DPDP Act 2023: Perché l'India ha detto no all'interesse legittimo?

Il DPDP Act 2023: una rivoluzione senza interesse legittimo

Il Digital Personal Data Protection Act 2023 (DPDP Act) indiano ha scelto di non includere l'interesse legittimo tra le basi giuridiche per il trattamento dei dati. Una scelta coraggiosa che solleva domande: perché l'India ha detto no a una delle basi più flessibili del GDPR? E cosa significa per le aziende che operano nel subcontinente?

Featured Snippet Bait: Il DPDP Act 2023 indiano non prevede l'interesse legittimo come base giuridica per il trattamento dei dati personali, a differenza del GDPR europeo. Le uniche basi consentite sono il consenso e alcuni usi specifici per scopi legittimi definiti dalla legge.

Le basi giuridiche nel DPDP Act: consenso e scopi legittimi

A differenza del GDPR, che elenca sei basi giuridiche (consenso, contratto, obbligo legale, interesse vitale, interesse pubblico e interesse legittimo), il DPDP Act si basa principalmente sul consenso. L'articolo 4 richiede il consenso esplicito per il trattamento dei dati personali, salvo alcune eccezioni tassativamente elencate nell'Allegato I.

Queste eccezioni includono l'adempimento di obblighi legali, la risposta a emergenze mediche, e l'esecuzione di funzioni statali. Nessuna traccia di interesse legittimo. Per le aziende, ciò significa che non possono più invocare il proprio interesse commerciale per trattare dati senza consenso, come invece accade in Europa per finalità di marketing diretto o prevenzione delle frodi.

Perché l'India ha escluso l'interesse legittimo?

La scelta indiana è probabilmente dettata dalla volontà di semplificare e rafforzare la protezione dei dati. L'interesse legittimo è spesso criticato per la sua vaghezza e per il rischio di abusi. In India, dove la consapevolezza sulla privacy è ancora in crescita, una base giuridica chiara come il consenso riduce le zone grigie.

Inoltre, il DPDP Act è stato influenzato dal dibattito globale sulla sovranità dei dati. Escludendo l'interesse legittimo, l'India si allinea a modelli come quello brasiliano (LGPD) che pure lo prevede ma con limitazioni, ma va oltre, puntando su un approccio più restrittivo.

Cosa cambia per le aziende?

Le aziende che operano in India devono rivedere le proprie strategie di trattamento dati. Non possono più fare affidamento sull'interesse legittimo per attività come profilazione, analisi di mercato o personalizzazione dei servizi. Ogni trattamento deve basarsi sul consenso informato, con la possibilità di revoca in qualsiasi momento.

Per le multinazionali abituate al GDPR, questo rappresenta una sfida: mentre in Europa possono usare l'interesse legittimo per il marketing diretto (con bilanciamento), in India devono ottenere il consenso esplicito. Un po' come dover chiedere il permesso per ogni singola azione, invece di avere un lasciapassare generico.

Analogia: l'interesse legittimo è come un abbonamento Netflix condiviso

Se il GDPR ti permette di usare l'account Netflix di un amico (interesse legittimo) finché non ti dice di no, il DPDP Act ti obbliga a chiedergli la password ogni volta che vuoi guardare un film. Più sicuro, ma anche più noioso. Per le aziende, significa implementare sistemi di consenso granulari e tenere traccia di ogni autorizzazione.

Confronto con il GDPR: un quadro sinottico

Per capire meglio, ecco una tabella comparativa delle basi giuridiche nei due regolamenti:

• GDPR: Consenso, contratto, obbligo legale, interesse vitale, interesse pubblico, interesse legittimo.
• DPDP Act: Consenso (principale), scopi legittimi specifici (es. obblighi legali, emergenze, funzioni statali).

L'assenza di interesse legittimo rende il DPDP Act più rigido, ma anche più prevedibile per i cittadini. Le aziende devono adeguarsi rapidamente, pena sanzioni fino a 250 crore di rupie (circa 30 milioni di euro).

Impatto sui cittadini: più controllo, meno flessibilità

Per gli utenti indiani, il DPDP Act offre maggiore trasparenza: ogni trattamento deve essere autorizzato. Tuttavia, la mancanza di interesse legittimo potrebbe limitare alcuni servizi gratuiti basati sulla pubblicità personalizzata, che in Europa si appoggiano proprio su questa base.

In pratica, se un'app vuole mostrarti annunci basati sui tuoi interessi, in India deve chiederti il consenso esplicito, mentre in Europa può invocare l'interesse legittimo (con diritto di opposizione). Questo potrebbe portare a un'esperienza utente meno personalizzata, ma più rispettosa della privacy.

Conclusioni: un modello da seguire?

L'India ha scelto la strada della semplicità, eliminando l'interesse legittimo per evitare abusi. Una mossa che potrebbe ispirare altri paesi in via di sviluppo, ma che richiede alle aziende un cambio di paradigma. Per chi opera in India, il consenso diventa re: meglio prepararsi a chiedere, e chiedere bene.

Per approfondire, consulta il testo ufficiale del DPDP Act 2023.

FAQ