Confidentialité et protection des données
DPDP Act
Le Digital Personal Data Protection Act (DPDP) de l'Inde
Le DPDP Act est la loi indienne régissant le traitement des données personnelles numériques. Nous vous aidons à comprendre vos obligations en tant que Data Fiduciary, à mettre en place les bons contrôles et à démontrer la conformité.
Ce qu'est DPDP Act
Le Digital Personal Data Protection Act, 2023 de l'Inde régit le traitement des données personnelles numériques. Il est construit autour du consentement et de la notification, exige une base légale pour le traitement et impose des obligations aux Data Fiduciaries, les entités qui déterminent la finalité et les moyens du traitement, envers les Data Principals, les personnes auxquelles les données se rapportent.
Le DPDP Act est une réglementation dont vous démontrez la conformité, non une norme pour laquelle vous êtes certifié. Il introduit des concepts tels que les consent managers, des obligations relatives aux données des enfants et la possibilité que certaines organisations soient désignées comme Significant Data Fiduciaries avec des devoirs supplémentaires. Son fonctionnement détaillé est façonné par les règles prises en vertu de la loi, de sorte que la conformité signifie rester aligné à la fois sur la loi et sur ses règles d'application.
La structure de la loi
Notification et consentement
Un Data Fiduciary doit fournir une notification claire et détaillée et obtenir un consentement libre, spécifique, éclairé et non équivoque avant de traiter des données personnelles, le consentement devant être aussi facile à retirer qu'il l'a été à donner.
Fondements légaux
Le traitement doit reposer soit sur le consentement, soit sur des usages légitimes définis, tels qu'une finalité pour laquelle la personne a volontairement fourni ses données ou des fonctions étatiques et d'emploi déterminées.
Devoirs du Data Fiduciary
L'entité qui décide de la finalité et des moyens du traitement doit tenir les données exactes, ne les conserver que le temps nécessaire, appliquer des mesures de sécurité raisonnables et signaler les violations de données personnelles.
Droits des Data Principals
Les personnes peuvent accéder à leurs données et les corriger, demander l'effacement, désigner une autre personne pour agir en leur nom et adresser des réclamations au Data Fiduciary.
Enfants et tuteurs
Le traitement des données des enfants et des personnes ayant un tuteur légal nécessite le consentement vérifiable du tuteur, le suivi, la surveillance comportementale et la publicité ciblée étant généralement restreints.
Significant Data Fiduciary
Les organisations que le gouvernement désigne dans cette catégorie portent des devoirs supplémentaires, dont la nomination d'un délégué à la protection des données en Inde, d'un auditeur de données indépendant et des analyses d'impact relatives à la protection des données périodiques.
Consent Managers
La loi prévoit des Consent Managers enregistrés par l'intermédiaire desquels les personnes peuvent donner, gérer, réexaminer et retirer leur consentement via une plateforme accessible.
Data Protection Board of India
Un Board indépendant entend les plaintes, ordonne des mesures correctives et d'atténuation en cas de violation et peut imposer des sanctions pécuniaires en cas de non-conformité.
Qui en a besoin
- Les organisations en Inde qui traitent les données personnelles numériques de personnes
- Les entreprises hors de l'Inde qui traitent des données personnelles dans le cadre de l'offre de biens ou de services à des personnes en Inde
- Les entreprises SaaS et de plateforme qui gèrent les données d'utilisateurs indiens en tant que Data Fiduciary ou pour le compte d'un fiduciary
Ce que vous obtenez
- Un exercice de cartographie des données et une évaluation de votre rôle au titre de la loi
- Des mécanismes de consentement et de notification et des processus relatifs aux droits des Data Principals
- Une gouvernance et des politiques alignées sur la loi et ses règles
- Des mesures de sécurité avec des preuves issues de tests d'intrusion
Les délais dépendent du volume et de la sensibilité des données que vous traitez et de votre maturité actuelle. Nous en définissons le périmètre honnêtement dès le départ plutôt que de promettre un nombre fixe de semaines.
Version actuelle
La loi applicable est le Digital Personal Data Protection Act, 2023. Les Digital Personal Data Protection Rules, 2025 ont été notifiées le 13 novembre 2025 et donnent à la loi son détail opérationnel, leurs dispositions entrant en vigueur par phases plutôt que toutes en même temps. Certaines obligations s'appliquaient dès la notification tandis que d'autres, dont plusieurs devoirs de conformité essentiels, suivent après une fenêtre de transition, de sorte que la date pratique à laquelle votre organisation doit satisfaire à une exigence donnée dépend de la disposition dont elle relève. Nous suivons le phasage et vous disons ce qui s'applique à vous et quand, plutôt que de traiter l'ensemble du cadre comme en vigueur dès le premier jour.
