Solution conforme à la protection des données personnelles (PDP) en Inde

Ce que signifient les lois sur la protection des données personnelles pour l'Inde et le reste du monde. Comment le PDP se compare-t-il au Règlement général sur la protection des données (RGPD) ?

Le projet de loi sur la protection des données personnelles pour l'Inde pourrait nécessiter des modifications de votre gestion des données et ne peut pas être directement résolu avec la conformité au RGPD.

Qu'est-ce que le projet de loi sur la protection des données personnelles (PDP) ?

Le projet de loi PDP est la propre loi de l'Inde visant à protéger les données personnelles. Il est basé sur le RGPD et est très similaire, mais il existe quelques différences. Le projet de loi a été présenté pour la première fois au Parlement indien le 11 décembre 2019, une première version est encore en cours d'analyse et de travail. Le projet de loi PDP représente un grand changement pour l'Inde, car elle n'avait pas de lois autonomes sur la protection des données personnelles auparavant.

La conformité au RGPD me rendra-t-elle déjà conforme ? Peu probable, même si le PDP est très similaire au RGPD et est utilisé comme modèle, il existe quelques différences quant à la manière dont les données peuvent être traitées et collectées en Inde.

En étant déjà conforme au RGPD, une grande partie du travail nécessaire pour être conforme au PDP en Inde sera déjà réalisée. Le plus gros travail concerne les entreprises en Inde qui ne sont pas encore conformes au RGPD.

Différences entre le PDP et le RGPD

Une des plus grandes différences entre les lois européennes sur les données et le PDP de l'Inde est que les données ont été divisées en trois catégories :

Données personnelles
Données sensibles
Données personnelles critiques

Chaque catégorie est utilisée pour définir différentes réglementations et l'importance des données personnelles. La catégorie des Données Personnelles Critiques est importante car elle ne fait actuellement pas partie du RGPD et a ses propres termes et conditions, comme l'obligation de localisation des données.

Comparé au RGPD, l'Inde s'est concentrée sur une zone plus vaste de ce qui constitue des données personnelles sensibles. Certaines entreprises peuvent devoir se conformer même si elles traitent simplement des données personnelles en Inde, sans les collecter localement.

Types de données personnelles

Avec le projet de loi PDP qui divise les données personnelles en trois catégories, une approche plus définie de ce qu'est une donnée personnelle et de ce qui peut en être fait est présentée. Un aperçu de ce qui compte comme données personnelles entre les trois catégories :

Données personnelles : caractéristiques, traits ou attributs d'identité pouvant être utilisés pour identifier un individu, collectés en ligne ou hors ligne
Données sensibles : données financières, données biométriques, caste, croyances religieuses ou politiques, ou toute autre catégorie de données spécifiée par le gouvernement
Données personnelles critiques : données personnelles telles que notifiées par le gouvernement central comme étant des données personnelles critiques

Avec la dernière catégorie de données étant nouvelle par rapport au RGPD, cela signifie que certaines entreprises pourraient être tenues de ne traiter et stocker ce type de données exclusivement en Inde, ce qui pourrait dépendre du consentement du gouvernement ou de l'utilisateur.

Les entreprises devront obtenir la permission du gouvernement indien pour stocker ou traiter certaines informations en dehors de l'Inde.

Exigence de plusieurs langues

En raison de la diversité de l'Inde, avec l'entrée en vigueur de la PDP, les entreprises devront rédiger les termes et conditions dans plusieurs langues pour les utilisateurs.

Sanctions de la PDP

Tout comme le RGPD, la PDP comporte des sanctions importantes en cas de mauvaise utilisation des données ou de violation des lois sur la vie privée par une entreprise. La PDP est similaire mais présente quelques différences :

En traitant ou en transférant des données personnelles en violation du projet de loi, cela pourrait entraîner une amende de ₹15 crore ou de 4 % du chiffre d'affaires annuel, selon le montant le plus élevé
Ne pas effectuer d'audit de données pourrait entraîner une amende de ₹5 crore ou de 2 % du chiffre d'affaires annuel, selon le montant le plus élevé
La réidentification et le traitement de données dépersonnalisées sans consentement pourraient entraîner une amende ou une peine d'emprisonnement pouvant aller jusqu'à trois ans, ou les deux

Qu'est-ce que cela signifie pour le consentement de l'utilisateur ?

Avec la PDP, l'accent est mis sur la mise en place de gestionnaires de consentement, exigeant qu'une entreprise en utilise un pour être conforme. Un utilisateur peut donner ou retirer son consentement par le biais d'un gestionnaire de consentement, contrairement au RGPD qui ne prévoit pas une telle disposition comparé au projet de loi PDP.

Conservation et gestion des données

En vertu du RGPD, une entreprise est autorisée à conserver les données utilisateur pendant une longue période si elle relève de certaines circonstances, comme l'archivage, la recherche et l'analyse statistique. Cependant, la PDP stipule que les données utilisateur peuvent être conservées pendant de plus longues périodes si l'utilisateur y consent ou si cela est nécessaire pour se conformer à une obligation légale. Ainsi, l'utilisateur peut devoir accéder à de tels paramètres par l'intermédiaire d'un gestionnaire de consentement, tel que requis par le projet de loi PDP.

Consentement de l'utilisateur pour le stockage et le traitement des données

Comme le propose le projet de loi PDP, l'utilisation de trois catégories de données personnelles doit permettre à l'utilisateur ou au gouvernement de contrôler l'endroit où les données personnelles sont stockées ou traitées en fonction des trois catégories définies par le projet de loi PDP.

Données personnelles : Peuvent être traitées et stockées en dehors de l'Inde
Données sensibles : Doivent être stockées en Inde et peuvent être transférées en dehors de l'Inde pour traitement, si le consentement explicite du principal concerné (utilisateur) est obtenu.
Données personnelles critiques : Doivent être stockées et traitées en Inde, nécessitent une autorisation spéciale et le consentement du gouvernement indien.

Globalement, qu'est-ce que cela signifie pour les utilisateurs et les entreprises?

Utilisateurs

Une meilleure confidentialité pour les résidents de l'Inde
Les informations personnelles des individus ne peuvent être collectées, traitées ou partagées sans leur consentement et permission.
Les données d'un individu ne peuvent être utilisées que pour des finalités claires et préalablement définies, et seules les données nécessaires peuvent être collectées ou surveillées.
Les personnes peuvent déplacer leurs données d'un fournisseur à un autre et demander à toute organisation les données qu'elle détient à leur sujet. Elles peuvent également demander la suppression de ces données et retirer leur consentement à tout moment.

Entreprises

Elles devront également fixer des limites à la collecte, au traitement et au stockage des données.
Les entreprises devront mettre en place des protections techniques, telles que la désidentification, pour éviter que l'identité d'un individu ne soit révélée involontairement, et le chiffrement doit être intégré.
Elles doivent informer immédiatement le régulateur en cas de violation de données.
Les données personnelles sensibles doivent être stockées et traitées en Inde et ne peuvent pas être traitées en dehors des frontières sans l'approbation du régulateur.
Le gouvernement peut demander aux entreprises de fournir des données "anonymisées" ou "non personnelles" à des fins de prise de décision politique ou pour d'autres biens publics.