# Se conformer à la loi indienne sur la protection des données personnelles numériques (DPDPA) Protégez la vie privée des clients, rationalisez la gestion des données et réduisez le risque de violation de données. ![Guide de conformité à la loi sur la protection des données personnelles numériques](https://www.manageengine.com/dpdpa/images/dpdpa.webp) ## Qu'est-ce que la DPDPA ? ![Qu'est-ce que la DPDPA ?](https://www.manageengine.com/dpdpa/images/what-is-dpdpa.svg) La loi de 2023 sur la protection des données personnelles numériques (DPDPA) est la loi indienne sur la confidentialité des données. Elle vise à protéger les droits des personnes à la vie privée et à établir un cadre pour le traitement licite des données personnelles. Elle définit la manière dont les données personnelles numériques doivent être collectées, utilisées, protégées et régies dans tout le pays. Toute donnée personnelle traitée sur le territoire indien, quelle que soit la manière dont elle est collectée (en ligne ou hors ligne), puis numérisée est soumise à cette loi. La loi DPDP s'applique également aux données traitées en dehors de l'Inde lorsqu'elles sont liées à une activité d'offre de biens ou de services à des personnes situées en Inde. ## Pourquoi mon organisation doit-elle se conformer à la DPDPA ? La publication des règles DPDP de 2025, le 13 novembre 2025, marque la transition de l'Inde vers un cadre de protection des données pleinement applicable. Avec la loi DPDP de 2023, elles définissent comment les données personnelles numériques doivent être collectées, utilisées, protégées et régies dans tout le pays. Voici d'autres raisons convaincantes de commencer à préparer votre conformité. ### Éviter les sanctions L'absence de garanties de sécurité destinées à prévenir les violations de données personnelles peut entraîner une sanction. ### Garder une longueur d'avance sur la concurrence Attirez les clients soucieux de leur vie privée et bâtissez une réputation digne de confiance. ### Réduire les risques Mettez en place des garanties afin de limiter les perturbations opérationnelles causées par des incidents de sécurité ou une violation de données, et d'assurer une meilleure continuité des activités. ## Calendrier de mise en œuvre de la DPDPA La loi instaure une période de dix-huit mois pour une mise en conformité progressive. L'ensemble des obligations de conformité prend effet 18 mois après la publication, soit le 13 novembre 2025. **La conformité opérationnelle complète est donc probablement attendue vers la mi-2027.** ### Phase 1 **13 novembre 2025** Mise en place de l'autorité de régulation et du dispositif général d'application. ### Phase 2 **13 novembre 2026** Entrée en vigueur anticipée d'un ensemble limité de règles, principalement celles relatives aux gestionnaires de consentement et au pouvoir du Conseil de les reconnaître et de les réglementer. ### Phase 3 **13 mai 2027** Les obligations concrètes de conformité entrent en vigueur : consentement, droits des utilisateurs, sécurité, données des enfants, notification des violations, transferts internationaux et sanctions deviennent applicables. ![Être conforme au RGPD ne signifie pas être conforme à la DPDPA.](https://www.manageengine.com/dpdpa/images/being-gdpr-img.svg) [Voici les différences](https://www.manageengine.com/fr/dpdpa/dpdpa-vs-gdpr.html?pos=MEDPDPA) ![Mesures pratiques que les équipes informatiques doivent prendre pour mettre en œuvre la DPDPA](https://www.manageengine.com/dpdpa/images/practical-img.svg) [Préparez-vous à la DPDPA](https://www.manageengine.com/fr/dpdpa/dpdpa-implementation.html?pos=MEDPDPA) ## La DPDPA expliquée par des experts ![DPDPA et souveraineté des données : ce que les entreprises indiennes doivent savoir](https://www.manageengine.com/dpdpa/images/dpdpa-and-data-sovereignty.webp) ### DPDPA et souveraineté des données : ce que les entreprises indiennes doivent savoir Un webinaire du Times of India dans lequel des experts de la conformité expliquent le consentement, la souveraineté des données et les conditions nécessaires pour préparer une organisation à la DPDPA. [Regarder la vidéo](https://player.vimeo.com/video/1207308057?h=9afc865b56) ![DPDPA : la loi qui va remodeler l'économie indienne des données](https://www.manageengine.com/dpdpa/images/dpdpa-the-law.webp) ### DPDPA : la loi qui va remodeler l'économie indienne des données Un expert juridique analyse les conséquences pratiques de la DPDPA pour les entreprises indiennes. [Regarder la vidéo](https://insights.manageengine.com/privacy-compliance/dpdpa-compliance-indian-businesses/?pos=MEDPDPA) ## Exploitez les solutions