DPDP Act 2023: Data Fiduciary vs Significant Data Fiduciary – Quali obblighi extra ti aspettano?

Immagina di dover leggere i Termini e Condizioni di un servizio online: è divertente quanto pulire le fughe delle piastrelle con uno spazzolino. Ecco, il DPDP Act 2023 promette di rendere questa esperienza meno noiosa, ma introduce anche nuovi obblighi per chi tratta dati personali. In particolare, la legge distingue tra semplici Data Fiduciary e Significant Data Fiduciary, con quest'ultimi soggetti a doveri extra. Se sei un'azienda che opera in India o tratta dati di cittadini indiani, è ora di capire cosa cambia.

Chi è il Data Fiduciary secondo il DPDP Act?

Featured Snippet Bait: Il Data Fiduciary è qualsiasi entità che determina le finalità e i mezzi del trattamento dei dati personali, simile al 'titolare del trattamento' del GDPR. Ma la legge indiana aggiunge una categoria speciale: il Significant Data Fiduciary, con obblighi più stringenti.

Il DPDP Act definisce il Data Fiduciary come la persona (fisica o giuridica) che decide come e perché trattare i dati personali. Praticamente, se raccogli dati dei clienti per inviare newsletter o gestire ordini, sei un Data Fiduciary. Fin qui, niente di nuovo.

Significant Data Fiduciary: quando scattano gli obblighi extra?

Il governo indiano può designare come 'Significant Data Fiduciary' quelle entità che, per volume, sensibilità dei dati trattati o rischio per i diritti degli interessati, meritano una supervisione maggiore. I criteri non sono ancora fissati, ma si prevede che riguarderanno big tech, piattaforme social e aziende con milioni di utenti.

Una volta designato, il Significant Data Fiduciary deve:

• Nominare un Data Protection Officer (DPO) con sede in India.
• Condurre una valutazione d'impatto sulla protezione dei dati (DPIA) per ogni trattamento ad alto rischio.
• Sottoporsi a audit periodici da parte di un revisore indipendente.
• Implementare misure di data localization per alcune categorie di dati.

In pratica, se sei un piccolo e-commerce, probabilmente non sarai considerato 'significativo'. Ma se gestisci dati sanitari o finanziari di milioni di persone, preparati a un carico burocratico extra.

Confronto con il GDPR: cosa cambia?

Il GDPR europeo non ha una categoria analoga, ma richiede a tutti i titolari del trattamento di tenere un registro delle attività e, in alcuni casi, nominare un DPO. Il DPDP Act va oltre, creando una gerarchia che potrebbe semplificare la vita alle piccole imprese (meno obblighi) ma appesantire quella dei giganti del web.

Un'altra differenza: mentre il GDPR si applica a chiunque tratti dati di residenti UE, il DPDP Act si basa sulla territorialità (trattamento in India o di cittadini indiani). Quindi, se sei un'azienda estera che offre servizi in India, potresti rientrare nella definizione di Data Fiduciary.

Come prepararsi? 3 azioni concrete

Non aspettare che il governo pubblichi l'elenco dei Significant Data Fiduciary. Ecco cosa fare subito:

1. Mappa i tuoi trattamenti: identifica quali dati personali raccogli, per quali finalità e con chi li condividi.
2. Valuta se potresti essere designato: se tratti dati di bambini, dati biometrici o hai oltre 10 milioni di utenti, preparati.
3. Nomina un DPO interno o esterno: anche se non obbligatorio ora, avere un responsabile della protezione dati ti farà risparmiare tempo.

Per approfondire, consulta il testo ufficiale del DPDP Act 2023 sul sito del Ministero dell'Elettronica e IT.

FAQ