India DPDPA 2023: Conformità tecnica per team globali
Il Digital Personal Data Protection Act indiano copre 1,4 miliardi di persone. È la legge sulla privacy con la più ampia platea di soggetti tutelati al mondo. Il Data Protection Board è diventato operativo nel 2025. L'enforcement è iniziato. Se la tua azienda serve utenti indiani, detiene fascicoli di personale indiano o lavora con fornitori IT indiani, questo atto è ora un obbligo concreto.
Cosa copre il DPDPA
Ambito territoriale: La legge copre il trattamento in India. Copre anche il trattamento fuori dall'India quando la finalità è offrire beni o servizi agli utenti indiani. Come il GDPR, segue la persona — non il server.
Sanzioni massime: Fino a ₹250 crore per violazione. Equivalgono a circa 27 milioni di euro ai tassi attuali. Le sanzioni dipendono dalla gravità e dalla durata della violazione.
Basi giuridiche: Il consenso deve essere libero, informato e chiaro. Altre basi valide comprendono rapporti di lavoro, obblighi legali, bisogni vitali, interesse pubblico e ricerca.
Diritti individuali: Le persone possono chiedere come vengono usati i loro dati, richiedere rettifica o cancellazione, presentare un reclamo e nominare un rappresentante in caso di incapacità.
Data Fiduciary: Questa è la denominazione DPDPA per i titolari del trattamento. Devono proteggere i dati personali, notificare le violazioni al Board entro 72 ore e nominare un Data Protection Officer se classificati come Significant Data Fiduciary.
Aadhaar: Un problema di rilevamento unico
Aadhaar è il sistema biometrico nazionale di identità dell'India. Ogni titolare riceve un numero a 12 cifre collegato a impronte digitali e scansioni dell'iride. Circa 1,36 miliardi di residenti ne hanno uno. Banche, enti governativi, operatori mobili e ospedali lo usano tutti.
I numeri Aadhaar compaiono in documenti finanziari, sanitari e amministrativi. L'Aadhaar Act 2016 ne limita l'uso. I servizi privati non possono richiederlo come identificazione obbligatoria. La conservazione è limitata a specifici casi autorizzati.
Perché il rilevamento è difficile: Aadhaar usa il metodo Verhoeff per la cifra di controllo. Uno strumento che cerca solo stringhe a 12 cifre segnala qualsiasi numero a 12 cifre. Questo genera falsi positivi. Un buon rilevamento richiede la logica di verifica Verhoeff. Il semplice pattern matching non è sufficiente.
Altri formati PII indiani
PAN (Permanent Account Number): Un codice fiscale a 10 caratteri. Formato: cinque lettere, quattro cifre, una lettera. La quarta lettera indica il tipo di contribuente. La quinta è l'iniziale del cognome del contribuente. Il PAN è richiesto per qualsiasi transazione superiore a ₹50.000. Compare frequentemente nei documenti finanziari indiani.
Passaporto indiano: La lettera X seguita da sette cifre. Questo formato è unico all'India.
Patenti di guida: Ogni stato ha il proprio formato. Una patente di Delhi potrebbe avere l'aspetto DL-0420110149646.
Conti bancari: Non esiste uno standard nazionale. I numeri di conto variano da 9 a 18 cifre. I codici IFSC — codici di filiale bancaria a 11 caratteri — compaiono accanto ai numeri di conto nei documenti di pagamento.
Numeri di cellulare: Dieci cifre con prefisso paese +91. L'India conta 1,2 miliardi di abbonati mobili. I numeri di telefono compaiono spesso nei documenti commerciali.
Scopri come anonym.legal gestisce tutti i formati PII indiani su /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
Requisiti tecnici DPDPA
Misure di sicurezza: Il DPDPA richiede "ragionevoli misure di sicurezza" proporzionate al rischio. La legge definisce questo obiettivo in termini di risultati. Non fornisce un elenco fisso di passaggi. Gli standard tecnici minimi arriveranno con le Regole DPDPA, attese dal 2025 in poi.
Notifica delle violazioni: Segnalare qualsiasi violazione di dati personali al Board entro 72 ore. Con il GDPR, questa finestra riguarda solo il regolatore. Con il DPDPA, le violazioni significative richiedono la notifica al Board e alle persone coinvolte. Entrambe devono avvenire entro 72 ore.
Localizzazione: Il governo può classificare alcune aziende come Significant Data Fiduciary. Quelle aziende potrebbero essere tenute a mantenere una copia dei dati in India. Le regole definitive non sono ancora fissate.
Trasferimenti transfrontalieri: La legge blocca i trasferimenti verso paesi non inclusi in un elenco approvato. Quell'elenco non era stato definito nel 2025. Non esiste un accordo di adeguatezza UE-India. Le aziende con flussi UE-India dovrebbero mettere in atto contratti adeguati sin da ora.
Per un quadro di come le regole sui trasferimenti transfrontalieri si sovrappongono tra le varie normative, vedi /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Checklist tecnica di base
Se gestisci dati personali indiani, inizia da qui:
- Rilevamento Aadhaar con logica di verifica della cifra di controllo Verhoeff.
- Rilevamento PAN con verifica del carattere per tipo di contribuente.
- Supporto per passaporto indiano e patenti di guida statali.
- Rilevamento di conti bancari per lunghezze da 9 a 18 cifre con codici IFSC.
- Registrazioni delle finalità che corrispondano alle basi giuridiche DPDPA.
- Un piano per le violazioni che rispetti la finestra di 72 ore.
Leggi come un singolo preset copre tutti i tipi di PII indiani su /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.