ManageEngine pour soutenir votre conformité à la DPDPA La gamme de solutions de gestion informatique de ManageEngine peut aider votre organisation à se préparer à la conformité DPDPA. Gérez et sécurisez les données tout au long de leur cycle de vie, depuis leur collecte, leur traitement, leur transfert et leur stockage, grâce à nos solutions. Dans la section suivante, nous expliquons comment nos solutions informatiques peuvent aider votre organisation à répondre à certaines exigences de contrôle techniques et organisationnelles de la DPDPA. ![Exploitez les solutions ManageEngine pour soutenir votre conformité à la DPDPA](https://www.manageengine.com/dpdpa/images/leverage-manageengine-solutions.svg) ### Règle 6 : garanties de sécurité Selon la règle 6, les organisations doivent protéger toutes les données personnelles qu'elles contrôlent ou traitent en mettant en œuvre des mesures de sécurité raisonnables pour prévenir les violations. #### a. Sécuriser les données personnelles par chiffrement, obfuscation, masquage ou utilisation de jetons virtuels associés à ces données **Répondez à cette exigence avec ManageEngine :** Protégez les données personnelles en appliquant un chiffrement robuste, des accès contrôlés et un masquage sélectif des données sur les identités, les terminaux, l'infrastructure et les opérations informatiques. - **Chiffrement au repos et en transit** - Répondez à cette exigence avec ManageEngine : - **Chiffrement intégral des disques des terminaux utilisateurs** - Tous les terminaux utilisateurs utilisent le chiffrement intégral du disque afin de protéger les données en cas de perte, de vol ou de compromission. - **Gestion centralisée des clés et des certificats** - Les clés cryptographiques et les certificats sont générés, stockés, renouvelés et surveillés de manière centralisée afin de maintenir un chiffrement robuste et à jour sur tous les systèmes. - **Masquage et occultation des données** - Les données personnelles sont masquées ou occultées dans les interfaces, rapports, tableaux de bord et transferts de données afin de limiter leur exposition au strict nécessaire. - **Contrôles contre l'extraction non autorisée de données** - Des contrôles techniques empêchent la copie de données personnelles vers des supports amovibles non autorisés ou non chiffrés. - **Chiffrement et obfuscation au niveau applicatif** - Les attributs sensibles (e-mails, numéros de téléphone, adresses IP, URL, noms d'hôte, jetons d'accès) sont chiffrés ou obfusqués au niveau applicatif afin de limiter l'exposition interne. ### Règle 7 : notification des violations Selon la règle 7, dès qu'il prend connaissance d'une violation de données, le responsable du traitement doit en informer la personne concernée de manière concise, claire et compréhensible. Cette notification doit également indiquer les mesures mises en œuvre ou proposées, le cas échéant, pour atténuer les risques associés, les actions correctives prises afin d'éviter que la violation ne se reproduise, ainsi qu'un rapport détaillant les informations communiquées aux personnes concernées. #### Gérer les incidents **Répondez à cette exigence avec ManageEngine :** Détectez rapidement les violations de données personnelles, gérez-les au moyen de processus d'incident gouvernés et produisez les informations claires et auditables nécessaires à des notifications conformes dans les délais. - **Détection précoce des violations** - Les événements de sécurité provenant des terminaux, réseaux, applications, identités et flux de données sont surveillés en continu au moyen d'analyses en temps réel et de renseignements sur les menaces afin de détecter rapidement d'éventuelles violations de données personnelles. - **Triage des incidents et évaluation de l'obligation de notification** - Les événements détectés sont corrélés et classés par priorité selon leur gravité et leur impact potentiel sur les données afin de déterminer s'ils constituent une violation de données personnelles devant être notifiée. - **Détermination du périmètre et de l'impact** - Les journaux et chronologies corrélées identifient les systèmes, utilisateurs, jeux de données et chemins d'accès touchés afin d'évaluer les risques d'accès, d'altération, d'exfiltration ou d'indisponibilité des données personnelles. - **Gestion structurée de la réponse aux incidents** - Les violations sont gérées au moyen de processus formels assurant leur journalisation, leur attribution, leur analyse, leur confinement et leur résolution dans les délais définis, avec une chaîne de conservation des preuves défendable. - **Documentation et communication des violations** - Des