DPDP Act 2023: Multe da 250 Crore (30 mln $) – Chi Rischia Davvero?

Chi rischia la multa da 250 crore?

Il DPDP Act 2023 prevede sanzioni fino a 250 crore di rupie (circa 30 milioni di dollari) per violazioni gravi dei dati personali. Ma attenzione: non si applica a tutti indiscriminatamente. Le multe colpiscono principalmente i 'data fiduciary' – cioè chi decide come e perché trattare i dati – e non i semplici utenti. Se gestisci un'app, un sito e-commerce o qualsiasi servizio che raccoglie dati di cittadini indiani, sei nel mirino.

Chi è esente?

Piccole imprese con fatturato sotto certe soglie potrebbero avere esenzioni parziali, ma attenzione: le regole sono ancora in fase di definizione. In pratica, se tratti dati di massa o dati sensibili (salute, biometrici, ecc.), le multe sono quasi certe in caso di violazione. Non c'è scampo per i giganti del tech: Google, Meta, Amazon – tutti potenzialmente esposti.

Esempi concreti di violazioni

Data breach non segnalato entro 72 ore
Raccolta dati senza consenso esplicito
Trasferimento dati all'estero senza garanzie adeguate

Leggi il testo ufficiale della legge: DPDP Act 2023 su MeitY.

Come prepararsi?

Non aspettare che arrivi la multa. Inizia con un audit dei dati, aggiorna le privacy policy e forma il personale. Ricorda: la conformità non è un optional, è un investimento. Se pensi che sia noioso quanto leggere i Termini e Condizioni, prova a immaginare di pagare 30 milioni di dollari – improvvisamente diventa molto più interessante.

FAQ

La multa da 250 crore si applica anche alle startup?

Sì, se la startup tratta dati di cittadini indiani e supera certe soglie di volume o sensibilità. Tuttavia, sono previste esenzioni per microimprese con fatturato annuo inferiore a 2 crore di rupie.

Cosa succede se non pago la multa?

Oltre alla sanzione pecuniaria, il Data Protection Board può imporre restrizioni operative, come il blocco del trattamento dati o la sospensione del servizio. In casi estremi, si può arrivare alla chiusura forzata.

La legge si applica solo in India?

No, ha effetto extraterritoriale: qualsiasi entità che tratta dati di cittadini indiani, anche se situata all'estero, è soggetta al DPDP Act. Quindi, se hai utenti in India, sei tenuto a rispettare la legge.