Conformità al Digital Personal Data Protection Act (DPDPA) indiano
Pandectes GDPR Compliance aiuta i negozi Shopify a rispettare i requisiti del DPDPA raccogliendo il consenso prima dei cookie non essenziali, scansionando e classificando i cookie e conservando i registri del consenso.
Inizia gratis
L'app di consenso ai cookie n. 1 per Shopify, scelta da 185k negozi
Cos’è il DPDPA?
Il Digital Personal Data Protection Act, 2023 (DPDPA) è la prima legge organica dell’India sulla protezione dei dati. Disciplina il modo in cui le aziende, che la legge chiama “Data Fiduciaries” (fiduciari dei dati), trattano i dati personali digitali delle persone, chiamate “Data Principals” (titolari dei dati). Le Digital Personal Data Protection Rules, 2025 (DPDP Rules) ne stabiliscono i dettagli pratici, ad esempio cosa deve contenere un’informativa sul consenso e come rispondere alle richieste.
I requisiti principali del DPDPA sono:
- Il consenso deve essere libero, specifico, informato, incondizionato e inequivocabile, espresso con un’azione positiva chiara e limitato ai dati necessari per la finalità dichiarata.
- Ogni richiesta di consenso deve essere accompagnata da un’informativa chiara che spieghi quali dati vengono raccolti e perché. Le persone possono chiedere l’informativa in inglese o in una qualsiasi delle lingue elencate nell’Ottavo allegato della Costituzione.
- Le persone possono revocare il consenso in qualsiasi momento, e revocarlo deve essere facile quanto darlo.
- Il trattamento dei dati di un minore (chiunque abbia meno di 18 anni) richiede il consenso verificabile di un genitore o tutore, e sono vietati il tracciamento, il monitoraggio comportamentale e la pubblicità mirata rivolti ai minori.
- Le persone hanno il diritto di accedere ai propri dati, rettificarli, aggiornarli e cancellarli, e le richieste devono ricevere risposta entro 90 giorni.
- I Data Fiduciaries devono proteggere i dati con ragionevoli misure di sicurezza e segnalare le violazioni dei dati personali.
A chi si applica il DPDPA?
Il DPDPA si applica ai dati personali digitali trattati in India. Si applica anche al trattamento effettuato al di fuori dell’India quando è legato all’offerta di beni o servizi a persone in India: per questo rientra nel suo ambito anche un negozio online con sede altrove che vende a clienti in India.
Cosa succede se non rispetto il DPDPA?
Il DPDPA è fatto rispettare dal Data Protection Board of India, che può indagare sulle violazioni della legge e infliggere sanzioni pecuniarie. Le sanzioni massime sono fissate in un allegato alla legge:
- Fino a 250 crore di ₹ per non aver adottato ragionevoli misure di sicurezza per prevenire una violazione dei dati personali.
- Fino a 200 crore di ₹ per non aver notificato al Board e alle persone interessate una violazione dei dati personali.
- Fino a 200 crore di ₹ per la violazione degli obblighi aggiuntivi relativi ai dati dei minori.
- Fino a 50 crore di ₹ per altre violazioni della legge o delle Rules da parte di un Data Fiduciary.
Il Board stabilisce ciascuna sanzione in base a fattori come la natura, la gravità e la durata della violazione. I ricorsi contro le sue decisioni vanno presentati al Telecom Disputes Settlement and Appellate Tribunal (TDSAT).
Quando entra in vigore il DPDPA?
Il DPDPA ha ricevuto l’assenso presidenziale l’11 agosto 2023 e le DPDP Rules sono state notificate nel novembre 2025. Le disposizioni che istituiscono il Data Protection Board sono entrate in vigore immediatamente, le norme sui Consent Manager registrati si applicano dal novembre 2026 e i principali obblighi per le aziende, tra cui informativa, consenso, dati dei minori e diritti degli interessati, si applicano dal maggio 2027.
Come rispettare il DPDPA
I negozi Shopify che vendono a clienti in India dovrebbero sfruttare il tempo che resta prima del maggio 2027 per prepararsi. Quando cookie e strumenti di tracciamento trattano dati personali, il consenso del visitatore deve essere un’azione positiva chiara: caselle preselezionate o la prosecuzione della navigazione considerata come consenso non soddisfano lo standard. L’informativa sul consenso deve essere autonoma, elencare in linguaggio semplice i dati raccolti e ogni finalità specifica, e i visitatori devono poter revocare il consenso con la stessa facilità con cui lo hanno dato. Se il Suo negozio può essere usato da minori, presti particolare attenzione al tracciamento e alla pubblicità mirata.
Il DPDPA non richiede un meccanismo specifico per trasferire i dati all’estero, ma il governo può limitare i trasferimenti verso i Paesi che indica, quindi tenga d’occhio un eventuale elenco di questo tipo. Dovrebbe inoltre pubblicare i recapiti per le domande sulla privacy e predisporre una procedura per rispondere in tempo alle richieste di accesso, rettifica e cancellazione.
Una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance La aiuta con la parte di questo lavoro che riguarda il Suo negozio. Mostra un banner dei cookie e blocca i cookie non essenziali finché il visitatore non acconsente, scansiona e classifica automaticamente i cookie del Suo negozio e genera una dichiarazione dei cookie per la Sua informativa. Conserva i registri del consenso come prova del consenso, La aiuta a gestire le richieste degli interessati e Le permette di configurare le impostazioni del banner per regione tramite la geolocalizzazione, così che i visitatori dall’India vedano un banner adatto al DPDPA.
Poiché il DPDPA è recente e le indicazioni del Board sono ancora in via di definizione, verifichi la Sua configurazione con un consulente legale quando opportuno.