印度《2023年数字个人数据保护法》（DPDPA）及配套的《2025年规则》将重塑数字商务处理个人数据的方式。Lexology近期对该主题的分析将购物车视为数据收集点，这一框架很有用。购物应用中的每一次账户注册、保存的地址、支付偏好和浏览模式都是个人数据。对于关注印度DPDPA网购隐私的人来说，问题在于作为购物者你实际获得了什么，以及没有任何工具能为你做什么。
印度DPDPA网购隐私：电子商务数据将有哪些变化
DPDPA是印度首个管理个人数据收集、处理和存储的综合性框架。它使用了特定术语：数据被收集的个人是“数据主体”（Data Principal），决定为何以及如何使用数据的公司是“数据受托人”（Data Fiduciary）。在实践中，你是数据主体，购物平台是数据受托人。
律师事务所对《规则》的摘要指出了大型平台的具体义务。根据这些摘要，《规则》对特定类别的数据受托人（包括电子商务实体、社交媒体平台和在线游戏公司）规定了删除要求。一份摘要这样描述该要求：非活跃用户数据必须在三年后删除，并提前48小时通知用户。另一份摘要则描述为在数据主体最后一次接触公司后三年内删除。
哪些平台符合条件以及“非活跃”如何定义的细节很重要，因此请将这些数字视为摘要而非法律建议。方向仍然明确：无限期收集数据并“以防万一”地保存变得越来越难以合理化。
购物者获得的同意、删除和更正权利
该法围绕同意构建。公司应告知你他们收集什么数据、为何收集，并为该目的处理数据。对购物者而言，这应意味着在注册和结账时有更清晰的提示，而不是埋在条款和条件中的单一捆绑批准。
你可以预期使用的权利包括：
- 撤回同意。 你应能够撤回先前给予的许可，且流程不应比给予许可更难。
- 更正。 如果你的地址、电话号码或其他详细信息有误，你可以要求更正。
- 删除。 你可以要求删除你的个人数据，但须遵守法律例外。
- 申诉补救。 平台必须提供就你的数据处理方式提出投诉的途径。
基于非活跃状态的删除规则为你遗忘的账户增加了一层安全网。一个带有保存地址和订单历史的废弃购物资料，正是那种往往会留存多年并最终出现在数据泄露中的记录。
VPN在网上购物时能做和不能做的事
VPN加密你的设备与VPN服务器之间的连接，并向你访问的网站隐藏你的IP地址。这在公共Wi-Fi上有帮助，并限制了网站用来估计你位置的一种信号。它是有用的一层，但它解决的问题与DPDPA不同。
当你登录购物应用时，平台仍然知道你是谁。无论你的IP地址显示什么，它都能看到你的账户、收货地址、支付详情和购买历史。VPN不能阻止公司收集你自愿交出的数据，也不能控制这些数据存储多长时间或是否被删除。这些是法律问题，DPDPA是解决它们的工具。
还有一个实际限制。VPN依赖可用的连接，如果访问本身被切断，它们也无能为力。我们关于互联网断网期间VPN能做和不能做什么的说明涵盖的是不同场景，但它展示了同样的原则：VPN是一个有明确边界的工具，而不是全面防护盾。
反过来也是如此。法律不能保护你免受窥探网络或未加密热点的侵害。两者结合使用效果最佳。
这对你意味着什么：结账时限制追踪的步骤
你不需要等待每项条款完全生效才开始收紧习惯。考虑以下步骤：
- 检查购物应用中的同意设置。 查找隐私或数据设置，关闭你不需要的可选追踪、个性化广告和联系人同步。
- 删除不再使用的账户。 不要只依赖一段时间的非活跃后自动删除。在存在应用内删除或删除请求选项的地方使用它。
- 检查并更正你保存的详细信息。 过时的地址和电话号码既是隐私问题也是配送问题。
- 尽可能使用访客结账。 存储的资料越少，需要保护的记录就越少。
- 只分享必要的信息。 如果表单要求的内容超出配送和支付所需，将可选字段视为可选。
- 收紧浏览器设置。 阻止第三方Cookie，定期清除网站数据，并使用浏览器内置的追踪保护功能。
- 在不可信网络上使用VPN。 它保护连接，而非你的账户数据。
- 保留你的请求记录。 如果你提交了删除或更正请求，保存确认信息，以备需要升级申诉时使用。
为什么这些限制在购物之外也很重要？因为个人数据很少只停留在一个地方。印度关于身份数据和监控的辩论十分活跃，从第21条下的面部识别隐私辩论到对卡纳塔克邦拟议的社交媒体注册Aadhaar要求的担忧。限制商业平台收集的内容，是关于谁持有你的信息以及持有多久的更大讨论的一部分。
要点
印度DPDPA网购隐私归结为分工。法律赋予你对同意、更正和删除的权利，并对大型电子商务平台设定了保留限制。VPN和合理的浏览器设置减少网络上和第三方追踪器带来的暴露，但它们无法让零售商忘记你告诉它的信息。
本周，打开你最常用的购物应用，检查同意开关，找到账户删除或数据删除选项。移除你不再需要的资料，并在《规则》生效时行使你的权利。实施细节可能会演变，因此请查看平台的隐私声明和官方指南以了解最新要求。
