The India Digital Personal Data Protection Act: ecco le regole della nuova legge privacy

Il nuovo disegno di legge indiana sulla protezione dei dati digitali, proposto dal Ministero dell’Elettronica e dell’Informatica il 18 Novembre 2022, ha come obiettivo di definire i diritti dei cittadini indiani e gli obblighi inerenti alla raccolta e al trattamento di dati personali da parte dei titolari del trattamento.

Anche in seguito alla storica sentenza Puttaswamy vs. Governo Indiano del 24 Agosto 2017, dove la Corte Suprema dell’India ha riconosciuto che il diritto alla privacy è un diritto fondamentale dell’uomo riconducibile all’art. 21 della Costituzione indiana, già nel 2018 e successivamente nel 2019, erano stati presentati, senza successo, disegni di legge sulla protezione dei dati.

Vediamo più in dettaglio le caratteristiche dell’attuale disegno di legge.

Trasferimenti di dati personali UE-USA: si cerca una “soluzione universale”

The India Digital Personal Data Protection Act: definizioni

Con il termine “Data Fiduciary” il disegno di legge indica il titolare del trattamento, ovvero qualsiasi persona che, da sola o insieme ad altri, determini lo scopo e i mezzi del trattamento dei dati personali: il “Data Processor” è, invece, il responsabile del trattamento che tratta i dati personali per conto di un titolare, mentre con il termine “Data Principal”, la norma indica gli interessati, ovvero i proprietari dei dati personali oggetto del trattamento.

Un “Significant Data Fiduciary” è un titolare che esegue trattamenti di dati considerati a rischio come ad esempio trattamenti su larga scala o che coinvolgono l’ordine pubblico o la sicurezza nazionale.

I “dati personali” sono definiti come “qualsiasi dato relativo a un individuo che risulta identificabile attraverso tali dati, o è in relazione con essi”.

Il “trattamento di dati personali” viene indicato come “un’operazione automatizzata o un insieme di operazioni eseguite su dati personali digitali”, con una definizione analoga a quella del Regolamento Generale sulla Protezione dei Dati Personali 2016/679 (GDPR).

Nel disegno di legge non trova spazio una definizione di “dati personali sensibili” e pertanto non sono state delineate garanzie aggiuntive per questa tipologia di dati come invece previsto dal GDPR europeo nell’ art. 9, dove sono considerati dati che richiedono protezioni aggiuntive essendo in grado di rivelare l’origine razziale, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, dati genetici o biometrici, dati relativi alla propria salute o alla vita sessuale, o dati relativi al proprio orientamento sessuale.

Ambito, extraterritorialità e trasferimento dati

Come suggerisce il suo stesso nome, l’ambito del disegno di legge è limitato al trattamento dei dati personali digitali all’interno del territorio dell’India quando tali dati:

1. sono raccolti on line, oppure
2. sono raccolti offline ma digitalizzati.

Quando il trattamento è invece effettuato al di fuori del territorio indiano, il disegno di legge si applica se tale trattamento è in relazione a qualsiasi profilazione o attività di offerta di beni o servizi ai cittadini all’interno del territorio dell’India.

La proposta di legge specifica che con “profilazione” si intende qualsiasi forma di trattamento di dati personali che analizzi o sia in grado di prevedere aspetti quali il comportamento, le caratteristiche o gli interessi di un individuo.

Sono invece esclusi dall’ambito della norma:

1. i trattamenti di dati personali non automatizzati;
2. dati personali off-line;
3. i trattamenti di dati personali per uso esclusivamente domestico;
4. i dati personali di un individuo contenuti in un registro da più di 100 anni.

Per quanto riguarda il trasferimento dei dati al di fuori del territorio indiano, i precedenti disegni di legge proponevano una localizzazione dei dati in nome della “sovranità digitale” Indiana, ovvero richiedevano che almeno una copia dei dati oggetto del trattamento fosse situata nel territorio indiano: l’attuale approccio, invece, abbandona questa impostazione, ma risulta estremamente vago, affermando che “il governo centrale informerà i paesi al di fuori dell’India a cui un Data Fiduciary può trasferire dati personali, e i termini e le condizioni che dovranno regolare tali trasferimenti saranno specificati con tali notifiche”.

Obblighi dei titolari del trattamento

L’attuale disegno di legge mantiene il concetto di titolare già proposto nelle precedenti versioni, secondo cui le organizzazioni che ambiscono al titolo di “fiduciaries” devono ottenere tale titolo direttamente dal governo centrale, e saranno ritenute responsabili del rispetto della norma.

Facendo sue le precedenti esperienze di Singapore, Australia e Unione Europea, il nuovo disegno di legge prevede che i trattamenti che i titolari si accingeranno a mettere in atto dovranno basarsi sui seguenti principi:

1. liceità, correttezza e trasparenza: l’utilizzo dei dati personali da parte delle organizzazioni deve essere effettuato in modo lecito, equo e trasparente nei confronti delle persone interessate;
2. limitazione della finalità: i dati personali sono utilizzati solo per gli scopi per i quali sono stati raccolti;
3. minimizzazione dei dati: devono essere trattati solo i dati personali necessari per il raggiungimento di uno scopo specifico;
4. esattezza: devono essere messi in atto sforzi ragionevoli per garantire che i dati delle persone siano accurati e aggiornati;
5. limitazione della conservazione: i dati personali non vengono memorizzati per sempre per impostazione predefinita, ma la loro conservazione è limitata alla durata necessaria per il raggiungimento dello scopo dichiarato;
6. sicurezza dei dati: si deve mettere in atto misure atte a garantire che non vi sia alcuna raccolta o elaborazione non autorizzata di dati personali;
7. responsabilizzazione: chi decide lo scopo e i mezzi del trattamento deve essere ritenuto responsabile del trattamento stesso.

