这些信息。而这正是DPDP法案所涵盖的领域：组织可以对你已共享的数据做什么，以及你事后有什么救济途径。
将它们视为互补的层次。法律规范组织如何对待你的数据。VPN保护数据传输所经过的连接。两者都不能替代对分享内容的谨慎选择。
这对你意味着什么
如果你居住在印度或使用印度的应用和服务，DPDP法案为你提供了一套比以前更清晰的工具。除非你主动参与，否则法律无法代你行动。把同意提示当作真正的决定来对待，当某个服务持有的数据你不再希望它拥有时，使用访问和删除请求。
如果你在印度境外但使用印度平台，预期这些服务将调整其数据处理方式和沟通方式。不要假设你本国的权利会随你同行，请阅读每项服务的隐私条款。
可操作的要点
- 检查同意设置，在你使用的印度应用和服务中，撤回你不需要的权限。
- 请求访问某个服务持有的关于你的数据，如果你不确定它收集了什么。
- 要求更正或删除过时或不必要的数据，尤其是你不再使用的账户。
- 留意泄露通知并迅速采取行动，例如更改密码。
- 将VPN用于它擅长的领域——保护你的连接——同时依靠法律权利来规范你所分享数据的处理方式。
要了解该法案如何执行以及不合规可能带来的代价，请阅读我们的DPDP法案处罚指南。然后花十分钟检查你的同意和数据设置。印度DPDP法案已经解读完毕，下一步就是将其赋予的权利付诸实践。
