Quand des clients m'interrogent sur le Digital Personal Data Protection (DPDP) Act, la première question est rarement « Que dit-il ? ». C'est généralement « Sommes-nous conformes, et comment le saurions-nous ? »
C'est une question légitime. La plupart des organisations détiennent des données personnelles à plus d'endroits qu'elles ne le pensent : exports HRMS, documents de candidats dans les boîtes mail, portails de prestataires, lecteurs partagés, anciennes sauvegardes. La conformité n'est pas une politique que l'on signe une fois. C'est un ensemble de pratiques quotidiennes que l'on peut démontrer à un régulateur, à un client ou à un auditeur.
Chez Quinfy, nous traitons des données sensibles d'identité, de formation, d'emploi et d'adresse pour des centaines de clients, et nous y pensons donc chaque jour. Cet article vous apporte trois choses : le calendrier officiel, un moyen rapide de savoir où vous en êtes et une feuille de route pour vous préparer. Un kit téléchargeable contenant la checklist complète figure à la fin.
Le calendrier : ce qui est déjà en vigueur et ce qui arrive
Les Digital Personal Data Protection Rules, 2025 ont été notifiées par le ministère de l'Électronique et des Technologies de l'information (MeitY) le 13 novembre 2025. Elles mettent la loi en application en trois étapes.
| Date | Ce qui s'applique | Ce que cela signifie pour vous |
|---|---|---|
| 13 novembre 2025 (déjà en vigueur) | Règles 1, 2 et 17 à 21 : définitions et Data Protection Board of India | L'organe d'application existe et peut recevoir des plaintes. Pas encore d'obligations quotidiennes lourdes pour la plupart des entreprises. |
| 13 novembre 2026 (dans environ deux semaines) | Règle 4 : enregistrement et obligations des Consent Managers | Concerne principalement les organisations qui prévoient d'agir comme Consent Managers, et celles qui comptent y recourir. Considérez-la comme votre première étape. |
| 13 mai 2027 (conformité complète) | Règles 3 et 5 à 16, ainsi que 22 et 23 : information, consentement, mesures de sécurité, notification des violations, conservation et effacement, données des enfants, droits des Data Principals, obligations des Significant Data Fiduciaries et règles transfrontalières | C'est la date à laquelle vos processus doivent être opérationnels. |
Deux mises en garde issues de notre lecture des commentaires actuels :
- La date de mai 2027 pourrait être avancée. Certains commentateurs juridiques notent que des articles de presse ont anticipé un calendrier plus court. Planifiez comme si votre échéance réelle précédait le 13 mai 2027, et confirmez la position la plus récente auprès de votre conseil juridique ou sur le site du MeitY.
- Dix-huit mois, c'est plus court qu'il n'y paraît. Reconstruire les parcours de consentement, renégocier les contrats avec les prestataires et mettre en place des contrôles de sécurité occupe généralement l'essentiel de la période disponible. Si vous commencez en novembre, il vous reste environ six mois et demi.
La sanction qui retient l'attention de la direction
La loi autorise des sanctions pouvant atteindre 250 crore ₹ en cas de défaut de mise en place de mesures de sécurité raisonnables, les autres manquements étant assortis de leurs propres sanctions. Quel que soit le montant constaté en pratique, le risque commercial est tout aussi réel : les grands clients demandent déjà aux prestataires des garanties sur le DPDP dans leurs questionnaires de sécurité et leurs contrats.
Une auto-évaluation en cinq minutes
Répondez honnêtement à ces dix questions. Elles sont tirées de la checklist complète en 30 points du kit.
- Savons-nous où se trouvent les données personnelles ? Pouvons-nous produire une cartographie des systèmes, prestataires et fichiers qui contiennent des données personnelles, y compris celles des candidats et des employés ?
- Une personne nommément désignée est-elle responsable du DPDP ? Existe-t-il un responsable identifié, soutenu par la direction ?
- Notre information est-elle claire ? Les personnes reçoivent-elles, avant la collecte, une notice en langage clair indiquant ce que nous collectons, pourquoi, comment exercer leurs droits et comment déposer une réclamation ?
- Pouvons-nous prouver le consentement ? Disposons-nous d'un enregistrement horodaté indiquant qui a accepté quelle finalité ?
- Les personnes peuvent-elles retirer leur consentement aussi facilement qu'elles l'ont donné ?
- Pouvons-nous répondre à une demande d'exercice de droits ? Si quelqu'un demande ce que nous détenons à son sujet, ou nous demande de le corriger ou de l'effacer, pouvons-nous répondre dans un délai défini ?
- Les mesures de sécurité sont-elles en place et documentées ? Pensez au chiffrement, au contrôle d'accès, à la surveillance et aux journaux conservés pendant au moins un an.
