Il Digital Personal Data Protection Act, 2023 (la legge DPDP) è la prima legge indiana dedicata alla protezione dei dati personali. Una recente spiegazione di un ricercatore di sicurezza su DEV Community guida gli sviluppatori attraverso le ragioni per cui la legge era necessaria e cosa significa per il loro stack tecnologico. Questo articolo adotta un'angolazione diversa. È una guida alla legge DPDP indiana spiegata per gli utenti comuni, che illustra cosa la legge ti garantisce, come si confronta con il GDPR europeo e cosa può e non può fare per la tua privacy.
Cosa ti garantisce la legge DPDP come titolare dei dati
La legge utilizza un proprio vocabolario. Tu, l'individuo i cui dati vengono raccolti, sei il "titolare dei dati" (data principal). L'azienda o l'organizzazione che decide perché e come i tuoi dati vengono trattati è il "responsabile dei dati" (data fiduciary). La formulazione è importante perché inquadra la relazione come una di fiducia e obbligo, non solo una transazione commerciale.
Come quadro normativo, la legge disciplina il modo in cui le aziende raccolgono, utilizzano, condividono ed eliminano i dati personali delle persone in India. In pratica, le tutele che contano di più per gli utenti comuni rientrano in quattro aree:
- Consenso: Ci si aspetta che le organizzazioni si basino sul tuo accordo quando trattano i tuoi dati, invece di raccoglierli silenziosamente in background.
- Accesso: Puoi chiedere quali dati personali un'organizzazione detiene su di te e come vengono utilizzati.
- Rettifica e cancellazione: Puoi chiedere che i dati inesatti vengano corretti e che i dati vengano eliminati quando non sono più necessari.
- Notifica delle violazioni: Quando qualcosa va storto, l'organizzazione che detiene i tuoi dati ha il dovere di segnalarlo, così non rimani all'oscuro.
Questi diritti sono utili solo se li eserciti. Una schermata di consenso che accetti senza leggere è comunque una decisione presa per tuo conto.
Come si confronta la DPDP con il GDPR
I lettori che conoscono il Regolamento generale sulla protezione dei dati dell'UE riconosceranno la forma generale: un modello basato sui diritti, costruito attorno a consenso, trasparenza e responsabilità. Come il GDPR, la legge DPDP sostituisce un quadro precedente molto più limitato con uno nazionale completo.
Le differenze vale la pena conoscerle, anche se ti serve solo il quadro generale. Un'area degna di nota è quella dei dati transfrontalieri. Gli analisti descrivono la legge DPDP come consentente il trasferimento dei dati personali al di fuori dell'India, tranne che verso i paesi che il Governo Centrale ha notificato come limitati. Si tratta di un meccanismo diverso dall'approccio basato sull'adeguatezza che molti associano al GDPR, e alcuni commentatori hanno messo in dubbio che possa fornire da solo garanzie sufficienti.
La conclusione pratica: non dare per scontato che le tutele che conosci dal GDPR si applichino in modo identico in India. Terminologia, ambito e dettagli di applicazione differiscono, quindi verifica le specificità prima di fare affidamento su un diritto che hai altrove.
Cosa cambia per le app e i servizi che trattano dati indiani
Per le organizzazioni, la legge introduce obblighi di conformità nella raccolta, nel trattamento, nella conservazione e nel trasferimento dei dati personali digitali. Questo va ben oltre le aziende con sede in India. Qualsiasi app o servizio che tratti dati personali di persone in India ha motivo di rivedere come raccoglie il consenso, per quanto tempo conserva i dati e come risponde alle richieste degli utenti.
Per te, questo dovrebbe tradursi in richieste di consenso più chiare, impostazioni più accessibili per gestire o eliminare i dati e una comunicazione più strutturata in caso di violazione. Gli utenti globali delle piattaforme indiane potrebbero anche notare cambiamenti nel modo in cui tali servizi descrivono dove vanno i dati e perché.
L'applicazione è ciò che dà peso a questi obblighi. La nostra analisi delle sanzioni e multe della legge DPDP fino a ₹250 crore mostra come le conseguenze finanziarie della non conformità stiano diventando più chiare, il che è un forte incentivo per le aziende a prendere sul serio le richieste degli utenti.
Dove una VPN aiuta e dove no
Una VPN e una legge sulla protezione dei dati risolvono problemi diversi, ed è facile confonderli.
Una VPN crittografa il tuo traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Questo può ridurre l'esposizione su Wi-Fi pubblici e limitare parte del tracciamento a livello di rete.
Ciò che una VPN non fa è cambiare quello che consegni una volta effettuato l'accesso. Se fornisci a un'app il tuo nome, numero di telefono o rubrica, la VPN non impedisce a quell'app di trattarli. Questo è esattamente il territorio coperto dalla legge DPDP: cosa possono fare le organizzazioni con i dati che hai condiviso e quale ricorso hai in seguito.
Pensali come livelli complementari. La legge disciplina come le organizzazioni trattano i tuoi dati. Una VPN protegge la connessione su cui viaggiano. Nessuno dei due sostituisce scelte attente su ciò che condividi.
Cosa significa per te
Se vivi in India o usi app e servizi indiani, la legge DPDP ti offre una serie di strumenti più chiara di prima. La legge non può agire per tuo conto se non ti attivi. Tratta le richieste di consenso come decisioni reali e usa le richieste di accesso e cancellazione quando un servizio detiene dati che non vuoi più che abbia.
Se sei al di fuori dell'India ma usi piattaforme indiane, aspettati che quei servizi modifichino il modo in cui trattano i dati e ne comunicano. Non dare per scontato che i diritti del tuo paese d'origine ti accompagnino, e leggi i termini sulla privacy di ogni servizio.
Considerazioni pratiche
- Rivedi le impostazioni del consenso nelle app e nei servizi indiani che usi, e revoca i permessi di cui non hai bisogno.
- Richiedi l'accesso ai dati che un servizio detiene su di te se non sei sicuro di cosa raccoglie.
- Chiedi la rettifica o la cancellazione dei dati obsoleti o non necessari, specialmente per gli account che non usi più.
- Fai attenzione alle notifiche di violazione e agisci rapidamente, ad esempio cambiando le password.
- Usa una VPN per ciò in cui è brava, proteggere la tua connessione, affidandoti ai diritti legali per governare ciò che accade ai dati che condividi.
Per capire come viene applicata la legge e quanto può costare la non conformità, leggi la nostra guida alle sanzioni della legge DPDP. Poi prenditi dieci minuti per rivedere le tue impostazioni di consenso e dati. Con la legge DPDP indiana spiegata, il prossimo passo è mettere al lavoro i suoi diritti.
