PDP Bill 2019 vs loi DPDP 2023 en Inde : ce qui a changé

Le Personal Data Protection Bill, 2019 n'est plus en discussion et n'est jamais devenu loi. Le gouvernement l'a retiré en août 2022. La loi indienne sur la protection des données est aujourd'hui le Digital Personal Data Protection Act, 2023 (loi DPDP), mis en application par étapes par les DPDP Rules, 2025. Pour les obligations, échéances et sanctions actuelles, consultez notre guide de la loi DPDP.

Cette page retrace brièvement l'histoire du PDP Bill et propose une comparaison PDP Bill 2019 vs loi DPDP 2023, afin que vous voyiez ce qui a changé et pourquoi les anciens conseils sur le PDP Bill ne s'appliquent plus.

Qu'était le Personal Data Protection Bill 2019 ?

Le Personal Data Protection Bill, 2019 (PDP Bill) était la première tentative de l'Inde d'adopter une loi complète sur la protection des données, inspirée du RGPD. Il découlait de l'arrêt Puttaswamy de la Cour suprême de 2017, qui a reconnu la vie privée comme un droit fondamental, et du projet de loi préparé par un comité présidé par le juge à la retraite B.N. Srikrishna.

Le PDP Bill était long et ambitieux. Il répartissait les données personnelles en trois niveaux, prévoyait la localisation des données personnelles sensibles et critiques, créait une puissante Data Protection Authority of India et fixait des amendes liées au chiffre d'affaires mondial de l'entreprise. Il introduisait aussi la notion de gestionnaires du consentement (consent managers), reprise dans la loi DPDP.

Chronologie du PDP Bill : du projet au retrait

Date	Événement
27 juillet 2018	Le comité Srikrishna remet son rapport et le projet de Personal Data Protection Bill, 2018 au ministère des TI
11 décembre 2019	Le Personal Data Protection Bill, 2019 est présenté à la Lok Sabha, puis renvoyé à une commission parlementaire mixte (JPC)
16 décembre 2021	Le rapport de la JPC est déposé au Parlement ; il renomme le texte Data Protection Bill, 2021 et propose d'inclure les données non personnelles
3 août 2022	Le gouvernement retire le texte de la Lok Sabha et annonce un nouveau projet s'inscrivant dans un cadre juridique global
18 novembre 2022	Le MeitY publie le projet de Digital Personal Data Protection Bill, 2022 pour consultation publique
11 août 2023	Le Digital Personal Data Protection Act, 2023 reçoit l'assentiment présidentiel et est publié au Journal officiel
13 novembre 2025	Les DPDP Rules, 2025 sont publiées et appliquent la loi par étapes jusqu'au 13 mai 2027

Pourquoi le PDP Bill a-t-il été retiré ?

La JPC a délibéré pendant deux ans et proposé de nombreux amendements. Sa version dépassait les données personnelles : elle incluait les données non personnelles, proposait un régulateur unique pour les deux et allait plus loin sur la localisation des données. Les commentateurs ont critiqué la mesure dans laquelle ce champ élargi dépassait la protection des données. Plutôt que de modifier à nouveau le texte, le gouvernement l'a retiré en août 2022 et est reparti d'un projet bien plus court, devenu la loi DPDP.