résumés en langage clair, des chronologies et des éléments de preuve permettent de produire des notifications exactes décrivant la nature, l'impact et l'étendue de la violation. - **Preuves d'atténuation et de correction** - Les actions de confinement, les mesures correctives et les dispositions préventives sont documentées afin de démontrer l'atténuation des risques et la prévention de toute récidive. - **Rapports de violation prêts pour l'audit** - Des alertes horodatées, des dossiers d'enquête et des historiques d'incident fournissent des preuves vérifiables d'une réponse et de notifications effectuées dans les délais. ### Règle 8 : découverte, conservation et suppression des données Selon la règle 8, le responsable du traitement est tenu de conserver pendant au moins un an toutes les données personnelles qu'il traite, ainsi que les données de trafic et les journaux de traitement associés. À l'issue de cette durée obligatoire, il doit veiller à l'effacement de ces données et journaux, sauf si leur conservation reste nécessaire pour satisfaire à une obligation de conformité. #### Identifier les emplacements de stockage des données personnelles **Répondez à cette exigence avec ManageEngine :** Découvrez, classez et cartographiez systématiquement les emplacements des données personnelles sur les terminaux, systèmes de fichiers, bases de données et supports amovibles, afin de poser les bases d'une conservation et d'une suppression conformes. - **Découverte automatisée des données personnelles** - Les sources de données structurées et non structurées sont analysées afin d'identifier les données personnelles et de tenir un inventaire de leurs emplacements de stockage. - **Classification des données fondée sur les risques** - Les données découvertes sont classées selon leur sensibilité et leur contexte afin de distinguer les données personnelles à haut risque et d'appliquer les règles appropriées de conservation et de suppression. - **Visibilité sur les terminaux et les environnements utilisateurs** - Les terminaux gérés et les systèmes utilisateurs sont inventoriés afin d'identifier les emplacements où des données personnelles peuvent se trouver, notamment les stockages locaux et les données applicatives. - **Surveillance des mouvements de données et du stockage temporaire** - Les transferts de fichiers impliquant des supports amovibles et des périphériques sont surveillés et journalisés afin de cartographier les mouvements et les chemins de stockage des données personnelles. - **Identification des données touchées par un incident** - Les données touchées par un logiciel malveillant ou un rançongiciel sont identifiées afin d'évaluer leur exposition potentielle et d'éclairer les décisions de conservation ou de suppression. - **Rapports de découverte à des fins de conformité** - Les rapports de découverte et indicateurs de risque permettent de justifier les décisions relatives au périmètre de conservation, à la conservation obligatoire et aux délais de suppression licite. ## Questions fréquentes ### Qu'est-ce que la loi sur la protection des données personnelles numériques ? La loi de 2023 sur la protection des données personnelles numériques (DPDPA) est la principale loi indienne régissant le traitement des données personnelles. Elle définit les droits des personnes concernées (Data Principals) et les responsabilités des organisations qui traitent ces données (Data Fiduciaries). Elle exige un traitement fondé sur le consentement, des garanties de sécurité, la notification des violations et une supervision réglementaire par le Conseil indien de protection des données. ## Avertissement : La mise en œuvre complète de la DPDPA exige une combinaison de gouvernance, de politiques, de personnes, de processus et de mesures techniques et organisationnelles. Les fonctionnalités et capacités décrites ci-dessus illustrent certaines manières dont notre produit peut aider les clients à satisfaire à certaines exigences de la DPDPA. Les organisations doivent procéder à leur propre évaluation indépendante des fonctionnalités de ManageEngine et déterminer dans quelle mesure elles peuvent contribuer à la conformité à cette loi. Ce document est fourni à titre informatif uniquement et ne doit pas être interprété comme un conseil juridique ni comme une garantie de conformité à la DPDPA. Nous n'accordons aucune garantie, expresse, implicite ou légale, quant aux informations contenues dans ce document. Veuillez consulter votre conseiller juridique afin de comprendre comment la DPDPA s'applique à votre organisation et quelles mesures sont nécessaires pour respecter ses obligations.