DPDP Act: il Digital Personal Data Protection Act indiano spiegato
Il Digital Personal Data Protection Act, 2023 e le DPDP Rules, 2025 spiegati in modo semplice: scadenze chiave, obblighi, sanzioni e come UniConsent ti aiuta a raccogliere e dimostrare un consenso valido.
Che cos'è il DPDP Act?
Il Digital Personal Data Protection Act, 2023 (DPDP Act) è la prima legge organica dell'India sulla protezione dei dati personali. Stabilisce come le organizzazioni raccolgono, utilizzano, conservano e condividono i dati personali digitali delle persone in India e attribuisce a queste persone diritti sui propri dati. Il Parlamento ha approvato la legge l'11 agosto 2023 e le Digital Personal Data Protection Rules, 2025 (DPDP Rules), pubblicate a novembre 2025, la rendono applicabile in più fasi: la maggior parte degli obblighi si applica dal 13 maggio 2027.
In sintesi, il DPDP Act impone alle aziende di fornire un'informativa chiara, ottenere un consenso libero e specifico (o basarsi su un numero limitato di "usi legittimi"), proteggere i dati con ragionevoli misure di sicurezza, segnalare le violazioni, rispettare i diritti degli interessati e cancellare i dati quando non sono più necessari. Il Data Protection Board of India può irrogare sanzioni fino a ₹250 crore per ciascuna violazione.
Tempistiche del DPDP Act: quando entra in vigore?
La legge ha ricevuto l'assenso presidenziale ed è stata pubblicata l'11 agosto 2023, ma non si è applicata in pratica finché il governo non ha emanato le DPDP Rules. Le Rules sono state pubblicate nella Gazzetta Ufficiale dell'India (Gazette of India) il 13 novembre 2025 (annunciate dal governo il 14 novembre 2025), con un'attuazione graduale in 18 mesi stabilita dalla Rule 1:
| Data | Cosa si applica |
|---|---|
| 11 agosto 2023 | DPDP Act approvato dopo l'assenso presidenziale |
| 13 novembre 2025 | Pubblicazione delle DPDP Rules; in vigore le disposizioni sul Data Protection Board of India (Rules 1, 2 e da 17 a 21) |
| 13 novembre 2026 | In vigore la registrazione e gli obblighi dei Consent Manager (Rule 4), 12 mesi dopo la pubblicazione |
| 13 maggio 2027 | In vigore gli obblighi principali 18 mesi dopo la pubblicazione: informativa, misure di sicurezza, notifica delle violazioni, conservazione e cancellazione dei dati, dati dei minori, obblighi dei Significant Data Fiduciary, diritti degli interessati e trasferimenti transfrontalieri (Rules 3, da 5 a 16, 22 e 23) |
A ottobre 2026 il governo ha inoltre emanato il DPDP (Removal of Difficulties) Order, 2026, che chiarisce la formulazione delle Sezioni 9(1) e 10(2) della legge senza introdurre nuovi obblighi. Prima di basarsi su una data, verificate sempre le ultime notifiche sul sito del MeitY.
A chi si applica il DPDP Act?
La legge si applica al trattamento di dati personali digitali in India, sia che i dati siano stati raccolti online, sia che siano stati raccolti offline e successivamente digitalizzati. Si applica anche al trattamento al di fuori dell'India se collegato all'offerta di beni o servizi a persone in India. Sono esclusi dalla legge i dati personali trattati da una persona fisica per finalità esclusivamente personali o domestiche e i dati che l'interessato ha reso pubblicamente disponibili.
