Daripada Pematuhan kepada Penjaga: Menavigasi Era Baharu Data Privacy di India

Mengenai Episod Ini

Dalam sesi “Waktu Privasi” ini oleh Seqrite, Dr. Lalit Mohan menjadi tuan rumah kepada Koushik Balasubramanian, ahli pengasas Sisory dan perunding risiko berpengalaman. Perbualan ini melangkaui perkara teknikal Akta Perlindungan Data Peribadi Digital (DPDPA) untuk menangani perubahan budaya dan etika yang diperlukan dalam organisasi. Tema utamanya ialah privasi bukan sekadar "kotak pilihan" yang sah tetapi asas kepercayaan antara perniagaan dan pelanggannya.

Soalan Lazim berikut meringkaskan pandangan strategik dan falsafah daripada perbincangan tersebut.

Soalan Lazim

Apakah kepentingan istilah “Prinsip Data” dalam DPDPA berbanding “Subjek Data”?

Walaupun ia mungkin kelihatan seperti perubahan perkataan yang mudah, peralihan daripada "Subjek" kepada "Pengetua" menandakan perubahan budaya yang besar. Ia mengukuhkan idea bahawa individu tersebut adalah pemegang kepentingan utama data mereka. Sebagai "Pengetua", data tersebut adalah milik orang lain, dan organisasi tersebut hanyalah penjaga yang mempunyai tanggungjawab untuk melindunginya.

Bagaimanakah organisasi mengendalikan "Data Legasi" yang dikumpul selama beberapa dekad sebelum DPDPA?

Banyak organisasi telah mengumpulkan sejumlah besar data selama 50–60 tahun tanpa persetujuan yang jelas. Syarikat matang kini sedang membersihkan data ini, membuang apa yang tidak perlu dan melibatkan semula pelanggan untuk mendapatkan persetujuan baharu yang sah yang selaras dengan undang-undang baharu.

Apakah peranan yang dimainkan oleh "Pengurus Persetujuan" dalam ekosistem DPDPA?

Pengurus Persetujuan bertindak sebagai perantara atau pengagregat antara pengguna dan organisasi. Walaupun peranannya masih berkembang, matlamatnya adalah untuk menyediakan ketelusan dan membina kepercayaan dengan membenarkan pelanggan mengurus kebenaran data mereka di satu tempat.

Bagaimanakah organisasi boleh memastikan pelanggan memahami “Notis dan Persetujuan”?

Terjemahan ke dalam 22 bahasa rasmi India hanyalah langkah pertama. Pemahaman yang sebenar memerlukan notis ditulis dalam bahasa awam dan bukannya jargon undang-undang yang rumit. Objektifnya adalah untuk pelanggan umum memahami dengan tepat bagaimana data mereka akan digunakan hanya dalam seminit pembacaan.

Bolehkah sesebuah organisasi hanya "memadam" data atas permintaan pengguna?

Secara teknikalnya, ia bukanlah "mudah". Walaupun data boleh dialih keluar daripada sistem utama seperti CRM atau pengebilan, organisasi mesti mengimbanginya dengan peraturan lain (seperti peraturan RBI atau Telekomunikasi) yang mewajibkan pengekalan data untuk tempoh tertentu. Dalam kes sedemikian, data mungkin diarkibkan khusus untuk penguatkuasaan undang-undang dan bukannya dipadamkan sepenuhnya.

Siapa yang bertanggungjawab jika vendor pihak ketiga salah mengendalikannya data pelanggan?

Organisasi yang mengumpul data tersebut merupakan penjaga dan kekal bertanggungjawab sepenuhnya. Untuk menguruskan perkara ini, syarikat mesti melaksanakan "Pengurusan Risiko Pihak Ketiga," termasuk audit dan pensijilan, bagi memastikan vendor memproses data mengikut arahan.

Adakah AI akan menggantikan juruaudit manusia dalam memastikan pematuhan privasi?

Tidak. Walaupun AI boleh mengendalikan tugasan yang membosankan dan bervolum tinggi seperti mengenal pasti corak data, proses membuat keputusan muktamad kekal sebagai tanggungjawab manusia. Manusia membawa etika, empati dan kecerdasan emosi yang diperlukan yang kekurangan AI untuk menentukan cara data harus dikendalikan.

Apakah matlamat DPDPA untuk seorang pemimpin perniagaan?

Lembaga dan pemimpin harus melupakan soalan "Adakah kita patuh?" dan sebaliknya bertanya, "Adakah kita boleh dipercayai?" Sesi ini menekankan bahawa privasi mesti ada dalam "DNA" setiap pekerja, melayan perlindungan data sebagai kewajipan etika dan bukan sekadar cara untuk mengelakkan penalti ₹250 crore.

Video ini memberikan kajian mendalam tentang perubahan minda yang diperlukan oleh organisasi India untuk berjaya menavigasi DPDPA era.