Loi de 2023 sur la protection des données personnelles numériques et ses règles de 2025

Encadrer le traitement des données personnelles numériques d’une manière qui reconnaisse à la fois le droit des personnes à protéger leurs données et la nécessité de traiter ces données à des fins licites.[1][7]

intitulé long de la loi, repris par le gouvernement devant le Parlement (juillet 2026)

• Champ : données personnelles numériques traitées en Inde, et traitements à l’étranger liés à l’offre de biens ou de services à des personnes en Inde. Sont exclues les données traitées à des fins personnelles ou domestiques, ou rendues publiques par la personne concernée ou en vertu d’une obligation légale.[1]
• Deux bases légales : le consentement — « libre, spécifique, éclairé, inconditionnel et univoque », retirable aussi facilement qu’il a été donné, précédé d’une information disponible en anglais ou dans une langue de la huitième annexe de la Constitution — ou des « usages légitimes » (article 7), comme les aides, prestations et autorisations de l’État, ses missions légales, les urgences médicales, les catastrophes et l’emploi.[1]
• Obligations des « fiduciaires de données » (qui décident des fins et des moyens du traitement) : mesures de sécurité raisonnables (chiffrement, contrôle d’accès, journaux conservés un an), notification de toute violation à l’Office et à chaque personne touchée — avec un rapport détaillé à l’Office sous 72 heures —, effacement une fois la finalité atteinte, et dispositif de réclamation répondant sous 90 jours. Les plateformes de commerce en ligne, de jeux en ligne et de réseaux sociaux comptant au moins 2 crores (20 millions) d’utilisateurs inscrits en Inde doivent effacer les données après trois ans d’inactivité.[1][2]
• Enfants (moins de 18 ans) : consentement vérifiable d’un parent, contrôlé à partir de données d’identité et d’âge fiables ou d’un jeton, par exemple via un coffre-fort numérique (Digital Locker) ; interdiction du pistage, de la surveillance comportementale et de la publicité ciblée visant les enfants, hors catégories et finalités exemptées par les règles.[1][2]
• « Fiduciaires de données importants », désignés par le gouvernement selon le volume et la sensibilité des données, le risque pour les droits, la sécurité et la démocratie électorale : délégué à la protection des données basé en Inde, auditeur indépendant, analyse d’impact et audit tous les douze mois et — pour les données désignées sur avis d’un comité — interdiction de transfert hors d’Inde.[1][2]
• Droits des personnes concernées : obtenir un résumé de leurs données et des destinataires, les faire corriger, compléter, mettre à jour et effacer, déposer une réclamation et désigner une personne agissant pour elles en cas de décès ou d’incapacité. Elles ont aussi des devoirs — ne pas usurper d’identité, ne pas déposer de plainte fausse ou abusive — sanctionnés jusqu’à 10 000 roupies.[1]
• Exemptions de l’État (article 17) : la loi ne s’applique pas aux organismes que le gouvernement désigne pour la souveraineté, la sécurité, les relations amicales avec les États étrangers ou l’ordre public ; la plupart des obligations et des droits ne s’appliquent pas aux traitements de prévention, de détection, d’enquête ou de poursuite des infractions ; les organismes publics ne sont pas tenus d’effacer les données ; et le gouvernement peut, dans les cinq ans suivant l’entrée en vigueur, exempter tout fiduciaire de toute disposition pour une durée fixée. Les start-up peuvent être dispensées de certaines obligations.[1]
• Office de protection des données de l’Inde : un « bureau numérique » dont le président et les membres sont nommés par le gouvernement central pour deux ans (renouvelables), sur proposition de comités de sélection présidés par le secrétaire du Cabinet (président) ou le secrétaire du MeitY (membres). Il enquête sur les manquements — en six mois, prolongeables — et inflige les amendes ; les recours vont devant le Telecom Disputes Settlement and Appellate Tribunal sous 60 jours. Après des sanctions dans au moins deux affaires, l’Office peut recommander au gouvernement de bloquer une plateforme.[1][2]
• Amendes fixées en annexe, jusqu’à 250 crores de roupies (2,5 milliards) pour défaut de mesures de sécurité ; l’Office tient compte de la gravité, de la durée, de la répétition, du gain et des mesures d’atténuation. Les sommes vont au Fonds consolidé de l’Inde. Le gouvernement peut relever les montants par notification, sans dépasser le double des montants initiaux.[1]
• Gestionnaires de consentement : sociétés enregistrées auprès de l’Office permettant de donner, gérer, revoir et retirer son consentement auprès de plusieurs fiduciaires ; elles doivent être immatriculées en Inde, disposer de fonds propres d’au moins 2 crores de roupies, agir comme fiduciaires de la personne, ne pas pouvoir lire les données qu’elles acheminent et conserver les traces des consentements au moins sept ans.[1][2]
• Transferts à l’étranger autorisés, sauf vers les pays que le gouvernement restreint par notification ; il peut aussi fixer des conditions à la mise à disposition de données à un État étranger.[1][2]
• Modification d’autres lois : l’article 43A de la loi de 2000 sur les technologies de l’information est supprimé ; et l’article 44(3) remplace le point (j) de l’article 8(1) de la loi de 2005 sur le droit à l’information — l’une des exceptions à la communication — par une seule ligne exemptant « les informations relatives à des informations personnelles ».[1]