Le DPDP Act indien : ce qu’il exige pour les cookies et le consentement

Qu’est-ce que le DPDP Act ?

Le Digital Personal Data Protection Act, 2023 (No. 22 of 2023) est la première loi générale indienne sur la protection des données. Le Parlement l’a adopté en août 2023 et il a été promulgué le 11 août 2023. Il n’est devenu opérationnel qu’avec les Digital Personal Data Protection Rules, 2025, publiées au Journal officiel sous la référence G.S.R. 846(E) du 13 novembre 2025, après une consultation qui a recueilli 6 915 commentaires. Le ministère de l’Électronique et des Technologies de l’information (MeitY) administre la loi, et le Data Protection Board of India la fait appliquer.

Les règles fixent trois dates. Les règles 1, 2 et 17 à 21, qui créent le Board et ses procédures, sont entrées en vigueur dès leur publication. La règle 4, sur l’enregistrement des gestionnaires de consentement, entre en vigueur un an après la publication, en novembre 2026. Les règles 3 et 5 à 16, qui contiennent les obligations d’information, de sécurité, de notification des violations, de protection des enfants et de conservation des données, ainsi que les règles 22 et 23, entrent en vigueur dix-huit mois après la publication, en mai 2027. Une notification distincte a fait entrer en vigueur les sections de la loi elle-même selon le même calendrier. D’ici là, la section 43A de l’Information Technology Act et ses règles de 2011 sur les données personnelles sensibles s’appliquent toujours.

À qui s’applique le DPDP Act ?

La section 3 applique la loi au traitement de données personnelles numériques en Inde, qu’elles aient été collectées sous forme numérique ou numérisées ensuite, et au traitement hors d’Inde lié à l’offre de biens ou de services à des personnes en Inde. Une boutique en ligne ou une application étrangère qui sert des clients indiens est dans le champ. Contrairement au RGPD, la loi ne s’étend pas au seul suivi du comportement : un site étranger qui profile des visiteurs indiens sans rien leur proposer échappe au texte. Les données personnelles traitées à des fins purement personnelles et les données rendues publiques par la personne sont exclues. Les obligations pèsent sur le Data Fiduciary, l’entité qui décide de la finalité et des moyens du traitement ; les Significant Data Fiduciaries, désignés par le gouvernement, ont des obligations supplémentaires comme des audits et des analyses d’impact.

Les cookies exigent-ils un consentement en Inde ?

La loi ne mentionne pas les cookies. Elle s’y applique lorsqu’ils collectent des données personnelles, c’est-à-dire des données sur une personne identifiable par ces données ou en relation avec elles. La loi ne prévoit que deux fondements de traitement : le consentement, et les « certain legitimate uses » (certains usages légitimes) listés à la section 7, comme les données que la personne fournit volontairement pour une finalité précise, les obligations légales, les urgences médicales et l’emploi. Il n’existe pas de base d’intérêt légitime. Les cookies de mesure d’audience, de publicité et de suivi intersites exigeront donc un consentement dès que les obligations principales s’appliqueront, en mai 2027.

Les enfants bénéficient d’une protection renforcée. Est un enfant toute personne de moins de 18 ans. Un Data Fiduciary doit obtenir le consentement vérifiable d’un parent avant de traiter les données personnelles d’un enfant, et la section 9(3) interdit le suivi ou la surveillance comportementale des enfants et la publicité ciblée qui leur est destinée, sous réserve des exemptions fixées par les règles pour certaines catégories et finalités, comme les services de santé et l’éducation.

À quoi doivent ressembler l’avis et le consentement ?

La section 6(1) exige un consentement libre, spécifique, éclairé, inconditionnel et univoque, donné par un acte positif clair, et limité aux données personnelles nécessaires à la finalité indiquée. Toute partie d’un consentement qui enfreint la loi est nulle. La demande doit être rédigée en termes clairs et simples, avec la possibilité de la lire en anglais ou dans l’une des 22 langues de la huitième annexe de la Constitution, et indiquer un contact pour les questions. Le retrait doit être aussi simple que le consentement (section 6(4)), et le Data Fiduciary doit prouver que l’avis a été donné et le consentement obtenu (section 6(10)).

La règle 3 décrit l’avis. Il doit être compréhensible en lui-même, séparément de toute autre information, et donner au minimum une description détaillée des données personnelles et des finalités précises, ainsi qu’un lien pour retirer son consentement, exercer ses droits et saisir le Board. Un bandeau de consentement qui nomme chaque catégorie de cookies, sa finalité et un lien de retrait correspond à cette description ; une simple ligne « en utilisant ce site, vous acceptez » ne convient pas.

Que sont les gestionnaires de consentement ?

La loi permet aux personnes de donner, gérer, revoir et retirer leur consentement par l’intermédiaire d’un Consent Manager, un intermédiaire enregistré qui leur rend des comptes (sections 6(7) à 6(9)). Selon la règle 4 et la première annexe, un gestionnaire de consentement doit être une société constituée en Inde avec des fonds propres d’au moins 2 crores de roupies et doit s’enregistrer auprès du Board. L’enregistrement ouvre en novembre 2026. Recourir à un gestionnaire de consentement est une option pour les personnes, pas une obligation pour les sites.

Comment les transferts à l’étranger sont-ils encadrés ?

La loi repose sur une liste négative. La section 16 permet au gouvernement central de restreindre, par notification, les transferts vers les pays qu’il désigne ; les transferts vers les autres pays sont permis. La règle 15 ajoute qu’un Data Fiduciary doit respecter les exigences que le gouvernement fixe par arrêté pour la mise à disposition de données personnelles à un État étranger ou à des entités qu’il contrôle. Les lois sectorielles aux règles de localisation plus strictes, comme celles de la Reserve Bank of India, continuent de s’appliquer. Aucun pays n’avait fait l’objet d’une restriction au moment de la rédaction de cette page.

Qui fait appliquer la loi, et quelles sont les sanctions ?

Le Data Protection Board enquête sur les manquements, principalement sur plainte, et inflige des sanctions après audition ; ses décisions peuvent faire l’objet d’un recours devant le TDSAT. L’annexe fixe des sanctions maximales par manquement : jusqu’à 250 crores de roupies pour défaut de mesures de sécurité raisonnables, jusqu’à 200 crores pour défaut de notification d’une violation de données personnelles et pour les manquements aux obligations relatives aux enfants, et jusqu’à 50 crores pour les autres manquements à la loi ou aux règles. Le Board tient compte de la nature, de la gravité et de la durée du manquement pour fixer le montant. Comme les obligations principales s’appliquent à partir de mai 2027, aucune sanction n’a encore été prononcée au titre de la loi.

Que doit faire un site qui s’adresse à l’Inde avant mai 2027 ?

• Recenser les cookies et balises qui collectent des données personnelles ; le scanner de cookies donne une première liste.
• Préparer un avis de consentement détaillé par finalité, avec un retrait aussi simple que l’acceptation.
• Conserver la preuve de chaque consentement, puisque la charge de la preuve vous incombe.
• Vérifier si des enfants utilisent votre service et cesser tout suivi comportemental à leur égard.

L’Inde ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre : vous pouvez donc ajouter l’Inde à une liste personnalisée. Les visiteurs indiens voient alors le bandeau de consentement préalable avec « Tout refuser », et le registre des consentements enregistre chaque choix comme preuve. Voir aussi Singapour et la loi indonésienne.