PDP Bill 2019 vs DPDP Act 2023 in India: cosa è cambiato

Il Personal Data Protection Bill, 2019 non è più all'esame e non è mai diventato legge. Il governo lo ha ritirato nell'agosto 2022. Oggi la legge indiana sulla protezione dei dati è il Digital Personal Data Protection Act, 2023 (DPDP Act), reso applicabile per fasi dalle DPDP Rules, 2025. Per obblighi, scadenze e sanzioni attuali, leggi la nostra guida al DPDP Act.

Questa pagina riassume la storia del PDP Bill e propone un confronto diretto PDP Bill 2019 vs DPDP Act 2023, così puoi vedere cosa è cambiato e perché i vecchi consigli sul PDP Bill non valgono più.

Che cos'era il Personal Data Protection Bill 2019?

Il Personal Data Protection Bill, 2019 (PDP Bill) è stato il primo tentativo dell'India di adottare una legge organica sulla protezione dei dati sul modello del GDPR. Nasceva dalla sentenza Puttaswamy della Corte Suprema del 2017, che ha riconosciuto la privacy come diritto fondamentale, e dal progetto di legge preparato da un comitato presieduto dal giudice in pensione B.N. Srikrishna.

Il PDP Bill era lungo e ambizioso. Divideva i dati personali in tre livelli, proponeva la localizzazione dei dati personali sensibili e critici, istituiva una potente Data Protection Authority of India e fissava sanzioni legate al fatturato mondiale dell'azienda. Introduceva inoltre la figura dei consent manager, mantenuta nel DPDP Act.

Cronologia del PDP Bill: dalla bozza al ritiro

Data	Evento
27 luglio 2018	Il comitato Srikrishna consegna la sua relazione e la bozza del Personal Data Protection Bill, 2018 al Ministero dell'IT
11 dicembre 2019	Il Personal Data Protection Bill, 2019 viene presentato alla Lok Sabha e poi deferito a una Commissione parlamentare congiunta (JPC)
16 dicembre 2021	La relazione della JPC viene presentata al Parlamento; rinomina il testo Data Protection Bill, 2021 e propone di includere i dati non personali
3 agosto 2022	Il governo ritira il testo dalla Lok Sabha, annunciando un nuovo disegno di legge inserito in un quadro giuridico organico
18 novembre 2022	Il MeitY pubblica la bozza del Digital Personal Data Protection Bill, 2022 per la consultazione pubblica
11 agosto 2023	Il Digital Personal Data Protection Act, 2023 riceve l'assenso presidenziale ed è pubblicato nella Gazzetta
13 novembre 2025	Vengono pubblicate le DPDP Rules, 2025, che applicano la legge per fasi fino al 13 maggio 2027

Perché il PDP Bill è stato ritirato?

La JPC ha discusso per due anni e proposto ampie modifiche. La sua versione andava oltre i dati personali: includeva i dati non personali, proponeva un'unica autorità per entrambi e si spingeva oltre sulla localizzazione dei dati. I commentatori hanno criticato quanto l'ambito ampliato andasse oltre la protezione dei dati. Invece di modificare di nuovo il testo, il governo lo ha ritirato nell'agosto 2022 ed è ripartito da una bozza molto più breve, divenuta il DPDP Act.

