Le DPDP Act indien : un guide pratique de conformité (2025)

Le Digital Personal Data Protection Act, 2023 régit le traitement des données personnelles numériques, toute donnée relative à une personne identifiable, collectée sous forme numérique, ou collectée sur papier puis numérisée ultérieurement. Il s'applique aux traitements réalisés en Inde, ainsi qu'aux traitements effectués hors d'Inde lorsqu'ils concernent l'offre de biens ou de services à des personnes en Inde.

La loi repose sur le consentement et la responsabilité : vous ne pouvez traiter les données personnelles d'une personne que dans un but licite, avec son consentement ou au titre d'un petit nombre d'« usages légitimes », et vous demeurez responsable de la sécurité de ces données ainsi que de leur suppression une fois la finalité atteinte.

La loi repose sur trois rôles clés. Une personne concernée (Data Principal) est l'individu auquel se rapportent les données. Un responsable du traitement (Data Fiduciary) est l'organisation qui décide pourquoi et comment les données sont traitées, l'équivalent d'un « contrôleur » (controller) au sens du GDPR. Un sous-traitant (Data Processor) traite les données pour le compte d'un responsable du traitement, dans le cadre d'un contrat.

Si votre organisation décide quelles données personnelles collecter et dans quel but, vous êtes un responsable du traitement (Data Fiduciary) et vous assumez les obligations principales. Les organisations de plus grande taille ou présentant un risque plus élevé peuvent être désignées comme responsables du traitement importants (Significant Data Fiduciaries), ce qui ajoute des obligations telles que la nomination d'un délégué à la protection des données (DPO) en Inde, la réalisation d'audits indépendants de protection des données et la conduite d'analyses d'impact périodiques.

Consentement et information : collectez les données personnelles sur la base d'un consentement libre, spécifique, éclairé et univoque, précédé d'une information claire indiquant ce que vous collectez et pourquoi. Le consentement doit être aussi simple à retirer qu'à donner.

Limitation de la finalité et minimisation : ne collectez que ce qui est nécessaire à la finalité annoncée, utilisez-le uniquement à cette fin, et effacez-le une fois la finalité atteinte ou le consentement retiré, sauf si une loi vous impose de le conserver.

Mesures de sécurité : prenez des mesures techniques et organisationnelles raisonnables pour protéger les données personnelles. Le manquement à cette obligation constitue la violation la plus lourdement sanctionnée de la loi.

Notification des violations : en cas de violation de données personnelles, informez à la fois le Data Protection Board of India et chaque personne concernée (Data Principal) affectée.

Droits des personnes concernées : offrez aux personnes un moyen d'accéder à leurs données, de les corriger et de les effacer, une voie de recours pour le traitement des réclamations, ainsi que la possibilité de désigner une personne pour agir en leur nom.

La loi a posé le cadre ; le détail opérationnel figure dans les Règles. Le projet de Digital Personal Data Protection Rules a été publié pour consultation publique en janvier 2025 et devrait entrer en vigueur par phases, offrant aux organisations une période de transition plutôt qu'une échéance unique du jour au lendemain.

Le projet de Règles précise la manière dont les informations doivent être formulées, les modalités d'enregistrement et de fonctionnement des gestionnaires de consentement, les spécificités de la notification des violations, les garanties supplémentaires applicables aux données des enfants et à celles des responsables du traitement importants (Significant Data Fiduciaries), ainsi que les pratiques de sécurité raisonnables attendues de chaque responsable du traitement. Considérez-les comme la liste de contrôle de mise en œuvre à laquelle renvoie la loi.

Les sanctions sont fixées par un barème et prononcées par le Data Protection Board of India. La plus élevée, jusqu'à ₹250 crore par infraction, s'attache au défaut de mise en place de mesures de sécurité raisonnables visant à prévenir une violation de données personnelles. Le défaut de notification d'une violation, ainsi que les manquements aux obligations relatives aux données des enfants, sont passibles de sanctions pouvant atteindre ₹200 crore.

Puisque la sanction la plus lourde est liée aux mesures de sécurité, le moyen le plus rapide de réduire le risque DPDP est le même travail que celui qui réduit le risque de violation en général : identifier et corriger les faiblesses exploitables des systèmes qui détiennent des données personnelles, avant qu'un attaquant ou un régulateur ne le fasse.

Cartographiez vos données : recensez les données personnelles que vous collectez, où elles résident, qui peut y accéder, et pourquoi. Vous ne pouvez ni protéger ni supprimer ce que vous n'avez pas cartographié.

Corrigez le parcours de consentement et d'information : rendez les informations claires, le consentement granulaire et le retrait facile, et conservez une trace du consentement afin de pouvoir en apporter la preuve.

Renforcez les systèmes qui détiennent des données personnelles : appliquez le principe du moindre privilège, le chiffrement, la journalisation et un plan de réponse aux violations éprouvé, et vérifiez-le au moyen d'un test d'intrusion plutôt que de présumer qu'il tient.

Définissez la conservation et la suppression : fixez la durée de conservation de chaque catégorie de données et automatisez l'effacement lorsque la finalité prend fin ou que le consentement est retiré.

Mettez en place une gouvernance : attribuez les responsabilités, préparez des procédures (runbooks) de notification des violations et, si vous êtes un responsable du traitement important (Significant Data Fiduciary), nommez un DPO et planifiez des audits indépendants.

Rapprochez le DPDP des référentiels que vous appliquez peut-être déjà : une grande partie des preuves de sécurité recoupe SOC 2 et ISO 27001, de sorte qu'un seul programme peut servir les trois à la fois.