Inde : loi DPDP, le compte à rebours jusqu’en mai 2027

Le 13 novembre 2026, la loi indienne sur les données personnelles franchira une deuxième marche : les sociétés qui veulent devenir « gestionnaires de consentement » pourront demander leur enregistrement (Inde · MeitY, règle 4). Six mois plus tard, le 13 mai 2027, l’essentiel du Digital Personal Data Protection Act 2023 (DPDP) s’appliquera : notices, sécurité, notification des violations, droits des personnes. L’amende maximale atteint 250 crores de roupies, soit 2,5 milliards de roupies, pour un défaut de mesures de sécurité.

Le calendrier est écrit au Journal officiel. Le régulateur, lui, n’existe encore que sur le papier : à notre connaissance, au 29 octobre 2026, aucun président ni aucun membre du Data Protection Board n’a été nommé. Pour une entreprise, mai 2027 se prépare maintenant, avec ou sans régulateur.

Ce qui est déjà acté

• La loi (Inde · Parlement) : le DPDP Act a été promulgué le 11 août 2023. Il couvre les données personnelles numériques, y compris les traitements réalisés hors d’Inde pour offrir des biens ou des services à des personnes en Inde.
• Les règles d’application (Inde · MeitY) : publiées au Journal officiel le 13 novembre 2025 (G.S.R. 846(E)), après 6 915 contributions à la consultation. Elles entrent en vigueur en trois temps : immédiatement pour le Board, à un an pour les gestionnaires de consentement, à dix-huit mois pour le reste.
• Le Data Protection Board (Inde · MeitY) : institué le 13 novembre 2025, entièrement numérique, ses décisions pouvant être contestées devant le tribunal d’appel TDSAT. Les candidatures ont été sollicitées en mai et juin 2026. Le 12 août, interrogé au Parlement sur les nominations, le ministère s’est borné à rappeler l’avis de recrutement paru le 6 juin (Inde · Lok Sabha) ; aucune nomination n’a été publiée depuis, à notre connaissance.
• Les plafonds d’amende (Inde · Parlement, annexe de la loi) : 250 crores de roupies pour un défaut de sécurité, 200 crores pour une violation non notifiée ou un manquement sur les données d’enfants, 150 crores pour les obligations renforcées des plus grandes entreprises, 50 crores pour les autres manquements.
• La notification des violations (Inde · MeitY, règle 7) : alerte au Board sans délai, puis rapport détaillé sous 72 heures ; information de chaque personne concernée, en langage clair.
• Une retouche du texte (Inde · MeitY) : un ordre « de levée des difficultés » daté du 5 octobre 2026 et publié au Journal officiel le 7 octobre corrige deux formulations de la loi, dont l’« audit des données » imposé aux plus grandes entreprises (Inde · India Briefing).

Ce qui reste en cours

• 13 novembre 2026 (Inde · MeitY, règle 4) : ouverture des demandes d’enregistrement des gestionnaires de consentement, réservées aux sociétés de droit indien disposant d’au moins 2 crores de roupies de fonds propres. Reste à savoir qui les instruira.
• 13 mai 2027 (Inde · MeitY) : entrée en application des règles 3, 5 à 16, 22 et 23 : notices, sécurité, violations, conservation, enfants, droits des personnes, grandes entreprises, transferts.
• Un calendrier peut-être resserré (Inde · MeitY) : en janvier 2026, le ministère a consulté les entreprises sur un délai ramené de 18 à 12 mois, au moins pour les plus grandes entreprises, qui aurait avancé l’échéance au 13 novembre 2026 (Inde · S.S. Rana & Co.). Au 29 octobre 2026, aucun amendement n’avait été publié, à notre connaissance.
• Les « significant data fiduciaries » (Inde · MeitY) : à notre connaissance, aucune entreprise n’a encore été désignée comme telle.
• Les transferts (Inde · MeitY, section 16 et règle 15) : à notre connaissance, aucune liste de pays interdits ni aucune exigence ministérielle n’a été publiée.
• Le contentieux (Inde · Cour suprême) : saisie par l’association des éditeurs de presse numérique (DNPA), qui conteste plusieurs articles de la loi et des règles, la Cour a émis une notice le 27 octobre 2026, sans suspendre le texte ; audience prévue le 17 novembre 2026 (Inde · LiveLaw).

Le vrai enjeu : prouver, pas seulement informer

Le DPDP n’est pas un RGPD (UE) indien. Il repose sur le consentement et sur une courte liste d’« usages légitimes », sans base générale d’intérêt légitime. Surtout, les règles exigent des preuves. Chaque notice doit détailler les données collectées et la finalité, et retirer son consentement doit être aussi simple que le donner.

Chaque traitement devra laisser des journaux conservés au moins un an, y compris lorsqu’il est confié à un sous-traitant (règle 8). Les grandes plateformes de commerce en ligne, de jeux et de réseaux sociaux devront aussi effacer les données après trois ans d’inactivité, en prévenant la personne 48 heures avant.

Pour les entreprises les plus exposées, désignées « significant data fiduciaries », s’ajoutent une analyse d’impact et un audit tous les douze mois, avec un rapport transmis au Board, et une vérification des algorithmes utilisés pour traiter les données (règle 13).

Trois points de vigilance

1. Un régulateur sans doctrine. Tant que le Board n’a pas de membres, il ne publie ni lignes directrices ni décisions. Les premières affaires fixeront le niveau d’exigence, probablement après mai 2027. D’ici là, il faut se préparer sur le seul texte.

2. La localisation par décision ministérielle. La loi autorise les transferts hors d’Inde, sauf vers les pays que le gouvernement inscrira sur une liste (section 16), et les lois sectorielles plus strictes continuent de s’appliquer. Pour les plus grandes entreprises, un comité pourra désigner des données qui ne devront pas quitter le pays, flux techniques compris (règle 13).

3. Une date qui peut bouger. Le projet de 12 mois n’a pas été publié, mais le ministère peut encore modifier les règles et avancer certaines obligations des plus grandes entreprises. Le recours devant la Cour suprême peut aussi perturber le calendrier. Planifier pour mai 2027 sans scénario plus court serait imprudent.

Ce qu’une entreprise exposée à l’Inde doit faire avant mai 2027

1. Cartographier les traitements de données de personnes en Inde, y compris ceux réalisés en Europe pour des clients indiens.
2. Réécrire les notices de consentement : liste détaillée des données, finalité précise, lien de retrait et voie de plainte devant le Board.
3. Installer la chaîne de notification à 72 heures, avec un modèle de rapport qui reprend les rubriques de la règle 7.
4. Paramétrer la conservation : journaux d’au moins un an, effacement automatique pour les plateformes concernées.
5. Publier un contact et un circuit de réponse aux demandes d’accès, de correction et d’effacement, dans un délai maximal de 90 jours.
6. Évaluer le risque de désignation comme « significant data fiduciary » et préparer un délégué basé en Inde, un auditeur indépendant et une analyse d’impact annuelle.
7. Prévoir dans les contrats une clause de localisation activable si une restriction de transfert est publiée.

En Inde, la date est écrite et le régulateur ne l’est pas encore : préparez-vous pour la date.

La question à poser lundi matin

À votre délégué à la protection des données et à votre responsable Inde : « Si le Board nous demandait le 14 mai 2027 la preuve d’un consentement, d’un journal ou d’une notification à 72 heures, que pourrions-nous lui montrer ? »