PDP Bill 2019 vs DPDP Act 2023: confronto

Tema	PDP Bill 2019 (ritirato)	DPDP Act 2023 (applicabile per fasi)
Stato	Mai approvato; ritirato il 3 agosto 2022	Promulgato l'11 agosto 2023; DPDP Rules pubblicate il 13 novembre 2025
Ambito	Dati personali, online e offline	Solo dati personali digitali, compresi i dati raccolti offline e poi digitalizzati
Categorie di dati	Tre livelli: dati personali, dati personali sensibili (ad esempio dati finanziari, sanitari e biometrici, casta e convinzioni religiose o politiche) e dati personali critici notificati dal governo	Un'unica categoria di dati personali; nessun livello sensibile o critico, ma obblighi aggiuntivi per i dati dei minori e per i Significant Data Fiduciaries
Localizzazione dei dati	I dati personali sensibili dovevano essere conservati in India (trasferimento all'estero per il trattamento solo con consenso esplicito e ad altre condizioni); i dati personali critici potevano essere trattati solo in India	Nessun obbligo generale di localizzazione; restano valide norme di settore più severe, come quelle della RBI sui dati di pagamento
Trasferimenti transfrontalieri	Limitati per i dati personali sensibili e critici	Consentiti verso qualsiasi paese, salvo restrizioni del governo tramite notifica
Dati non personali	Il governo poteva ordinare alle aziende di fornire dati personali anonimizzati o dati non personali; la JPC voleva includerli pienamente	Esclusi
Autorità	Data Protection Authority of India, con un presidente e sei membri; ricorsi a un tribunale d'appello e poi alla Corte Suprema	Data Protection Board of India, organo giudicante istituito dal governo centrale; ricorsi al TDSAT
Sanzioni	Fino a ₹15 crore o al 4% del fatturato mondiale, se superiore, per le violazioni gravi; ₹5 crore o 2% per le altre, come la mancata esecuzione di un audit dei dati	Massimali fissi per violazione, fino a ₹250 crore per la mancata adozione di ragionevoli misure di sicurezza
Consent manager	Introdotti: consent manager registrati presso la Data Protection Authority	Mantenuti: si registrano presso il Data Protection Board; la registrazione apre il 13 novembre 2026
Notifica delle violazioni	Notifica all'autorità solo se la violazione poteva causare un danno	Notifica di ogni violazione al Board e a ciascuna persona interessata
Portabilità dei dati	Prevista	Non prevista

In breve, il DPDP Act mantiene il nucleo del PDP Bill (informativa, consenso, sicurezza, diritti sui dati e consent manager), ma elimina i livelli di dati, la localizzazione e le sanzioni basate sul fatturato. Non usare oggi una checklist del PDP Bill per la conformità: alcuni dei suoi obblighi non esistono più e il DPDP Act ne aggiunge di nuovi, come la notifica di ogni violazione dei dati personali.

Cosa significa ora per il tuo sito web

Se il tuo sito web o la tua app si rivolge a persone in India, la normativa da considerare è il DPDP Act con le DPDP Rules, non il PDP Bill. Le regole sui consent manager si applicano dal 13 novembre 2026 e la maggior parte degli obblighi, tra cui informativa, consenso, misure di sicurezza, notifica delle violazioni, dati dei minori e diritti sui dati, dal 13 maggio 2027.

In pratica significa:

Mostrare un'informativa chiara, autonoma e in linguaggio semplice prima di raccogliere dati personali
Raccogliere un consenso libero, specifico, informato e inequivocabile, rendendone la revoca facile quanto la concessione
Conservare registrazioni che dimostrino quando e come è stato dato il consenso
Ottenere un consenso dei genitori verificabile prima di trattare i dati di chiunque abbia meno di 18 anni
Rispondere alle richieste di accesso, rettifica e cancellazione

La nostra guida al DPDP Act spiega nel dettaglio ogni scadenza, obbligo e sanzione. UniConsent ti aiuta a mostrare avvisi di consenso pronti per il DPDP, raccogliere e registrare il consenso e supportare più lingue, insieme al GDPR e ad altre leggi globali sulla privacy.

Fonti

Domande frequenti

Il Personal Data Protection Bill 2019 è ancora in vigore?

No. Il PDP Bill 2019 non è mai diventato legge. Il governo lo ha ritirato dalla Lok Sabha il 3 agosto 2022. La legge indiana sulla protezione dei dati è ora il Digital Personal Data Protection Act, 2023, che le DPDP Rules, 2025 rendono applicabile per fasi.

Perché il PDP Bill è stato ritirato?

La relazione della Commissione parlamentare congiunta del dicembre 2021 proponeva ampie modifiche, tra cui rinominarlo Data Protection Bill, 2021 e includere i dati non personali. Il governo ha ritirato il testo nell'agosto 2022 per presentare un nuovo disegno di legge inserito in un quadro giuridico organico.

Qual è la principale differenza tra il PDP Bill e il DPDP Act?

Il DPDP Act è più breve e semplice. Elimina le categorie di dati personali sensibili e critici e le regole sulla localizzazione dei dati, riguarda solo i dati personali digitali, sostituisce la Data Protection Authority prevista con un Data Protection Board con funzioni giudicanti, consente i trasferimenti all'estero salvo verso paesi soggetti a restrizioni e fissa sanzioni fino a ₹250 crore invece di una quota del fatturato mondiale.

