La loi indienne sur la protection des données personnelles numériques de 2023 (DPDPA) et les règles qui l'accompagnent, de 2025, s'apprêtent à remodeler la manière dont le commerce numérique traite les données personnelles. Une récente analyse de Lexology sur le sujet présente le panier d'achat comme un point de collecte de données, et ce cadrage est utile. Chaque création de compte, adresse enregistrée, préférence de paiement et schéma de navigation dans une application d'achat constitue une donnée personnelle. Pour quiconque s'intéresse à la confidentialité des achats en ligne au regard de la DPDPA indienne, la question est de savoir ce que vous gagnez réellement en tant qu'acheteur, et ce qu'aucun outil ne peut faire pour vous.
Confidentialité des achats en ligne selon la DPDPA indienne : ce qui change pour les données du commerce électronique
La DPDPA est le premier cadre global de l'Inde régissant la collecte, le traitement et le stockage des données personnelles. Elle utilise des termes spécifiques : la personne dont les données sont collectées est un « Data Principal » (personne concernée), et l'entreprise qui décide pourquoi et comment les données sont utilisées est un « Data Fiduciary » (responsable du traitement). En pratique, vous êtes le Data Principal et la plateforme d'achat est le Data Fiduciary.
Les résumés des règles publiés par les cabinets d'avocats pointent des obligations spécifiques pour les grandes plateformes. Selon ces résumés, les règles établissent des exigences d'effacement pour certaines catégories de Data Fiduciaries, notamment les entités de commerce électronique, les plateformes de médias sociaux et les entreprises de jeux en ligne. Un résumé décrit l'exigence ainsi : les données d'utilisateurs inactifs doivent être supprimées après trois ans, avec un préavis de 48 heures à l'utilisateur. Un autre décrit l'effacement dans les trois ans suivant le dernier contact du Data Principal avec l'entreprise.
Les détails concernant les plateformes concernées et la définition de « inactif » importent, aussi convient-il de traiter ces chiffres comme un résumé plutôt que comme un avis juridique. La direction reste claire : collecter des données indéfiniment et les conserver « au cas où » devient plus difficile à justifier.
Consentement, suppression et droits de rectification accordés aux acheteurs
La loi est construite autour du consentement. Les entreprises sont tenues de vous indiquer quelles données elles collectent et pourquoi, et de les traiter à cette fin. Pour les acheteurs, cela devrait signifier des invites plus claires lors de l'inscription et du paiement, plutôt qu'une approbation unique groupée enfouie dans les conditions générales.
Les droits que vous pouvez vous attendre à exercer comprennent :
- Le retrait du consentement. Vous devriez pouvoir retirer une autorisation que vous avez précédemment donnée, et le processus ne devrait pas être plus difficile que pour la donner.
- La rectification. Si votre adresse, votre numéro de téléphone ou d'autres informations sont erronés, vous pouvez demander qu'ils soient corrigés.
- L'effacement. Vous pouvez demander que vos données personnelles soient supprimées, sous réserve d'exceptions légales.
- Le traitement des réclamations. Les plateformes doivent offrir un moyen de formuler des plaintes concernant la manière dont vos données sont traitées.
La règle de suppression fondée sur l'inactivité ajoute un filet de sécurité pour les comptes que vous avez oubliés. Un profil d'achat abandonné avec une adresse enregistrée et un historique de commandes est exactement le type d'enregistrement qui tend à subsister pendant des années et à finir dans une violation de données.
Ce qu'un VPN peut et ne peut pas faire pendant vos achats en ligne
Un VPN chiffre la connexion entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. Cela aide sur le Wi-Fi public et limite l'un des signaux que les sites utilisent pour estimer votre localisation. C'est une couche utile, mais elle résout un problème différent de celui que résout la DPDPA.