PDP Bill 2019 vs loi DPDP 2023 : comparaison

Sujet	PDP Bill 2019 (retiré)	Loi DPDP 2023 (en application par étapes)
Statut	Jamais adopté ; retiré le 3 août 2022	Promulguée le 11 août 2023 ; DPDP Rules publiées le 13 novembre 2025
Champ d'application	Données personnelles, en ligne et hors ligne	Uniquement les données personnelles numériques, y compris les données collectées hors ligne puis numérisées
Catégories de données	Trois niveaux : données personnelles, données personnelles sensibles (données financières, de santé et biométriques, caste, convictions religieuses ou politiques, par exemple) et données personnelles critiques désignées par le gouvernement	Une seule catégorie de données personnelles ; pas de niveau sensible ou critique, mais des obligations supplémentaires pour les données des enfants et les Significant Data Fiduciaries
Localisation des données	Les données personnelles sensibles devaient être stockées en Inde (transfert à l'étranger pour traitement uniquement avec consentement explicite et sous d'autres conditions) ; les données personnelles critiques ne pouvaient être traitées qu'en Inde	Aucune obligation générale de localisation ; les règles sectorielles plus strictes, comme celles de la RBI sur les données de paiement, continuent de s'appliquer
Transferts transfrontaliers	Restreints pour les données personnelles sensibles et critiques	Autorisés vers tout pays, sauf restriction par notification du gouvernement
Données non personnelles	Le gouvernement pouvait exiger des entreprises qu'elles partagent des données personnelles anonymisées ou des données non personnelles ; la JPC voulait les inclure entièrement	Hors champ
Régulateur	Data Protection Authority of India, composée d'un président et de six membres ; recours devant un tribunal d'appel puis la Cour suprême	Data Protection Board of India, organe juridictionnel créé par le gouvernement central ; recours devant le TDSAT
Sanctions	Jusqu'à ₹15 crore ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, pour les manquements graves ; ₹5 crore ou 2 % pour les autres, comme l'absence d'audit des données	Plafonds fixes par manquement, jusqu'à ₹250 crore en cas de mesures de sécurité raisonnables insuffisantes
Gestionnaires du consentement	Introduits : gestionnaires du consentement enregistrés auprès de la Data Protection Authority	Maintenus : ils s'enregistrent auprès du Data Protection Board ; l'enregistrement ouvre le 13 novembre 2026
Notification des violations	Notification au régulateur uniquement si la violation risquait de causer un préjudice	Notification de toute violation au Board et à chaque personne concernée
Portabilité des données	Prévue	Non prévue

En bref, la loi DPDP conserve le cœur du PDP Bill (information, consentement, sécurité, droits des personnes et gestionnaires du consentement), mais supprime les niveaux de données, la localisation et les amendes basées sur le chiffre d'affaires. N'utilisez pas aujourd'hui une check-list du PDP Bill pour votre conformité : certaines de ses obligations n'existent plus, et la loi DPDP en ajoute de nouvelles, comme la notification de toute violation de données personnelles.

Ce que cela signifie aujourd'hui pour votre site web

Si votre site web ou votre application s'adresse à des personnes en Inde, le texte à prendre en compte est la loi DPDP et les DPDP Rules, et non le PDP Bill. Les règles relatives aux gestionnaires du consentement s'appliquent à partir du 13 novembre 2026, et la plupart des obligations, dont l'information, le consentement, les mesures de sécurité, la notification des violations, les données des enfants et les droits des personnes, à partir du 13 mai 2027.

Concrètement, il faut :

Afficher une information claire, autonome et rédigée simplement avant de collecter des données personnelles
Recueillir un consentement libre, spécifique, éclairé et univoque, et rendre son retrait aussi simple que son octroi
Conserver des preuves indiquant quand et comment le consentement a été donné
Obtenir un consentement parental vérifiable avant de traiter les données de toute personne de moins de 18 ans
Répondre aux demandes d'accès, de rectification et d'effacement

Notre guide de la loi DPDP détaille chaque échéance, obligation et sanction. UniConsent vous aide à afficher des avis de consentement conformes à la DPDP, à recueillir et journaliser le consentement et à gérer plusieurs langues, en complément du RGPD et d'autres lois mondiales sur la vie privée.

Sources

Questions fréquemment posées

Le Personal Data Protection Bill 2019 est-il toujours en vigueur ?

Non. Le PDP Bill 2019 n'est jamais devenu loi. Le gouvernement l'a retiré de la Lok Sabha le 3 août 2022. La loi indienne sur la protection des données est désormais le Digital Personal Data Protection Act, 2023, que les DPDP Rules, 2025 mettent en application par étapes.

