Una nuova ondata di attività di conformità sta crescendo attorno al Digital Personal Data Protection Act, 2023 (DPDP Act) dell'India, mentre studi legali e società di consulenza corrono per aiutare le aziende a prepararsi. Secondo un rapporto di ETLegalWorld, Foresight Law Offices ha recentemente lanciato uno "Sportello DPDP" dedicato insieme a uno strumento interattivo di valutazione della preparazione, progettato per aiutare le organizzazioni a identificare le lacune di conformità prima che le regole della legge entrino pienamente in vigore. Sebbene quell'annuncio sia rivolto direttamente ai team legali aziendali, è anche un segnale utile per gli utenti Internet comuni: il DPDP Act sta passando dalla carta alla pratica, e il modo in cui le aziende indiane raccolgono, conservano e condividono i dati personali sta per cambiare in modi che riguardano direttamente i consumatori.

Se non hai mai letto il DPDP Act, non sei solo. La maggior parte delle persone incontra la legge sulla protezione dei dati solo indirettamente, attraverso pop-up di consenso, informative sulla privacy o email di notifica di violazione. Ma il DPDP Act è una delle leggi sulla privacy più significative emerse in India negli ultimi decenni, e comprenderne le basi può aiutarti a sapere cosa aspettarti dalle app e dai servizi che usi ogni giorno.

Cosa richiede realmente il DPDP Act

In sostanza, il DPDP Act stabilisce regole su come i "fiduciari dei dati" (essenzialmente qualsiasi organizzazione che raccoglie o tratta dati personali) debbano gestire tali informazioni. Le aziende dovranno ottenere un consenso chiaro e specifico prima di raccogliere dati personali, dovranno dichiarare perché li raccolgono e saranno tenute a eliminare i dati una volta che non saranno più necessari per lo scopo dichiarato. La legge crea inoltre canali attraverso cui gli individui possono accedere, correggere o revocare il consenso per i propri dati, e introduce un organismo di regolamentazione, il Data Protection Board, per gestire reclami e applicazione delle norme.

Questo è un cambiamento notevole per un paese in cui le pratiche di raccolta dei dati sono state storicamente regolamentate in modo lasco. Come ha mostrato la copertura su il DPDP Act dell'India che porta la privacy dei dati nei consigli di amministrazione, la conformità non è più qualcosa che le aziende possono delegare silenziosamente ai reparti IT. Sta diventando una questione di governance che i consigli di amministrazione e i dirigenti sono tenuti a gestire direttamente, con una responsabilità reale se qualcosa va storto.

Come si confronta con il GDPR

Gli osservatori della privacy hanno spesso confrontato il DPDP Act con il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea, e ci sono somiglianze significative: entrambi i quadri normativi richiedono il consenso per la raccolta dei dati, entrambi danno agli individui diritti sulle proprie informazioni ed entrambi prevedono sanzioni per la mancata conformità. Ma il DPDP Act è generalmente considerato di portata più ristretta. Si concentra specificamente sui dati personali digitali, mentre il GDPR copre una gamma più ampia di informazioni personali indipendentemente dal formato. Il DPDP Act dà inoltre al governo indiano maggiore discrezionalità in alcune aree, come le esenzioni per gli enti governativi e le regole sui trasferimenti transfrontalieri di dati, rispetto a quanto tipicamente consente il GDPR.

Per i consumatori, il messaggio pratico è che il DPDP Act è un passo reale verso protezioni della privacy più forti, ma potrebbe non offrire la stessa ampiezza di diritti che il GDPR ha fornito agli utenti in Europa. È un punto di partenza, non necessariamente un tetto.

Perché la tempistica è importante

Un dettaglio spesso assente dalla copertura incentrata sulla conformità è quanto sia stretto il margine di tempo per le aziende per prepararsi. Le startup, ad esempio, stanno affrontando scadenze improrogabili, con il DPDP Act dell'India che segnala una scadenza del maggio 2027 per le startup per rinnovare le loro pratiche di gestione dei dati. Più in generale, le regole DPDP sono destinate a entrare pienamente in vigore nel 2027, il che significa che i flussi di consenso, le politiche di eliminazione dei dati e i processi di notifica delle violazioni che molte aziende stanno attualmente costruendo dovranno essere pienamente operativi entro allora. Gli analisti legali hanno anche indicato le tempistiche di conformità e la responsabilità a livello di direttori come un punto di pressione crescente, come dettagliato nella copertura su tempistiche di conformità del DPDPA indiano e rischio per i direttori. In altre parole, gli strumenti e gli sportelli che aziende come Foresight stanno lanciando ora esistono perché l'orologio sta già girando.

Cosa significa questo per te

Se usi app, siti web o servizi con sede in India, o interagisci con aziende indiane come cliente, dovresti iniziare a notare cambiamenti nei prossimi due anni. Aspettati richieste di consenso più esplicite, spiegazioni più chiare sul perché i tuoi dati vengono raccolti e (alla fine) modi più semplici per richiedere l'eliminazione dei tuoi dati. Le aziende che gestiscono dati sensibili, dalle app finanziarie alle piattaforme di messaggistica, sono sotto pressione crescente per rafforzare le loro pratiche ben prima della scadenza del 2027. Vale la pena ricordare che le piattaforme con enormi basi di utenti indiani stanno già adattando le loro pratiche sui dati in previsione di un controllo più rigoroso, simile a come WhatsApp ha testato funzionalità di verifica dell'età per i suoi circa 600 milioni di utenti indiani.

Detto questo, l'applicazione sta ancora raggiungendo il testo della legge, e le regole complete non sono ancora in vigore ovunque. Non aspettarti una trasformazione overnight. Invece, osserva cambiamenti graduali nelle politiche sulla privacy, nelle schermate di consenso e nel modo in cui le aziende rispondono quando chiedi quali dati detengono su di te.

Punti pratici da ricordare

Inizia a prestare maggiore attenzione alle richieste di consenso e alle informative sulla privacy delle app e dei servizi indiani, poiché è probabile che diventino più dettagliate man mano che le regole del DPDP Act entreranno in vigore. Se interagisci con un'azienda che gestisce dati personali sensibili, come informazioni finanziarie o sanitarie, chiedi direttamente quali sono le loro politiche di conservazione ed eliminazione dei dati. E se gestisci o consigli un'azienda che opera in India, tratta le scadenze del 2027 del DPDP Act come ferme piuttosto che lontane, poiché il lavoro preparatorio per la conformità, dalla gestione del consenso alle strutture di responsabilità interna, richiede tempo reale per essere costruito. Che tu sia un consumatore o un imprenditore, il DPDP Act è un promemoria che la privacy dei dati in India sta passando da un ripensamento legale a un requisito operativo, e rimanere informati ora renderà la transizione molto meno disturbante in seguito.