La loi DPDP de l’Inde entre dans sa phase d’application
Après près d’une décennie de projets, consultations et retards politiques, la première loi complète de protection des données de l’Inde est passée de l’aspiration à l’obligation. Les règles de protection des données personnelles numériques (DPDP), 2025, ont été notifiées le 14 novembre 2025 par le ministère de l’Électronique et des Technologies de l’Information (MeitY), activant l’horloge de conformité pour toute organisation traitant les données personnelles numériques des résidents indiens — quel que soit le siège de cette organisation.
La portée extraterritoriale de la loi est explicite : toute entreprise offrant des biens ou des services à des particuliers en Inde, ou traitant des données personnelles liées à ces offres, est couverte. Cela place des centaines de milliers de plateformes SaaS mondiales, de fournisseurs d’infrastructure cloud et de places de marché numériques directement dans le champ d’application — qu’ils aient ou non une entité juridique en Inde.
L’architecture des règles DPDP introduit un système de conformité à deux niveaux : des obligations de base qui s’appliquent à tous les Fiduciaires de Données, et un ensemble d’obligations substantiellement plus lourdes pour les organisations désignées comme Fiduciaires de Données Significatifs (FDS). Comprendre quel niveau s’applique — et quand — est la décision de conformité la plus importante qu’une entreprise technologique mondiale prendra en 2026.
Le calendrier en trois phases : trois échéances qui ne peuvent pas être manquées
Les règles DPDP fonctionnent selon une horloge à trois phases. Selon l’analyse détaillée d’India Briefing, les phases sont les suivantes :
Phase I (14 novembre 2025 — déjà active) : Le Conseil de protection des données de l’Inde est établi et commence ses opérations. Certaines dispositions d’application, y compris l’autorité procédurale du Conseil, prennent effet immédiatement.
Phase II (13 novembre 2026) : Le cadre du Gestionnaire de Consentement devient opérationnel. Tout Fiduciaire de Données qui s’appuie sur le consentement comme base légale du traitement doit s’intégrer avec un Gestionnaire de Consentement enregistré avant cette date. Les Gestionnaires de Consentement doivent être des entités indiennes, maintenir une valeur nette minimale de 20 millions INR (environ 225 000 USD) et conserver les enregistrements de consentement en format lisible par machine pendant sept ans. Cette échéance est dans 6 mois.
Phase III (13 mai 2027) : Les obligations de conformité complètes pour tous les Fiduciaires de Données entrent en vigueur, y compris les droits fondamentaux des Mandants de données (avis, consentement, rectification, effacement), l’obligation de notification de violation dans les 72 heures, et les exigences d’audit annuel pour les Fiduciaires de Données Significatifs.
Le débat sur le calendrier accéléré est important : en janvier 2026, MeitY a consulté les parties prenantes de l’industrie sur la possibilité de comprimer la fenêtre de 18 mois pour les FDS à 12 mois, ce qui déplacerait l’application complète des FDS à novembre 2026 — coïncidant avec l’échéance du Gestionnaire de Consentement. Aucune décision finale n’a été annoncée en mai 2026, mais les entreprises qui traitent mai 2027 comme un délai confortable pourraient se tromper.
Publicité
Le Fiduciaire de Données Significatif : le niveau qui change tout
La désignation FDS est la classification la plus importante du cadre DPDP. En vertu de la règle 13 des règles DPDP, les organisations notifiées comme FDS doivent se conformer à un régime substantiellement plus lourd que les Fiduciaires de Données ordinaires.
Le gouvernement central désigne les FDS sur la base de critères incluant : le volume de données personnelles traitées, la sensibilité des catégories de données, l’impact potentiel sur la sécurité nationale ou l’intégrité électorale, l’utilisation de technologies émergentes, et tout autre facteur prescrit par le gouvernement. Des seuils numériques pour le critère de volume sont attendus en 2026.
Pour les infractions les plus graves — défaut de mise en place de mesures de sécurité raisonnables — les pénalités atteignent 250 crores INR (environ 30 millions USD). Le non-respect des obligations supplémentaires spécifiques aux FDS entraîne des amendes jusqu’à 150 crores INR (environ 16 millions USD).
Toute entreprise SaaS mondiale comptant plusieurs centaines de milliers d’utilisateurs indiens, ou traitant des catégories sensibles telles que les données de santé, les données de transactions financières, ou les données utilisées dans la prise de décision automatisée, doit supposer que la désignation FDS est un risque réaliste et se préparer en conséquence.
