Une nouvelle vague d'activité de conformité se construit autour de la loi indienne sur la protection des données personnelles numériques de 2023 (loi DPDP), alors que les cabinets d'avocats et les sociétés de conseil se précipitent pour aider les entreprises à se préparer. Selon un rapport d'ETLegalWorld, Foresight Law Offices a récemment lancé un « DPDP Desk » dédié, accompagné d'un outil interactif d'évaluation de la préparation conçu pour aider les organisations à identifier les lacunes en matière de conformité avant que les règles de la loi ne prennent pleinement effet. Bien que cette annonce vise directement les équipes juridiques des entreprises, elle constitue également un signal utile pour les internautes ordinaires : la loi DPDP passe du papier à la pratique, et la manière dont les entreprises indiennes collectent, stockent et partagent les données personnelles est sur le point de changer d'une manière qui affecte directement les consommateurs.
Si vous n'avez jamais lu la loi DPDP elle-même, vous n'êtes pas seul. La plupart des gens ne rencontrent la législation sur la protection des données qu'indirectement, à travers les fenêtres de consentement, les politiques de confidentialité ou les e-mails de notification de violation. Mais la loi DPDP est l'une des lois sur la vie privée les plus importantes à émerger de l'Inde depuis des décennies, et comprendre ses principes de base peut vous aider à savoir à quoi vous attendre des applications et des services que vous utilisez chaque jour.
Ce que la loi DPDP exige réellement
À la base, la loi DPDP établit des règles sur la manière dont les « fiduciaires de données » (essentiellement toute organisation qui collecte ou traite des données personnelles) doivent gérer ces informations. Les entreprises devront obtenir un consentement clair et spécifique avant de collecter des données personnelles, devront indiquer pourquoi elles les collectent, et seront tenues de supprimer les données une fois qu'elles ne seront plus nécessaires à cette fin déclarée. La loi crée également des voies permettant aux individus d'accéder à leurs données, de les corriger ou de retirer leur consentement, et elle introduit un organisme de réglementation, le Data Protection Board, pour traiter les plaintes et assurer l'application de la loi.
C'est un changement notable pour un pays où les pratiques de collecte de données ont historiquement été peu réglementées. Comme le montre le reportage sur la loi DPDP de l'Inde qui pousse la confidentialité des données dans les conseils d'administration, la conformité n'est plus quelque chose que les entreprises peuvent discrètement déléguer aux services informatiques. Cela devient une question de gouvernance que les conseils d'administration et les dirigeants sont censés prendre en charge directement, avec une réelle responsabilité en cas de problème.
Comment elle se compare au RGPD
Les observateurs de la vie privée ont fréquemment comparé la loi DPDP au Règlement général sur la protection des données (RGPD) de l'Union européenne, et il existe des similitudes significatives : les deux cadres exigent un consentement pour la collecte de données, les deux donnent aux individus des droits sur leurs propres informations, et les deux créent des pénalités en cas de non-conformité. Mais la loi DPDP est généralement considérée comme plus étroite dans sa portée. Elle se concentre spécifiquement sur les données personnelles numériques, tandis que le RGPD couvre une gamme plus large d'informations personnelles, quel que soit le format. La loi DPDP donne également au gouvernement indien plus de discrétion dans certains domaines, tels que les exemptions pour les agences gouvernementales et les règles concernant les transferts transfrontaliers de données, que ce que le RGPD permet généralement.
Pour les consommateurs, le point pratique à retenir est que la loi DPDP est un véritable pas vers des protections de la vie privée plus solides, mais elle peut ne pas offrir la même ampleur de droits que le RGPD a fournis aux utilisateurs en Europe. C'est un plancher, pas nécessairement un plafond.
Pourquoi le calendrier est important
Un détail souvent absent des articles axés sur la conformité est à quel point la marge de manœuvre est courte pour que les entreprises se préparent. Les startups, par exemple, font face à des délais stricts, avec la loi DPDP de l'Inde qui fixe une date limite de mai 2027 pour les startups afin de réorganiser leurs pratiques de traitement des données. Plus largement, les règles DPDP doivent prendre pleinement effet en 2027, ce qui signifie que les flux de consentement, les politiques de suppression des données et les processus de notification de violation que de nombreuses entreprises construisent actuellement sont censés être pleinement opérationnels d'ici là. Les analystes juridiques ont également souligné les délais de conformité et la responsabilité au niveau des directeurs comme un point de pression croissant, comme détaillé dans la couverture des délais de conformité DPDPA de l'Inde et du risque pour les directeurs. En d'autres termes, les outils et les bureaux que des cabinets comme Foresight déploient maintenant existent parce que l'horloge tourne déjà.
Ce que cela signifie pour vous
Si vous utilisez des applications, des sites Web ou des services basés en Inde, ou si vous interagissez avec des entreprises indiennes en tant que client, vous devriez commencer à remarquer des changements au cours des deux prochaines années. Attendez-vous à des demandes de consentement plus explicites, à des explications plus claires sur la raison pour laquelle vos données sont collectées et (éventuellement) à des moyens plus faciles de demander la suppression de vos données. Les entreprises qui traitent des données sensibles, des applications financières aux plateformes de messagerie, sont sous pression croissante pour resserrer leurs pratiques bien avant la date limite de 2027. Il convient de rappeler que les plateformes avec d'énormes bases d'utilisateurs indiens ajustent déjà leurs pratiques en matière de données en prévision d'un contrôle plus strict, à l'instar de WhatsApp qui teste des fonctionnalités de vérification de l'âge pour ses quelque 600 millions d'utilisateurs indiens.
Cela dit, l'application de la loi rattrape encore le texte de la loi, et toutes les règles ne sont pas encore en vigueur partout. Ne vous attendez pas à une transformation du jour au lendemain. Surveillez plutôt les changements progressifs dans les politiques de confidentialité, les écrans de consentement et la manière dont les entreprises répondent lorsque vous leur demandez quelles données elles détiennent sur vous.
Points d'action concrets
Commencez à prêter plus d'attention aux demandes de consentement et aux avis de confidentialité des applications et services indiens, car ils deviendront probablement plus détaillés à mesure que les règles de la loi DPDP seront progressivement mises en œuvre. Si vous interagissez avec une entreprise qui traite des données personnelles sensibles, telles que des informations financières ou de santé, demandez directement à quoi ressemblent leurs politiques de conservation et de suppression des données. Et si vous dirigez ou conseillez une entreprise opérant en Inde, traitez les délais de 2027 de la loi DPDP comme fermes plutôt que lointains, car les travaux préparatoires à la conformité, de la gestion du consentement aux structures internes de responsabilité, prennent du temps à construire. Que vous soyez un consommateur ou un propriétaire d'entreprise, la loi DPDP est un rappel que la confidentialité des données en Inde passe d'une considération juridique après coup à une exigence opérationnelle, et rester informé dès maintenant rendra la transition beaucoup moins perturbatrice plus tard.