Nel caso di una violazione di dati personali (data breach), sia il titolare che il responsabile dovranno, a seconda della situazione, informare il Data Protection Board e gli interessati coinvolti nell’evento.

Ulteriori obblighi sono poi richiesti quando il trattamento include dati di soggetti minori: in questo caso, i titolari devono ottenere il consenso da parte di chi esercita la potestà genitoriale, e sussiste l’obbligo di divieto di pubblicità mirata o di monitoraggio verso minori.

I Significant Data Fiduciaries devono inoltre:

1. nominare un responsabile della protezione dei dati (o Data Protection Officer), che avrà sede in India, che oltre a rappresentare il Data Fiduciary, agirà come punto di contatto per reclami e ricorsi da parte degli interessati;
2. nominare un Data Auditor indipendente che condurrà periodicamente una verifica sulla conformità del Significant Data Fiduciary in base alla norma;
3. eseguire una serie di altre misure, come le valutazioni di impatto (Data Protection Impact Assessments) e l’audit periodico sulla conformità alla norma.

Diritti e doveri degli interessati

Rispetto alle precedenti versioni del disegno di legge, alcune novità riguardano proprio i diritti degli Interessati: nella attuale versione rimangono presenti il diritto di informazione (“right to Information about personal data”) e il diritto alla correzione e alla cancellazione (“right to correction and erasure of personal data”), ma scompaiono il diritto alla portabilità e all’oblio.

È invece presente il diritto di ottenere una riparazione a valle di un reclamo (“right of grievance redressal”) e il diritto alla nomina (“right to nominate”); il primo si riferisce al diritto degli Interessati di poter presentare un reclamo presso un titolare e, nel caso in cui non pervenga una risposta entro sette giorni, o la risposta non sia soddisfacente, essi avranno facoltà di presentare un ulteriore reclamo al Data Protection Board; il secondo, permette agli interessati, in caso di decesso o incapacità, di nominare un sostituto che ne eserciterà i diritti.

Gli interessati sono però soggetti anche ad alcuni “doveri” e in particolare essi devono:

1. rispettare le disposizioni di tutte le leggi applicabili mentre esercitano i propri diritti nell’ambito della protezione dei dati;
2. non presentare un reclamo falso o superficiale presso un titolare o il Data Protection Board;
3. in nessun caso fornire informazioni false, occultare informazioni importanti o fingere di essere qualcun altro (ad esempio, quando è necessario fornire una prova della propria identità);
4. nell’esercizio del diritto di rettifica o cancellazione, fornire informazioni autentiche e verificabili.

Le sanzioni della nuova legge privacy indiana

Diversamente dai precedenti disegni di legge che, ispirandosi al GDPR europeo, imponevano una multa massima fino al 4% del fatturato globale del titolare, l’attuale disegno sceglie di limitare l’ammontare delle sanzioni inflitte ai titolari a 5 miliardi di rupie (circa 61 milioni di dollari).

Sebbene nella norma non siano specificate le sanzioni per i responsabili, si ritiene che la mancata salvaguardia della sicurezza dei dati personali possa comportare una sanzione di 2,5 miliardi di rupie (circa 30 milioni di dollari) sia per i titolari che i responsabili del trattamento.

Il Data Protection Board of India

Il Comitato per la Protezione dei Data dell’India, o Data Protection Board (DPB), sarà il primo organismo di regolamentazione responsabile della protezione della privacy dei cittadini indiani.

Tra i suoi compiti, stabilire la conformità, imporre sanzioni, fornire indicazioni sulla corretta interpretazione della norma: ad esempio, sarà proprio il Board a dover dare le opportune indicazioni sulla corretta interpretazione della frase “offerta di beni e servizi”, che non è al momento definita all’interno del disegno di legge.

Conclusioni

L’India è ormai avviata verso una profonda trasformazione digitale, che sta cambiando sensibilmente la vita dei circa 1,3 miliardi di cittadini indiani e la governance dei loro dati.

Attualmente, si stima che ci siano circa 760 milioni di utenti internet attivi (i cosiddetti “digital nagriks”), e che nei prossimi anni essi raggiungeranno la quota di 1,2 miliardi. Se da un lato internet e la tecnologia rappresentano un’opportunità per migliorare la qualità della vita e dei servizi ai cittadini, sono anche una grande opportunità di business, suscitando l’attenzione e l’interesse delle grandi Big Tech, che hanno già una presenza significativa nello spazio digitale indiano; senza opportune norme e leggi a tutela dei cittadini, soprattutto i più fragili e indifesi, queste opportunità possono rischiare di trasformarsi in abusi e danni verso i singoli.

È urgente, quindi, definire un approccio chiaro e consistente alla protezione dei dati dei cittadini indiani. Rispetto ai precedenti disegni di legge, l’attuale è redatto in modo semplice e conciso, ma gran parte del quadro regolamentare non è ancora definito, dal momento che molte delle norme verranno proposte di volta in volta in Parlamento.

Tra le criticità riscontrate, c’è da considerare come il disegno di legge si concentri unicamente sui dati personali digitali, escludendo gli altri, come non vengono richiesti precisi limiti temporali a carico dei titolari in merito all’esercizio dei diritti degli interessati, come non siano elencati in modo chiaro gli obblighi e le sanzioni applicabili ai responsabili del trattamento: in molti punti, la vaghezza sembra prevalere.

Si tratta comunque di un primo passo, e sia la consultazione pubblica, conclusasi il 17 dicembre, che i successivi passaggi in Parlamento avranno l’opportunità di perfezionare la norma.

Infine, l’introduzione del Data Protection Board è di buon auspicio, anche se il disegno di legge al momento non specifica come esso sarà composto.