印度在数据保护方面的做法已从宪法原则转变为详细的成文法和监管框架。其核心是《2023年数字个人数据保护法》（DPDP法案）。对于日常用户来说，实际问题很简单：你现在可以对持有你数据的公司提出什么要求？本指南以通俗语言拆解印度DPDP法案用户隐私权利，并阐明VPN在何处适用、在何处不适用。

从宪法权利到成文法：印度如何走到今天

多年来，印度的隐私主要是一个宪法概念。它是法院和立法者可以援引的原则，但并没有一套单一、详细的规则手册来告诉公司在收集你的电话号码、位置或购买记录时必须做什么。

《2023年DPDP法案》改变了这一点。根据促成这篇文章的分析，该国的数据保护格局已演变为一个全面的框架，将原则转化为可强制执行的义务。简而言之，隐私不再只是你可以在原则上主张的权利。它是一套公司必须遵守的义务。

该法律使用自己的术语。你是数据主体（Data Principal），即数据所涉及的人。决定为何以及如何处理你数据的组织是数据受托人（Data Fiduciary）。“受托人”一词是刻意选择的：它标志着一种信任关系，即公司为特定目的持有你的信息，而非直接拥有它。

DPDP法案下你的同意权利

同意是该框架的核心。对该法案的评论将其描述为同意优先模式：公司应在处理你的个人数据之前征求同意，而不是假定许可隐藏在冗长的政策中。

根据该法律的已发布摘要，个人被赋予特定权利，包括：

  • 访问权： 获取公司持有的关于你的个人数据信息的权利（通常援引第11(1)条）。
  • 更正权： 要求更正不准确数据的权利。
  • 删除权： 要求删除你数据的权利。
  • 申诉救济权： 提出投诉并获得处理的权利。

在实践中，这意味着你可以写信给公司，询问它持有什么，指出错误，或要求删除。如果公司没有妥善回应，有明确的投诉途径。这些是值得了解的工具，即使你从未使用超过其中一项。

数据受托人现在必须做什么

你权利的另一面是组织的一系列义务。该法案的摘要描述了数据受托人合法处理数据、确保数据安全以及处理用户请求的义务。同意必须是有意义的，这促使公司摆脱模糊、捆绑的许可。

这些义务带有后果。我们关于DPDP法案处罚及最高25亿卢比罚款的解释展示了执法如何支撑这些规则，这很重要，因为没有处罚的权利很容易被公司忽视。

时机也很重要。义务通过规则和截止日期分阶段实施，因此并非每项义务都在同一天适用。我们对DPDPA合规时间表及董事风险的审视涵盖了公司应在何时满足这些要求，以及组织内部谁可能被追究责任。

法律的不足之处以及用户可以自己做什么

成文法可以规范公司如何处理其已收集的数据。但它本身无法阻止你的信息被暴露的每一种方式。有几个局限值得理解。

权利取决于你是否使用它们。 访问、更正和删除请求只有在你发送时才有效。大多数人从未这样做。

该法律规范的是与公司的关系，而非其间的网络。 这就是VPN的用武之地，也是它的止步之处。VPN加密你的设备与VPN服务器之间的流量，并向网站和本地网络观察者隐藏你的IP地址。这可以减少在公共Wi-Fi上的追踪和窥探。但VPN不会改变公司如何处理你直接交出的信息，例如你登录后的姓名、电子邮件或账户详情。它不是你的DPDP权利的替代品，该法案也没有使VPN变得必要或不必要。

同意疲劳是真实存在的。 即使是以同意为先的模式，如果人们在每个提示上都点击“接受”，也可能被削弱。法律给了你选择权；你仍然需要阅读并做出选择。

这对你意味着什么

如果你住在印度或使用处理印度用户数据的服务，DPDP法案为你提供了更清晰的基础来提问并期望得到答复。你可以要求查看公司持有什么，要求更正，并寻求删除。如果公司不回应，你可以使用申诉途径。

与此同时，该法案并非抵御一切风险的盾牌。将其视为一层。你自己的习惯，例如你授予的权限、你保留的账户以及你选择的网络保护，构成了其余部分。

可操作要点

  • 在接受前审查同意提示。 拒绝任何服务不需要的内容。
  • 行使你的权利。 向你不再使用的服务发送访问或删除请求。
  • 保留记录，包括请求和回复，以备需要升级投诉时使用。
  • 清理仍持有你个人数据的旧账户。
  • 出于正确理由使用VPN： 保护不受信任网络上的流量，而不是控制公司如何使用你分享给它的数据。

印度DPDP法案用户隐私权利的力量，取决于行使它们的人以及其背后的执法。要了解处罚如何赋予这些权利牙齿，请阅读我们的DPDP处罚解释，并查看合规时间表文章以了解公司必须何时开始履行这些义务。