Ruoli chiave nel DPDP Act
| Ruolo | Chi è | Equivalente nel GDPR |
|---|---|---|
| Interessato (Data Principal) | La persona a cui si riferiscono i dati personali; per un minore, include il genitore o il tutore legale | Interessato |
| Fiduciario dei dati (Data Fiduciary) | L'organizzazione che determina le finalità e i mezzi del trattamento | Titolare del trattamento |
| Fiduciario dei dati significativo (Significant Data Fiduciary, SDF) | Un Data Fiduciary designato dal governo in base a volume, sensibilità dei dati e rischio; ha obblighi aggiuntivi | Nessun equivalente diretto |
| Responsabile del trattamento (Data Processor) | Un soggetto che tratta i dati per conto di un Data Fiduciary | Responsabile del trattamento |
| Gestore del consenso (Consent Manager) | Una società registrata presso il Data Protection Board che offre una piattaforma unica e interoperabile con cui le persone possono prestare, gestire, rivedere e revocare il consenso | Nessun equivalente diretto |
| Data Protection Board of India | L'autorità di controllo, interamente digitale, che indaga sulle violazioni e irroga sanzioni; i ricorsi sono di competenza del TDSAT | Autorità di controllo |
Obblighi principali dei Data Fiduciary
1. Informativa
Prima o al momento della richiesta del consenso, il Data Fiduciary deve fornire un'informativa autonoma che, con un linguaggio chiaro e semplice, contenga una descrizione dettagliata dei dati personali, la finalità specifica del trattamento e un link o altro mezzo per revocare il consenso, esercitare i diritti e presentare reclamo al Board (Rule 3).
2. Consenso
Il consenso deve essere libero, specifico, informato, incondizionato e inequivocabile, espresso tramite un'azione affermativa chiara e limitato ai dati necessari per la finalità dichiarata. Revocare il consenso deve essere facile quanto prestarlo. Caselle preselezionate e consensi cumulativi non soddisfano questo requisito. Un numero ristretto di "usi legittimi" (ad esempio dati forniti volontariamente per una finalità specifica, rapporto di lavoro, obblighi di legge ed emergenze mediche) può applicarsi senza consenso.
3. Limitazione della finalità e minimizzazione dei dati
Raccogliete solo ciò che serve per la finalità dichiarata e interrompete il trattamento quando il consenso viene revocato o la finalità è stata raggiunta.
4. Ragionevoli misure di sicurezza
La Rule 6 fissa una soglia minima: cifratura, offuscamento, mascheramento o tokenizzazione; controlli di accesso; registrazione e monitoraggio per rilevare accessi non autorizzati; backup per la continuità operativa; contratti che vincolano i Data Processor a misure di sicurezza; conservazione dei log pertinenti per un anno.
5. Notifica delle violazioni dei dati personali
Quando viene a conoscenza di una violazione, il Data Fiduciary deve informare senza ritardo ciascun interessato coinvolto con un linguaggio semplice e notificare senza ritardo il Data Protection Board, inviando poi un rapporto dettagliato entro 72 ore (Rule 7). A differenza del GDPR, non esiste una soglia di rischio: ogni violazione dei dati personali va notificata.
6. Dati dei minori e consenso verificabile dei genitori
È minore chiunque abbia meno di 18 anni. I Data Fiduciary devono ottenere il consenso verificabile di un genitore prima di trattare i dati personali di un minore (Rule 10) e non possono effettuare tracciamento, monitoraggio comportamentale o pubblicità mirata rivolti ai minori. Le persone con disabilità che hanno un tutore legale godono di una tutela analoga.
7. Conservazione e cancellazione dei dati
I dati personali devono essere cancellati quando la finalità non è più perseguita, salvo che la legge ne imponga la conservazione. Per le grandi piattaforme di e-commerce, gioco online e social media, la Rule 8 considera raggiunta la finalità dopo tre anni di inattività dell'utente, con un avviso all'utente almeno 48 ore prima della cancellazione. Tutti i Data Fiduciary devono conservare i log del trattamento per almeno un anno.
8. Punto di contatto e gestione dei reclami
Pubblicate i recapiti professionali di un Data Protection Officer o di un'altra persona in grado di rispondere alle domande sulla privacy e predisponete un sistema di gestione dei reclami che risponda entro 90 giorni.
9. Obblighi aggiuntivi per i Significant Data Fiduciary
Gli SDF devono nominare un Data Protection Officer con sede in India, nominare un revisore indipendente dei dati ed effettuare una valutazione d'impatto sulla protezione dei dati (DPIA) e un audit ogni 12 mesi, comunicando al Board le osservazioni significative. Consultate le nostre guide sul ruolo del DPO e sulla DPIA.