Devo rispettare il PDP Bill 2019?

No. I siti web e le app che si rivolgono a persone in India devono prepararsi invece al DPDP Act e alle DPDP Rules. Le regole sui consent manager si applicano dal 13 novembre 2026 e la maggior parte degli obblighi, tra cui informativa, misure di sicurezza, notifica delle violazioni e diritti sui dati, dal 13 maggio 2027.

Rispetta le normative globali sulla privacy

Regolamento generale sulla protezione dei dati (GDPR)

Ottieni una conformità senza intoppi al Regolamento generale sulla protezione dei dati (GDPR), il pilastro della privacy dei dati nell'Unione Europea. Proteggi i dati degli utenti e crea fiducia con le nostre soluzioni complete per la conformità al GDPR.

California Consumer Privacy Act (CCPA)

Orientati senza fatica nel complesso panorama del California Consumer Privacy Act (CCPA). I nostri strumenti per la conformità al CCPA ti garantiscono il rispetto dei rigorosi standard di protezione dei dati richiesti per i residenti in California.

Leggi statali USA sulla privacy

Resta al passo con l'evoluzione delle normative sulla privacy negli Stati Uniti. La nostra piattaforma supporta numerose leggi statali, tra cui CCPA, CPRA, CPA, VCDPA, UCPA e COPPA, garantendoti la conformità in tutte le giurisdizioni.

California Privacy Rights Act (CPRA)

Abbraccia il futuro della privacy dei dati con il California Privacy Rights Act (CPRA). Come legge statale pionieristica, il CPRA consente alle aziende di migliorare le proprie pratiche di protezione dei dati e di dare priorità alla privacy dei consumatori.

Colorado Privacy Act (CPA)

Preparati al Colorado Privacy Act (CPA) con UniConsent CMP. Le nostre soluzioni ti aiutano a soddisfare i rigorosi requisiti di questa legge statale sulla privacy all'avanguardia, garantendo il massimo livello di sicurezza dei dati e di conformità.

Virginia Consumer Data Protection Act (VCDPA)

Rispetta con sicurezza il Virginia Consumer Data Protection Act (VCDPA). UniConsent CMP fornisce gli strumenti e le competenze per allineare la tua organizzazione al solido quadro sulla privacy dei dati del VCDPA, rafforzando la fiducia dei residenti in Virginia.

Utah Consumer Privacy Act (UCPA)

Proteggi efficacemente i dati degli utenti con lo Utah Consumer Privacy Act (UCPA). UniConsent CMP offre soluzioni che facilitano la conformità a questa nuova legge sulla privacy, preparando la tua azienda alle sfide della privacy dei dati nello Utah.

Connecticut Data Protection Act (CTDPA)

Proteggi le informazioni degli utenti e tutela i loro diritti alla privacy ai sensi del Connecticut Data Protection Act (CTDPA). La suite di strumenti di conformità di UniConsent CMP ti consente di orientarti in questa legge statale in modo semplice e responsabile.

Children’s Online Privacy Protection Act (COPPA)

Dai priorità alla privacy dei minori con le soluzioni di conformità COPPA di UniConsent CMP. Rispettare il Children’s Online Privacy Protection Act (COPPA) diventa semplice, consentendoti di offrire un ambiente online sicuro ai giovani utenti.

Protezione generale dei dati in Thailandia (PDPA)

Rispetta il Personal Data Protection Act 2019 (PDPA) della Thailandia con UniConsent CMP. La nostra esperienza nella conformità al PDPA consente alla tua organizzazione di operare con fiducia e sicurezza sul mercato thailandese, nel rispetto della privacy dei dati degli utenti.

Legge generale sulla protezione dei dati del Brasile (LGPD)

UniConsent CMP facilita la conformità alla legge generale sulla protezione dei dati del Brasile (LGPD). Le nostre soluzioni consentono alle aziende di soddisfare i rigorosi requisiti della LGPD, tutelando i dati personali delle persone in Brasile.

Canada's Federal Privacy Law (PIPEDA)

Comply with Canada's Personal Information Protection and Electronic Documents Act (PIPEDA). UniConsent CMP provides geo-targeted consent banners, prior cookie blocking, and consent logs to meet PIPEDA and Quebec Law 25 requirements.

