Conformité au Digital Personal Data Protection Act (DPDPA) indien
Pandectes GDPR Compliance aide les boutiques Shopify à respecter les exigences du DPDPA en recueillant le consentement avant le dépôt des cookies non essentiels, en scannant et classant les cookies et en conservant les registres de consentement.
Commencer gratuitement
L'application de consentement aux cookies n° 1 sur Shopify, adoptée par 185k boutiques
Qu’est-ce que le DPDPA ?
Le Digital Personal Data Protection Act, 2023 (DPDPA) est la première loi complète de l’Inde sur la protection des données. Il encadre la manière dont les entreprises, que la loi appelle « Data Fiduciaries » (fiduciaires de données), traitent les données personnelles numériques des personnes, appelées « Data Principals » (titulaires des données). Les Digital Personal Data Protection Rules, 2025 (DPDP Rules) en précisent les modalités pratiques, comme le contenu obligatoire d’un avis de consentement et la manière de répondre aux demandes.
Les principales exigences du DPDPA sont les suivantes :
- Le consentement doit être libre, spécifique, éclairé, inconditionnel et univoque, donné par un acte positif clair et limité aux données nécessaires à la finalité annoncée.
- Chaque demande de consentement doit s’accompagner d’un avis clair expliquant quelles données sont collectées et pourquoi. Les personnes peuvent demander cet avis en anglais ou dans l’une des langues énumérées à la huitième annexe de la Constitution.
- Les personnes peuvent retirer leur consentement à tout moment, et le retrait doit être aussi simple que le fait de le donner.
- Le traitement des données d’un enfant (toute personne de moins de 18 ans) nécessite le consentement vérifiable d’un parent ou d’un tuteur, et le suivi, la surveillance comportementale et la publicité ciblée visant des enfants sont interdits.
- Les personnes ont le droit d’accéder à leurs données, de les corriger, de les mettre à jour et de les faire effacer, et les demandes doivent recevoir une réponse dans un délai de 90 jours.
- Les Data Fiduciaries doivent protéger les données au moyen de garanties de sécurité raisonnables et signaler les violations de données personnelles.
À qui s’applique le DPDPA ?
Le DPDPA s’applique aux données personnelles numériques traitées en Inde. Il s’applique aussi aux traitements effectués hors de l’Inde lorsqu’ils sont liés à l’offre de biens ou de services à des personnes se trouvant en Inde : une boutique en ligne établie ailleurs qui vend à des clients en Inde est donc concernée.
Que se passe-t-il si je ne respecte pas le DPDPA ?
Le DPDPA est mis en œuvre par le Data Protection Board of India, qui peut enquêter sur les manquements à la loi et infliger des sanctions financières. Les sanctions maximales sont fixées dans une annexe de la loi :
- Jusqu’à 250 crores de ₹ pour ne pas avoir pris de garanties de sécurité raisonnables afin de prévenir une violation de données personnelles.
- Jusqu’à 200 crores de ₹ pour ne pas avoir notifié une violation de données personnelles au Board et aux personnes concernées.
- Jusqu’à 200 crores de ₹ pour manquement aux obligations supplémentaires relatives aux données des enfants.
- Jusqu’à 50 crores de ₹ pour les autres manquements à la loi ou aux Rules commis par une Data Fiduciary.
Le Board fixe chaque sanction en fonction de facteurs tels que la nature, la gravité et la durée du manquement. Ses décisions peuvent faire l’objet d’un recours devant le Telecom Disputes Settlement and Appellate Tribunal (TDSAT).
Quand le DPDPA entre-t-il en vigueur ?
Le DPDPA a reçu l’assentiment présidentiel le 11 août 2023, et les DPDP Rules ont été publiées en novembre 2025. Les dispositions instituant le Data Protection Board ont pris effet immédiatement, les règles applicables aux gestionnaires de consentement enregistrés (Consent Managers) s’appliquent à partir de novembre 2026, et les principales obligations des entreprises, notamment l’information, le consentement, les données des enfants et les droits des personnes concernées, s’appliquent à partir de mai 2027.
Se conformer au DPDPA
Les boutiques Shopify qui vendent à des clients en Inde devraient mettre à profit le temps qui reste avant mai 2027 pour se préparer. Lorsque des cookies et des outils de suivi traitent des données personnelles, le consentement du visiteur doit résulter d’un acte positif clair : des cases pré-cochées ou le fait de considérer la poursuite de la navigation comme un consentement ne répondront pas à cette exigence. L’avis de consentement doit être autonome, énumérer en langage clair les données collectées et chaque finalité précise, et les visiteurs doivent pouvoir retirer leur consentement aussi facilement qu’ils l’ont donné. Si votre boutique est susceptible d’être utilisée par des enfants, soyez particulièrement vigilant en matière de suivi et de publicité ciblée.
Le DPDPA n’impose pas de mécanisme particulier pour les transferts de données vers l’étranger, mais le gouvernement peut restreindre les transferts vers les pays qu’il désigne : surveillez donc toute liste de ce type. Vous devez également publier des coordonnées pour les questions relatives à la vie privée et mettre en place une procédure pour répondre à temps aux demandes d’accès, de rectification et d’effacement.
Une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance vous aide pour la partie qui se joue sur votre boutique. Elle affiche une bannière de cookies et bloque les cookies non essentiels jusqu’au consentement du visiteur, scanne et classe automatiquement les cookies de votre boutique et génère une déclaration de cookies pour votre politique. Elle conserve des registres de consentement comme preuve du consentement, vous aide à traiter les demandes des personnes concernées et vous permet de configurer les paramètres de la bannière par région grâce à la géolocalisation, afin que les visiteurs depuis l’Inde voient une bannière adaptée au DPDPA.
Comme le DPDPA est récent et que les lignes directrices du Board sont encore en cours d’élaboration, faites vérifier votre configuration par un conseiller juridique si nécessaire.