Diritti degli interessati (Data Principal)
| Diritto | Cosa significa |
|---|---|
| Diritto di informazione | Sapere quali dati personali vengono trattati, per quale finalità e con chi vengono condivisi |
| Diritto di rettifica, integrazione e aggiornamento | Correggere dati inesatti o incompleti |
| Diritto alla cancellazione | Chiedere la cancellazione dei dati quando non sono più necessari |
| Diritto alla gestione dei reclami | Presentare reclamo prima al Data Fiduciary, poi al Data Protection Board |
| Diritto di designazione | Nominare una persona che eserciti questi diritti per proprio conto in caso di morte o incapacità |
| Diritto di revocare il consenso | Revocarlo in qualsiasi momento, con la stessa facilità con cui è stato prestato |
Gli interessati hanno anche dei doveri, ad esempio non presentare reclami falsi o pretestuosi; la loro violazione può comportare una sanzione fino a ₹10.000.
Trasferimenti transfrontalieri dei dati
Il DPDP Act adotta un approccio a lista negativa: i dati personali possono essere trasferiti fuori dall'India, salvo che il governo limiti i trasferimenti verso un paese specifico. La Rule 15 aggiunge che i trasferimenti devono rispettare gli eventuali requisiti fissati dal governo per rendere i dati disponibili a Stati esteri o a soggetti da essi controllati, e i Significant Data Fiduciary possono essere tenuti a conservare in India determinate categorie di dati. Continuano ad applicarsi le norme settoriali più rigorose, come quelle delle autorità di regolamentazione finanziaria.
Sanzioni del DPDP Act
L'Allegato (Schedule) della legge fissa le sanzioni massime per ciascuna violazione, irrogate dal Data Protection Board dopo un'istruttoria. Si tratta di importi fissi, non di una percentuale del fatturato.
| Violazione | Sanzione massima |
|---|---|
| Mancata adozione di ragionevoli misure di sicurezza per prevenire una violazione dei dati personali | ₹250 crore |
| Mancata notifica di una violazione dei dati personali al Board o agli interessati coinvolti | ₹200 crore |
| Violazione degli obblighi relativi ai minori | ₹200 crore |
| Violazione degli obblighi aggiuntivi di un Significant Data Fiduciary | ₹150 crore |
| Violazione di un impegno volontario accettato dal Board | Fino alla sanzione prevista per la violazione originaria |
| Qualsiasi altra violazione della legge o delle Rules da parte di un Data Fiduciary | ₹50 crore |
| Violazione dei doveri da parte di un interessato | ₹10.000 |
DPDP Act e GDPR a confronto
Se siete già conformi al GDPR partite avvantaggiati, ma le due leggi differiscono in aspetti importanti.
| Tema | DPDP Act (India) | GDPR (UE) |
|---|---|---|
| Ambito | Solo dati personali digitali | Tutti i dati personali, digitali e in archivi cartacei |
| Basi giuridiche | Consenso o un elenco limitato di usi legittimi | Sei basi giuridiche, incluso il legittimo interesse |
| Dati sensibili | Nessuna categoria particolare distinta | Categorie particolari con regole più rigorose |
| Minori | Sotto i 18 anni; consenso verificabile dei genitori; niente tracciamento né pubblicità mirata | Consenso dei genitori per i servizi online al di sotto di un'età compresa tra 13 e 16 anni, fissata da ciascun paese |
| Notifica delle violazioni | Ogni violazione, al Board e a tutti gli interessati coinvolti; rapporto dettagliato entro 72 ore | In base al rischio; all'autorità entro 72 ore |
| Trasferimenti transfrontalieri | Consentiti salvo che un paese sia soggetto a restrizioni | Necessarie decisioni di adeguatezza o garanzie adeguate |
| Portabilità dei dati | Nessun diritto alla portabilità | Diritto alla portabilità dei dati |
| Consent Manager | Consent Manager registrati presso il Board | Nessun equivalente |
| Sanzioni | Massimali fissi fino a ₹250 crore per violazione | Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo |
| DPO | Obbligatorio per i Significant Data Fiduciary | Obbligatorio per enti pubblici e per monitoraggio su larga scala o dati sensibili |
I contratti con i fornitori restano importanti con entrambe le leggi; consultate la nostra guida al Data Processing Agreement.
