غيّر قانون حماية البيانات الشخصية الرقمية في الهند طريقة تعامل كل شركة تتصل بالمستخدمين الهنود مع البيانات الشخصية. فإذا كنت تجمع أسماء أو عناوين بريد إلكتروني أو أرقام هواتف أو معرّفات أجهزة من أشخاص في الهند، فإن DPDPA ينطبق عليك. وفيما يلي قائمة تحقق واضحة تسير عليها، مكتوبة لفرق تريد إنجاز الأمر بشكل صحيح دون أن تغرق في اللغة القانونية.
ابدأ بالإشعار والموافقة
يقوم DPDPA على الموافقة المستنيرة. فقبل أن تجمع بيانات شخصية، عليك أن تخبر الأشخاص بما تجمعه ولماذا، بعبارات واضحة.
- انشر إشعار خصوصية واضحًا يسرد البيانات التي تجمعها والغرض من كل استخدام.
- قدّم الإشعار بالإنجليزية، وبلغة المستخدمين الهندية المفضّلة حيثما كان ذلك مهمًا لهم.
- اجعل الموافقة محددة. فتجميع أغراض غير مترابطة تحت أوافق واحدة ليس موافقة صحيحة.
- اجعل سحب الموافقة بسهولة منحها. فطلب عبر بريد إلكتروني مدفون لا يُحتسب.
والمبدأ الذي يجب تذكّره هو أن الموافقة يجب أن تكون حرة ومحددة ومستنيرة ولا لبس فيها. فإن كان شخص عاقل لن يفهم على ماذا وافق، فأنت لا تملك موافقة صحيحة.
ارسم خريطة بياناتك ومعالجيك
لا يمكنك حماية بيانات لم ترسم خريطتها. فقبل أي شيء آخر، دوّن ما تجمعه وأين يقيم ومن يلمسه غيرك.
- اسرد كل نموذج وأداة تتبع وتكامل يجمع بيانات شخصية.
- حدّد كل طرف ثالث تشارك معه البيانات، وتأكد من ارتباطه بعقد.
- سجّل أين تُخزَّن البيانات وكم من الوقت تحتفظ بها.
- حدّد مدة احتفاظ لكل فئة، واحذف البيانات فور تحقق الغرض.
احترم حقوق صاحب البيانات
بموجب DPDPA، يُسمّى الشخص الذي تحتفظ ببياناته صاحب البيانات، وله حقوق حقيقية. ويحتاج موقعك إلى وسيلة فعّالة للاستجابة لها.
- وفّر مسارًا لطلب الوصول إلى بياناته.
- اسمح بتصحيح البيانات غير الدقيقة وتحديثها.
- ادعم المحو حين لا تعود البيانات لازمة.
- أتِح قناة للشكاوى واستجب خلال مدة معقولة.
ابنِ هذه الأمور كسير عمل، لا كخدمة استثنائية. فحين تصل الطلبات، تريد عملية متتبَّعة بمواعيد نهائية، لا فوضى في صندوق بريد.
تعامل مع بيانات الأطفال بحذر
يضع DPDPA سقفًا أعلى لكل من هم دون الثامنة عشرة. وإذا كان من الوارد أن يستخدم أطفال خدمتك، فلا يمكنك تجاهل ذلك.
- احصل على موافقة والدية قابلة للتحقق قبل معالجة بيانات الطفل.
- لا تشغّل تتبعًا أو إعلانًا سلوكيًا موجهًا للأطفال.
- أضف إشارة عمرية أو بوابة عمرية بحيث تتلقى حسابات الأطفال المعاملة الأكثر صرامة افتراضيًا.
الموقف الأكثر أمانًا هو أن تفترض أن بعض مستخدميك قاصرون، وأن تصمم مسار الموافقة لديك بحيث لا تُعالَج بياناتهم لأغراض الإعلان أبدًا دون إذن واضح من أحد الوالدين.
احتفظ بأدلة يمكنك إظهارها
الموافقة التي لا تستطيع إثباتها موافقة لا تملكها. فالجهات التنظيمية والمدققون سيسألون كيف عرفت أن الشخص وافق.
- سجّل كل موافقة مع طابع زمني ومع إصدار الإشعار الذي عُرض.
- احتفظ بسجل يصعب التلاعب به بحيث لا يمكن تعديل القيد لاحقًا بصمت.
- اجعل الأدلة قابلة للتصدير حتى تجيب عن أي استفسار بسرعة.
اجمع الأمر كله معًا
إشعار، وموافقة محددة، وسحب سهل، وبيانات مرسومة، وحقوق فعّالة، وتعامل حذر مع بيانات الأطفال، وأدلة قابلة للإثبات. هذا هو العمود الفقري للجاهزية لـ DPDPA. ولا شيء منه غريب أو معقّد، لكنه يحتاج إلى قصد وإلى أن يُبنى داخل منتجك بدل أن يُلصق عليه.
وإذا أردت طبقة موافقة تغطي الإشعار والسحب ومسارات DSAR والأدلة التي يصعب التلاعب بها جاهزة من البداية، ابدأ مجانًا مع ConsentX وارسم خريطة أثرك في فترة بعد الظهر.