Il DPDP Act la nuova legge indiana sulla protezione dei dati personali, entrerà in vigore il 13 . Questa normativa, che ha suscitato grande interesse a livello internazionale, impone requisiti più stringenti rispetto al General Data Protection Regulation (GDPR) europeo. Le aziende che operano in India o che raccolgono dati da cittadini indiani hanno solo nove mesi per adeguarsi, e la semplice spunta di un checkbox di consenso non sarà più sufficiente.
La legge, descritta come centrata sul cittadino dal Press Information Bureau introduce nuove sfide e opportunità per le organizzazioni. In questo articolo, esploreremo i principali aspetti del DPDP Act e le implicazioni per le aziende.
Le basi legali per l’elaborazione dei dati
Il DPDP Act prevede solo due basi legali per l’elaborazione dei dati: il consenso e alcuni usi legittimi. A differenza del GDPR, che ne prevede sei, tra cui l’esecuzione di un contratto e gli interessi legittimi, la legge indiana è più restrittiva. Gli usi legittimi sono specificati in una lista chiusa che include:
- la fornitura volontaria di dati
- la consegna di sussidi e benefici da parte dello Stato
- gli ordini del tribunale
- le emergenze mediche
- le epidemie
- i disastri
Questa limitazione impone alle aziende di fare maggiore affidamento sul consenso esplicito degli utenti, rendendo la gestione dei dati più complessa.
L’onere della prova e la gestione del consenso
La legge indiana pone un onere della prova significativo sulle aziende. In caso di contestazioni, le organizzazioni devono dimostrare di aver fornito un avviso comprensibile e di aver ottenuto il consenso. Questo richiede un sistema di gestione dei contenuti versionato con un audit trail immutabile, non solo un semplice campo boolean in un database.
Un altro aspetto critico riguarda la lingua degli avvisi e delle richieste di consenso. Sebbene la legge preveda la possibilità di accedere a questi documenti in inglese o in una delle ventidue lingue elencate nell’Ottavo Programma della Costituzione indiana, non è chiaro se sia obbligatorio pubblicare gli avvisi in tutte le lingue. Questo crea incertezza per le aziende che servono comunità linguistiche minoritarie.
La conservazione dei dati e le sanzioni
Contrariamente a quanto si potrebbe pensare, il DPDP Act richiede la conservazione dei dati per almeno un anno a differenza di altre normative che promuovono la minimizzazione dei dati. Questa disposizione è finalizzata a facilitare l’accesso ai dati da parte dello Stato per motivi di sovranità e sicurezza.
Le violazioni delle misure di sicurezza possono comportare sanzioni fino a ₹250 crore pari a circa $28 milioni. Inoltre, la legge prevede un meccanismo per la conservazione dei dati in caso di inattività per tre anni, con un preavviso di 48 ore prima della cancellazione. Tuttavia, queste disposizioni si applicano solo a determinate categorie di aziende, come gli enti di e-commerce e i social media con almeno due crore di utenti registrati.
La legge indiana sulla protezione dei dati rappresenta una sfida significativa per le aziende, ma anche un’opportunità per rafforzare la fiducia degli utenti e migliorare la gestione dei dati. Le organizzazioni devono agire rapidamente per adeguarsi alle nuove disposizioni e evitare sanzioni pesanti.
