Il Digital Personal Data Protection Act, 2023 (DPDPA) dell'India e le relative Rules, 2025 sono destinati a rimodellare il modo in cui il commercio digitale gestisce i dati personali. Una recente analisi di Lexology sull'argomento inquadra il carrello della spesa come punto di raccolta dati, e questa prospettiva è utile. Ogni registrazione a un account, indirizzo salvato, preferenza di pagamento e schema di navigazione in un'app di shopping è un dato personale. Per chi segue la privacy negli acquisti online secondo il DPDPA indiano, la domanda è cosa si guadagna davvero come acquirente, e cosa nessuno strumento può fare per te.
Privacy negli acquisti online secondo il DPDPA indiano: cosa cambia per i dati dell'e-commerce
Il DPDPA è il primo quadro normativo completo dell'India che disciplina la raccolta, il trattamento e la conservazione dei dati personali. Utilizza termini specifici: la persona i cui dati vengono raccolti è un "Data Principal", e l'azienda che decide perché e come i dati vengono utilizzati è un "Data Fiduciary". In pratica, tu sei il Data Principal e la piattaforma di shopping è il Data Fiduciary.
Le sintesi delle Rules redatte dagli studi legali indicano obblighi specifici per le grandi piattaforme. Secondo tali sintesi, le Rules stabiliscono requisiti di cancellazione per determinate categorie di Data Fiduciaries, tra cui le entità di e-commerce, le piattaforme di social media e le società di gaming online. Una sintesi descrive il requisito in questo modo: i dati degli utenti inattivi devono essere cancellati dopo tre anni, con un preavviso di 48 ore all'utente. Un'altra descrive la cancellazione entro tre anni dall'ultimo accesso del Data Principal all'azienda.
I dettagli su quali piattaforme rientrano e su come viene definito "inattivo" sono importanti, quindi tratta queste cifre come un riepilogo e non come consulenza legale. La direzione è comunque chiara: raccogliere dati a tempo indefinito e conservarli "per ogni evenienza" diventa più difficile da giustificare.
Consenso, cancellazione e diritti di rettifica che gli acquirenti ottengono
La Legge è costruita attorno al consenso. Le aziende devono informarti su quali dati raccolgono e perché, e trattarli per quella finalità. Per gli acquirenti, questo dovrebbe significare richieste più chiare in fase di registrazione e di checkout, anziché un'unica approvazione cumulativa sepolta nei termini e condizioni.
I diritti che puoi aspettarti di esercitare includono:
- Revoca del consenso. Dovresti poter ritirare un'autorizzazione concessa in precedenza, e la procedura non dovrebbe essere più difficile del concederla.
- Rettifica. Se il tuo indirizzo, numero di telefono o altri dettagli sono errati, puoi chiederne la correzione.
- Cancellazione. Puoi richiedere che i tuoi dati personali siano cancellati, fatte salve le eccezioni legali.
- Gestione dei reclami. Le piattaforme devono offrire un modo per presentare reclami su come vengono trattati i tuoi dati.
La regola di cancellazione basata sull'inattività aggiunge una rete di sicurezza per gli account che hai dimenticato. Un profilo di shopping abbandonato con un indirizzo salvato e una cronologia degli ordini è esattamente il tipo di record che tende a persistere per anni e a finire in una violazione dei dati.
Cosa può e cosa non può fare una VPN mentre fai acquisti online
Una VPN crittografa la connessione tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Questo aiuta sulle reti Wi-Fi pubbliche e limita un segnale che i siti usano per stimare la tua posizione. È uno strato utile, ma risolve un problema diverso da quello del DPDPA.
Quando accedi a un'app di shopping, la piattaforma sa comunque chi sei. Vede il tuo account, il tuo indirizzo di consegna, i tuoi dati di pagamento e la tua cronologia degli acquisti, indipendentemente da ciò che dice il tuo indirizzo IP. Una VPN non impedisce a un'azienda di raccogliere i dati che le fornisci volontariamente, e non controlla per quanto tempo quei dati vengono conservati né se vengono cancellati. Queste sono questioni legali, e il DPDPA è lo strumento per affrontarle.
C'è anche un limite pratico. Le VPN dipendono da una connessione funzionante e non possono aiutare se l'accesso stesso viene interrotto. La nostra spiegazione su cosa può e cosa non può fare una VPN durante un'interruzione di internet copre uno scenario diverso, ma mostra lo stesso principio: una VPN è uno strumento con confini definiti, non uno scudo totale.
Vale anche il contrario. La legge non ti protegge da una rete che spia o da un hotspot non crittografato. I due strumenti funzionano al meglio insieme.
Cosa significa per te: passi per limitare il tracciamento al checkout
Non devi aspettare che ogni disposizione sia pienamente in vigore per iniziare a rafforzare le tue abitudini. Considera questi passi:
- Rivedi le impostazioni sul consenso nelle tue app di shopping. Cerca le impostazioni sulla privacy o sui dati e disattiva il tracciamento opzionale, la pubblicità personalizzata e la sincronizzazione dei contatti di cui non hai bisogno.
- Elimina gli account che non usi più. Non affidarti solo alla cancellazione automatica dopo un periodo di inattività. Usa l'opzione di eliminazione o richiesta di cancellazione in-app, dove esiste.
- Controlla e correggi i tuoi dettagli salvati. Indirizzi e numeri di telefono obsoleti sono sia un problema di privacy che di consegna.
- Usa il checkout come ospite quando puoi. Meno profili memorizzati significa meno record da proteggere.
- Condividi solo ciò che è necessario. Se un modulo chiede più di quanto serva per la consegna e il pagamento, tratta i campi opzionali come opzionali.
- Rafforza le impostazioni del browser. Blocca i cookie di terze parti, cancella periodicamente i dati dei siti e utilizza le funzioni di protezione dal tracciamento integrate nel tuo browser.
- Usa una VPN su reti non affidabili. Protegge la connessione, non i dati del tuo account.
- Conserva traccia delle tue richieste. Se presenti una richiesta di cancellazione o rettifica, salva la conferma nel caso in cui debba escalare un reclamo.
Perché questi limiti contano al di là dello shopping? Perché i dati personali raramente restano in un unico posto. I dibattiti sui dati di identità e sulla sorveglianza in India sono attivi, dal dibattito sulla privacy del riconoscimento facciale ai sensi dell'articolo 21 alle preoccupazioni su una proposta di requisito Aadhaar per le registrazioni ai social media in Karnataka. Limitare ciò che le piattaforme commerciali raccolgono è una parte di una conversazione più ampia su chi detiene le tue informazioni e per quanto tempo.
Punti chiave
La privacy negli acquisti online secondo il DPDPA indiano si riduce a una divisione dei compiti. La legge ti dà diritti su consenso, rettifica e cancellazione, e impone limiti di conservazione alle grandi piattaforme di e-commerce. Una VPN e impostazioni sensate del browser riducono l'esposizione sulla rete e da parte dei tracker di terze parti, ma non possono far dimenticare a un rivenditore ciò che gli hai detto.
Questa settimana, apri le app di shopping che usi di più, rivedi le opzioni sul consenso e trova l'opzione di eliminazione dell'account o cancellazione dei dati. Rimuovi i profili di cui non hai più bisogno ed esercita i tuoi diritti man mano che le Rules entrano in vigore. I dettagli attuativi possono evolvere, quindi consulta l'informativa sulla privacy della piattaforma e le linee guida ufficiali per i requisiti più recenti.
