La loi indienne sur la protection des données personnelles numériques (Digital Personal Data Protection Act) adopte une approche différente de l’Europe concernant les données publiques. Le RGPD s’applique aux données personnelles où qu’elles se trouvent. La loi indienne, à l’inverse, indique qu’elle ne s’applique pas à certaines données personnelles déjà publiques. Pour les équipes qui collectent des données web dans un souci de conformité, cela peut sembler une réponse simple. Ce n’est pas le cas, et le calendrier compte autant que la formulation.
Ce guide présente ce que dit la loi sur les données publiques, sa date d’entrée en vigueur, ce qu’elle exige lorsque l’exclusion ne s’applique pas, et comment s’y préparer. Il s’agit d’informations générales, pas d’un conseil juridique.
Où en est la loi
La loi a reçu l’assentiment présidentiel le 11 août 2023. Le gouvernement a notifié les DPDP Rules et les dates d’entrée en vigueur en novembre 2025, en trois étapes.
| Étape | Date | Ce qui entre en vigueur |
|---|---|---|
| À la publication | 13 novembre 2025 | Les définitions, le Data Protection Board et ses règles de constitution |
| Après un an | novembre 2026 | Les dispositions relatives aux gestionnaires de consentement |
| Après 18 mois | 13 mai 2027 | Le champ d’application (section 3), les notifications, le consentement, les usages légitimes, les obligations, les droits, les exemptions, les pouvoirs d’exécution du Board et les sanctions |
Certains résumés comptent à partir du 14 novembre, date de signature du Journal officiel (Gazette), ce qui décale chaque étape d’un jour. Dans tous les cas, les principales obligations, et même la section qui définit le champ d’application de la loi et son exclusion relative aux données publiques, sont adoptées mais pas encore en vigueur. D’ici là, les anciennes règles prévues par la section 43A de l’IT Act continuent de s’appliquer aux données personnelles sensibles.
Début 2026, le gouvernement a consulté sur la possibilité d’avancer certaines obligations à 12 mois pour les plus grands responsables de traitement de données (data fiduciaries). Au moment de la rédaction, nous n’avons trouvé aucune notification confirmant ce changement, il convient donc de vérifier le Journal officiel avant de se fier à la date de 2027.
L’exclusion relative aux données publiques
La section 3(c)(ii) indique que la loi ne s’applique pas aux « données personnelles rendues ou dont la mise à disposition publique a été provoquée par » :
- « le Data Principal auquel ces données personnelles se rapportent », ou
- « toute autre personne soumise à une obligation légale en vigueur en Inde de rendre ces données personnelles publiquement disponibles ».
La loi donne un exemple : « X, un particulier, en publiant ses opinions sur un blog, a rendu publiques ses propres données personnelles sur les réseaux sociaux. Dans ce cas, les dispositions de la présente loi ne s’appliquent pas. »
Le critère est de savoir qui a rendu les données publiques, et non si elles sont publiques actuellement. Trois cas illustrent la différence.
| Données | Qui les a rendues publiques | Exclues ? |
|---|---|---|
| Le profil ou l’article de blog d’un professionnel | La personne elle-même | Oui, selon le texte |
| Les coordonnées d’un administrateur de société dans un registre légal | Une personne légalement tenue de les publier | Oui, selon le texte |
| Un article de presse, un avis ou une republication nommant une personne | Un tiers sans obligation légale | Non |
Une grande partie de ce qu’un robot d’indexation collecte relève de cette troisième catégorie : des noms figurant dans des articles, des avis, des commentaires et des annuaires compilés par d’autres. L’exclusion ne couvre pas ces données. La loi ne précise pas non plus si des données restent exclues une fois combinées avec d’autres sources ou utilisées pour profiler une personne, et il n’existe pour l’instant aucune orientation officielle sur ce point.
En pratique, il faut connaître l’origine de chaque enregistrement. Un ensemble de données mêlant des données auto-publiées et des données tierces ne peut pas se prévaloir de l’exclusion dans son ensemble.
Lorsque l’exclusion ne s’applique pas
Pour les données personnelles ne relevant pas de l’exclusion, la loi est stricte.
Pas d’intérêts légitimes. Le traitement n’est licite qu’avec consentement ou pour des « usages légitimes spécifiques ». Ces usages forment une liste fermée : données qu’une personne a fournies volontairement dans un but déterminé, fonctions de l’État, obligations légales, décisions de justice, urgences médicales, catastrophes et emploi. Il n’existe pas de test de mise en balance général comparable aux intérêts légitimes du RGPD. Notre guide sur les proxies résidentiels et le RGPD explique comment l’Europe traite la même question.
Le consentement est exigeant. Il doit être « libre, spécifique, informé, inconditionnel et non ambigu, avec une action affirmative claire », et précédé d’une notification. Le consentement est rarement praticable pour des données collectées sur le web.