Ce que les équipes SaaS et cloud doivent faire avant novembre 2026
L’échéance du Gestionnaire de Consentement en novembre 2026 est le premier moment de conformité obligatoire. C’est aussi le catalyseur qui rend la pré-classification FDS urgente — parce que si votre plateforme est ultérieurement désignée FDS, les exigences d’intégration du Gestionnaire de Consentement sont plus strictes que la base de référence.
1. Réaliser une cartographie des données et une auto-évaluation FDS au T2 2026
Avant toute décision d’architecture, les organisations ont besoin d’un inventaire structuré : quelles catégories de données personnelles vous traitez pour les utilisateurs indiens, le volume approximatif, si des catégories relèvent de la liste des données sensibles (à notifier par MeitY, mais susceptibles d’inclure les données de santé, financières et biométriques), et si votre traitement implique une prise de décision automatisée qui affecte matériellement les individus. Le guide de conformité Phase 2 de Secure Privacy recommande de terminer cette cartographie d’ici mi-2026 pour laisser suffisamment de temps pour la remédiation technique avant l’échéance de novembre.
L’auto-évaluation ne nécessite pas d’attendre les seuils de volume de MeitY. Les entreprises traitant des données personnelles pour des dizaines de millions d’utilisateurs indiens doivent traiter la désignation FDS comme une hypothèse de planification.
2. Repenser votre architecture de consentement pour l’intégration du Gestionnaire de Consentement
Le cadre du Gestionnaire de Consentement exige que les Fiduciaires de Données s’intègrent via API avec un Gestionnaire de Consentement enregistré, permettant aux Mandants de données de donner, gérer, examiner et retirer leurs consentements à travers toutes les plateformes depuis une interface unique. Cela est structurellement différent des bannières de consentement que la plupart des plateformes utilisent aujourd’hui. Il faut construire ou mettre à jour une infrastructure API capable de recevoir des signaux de consentement, de les enregistrer avec granularité (par finalité, pas de manière globale), et de traiter les retraits sans délai.
Selon l’analyse des règles DPDP par Lexology, l’enregistrement du consentement doit lier chaque événement de collecte de données à la finalité spécifique, au signal de consentement spécifique, et au Mandant de données dont l’identité a été vérifiée. Les enregistrements de consentement doivent être conservés pendant sept ans. Il s’agit d’un engagement d’ingénierie non trivial qui nécessite généralement 3 à 6 mois de développement pour les plateformes ayant des flux de consentement complexes.
3. Nommer un DPO basé en Inde et construire la structure de reporting au Conseil
Si la désignation FDS est une perspective réaliste, la nomination d’un Délégué à la Protection des Données (DPO) basé en Inde ne peut pas attendre après la désignation. Le DPO doit être une personne physique basée en Inde, doit rendre compte directement au Conseil d’Administration ou à l’organe de direction équivalent, et sert de point de contact principal pour le traitement des réclamations et les procédures devant le Conseil de protection des données. Le recrutement et l’intégration d’un DPO qualifié prennent du temps — et le vivier de DPO qualifiés DPDP est actuellement réduit par rapport à la demande.
Pour les entreprises mondiales sans entité indienne, la nomination d’un DPO peut nécessiter l’établissement d’une présence juridique en Inde pour la première fois. Cela interagit avec les règles de transfert transfrontalier des données : les transferts vers des pays non whitelistés nécessitent des évaluations d’impact des transferts dans le cadre DPDP, et les FDS font face à des exigences de localisation supplémentaires pour des catégories spécifiées de données personnelles une fois ces catégories notifiées.
4. Mettre à jour vos contrats de sous-traitance et la chaîne de fournisseurs
Les règles DPDP placent la responsabilité de conformité fermement sur le Fiduciaire de Données, même lorsque le traitement est effectué par un sous-traitant. Les règles exigent des contrats Fiduciaire de Données-Sous-traitant incluant des dispositions de sécurité spécifiques, des obligations de notification de violation et des droits d’audit. Cela signifie que les fournisseurs d’infrastructure cloud, les sous-traitants ultérieurs et les fournisseurs d’analyse dans votre chaîne d’approvisionnement de données doivent être contractuellement liés par des conditions compatibles DPDP.
Les contrats existants signés avant novembre 2025 manquent presque certainement de langage spécifique DPDP. Un audit de tous les contrats de sous-traitance, suivi d’un amendement systématique, est une condition préalable à la conformité — pas un option.