- Saurions-nous gérer une violation ? Disposons-nous d'un plan testé pour informer le Data Protection Board et les personnes concernées, avec un rapport détaillé sous 72 heures ?
- Nos contrats avec les prestataires engagent-ils nos sous-traitants ? Couvrent-ils les instructions, la sécurité, les alertes de violation et la suppression ?
- Supprimons-nous les données lorsque la finalité prend fin ? Existe-t-il un calendrier de conservation réellement suivi ?
Comment lire vos réponses. Huit « oui » ou plus signifient que vous êtes dans une situation correcte et devez maintenant en apporter la preuve. Entre quatre et sept, il reste des lacunes à combler au cours des deux prochains trimestres. Trois ou moins, vous devriez commencer ce mois-ci. Le kit complet utilise un score sur 60 points pour que vous puissiez suivre vos progrès dans le temps.
Une feuille de route en six étapes vers la conformité
Travaillez à rebours à partir de l'échéance. Voici la séquence que nous recommandons.
Étape 1 : mobiliser et faire l'état des lieux (novembre 2026). Désignez un responsable, informez la direction et constituez votre inventaire des données. Déterminez si vous pourriez être qualifié de Significant Data Fiduciary, ce qui entraîne des obligations supplémentaires, comme un Data Protection Officer basé en Inde, une analyse d'impact annuelle et un audit indépendant.
Étape 2 : consolider les fondations (décembre 2026 à janvier 2027). Réécrivez votre notice de confidentialité, repensez la collecte du consentement, et rédigez votre calendrier de conservation et votre procédure de traitement des demandes de droits.
Étape 3 : sécuriser les systèmes et les prestataires (janvier à mars 2027). Mettez en œuvre les mesures de sécurité techniques, activez la journalisation et mettez à jour les contrats avec chaque sous-traitant qui accède à des données personnelles. Cartographiez les éventuels transferts transfrontaliers.
Étape 4 : préparer les équipes et la réponse aux incidents (mars à avril 2027). Formez les équipes qui traitent les données, mettez en place votre canal de réclamation, informez les Data Principals existants lorsque c'est requis et organisez un exercice de simulation de violation.
Étape 5 : vérifier et passer en production (avril au 13 mai 2027). Refaites l'auto-évaluation, constituez le dossier de preuves et faites valider le tout par la direction.
Étape 6 : pérenniser. Réexaminez chaque année, et chaque fois que le MeitY publie de nouvelles orientations.
Une remarque pour les équipes RH et de recrutement
Le recrutement est l'endroit où de nombreuses organisations rencontrent d'abord le DPDP Act. Une seule vérification des antécédents peut impliquer des numéros d'identité, des adresses, des diplômes et un historique d'emploi. Quatre habitudes aident le plus :
- Recueillez le consentement des candidats par voie numérique, lié à chaque vérification, plutôt que de vous fier à un formulaire scanné.
- Adaptez le forfait de vérification au poste, afin de ne collecter que ce dont le poste a besoin.
- Fixez une durée de conservation pour les rapports de vérification et assurez-vous que les prestataires la respectent.
- Abordez avec prudence la disposition relative à l'« usage légitime » lié à l'emploi. Elle ne permet pas de tout collecter ; demandez donc conseil à un juriste sur son application à votre cas.
Télécharger le kit
Pour rendre cela concret, nous avons réuni l'ensemble de la démarche dans un document gratuit aux couleurs de Quinfy : le calendrier officiel, l'auto-évaluation en 30 points avec son guide de notation, une feuille de route en six phases, une matrice des responsabilités (RACI), un registre des preuves et une checklist propre au recrutement. Utilisez-le pour mener votre propre revue, le partager avec votre direction ou le remettre à vos auditeurs.
Si vous souhaitez un regard extérieur sur vos processus de recrutement et de vérification, notre équipe se fera un plaisir de les examiner avec vous.
Cet article et le kit constituent des orientations générales et non un conseil juridique. Les dates et les références aux règles reflètent des sources publiques au moment de la rédaction et peuvent évoluer. Veuillez confirmer la situation actuelle auprès d'un conseil juridique qualifié et dans les notifications officielles du MeitY avant de vous y fier.
À propos de l'auteur : Suvarna Singh est Chief Client Officer et cofondatrice de Quinfy, une société de vérification des antécédents native de l'IA qui sert des clients dans plus de 45 pays.
Sources : Digital Personal Data Protection Rules, 2025 (G.S.R. 846(E), 13 novembre 2025) ; commentaires et synthèses de calendrier de LKS (lkslaw.com), Legismith (legismith.com), LLM Advocates (dpdp.llmadvocates.com) et Sumrite (sumrite.com).