Lorsque vous vous connectez à une application d'achat, la plateforme sait toujours qui vous êtes. Elle voit votre compte, votre adresse de livraison, vos détails de paiement et votre historique d'achats, quoi que dise votre adresse IP. Un VPN n'empêche pas une entreprise de collecter des données que vous lui transmettez volontairement, et il ne contrôle ni la durée de conservation de ces données ni leur éventuelle suppression. Ce sont des questions juridiques, et la DPDPA est l'outil pour y répondre.
Il existe aussi une limite pratique. Les VPN dépendent d'une connexion fonctionnelle, et ils ne peuvent rien si l'accès lui-même est coupé. Notre explication sur ce qu'un VPN peut et ne peut pas faire lors d'une coupure d'internet couvre un autre scénario, mais elle illustre le même principe : un VPN est un outil aux frontières définies, pas un bouclier universel.
L'inverse est également vrai. La loi ne vous protège pas d'un réseau indiscret ou d'un point d'accès non chiffré. Les deux fonctionnent mieux ensemble.
Ce que cela signifie pour vous : étapes pour limiter le suivi au paiement
Vous n'avez pas besoin d'attendre que chaque disposition soit pleinement en vigueur pour commencer à resserrer vos habitudes. Envisagez ces étapes :
- Examinez les paramètres de consentement dans vos applications d'achat. Recherchez les paramètres de confidentialité ou de données et désactivez le suivi facultatif, la publicité personnalisée et la synchronisation des contacts dont vous n'avez pas besoin.
- Supprimez les comptes que vous n'utilisez plus. Ne comptez pas uniquement sur la suppression automatique après une période d'inactivité. Utilisez l'option de suppression ou de demande d'effacement intégrée à l'application lorsqu'elle existe.
- Vérifiez et corrigez vos informations enregistrées. Les adresses et numéros de téléphone obsolètes posent à la fois un problème de confidentialité et de livraison.
- Utilisez le paiement en tant qu'invité lorsque vous le pouvez. Moins de profils stockés signifie moins d'enregistrements à protéger.
- Ne partagez que ce qui est requis. Si un formulaire demande plus que ce dont la livraison et le paiement ont besoin, traitez les champs facultatifs comme facultatifs.
- Resserrez les paramètres de votre navigateur. Bloquez les cookies tiers, effacez périodiquement les données des sites et utilisez les fonctionnalités de protection contre le suivi intégrées à votre navigateur.
- Utilisez un VPN sur les réseaux non fiables. Il protège la connexion, pas les données de votre compte.
- Conservez une trace de vos demandes. Si vous déposez une demande de suppression ou de rectification, conservez la confirmation au cas où vous auriez besoin de faire escalader une réclamation.
Pourquoi ces limites importent-elles au-delà des achats ? Parce que les données personnelles restent rarement à un seul endroit. Les débats sur les données d'identité et la surveillance en Inde sont actifs, du débat sur la confidentialité de la reconnaissance faciale au titre de l'article 21 aux préoccupations concernant une exigence proposée d'Aadhaar pour les inscriptions sur les médias sociaux au Karnataka. Limiter ce que les plateformes commerciales collectent est une partie d'une conversation plus large sur qui détient vos informations et pour combien de temps.
Points clés à retenir
La confidentialité des achats en ligne au regard de la DPDPA indienne se résume à une répartition des tâches. La loi vous donne des droits sur le consentement, la rectification et la suppression, et elle impose des limites de conservation aux grandes plateformes de commerce électronique. Un VPN et des paramètres de navigateur judicieux réduisent l'exposition sur le réseau et face aux traqueurs tiers, mais ils ne peuvent pas faire oublier à un détaillant ce que vous lui avez dit.
Cette semaine, ouvrez les applications d'achat que vous utilisez le plus, examinez les interrupteurs de consentement et trouvez l'option de suppression de compte ou d'effacement des données. Supprimez les profils dont vous n'avez plus besoin et exercez vos droits à mesure que les règles entrent en vigueur. Les détails de mise en œuvre peuvent évoluer, alors consultez la notice de confidentialité de la plateforme et les orientations officielles pour les dernières exigences.