La leçon structurelle
La loi DPDP de l’Inde est le troisième cadre majeur de protection des données, après le RGPD de l’UE et la LGPD du Brésil, à imposer des obligations extraterritoriales aux entreprises technologiques mondiales. Mais son niveau FDS introduit quelque chose que ni le RGPD ni la LGPD n’ont créé : une catégorie d’organisations désignée par le gouvernement qui fait face à des exigences d’audit, de responsabilité algorithmique et de potentielle localisation des données calibrées sur leur profil spécifique d’échelle et de sensibilité.
Ce n’est pas un exercice de conformité qui commence lors du premier avis d’application de MeitY. Les organisations qui respecteront confortablement l’échéance du Gestionnaire de Consentement de novembre 2026 sont celles qui ont commencé leur cartographie des données et la reconception de leur architecture au premier semestre 2026. Si la proposition d’accélération de MeitY est mise en œuvre, elle réduirait encore davantage la fenêtre déjà courte. Traiter cela comme un projet du T4 2026 est un plan pour manquer l’échéance.
Pour les équipes de conformité en entreprise, le cadre DPDP représente une véritable obligation de gouvernance — pas un exercice de case à cocher calqué sur des bannières de consentement de cookies. La notification de violation dans les 72 heures, l’audit algorithmique pour les FDS et l’enregistrement de consentement lisible par machine sur sept ans sont des exigences d’ingénierie et opérationnelles, pas des formalités administratives.
Questions Fréquemment Posées
Qui est couvert par la loi DPDP de l’Inde ?
La loi DPDP s’applique à toute organisation qui traite les données personnelles numériques de particuliers situés en Inde — quel que soit le lieu d’incorporation ou de localisation de l’organisation. Cela inclut les plateformes SaaS mondiales, les fournisseurs de cloud, les entreprises d’e-commerce et les entreprises de services numériques qui offrent des biens ou des services aux résidents indiens, même sans présence physique en Inde. La portée extraterritoriale est explicite dans le texte de la loi.
Qu’est-ce qu’un Fiduciaire de Données Significatif et quelles obligations supplémentaires doit-il respecter ?
Un Fiduciaire de Données Significatif (FDS) est une organisation désignée par le gouvernement central sur la base de critères incluant le volume et la sensibilité des données traitées, le risque potentiel de préjudice pour les Mandants de données, et l’utilisation de technologies émergentes. Les FDS font face à des obligations au-delà des Fiduciaires de Données de base : nomination obligatoire d’un DPO basé en Inde, évaluations annuelles de l’impact sur la protection des données, audits annuels indépendants rapportés au Conseil de protection des données, et évaluations de la responsabilité algorithmique. Les pénalités pour non-conformité des FDS atteignent 150 crores INR (environ 16 millions USD).
Qu’est-ce que le cadre du Gestionnaire de Consentement et quand entre-t-il en vigueur ?
Un Gestionnaire de Consentement est un intermédiaire enregistré qui fournit une interface unique permettant aux Mandants de données de donner, gérer, examiner et retirer leurs consentements auprès de plusieurs Fiduciaires de Données. Le cadre du Gestionnaire de Consentement devient opérationnel le 13 novembre 2026. Les Fiduciaires de Données s’appuyant sur le consentement comme base légale du traitement doivent s’intégrer avec un Gestionnaire de Consentement enregistré avant cette date. L’intégration nécessite de construire une infrastructure API capable de recevoir des signaux de consentement, de les enregistrer par finalité avec une conservation de sept ans, et de traiter les demandes de retrait sans délai.
—
Sources et lectures complémentaires
- Règles DPDP 2025 notifiées — India Briefing, novembre 2025
- Inde DPDP Phase 2 : ce que les entreprises doivent faire pour se préparer — Secure Privacy, 2026
- Règles DPDP, 2025 : consentement, sécurité et gouvernance — Lexology
- Règle 13 : Obligations supplémentaires du Fiduciaire de Données Significatif — DPDPA.com
- Nouvelles règles de confidentialité des données de l’Inde : 8 étapes pour les entreprises — Fisher Phillips, 2026
- Règles DPDP pour les transferts transfrontaliers de données — Kalp Systems
🔗 Intelligence Connexe
Les Règles DPDP de l’Inde Sont en Vigueur : Ce que les Entreprises Doivent Faire Avant Mai 2027
DSA 2026 : Les obligations des plateformes envers les mineurs se durcissent
Responsabilité des plateformes 2026 : Section 230
ShinyHunters, mai 2026 : les données SaaS sont la nouvelle cible des ransomwares