Legge cinese sulla protezione delle informazioni personali (PIPL)

Preparati alla legge cinese sulla protezione delle informazioni personali (PIPL) con UniConsent CMP. Mentre le normative sulla protezione dei dati in Cina evolvono, la nostra piattaforma garantisce che la tua organizzazione sia pronta a gestire le informazioni personali in modo responsabile e sicuro.

Protection of Personal Information Act del Sudafrica (POPIA)

Sintesi del Protection of Personal Information Act (POPI Act, POPIA), la legge sudafricana sulla privacy.

Protezione dei dati personali in India (PDP)

La proposta di legge sulla protezione dei dati personali in India potrebbe richiedere modifiche alla gestione dei tuoi dati e non è risolta direttamente dalla conformità al GDPR.

Legge turca sulla protezione dei dati personali (KVKK)

Sintesi della legge turca sulla protezione dei dati personali: KVKK.

GDPR del Regno Unito (UK GDPR)

Ottieni una conformità senza intoppi al Regolamento generale sulla protezione dei dati (GDPR), il pilastro della privacy dei dati nel Regno Unito. Proteggi i dati degli utenti e crea fiducia con le nostre soluzioni complete per la conformità al GDPR.

Texas Data Privacy and Security Act (TDPSA)

Rispetta il Texas Data Privacy and Security Act (TDPSA), in vigore dal 1° luglio 2024. UniConsent CMP supporta i diritti di opt-out, i segnali di opt-out universali e le valutazioni d'impatto sulla protezione dei dati per i residenti del Texas.

Delaware Personal Data Privacy Act (DPDPA)

Soddisfa i requisiti del Delaware Personal Data Privacy Act (DPDPA). UniConsent CMP fornisce strumenti di consenso opt-out e opt-in, gestione dei diritti dei consumatori e flussi per i dati sensibili per la conformità in Delaware.

New Hampshire Privacy Act (NHPA)

Rispetta il New Hampshire Privacy Act (NHPA). UniConsent CMP fornisce banner del consenso, supporto per Global Privacy Control e gestione delle richieste di esercizio dei diritti dei consumatori per i residenti del New Hampshire.

Montana Consumer Data Privacy Act (MTCDPA)

Soddisfa i requisiti del Montana Consumer Data Privacy Act (MTCDPA). UniConsent CMP aiuta le aziende a gestire i diritti di opt-out, il consenso per i dati sensibili e le richieste dei consumatori per i residenti del Montana.

Florida Digital Bill of Rights (FDBR)

Soddisfa i requisiti del Florida Digital Bill of Rights (FDBR). UniConsent CMP fornisce strumenti di consenso opt-out, tutele per i dati dei minori e gestione dei diritti dei consumatori per la conformità in Florida.

New Jersey Data Protection Act (NJDPA)

Rispetta il New Jersey Data Protection Act (NJDPA). UniConsent CMP fornisce banner del consenso opt-out, riconoscimento del segnale Global Privacy Control e gestione delle richieste di esercizio dei diritti dei consumatori per i residenti del New Jersey.

Indiana Consumer Data Protection Act (INCDPA)

Soddisfa i requisiti dell'Indiana Consumer Data Protection Act (INCDPA). UniConsent CMP fornisce strumenti di consenso opt-out, flussi per i dati sensibili e gestione dei diritti dei consumatori per i residenti dell'Indiana.

Iowa Consumer Data Protection Act (ICDPA)

Rispetta l'Iowa Consumer Data Protection Act (ICDPA). UniConsent CMP fornisce banner del consenso opt-out e gestione delle richieste di esercizio dei diritti dei consumatori per i residenti dell'Iowa.

Maryland Online Data Privacy Act (MODPA)

Soddisfa i rigorosi requisiti del Maryland Online Data Privacy Act (MODPA). UniConsent CMP supporta la minimizzazione dei dati, il consenso opt-in per i dati sensibili e la gestione dei diritti dei consumatori per i residenti del Maryland.

Minnesota Consumer Data Privacy Act (MNCDPA)

Rispetta il Minnesota Consumer Data Privacy Act (MNCDPA). UniConsent CMP fornisce strumenti di consenso opt-out, flussi per i dati sensibili e gestione dei diritti dei consumatori per i residenti del Minnesota.