Ce que cela coûte
Le DPDP Act est une loi dont vous démontrez la conformité, non une norme pour laquelle vous êtes certifié, il n'y a donc aucun certificat à acheter ni aucun organisme de certification accrédité en jeu. Les coûts qui se tiennent côte à côte sont nos honoraires de conseil et de mise en œuvre au périmètre défini, chiffrés dès le départ une fois que nous comprenons votre taille, votre rôle au titre de la loi et votre point de départ, et toute dépense distincte que vous choisissez pour une contribution indépendante telle qu'un auditeur de données, un conseil juridique externe ou un délégué à la protection des données, ce qui est particulièrement pertinent si vous êtes désigné comme Significant Data Fiduciary. Ces parties fixent leurs propres honoraires selon leurs propres calendriers, et nous ne sommes jamais l'auditeur, le Board ni le régulateur. Nous définissons le périmètre avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Évaluation du périmètre et des écarts
Nous cartographions votre traitement des données personnelles numériques, confirmons votre rôle au titre de la loi et mesurons vos pratiques actuelles par rapport à ses obligations de consentement, de notification et de sécurité.
Construire les contrôles et les notifications
Nous vous aidons à mettre en œuvre des mécanismes légaux de consentement et de notification, des processus relatifs aux droits des Data Principals et la gouvernance attendue par la loi, y compris les obligations relatives aux données des enfants le cas échéant.
Sécuriser les données
Nous évaluons et renforçons vos mesures de sécurité et utilisons des tests d'intrusion pour prouver que les données personnelles sont correctement protégées contre les violations.
Préparation et accompagnement continu
Nous rassemblons la documentation qui démontre la conformité et vous maintenons alignés à mesure que les règles prises en vertu de la loi évoluent, y compris tout devoir supplémentaire si vous êtes un Significant Data Fiduciary.
L'India DPDP Act et la GDPR côte à côte
Les deux sont des lois sur la vie privée fondées sur le consentement et les droits, avec des rôles et des devoirs similaires, de sorte que les équipes supposent souvent que s'aligner sur l'une couvre l'autre.
| India DPDP Act | GDPR | |
|---|---|---|
| Couvre | Les données personnelles numériques des personnes en Inde | Les données personnelles des personnes dans l'UE et l'EEE |
| Qui l'applique | Data Protection Board of India | Les autorités de contrôle nationales de chaque État membre |
| Idée centrale | Des devoirs guidés par le consentement pour les Data Fiduciaries | Base légale et responsabilité pour les responsables du traitement |
| Fondements légaux | Consentement ou usages légitimes définis | Six bases légales dont l'intérêt légitime |
| Modèle d'audit | Pas de certificat ; conformité prouvée par des registres | Pas de certificat ; conformité prouvée par des registres |
| Souvent mené avec | Les programmes ISO 27001 et HIPAA | ISO 27001 et travaux de confidentialité sectoriels |
FAQ DPDP Act
- À qui s'applique le DPDP Act ?
- Il s'applique au traitement des données personnelles numériques en Inde, et au traitement hors de l'Inde lorsqu'il est lié à l'offre de biens ou de services à des personnes en Inde. Nous vous aidons à confirmer s'il s'applique et comment lors de la définition du périmètre.
- Qu'est-ce qu'un Data Fiduciary ?
- Un Data Fiduciary est l'entité qui détermine la finalité et les moyens du traitement des données personnelles, un concept globalement similaire à celui de responsable du traitement au titre de la GDPR. Certaines organisations peuvent être désignées comme Significant Data Fiduciaries avec des obligations supplémentaires. Établir votre rôle est l'une des premières choses que nous faisons.
- La conformité au DPDP est-elle une certification ?
- Non. Le DPDP Act est une réglementation dont vous démontrez la conformité, non une norme certifiable. La conformité se démontre par des mécanismes de consentement et de notification, des processus documentés, des mesures de sécurité et des registres. Nous vous aidons à construire et à maintenir ces preuves.
Les services qui vous y amènent
Normes associées
À lire aussi
Le DPDP Act indien : un guide pratique de conformité (2025)
Ce que le DPDP Act (Digital Personal Data Protection) indien impose, qui est considéré comme responsable du traitement (data fiduciary), ce qu'apportent les Règles de 2025, les sanctions, et une démarche pratique vers la conformité.
9 min de lecture
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture