喀拉拉邦高等法院已要求联邦政府在八周内使印度数据保护委员会开始运作。据《The Hindu》报道，法院表示公民隐私正受到侵害，其考虑的问题包括机场旅客数据的处理方式。喀拉拉邦高等法院关于数据保护委员会的命令为一个机构设定了最后期限，而《2023年数字个人数据保护法》（DPDP法案）依赖该机构来执行。
现有报道较为简短，因此本文仅围绕已确认的内容展开，并解释其为何重要。
喀拉拉邦高等法院命令了什么
法院指示中央政府（Centre）在八周内启动数据保护委员会。该指令出台之际，围绕机场旅客数据的隐私担忧持续存在，法院还指出公民隐私正受到侵害。
该命令并未创设新法律或新义务，而是要求政府建立现有法律已经描述的机构。这一区别很重要：法律框架已经存在，但法院释放的信号是，没有可运作执法机构的框架在现实中无法保护任何人。
为什么数据保护委员会对DPDP法案至关重要
DPDP法案2023规定了组织如何处理个人数据的规则。纸面上的规则只有在有人能够审查投诉、评估违规并采取行动时才真正有效。数据保护委员会本应是承担这一职能的机构。
在其开始运作之前，认为自己数据被滥用的人没有完全运作的监管机构可以投诉。反过来，组织也几乎感受不到实际压力去改变其收集和存储信息的方式。这正是法院命令所指出的执法缺口核心：法律可以已经颁布，但在很大程度上仍无法执行。
八周期限是一个具体检验。读者可以观察该委员会是否确实在截止日期前投入运作，以及一旦运作，它拥有哪些权力和人员配置。
机场旅客数据收集如何使旅客面临风险
机场是个人数据的压力点。旅客在常规处理过程中需要提交身份文件、旅行行程，在某些系统中还包括生物识别信息。本案的关注点集中在机场旅客数据上，原因不难理解：人们几乎没有选择是否提供这些信息，而且他们很少知道这些信息存储在哪里、谁能访问、会保留多久。
这种大规模、集中化的数据收集很有吸引力，会成为攻击目标，而其安全性取决于围绕它的控制措施。若没有能够调查投诉或审查实践的监管机构，一旦出问题，旅客可获得的救济有限。其他地方近期的事件显示了暴露风险会是什么样。法国ANTS护照门户遭入侵涉及负责该国安全身份证件的机构，而立陶宛国家登记处遭入侵则影响了国家自身持有的记录。
印度的执法缺口与其他隐私制度相比如何
许多隐私制度都将法律权利与能够接收投诉并施加后果的主管机构配套。就印度而言，正如法院命令所强调的，区别在于法律已经通过，而本应执行它的机构尚未运作。我们在来源报道中尚未看到有关该委员会将如何构成的细节，因此进行比较时应保持谨慎。
可以肯定的是，仅有强有力的文本并不能防止暴露。其他国家的政府持有数据库也曾遭到入侵。暴露1.95亿身份信息的墨西哥数据泄露事件以及智利民事登记处泄露1000万条记录表明，当公民数据被大规模持有且保护不当时会发生什么。
这对你意味着什么
如果你经由印度机场旅行，该命令不会改变今天向你收集的数据。它实际带来的，是加大对一个可运作监管机构的压力，使该机构最终能够审查这些做法并受理投诉。
对旅客和更广泛的居民而言，实际要点是：你不能依赖监管机构来保护已经被收集的数据。VPN对你在值机柜台或边境窗口交出的数据没有帮助，因此重点应放在限制你分享的内容并保护好自己的账户。
可执行要点
- 只分享被要求提供的个人信息，并在可能时询问收集了什么以及为什么收集。
- 妥善保管你的旅行和身份文件副本，避免通过未加密渠道发送。
- 在航空公司、预订和政务服务账户上使用唯一密码和多因素认证。
- 留意影响你所使用服务的数据泄露通知，如受影响应尽快更改凭据。
- 在八周期限过后，关注数据保护委员会是否已投入运作。
喀拉拉邦高等法院关于数据保护委员会的命令提醒人们，纸面上的权利需要机构来支撑。薄弱的执法加上政府持有的大型数据库会导致真实风险，正如墨西哥和智利的泄露事件所示。在印度的数据保护委员会开始运作之前，请谨慎对待你的数据，并尽量少分享。
