Dal 13, la Digital Personal Data Protection (DPDP) in India diventerà pienamente operativa, cambiando radicalmente il modo in cui le aziende gestiscono i dati personali. Con solo nove mesi di tempo per adeguarsi, è fondamentale comprendere le Nuove normative e le loro implicazioni.
La nuova legge è stata accolta come un passo significativo verso l’allineamento con gli standard globali di privacy, ma presenta alcune differenze sostanziali rispetto al GDPR europeo. In particolare, pone un maggiore onere sul consenso e riduce la responsabilità dello Stato rispetto alla precedente Right to Information Act.
Le basi legali della DPDP: differenze con il GDPR
La DPDP prevede due basi legali per il trattamento dei dati: il consenso e l’uso legittimo. A differenza del GDPR, che offre sei basi legali, la DPDP limita l’uso legittimo a casi specifici come la fornitura volontaria di dati, l’erogazione di sussidi statali, ordini giudiziari, emergenze mediche, epidemie e disastri.
Questa limitazione implica che il consenso diventa l’elemento centrale per il trattamento dei dati, rendendo necessario un approccio più rigoroso rispetto al passato. Le organizzazioni devono essere pronte a dimostrare di aver ottenuto il consenso in modo chiaro e comprensibile, con un onere della prova che ricade interamente su di loro.
L’importanza del consenso e della trasparenza
La nuova legge richiede che le notifiche siano comprensibili e indipendenti da altri documenti. Devono includere una descrizione dettagliata dei dati raccolti, gli scopi specifici del trattamento, i servizi abilitati e link funzionali per il ritiro del consenso e la presentazione di reclami.
Un aspetto critico riguarda la gestione multilingue. Sebbene la legge preveda la possibilità di accedere alle notifiche in inglese o in una delle 22 lingue ufficiali, non è ancora chiaro se sia necessario tradurre tutti i documenti. Questo crea incertezze per le aziende che operano in regioni con lingue minoritarie.
Le sfide per le organizzazioni e il settore pubblico
La DPDP introduce anche obblighi di conservazione dei dati per almeno un anno, con scadenze specifiche per determinate categorie di entità. Questo rappresenta un cambiamento significativo rispetto alla pratica di minimizzazione dei dati, poiché la legge sembra facilitare l’accesso governativo ai dati personali.
Il governo indiano si è esentato da alcuni obblighi di cancellazione dei dati, sollevando preoccupazioni riguardo alla trasparenza e alla responsabilità. Inoltre, la legge prevede sanzioni severe per le violazioni, con multe fino a ₹250 crore (circa $28 milioni).
Le organizzazioni devono quindi ripensare le loro strategie di gestione dei dati, investendo in soluzioni tecnologiche avanzate e consulenza legale specializzata. La sfida è particolarmente rilevante per il settore umanitario e di sviluppo, che dovrà adattarsi a un nuovo quadro normativo più restrittivo.