Pourquoi le PDP Bill a-t-il été retiré ?

Le rapport de la commission parlementaire mixte de décembre 2021 proposait de nombreux changements, notamment de renommer le texte Data Protection Bill, 2021 et d'y inclure les données non personnelles. Le gouvernement l'a retiré en août 2022 pour présenter un nouveau projet s'inscrivant dans un cadre juridique global.

Quelle est la principale différence entre le PDP Bill et la loi DPDP ?

La loi DPDP est plus courte et plus simple. Elle supprime les catégories de données personnelles sensibles et critiques ainsi que les règles de localisation des données, ne couvre que les données personnelles numériques, remplace la Data Protection Authority prévue par un Data Protection Board juridictionnel, autorise les transferts à l'étranger sauf vers un pays restreint et fixe des amendes plafonnées à ₹250 crore au lieu d'un pourcentage du chiffre d'affaires mondial.

Dois-je me conformer au PDP Bill 2019 ?

Non. Les sites web et applications qui s'adressent à des personnes en Inde doivent plutôt se préparer à la loi DPDP et aux DPDP Rules. Les règles sur les gestionnaires du consentement s'appliquent à partir du 13 novembre 2026, et la plupart des obligations, dont l'information, les mesures de sécurité, la notification des violations et les droits des personnes, à partir du 13 mai 2027.

Conformez-vous aux réglementations mondiales sur la confidentialité

Règlement général sur la protection des données (RGPD)

Obtenez une conformité sans faille au Règlement général sur la protection des données (RGPD) – la pierre angulaire de la confidentialité des données dans l'Union européenne. Protégez les données des utilisateurs et instaurez la confiance grâce à nos solutions complètes de conformité au RGPD.

Loi californienne sur la protection de la vie privée des consommateurs (CCPA)

Naviguez sans effort dans le paysage complexe du California Consumer Privacy Act (CCPA). Nos outils de conformité CCPA vous garantissent le respect des normes rigoureuses de protection des données exigées pour les résidents de Californie.

Lois sur la confidentialité des États américains

Gardez une longueur d'avance sur l'évolution des réglementations sur la confidentialité aux États-Unis. Notre plateforme prend en charge un éventail de lois propres à chaque État, notamment CCPA, CPRA, CPA, VCDPA, UCPA et COPPA, garantissant votre conformité dans toutes les juridictions.

California Privacy Rights Act (CPRA)

Adoptez l'avenir de la confidentialité des données avec le California Privacy Rights Act (CPRA). Législation pionnière au niveau d'un État, le CPRA permet aux entreprises d'améliorer leurs pratiques de protection des données et de donner la priorité à la vie privée des consommateurs.

Colorado Privacy Act (CPA)

Préparez-vous au Colorado Privacy Act (CPA) avec UniConsent CMP. Nos solutions vous aident à répondre aux exigences strictes de cette loi d'État avant-gardiste sur la confidentialité, garantissant le plus haut niveau de sécurité des données et de conformité.

Virginia Consumer Data Protection Act (VCDPA)

Conformez-vous en toute confiance au Virginia Consumer Data Protection Act (VCDPA). UniConsent CMP fournit les outils et l'expertise nécessaires pour aligner votre organisation sur le cadre solide de confidentialité des données du VCDPA, renforçant ainsi la confiance des résidents de Virginie.

Utah Consumer Privacy Act (UCPA)

Protégez efficacement les données des utilisateurs avec l'Utah Consumer Privacy Act (UCPA). UniConsent CMP propose des solutions qui facilitent la conformité à cette loi émergente sur la confidentialité, garantissant que votre entreprise est bien préparée aux défis de la confidentialité des données dans l'Utah.

Connecticut Data Protection Act (CTDPA)

Protégez les informations des utilisateurs et faites respecter leurs droits à la vie privée dans le cadre du Connecticut Data Protection Act (CTDPA). La suite d'outils de conformité d'UniConsent CMP vous permet de naviguer dans cette loi d'État de manière fluide et responsable.