La recherche dispose de sa propre exemption. La section 17(2)(b) indique que la loi ne s’applique pas au traitement « nécessaire à des fins de recherche, d’archivage ou de statistiques, à condition que les données personnelles ne soient pas utilisées pour prendre une décision spécifique concernant un Data Principal », effectué selon des normes prescrites. Les Rules fixent ces normes : traitement licite, seulement les données nécessaires, exactitude raisonnable, conservation limitée, mesures de sécurité et responsabilité claire. Cette exemption entre également en vigueur en mai 2027.
Portée au-delà de l’Inde. La loi s’applique au traitement effectué hors d’Inde lorsqu’il est « en lien avec une activité liée à l’offre de biens ou de services à des Data Principals situés sur le territoire indien ». Une équipe située à l’étranger qui constitue un ensemble de données sur des consommateurs indiens pour leur vendre des produits doit considérer qu’elle peut être concernée.
Sanctions
Les sanctions sont fixées par infraction et « peuvent aller jusqu’à » les montants ci-dessous. Elles s’appliquent à partir de mai 2027.
| Infraction | Jusqu’à |
|---|---|
| Absence de mesures de sécurité raisonnables | ₹250 crore |
| Absence de notification d’une violation de données personnelles | ₹200 crore |
| Violation des obligations relatives aux enfants | ₹200 crore |
| Violation des obligations des responsables de traitement de données significatifs | ₹150 crore |
| Violation de toute autre disposition | ₹50 crore |
₹250 crore représentent 2,5 milliards de roupies. Le Board détermine le montant au cas par cas.
L’autre loi à garder à l’esprit
La DPDP Act n’est pas la seule loi indienne qui touche aux données web. La section 43 de l’IT Act rend une personne redevable d’une compensation si, « sans la permission du propriétaire » d’un système informatique, elle y accède ou télécharge, copie ou extrait des données de celui-ci. Cela repose sur la permission, et non sur la nature personnelle des données, de sorte que les conditions d’utilisation d’un site et ses contrôles d’accès comptent séparément de ce que prévoit la DPDP Act. Notre guide sur ce que le service juridique demandera avant un projet de scraping explique comment évaluer ces questions ensemble.
Comment les équipes data devraient se préparer
- Cartographier les données personnelles indiennes. Identifier quelles sources et quels champs contiennent des données personnelles concernant des personnes en Inde, et si votre usage est lié à l’offre de biens ou de services à ces personnes.
- Consigner qui a publié chaque enregistrement. Étiqueter les données comme auto-publiées, publiées légalement ou tierces. Seules les deux premières catégories peuvent se prévaloir de l’exclusion. Notre guide sur la provenance dans le pipeline d’entraînement de l’IA présente un format d’enregistrement qui conserve cette information.
- Supprimer ce dont vous n’avez pas besoin. Les données personnelles tierces sans fondement légal doivent être filtrées dès la collecte, et non après coup.
- Tester toute revendication de recherche. Si vous invoquez l’exemption de recherche, documentez la finalité, confirmez qu’aucune décision n’est prise concernant des individus, et respectez les normes fixées par les Rules.
- Se préparer pour mai 2027. Considérez cette date comme l’échéance, et surveillez toute notification qui avancerait les dates ou restreindrait les transferts vers certains pays.
La place des proxies
Un proxy change l’origine apparente d’une requête, pas ce que la loi autorise. Collecter des données personnelles indiennes via une IP indienne, ou toute autre, ne change rien au fait que la DPDP Act s’applique ou à l’exclusion dont vous pouvez vous prévaloir. Les proxies résidentiels sont utiles pour voir des pages publiques telles que les visiteurs locaux en Inde les voient, pour des usages comme la surveillance des prix, la vérification publicitaire et les contrôles de localisation, qui impliquent généralement peu ou pas de données personnelles.
En résumé
La DPDP Act indienne exclut les données personnelles que les personnes publient elles-mêmes à leur sujet, mais pas les données personnelles que d’autres publient à leur sujet, et elle ne prévoit aucun fondement d’intérêts légitimes auquel se rabattre. La plupart de ses obligations entrent en vigueur le 13 mai 2027, y compris l’exclusion elle-même. Profitez de ce délai pour cartographier les données personnelles indiennes que vous détenez, consigner qui a publié chaque enregistrement, et construire une collecte qui ne conserve que ce que vous pouvez justifier. Pour une comparaison avec un autre changement récent, voir notre guide sur la loi britannique Data (Use and Access) Act.
Sources et références
- Digital Personal Data Protection Act, 2023, Gazette of India (11 August 2023): egazette.gov.in
- Commencement notification, G.S.R. 843(E) (November 2025): egazette.gov.in
- Establishment of the Data Protection Board, G.S.R. 844(E) (November 2025): egazette.gov.in
- Digital Personal Data Protection Rules, 2025, G.S.R. 846(E): egazette.gov.in
- Press Information Bureau, DPDP Rules backgrounder (November 2025): pib.gov.in
- S.S. Rana and Co., MeitY plans to cut short the DPDP compliance timeline (13 February 2026): ssrana.in
- Information Technology Act, 2000, section 43 (text via CIS): cis-india.org
- General Data Protection Regulation, Regulation (EU) 2016/679: eur-lex.europa.eu