Checklist di conformità DPDP per siti web e app
- Mappate i vostri dati: elencate i dati personali raccolti da sito web, app, cookie, SDK e tag di terze parti, e il motivo.
- Mostrate un'informativa DPDP: un'informativa autonoma con un elenco dettagliato di dati e finalità, in inglese o, se pertinente, in una delle 22 lingue dell'Ottavo Allegato della Costituzione indiana.
- Raccogliete un consenso valido: un banner di consenso con un pulsante "Accetta" chiaro e un modo altrettanto semplice per rifiutare, senza caselle preselezionate.
- Bloccate i tag non essenziali fino al consenso: pixel di analisi, pubblicità e social devono attivarsi solo dopo il consenso.
- Rendete semplice la revoca: un link sempre disponibile o un centro preferenze dove gli utenti possono modificare la propria scelta in qualsiasi momento.
- Conservate le prove del consenso: registrate quando, come e per cosa è stato prestato ogni consenso, così da poterlo dimostrare al Board.
- Gestite i dati dei minori: introducete la verifica dell'età e il consenso verificabile dei genitori e disattivate tracciamento e pubblicità mirata per i minori di 18 anni.
- Preparatevi alle violazioni: una procedura per avvisare gli utenti coinvolti e il Board, con un rapporto dettagliato entro 72 ore.
- Definite i periodi di conservazione: cancellate i dati quando la finalità è raggiunta e conservate i log del trattamento per un anno.
- Pubblicate un contatto e una procedura di reclamo: indicate un DPO o una persona di contatto e rispondete alle richieste entro 90 giorni.
- Verificate fornitori e trasferimenti: aggiornate i contratti con i responsabili del trattamento e controllate che nessun dato venga inviato verso un paese soggetto a restrizioni.
Come UniConsent aiuta a rispettare il DPDP Act
UniConsent è una piattaforma di gestione del consenso (CMP) che, con un solo tag, mette in pratica gli elementi di questa checklist relativi a siti web e app:
- Banner di consenso DPDP: mostrate un'informativa chiara con finalità dettagliate e scelte "Accetta" e "Rifiuta" equivalenti, con geo-targeting per i visitatori in India. Vedi Cookie Banner.
- Informative multilingue: presentate l'informativa in inglese, hindi e in oltre 50 lingue complessive, così che ogni interessato possa comprenderla.
- Blocco di tag e cookie: bloccate automaticamente gli script di analisi e pubblicità finché l'utente non presta il consenso, con supporto per Google Consent Mode v2.
- Scansione dei cookie: individuate ogni cookie e tracker presente sul vostro sito, così che l'informativa sia completa. Vedi Cookie Scanner.
- Centro preferenze: consentite agli utenti di rivedere e revocare il consenso con la stessa facilità con cui lo hanno prestato e gestite le richieste sui dati con gli strumenti Privacy Portal e DSAR.
- Registri del consenso: conservate un Consent Audit Trail con marca temporale di ogni scelta, per dimostrare al Data Protection Board che il consenso è valido.
- App mobili: applicate le stesse regole di consenso nelle app iOS e Android con gli SDK mobili di UniConsent.
Tenete presente che una CMP sul vostro sito web è diversa da un Consent Manager ai sensi del DPDP Act, ossia una società costituita in India e registrata presso il Data Protection Board. UniConsent vi aiuta a rispettare i vostri obblighi di Data Fiduciary sui vostri siti web e app.
Operate in più mercati? Confrontate la legge indiana con altri ordinamenti nella nostra guida alle leggi globali sulla privacy.
Fonti ufficiali
UniConsent Consent Manager per la conformità al DPDP Act
- Scansione e informativa sui cookie
- Blocco dei tag JavaScript e dei cookie
- Supporto per Google Consent Mode v2
- CMP certificata IAB
- Implementazione con un solo tag
- Supporto multilingua
- Soluzione self-service semplice
- Scopri tutte le leggi globali sulla privacy
Rispetta le normative globali sulla privacy
Inizia a rendere il tuo sito web e la tua applicazione conformi a GDPR (UE), CPRA (USA), PIPEDA (Canada) ecc.
RegistratiSempre aggiornati su privacy e consenso
Leggi sulla privacy, consenso e conformità, poche email al mese.