Nebraska Data Privacy Act (NDPA)

Soddisfa i requisiti del Nebraska Data Privacy Act (NDPA). UniConsent CMP fornisce strumenti di consenso opt-out e opt-in, supporto per Global Privacy Control e gestione dei diritti dei consumatori per i residenti del Nebraska.

Oregon Consumer Privacy Act (OCPA)

Rispetta l'Oregon Consumer Privacy Act (OCPA). UniConsent CMP fornisce banner del consenso opt-out, flussi opt-in per i dati sensibili e gestione dei diritti dei consumatori per i residenti dell'Oregon.

Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)

Soddisfa i requisiti del Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA). UniConsent CMP fornisce banner del consenso, supporto per Global Privacy Control e gestione dei diritti dei consumatori per i residenti del Rhode Island.

Tennessee Information Protection Act (TIPA)

Rispetta il Tennessee Information Protection Act (TIPA). UniConsent CMP fornisce strumenti di consenso opt-out, flussi per i dati sensibili e una gestione della privacy allineata al NIST Privacy Framework per i residenti del Tennessee.

Oklahoma Computer Data Privacy Act (OKCDPA)

Soddisfa i requisiti dell'Oklahoma Computer Data Privacy Act (OKCDPA). UniConsent CMP fornisce banner del consenso opt-out, flussi di consenso per i dati sensibili e gestione dei diritti dei consumatori per i residenti dell'Oklahoma.

Legge sulla privacy del Nevada (NRS 603A)

Rispetta la legge sulla privacy del Nevada (NRS 603A). UniConsent CMP supporta il diritto di opt-out dalla vendita dei dati e la gestione del consenso per i residenti del Nevada.

California Invasion of Privacy Act (CIPA)

Gestisci la conformità CIPA del tuo sito web. UniConsent CMP fornisce strumenti di consenso opt-in che bloccano gli script di tracciamento di terze parti finché il consenso non viene concesso, supportando la conformità alla legge californiana sulle intercettazioni.

California Delete Act (SB 362)

Rispetta il California Delete Act (SB 362). UniConsent CMP aiuta le aziende a gestire le richieste di cancellazione dei consumatori, gli obblighi dei data broker e i segnali di preferenza di opt-out.

Kentucky Consumer Data Protection Act (KCDPA)

Soddisfa i requisiti del Kentucky Consumer Data Protection Act (KCDPA). UniConsent CMP fornisce strumenti di consenso opt-out, flussi per i dati sensibili e gestione dei diritti dei consumatori per i residenti del Kentucky.

Alabama Personal Data Protection Act (APDPA)

Preparati all'Alabama Personal Data Protection Act (APDPA), in vigore dal 1° maggio 2027. UniConsent CMP fornisce strumenti di consenso opt-out e opt-in, flussi per i dati sensibili e gestione dei diritti dei consumatori per i residenti dell'Alabama.

Washington My Health My Data Act (MHMDA)

Rispetta il My Health My Data Act (MHMDA) dello stato di Washington. UniConsent CMP offre consensi opt-in separati per raccogliere e condividere i dati sanitari dei consumatori, segnali IAB GPP per i dati sensibili e registri del consenso.

Legge americana sui diritti alla privacy (APRA)

Segui la proposta di American Privacy Rights Act (APRA), una legge federale che stabilirebbe un unico standard nazionale. UniConsent CMP copre i suoi requisiti di opt-out, consenso e segnali universali di opt-out.

Legge del Massachusetts sulla privacy delle informazioni (MIPA)

Preparati alla proposta di Massachusetts Information Privacy Act (MIPA). UniConsent CMP offre banner di consenso, supporto per Global Privacy Control e gestione dei diritti dei consumatori per i residenti del Massachusetts.

Legge vietnamita sulla protezione dei dati personali (PDPL)

Rispetta la legge vietnamita sulla protezione dei dati personali (PDPL), Legge n. 91/2025/QH15, in vigore dal 1° gennaio 2026. UniConsent CMP fornisce raccolta del consenso, gestione delle preferenze e archiviazione delle registrazioni del consenso per soddisfare i requisiti del Vietnam, incentrati sul consenso.