Children's Online Privacy Protection Act (COPPA)

Donnez la priorité à la vie privée des enfants avec les solutions de conformité COPPA d'UniConsent CMP. Le respect du Children's Online Privacy Protection Act (COPPA) est simplifié, vous permettant d'offrir un environnement en ligne sûr aux jeunes utilisateurs.

Protection générale des données en Thaïlande (PDPA)

Respectez le Personal Data Protection Act 2019 (PDPA) en Thaïlande avec UniConsent CMP. Notre expertise en conformité PDPA garantit que votre organisation peut opérer en toute confiance et sécurité sur le marché thaïlandais tout en respectant la confidentialité des données des utilisateurs.

La loi générale sur la protection des données au Brésil (LGPD)

UniConsent CMP facilite la conformité à la loi générale brésilienne sur la protection des données (LGPD). Nos solutions permettent aux entreprises de répondre aux exigences strictes de la LGPD, en protégeant les données personnelles des personnes au Brésil.

Loi chinoise sur la protection des informations personnelles (PIPL)

Préparez-vous à la loi chinoise sur la protection des informations personnelles (PIPL) avec UniConsent CMP. Alors que les réglementations sur la protection des données évoluent en Chine, notre plateforme garantit que votre organisation est bien équipée pour traiter les informations personnelles de manière responsable et sécurisée.

Protection of Personal Information Act en Afrique du Sud (POPIA)

Le résumé de la loi sur la protection des informations personnelles, POPI Act, POPIA, loi sud-africaine sur la vie privée.

Personal Data Protection (PDP) de l'Inde

Le projet de loi Personal Data Protection pour l'Inde pourrait nécessiter des changements dans votre gestion des données et n'est pas directement résolu par la conformité au RGPD.

Loi turque sur la protection des données personnelles (KVKK)

Résumé de la loi turque sur la protection des données personnelles : KVKK.

Règlement général sur la protection des données du Royaume-Uni (UK GDPR)

Obtenez une conformité sans faille au Règlement général sur la protection des données (RGPD) – la pierre angulaire de la confidentialité des données au Royaume-Uni. Protégez les données des utilisateurs et instaurez la confiance grâce à nos solutions complètes de conformité au RGPD.

Texas Data Privacy and Security Act (TDPSA)

Conformez-vous au Texas Data Privacy and Security Act (TDPSA), en vigueur depuis le 1er juillet 2024. UniConsent CMP prend en charge les droits d'opt-out, les signaux d'opt-out universels et les évaluations de protection des données pour les résidents du Texas.

Delaware Personal Data Privacy Act (DPDPA)

Répondez aux exigences du Delaware Personal Data Privacy Act (DPDPA). UniConsent CMP fournit des outils de consentement opt-out et opt-in, la gestion des droits des consommateurs et des flux de travail pour les données sensibles pour la conformité au Delaware.

New Hampshire Privacy Act (NHPA)

Conformez-vous au New Hampshire Privacy Act (NHPA). UniConsent CMP fournit des bannières de consentement, la prise en charge du Global Privacy Control et la gestion des demandes de droits des consommateurs pour les résidents du New Hampshire.

Montana Consumer Data Privacy Act (MTCDPA)

Répondez aux exigences du Montana Consumer Data Privacy Act (MTCDPA). UniConsent CMP aide les entreprises à gérer les droits d'opt-out, le consentement pour les données sensibles et les demandes des consommateurs pour les résidents du Montana.

Florida Digital Bill of Rights (FDBR)

Répondez aux exigences du Florida Digital Bill of Rights (FDBR). UniConsent CMP fournit des outils de consentement opt-out, des protections des données des enfants et la gestion des droits des consommateurs pour la conformité en Floride.

New Jersey Data Protection Act (NJDPA)

Conformez-vous au New Jersey Data Protection Act (NJDPA). UniConsent CMP fournit des bannières de consentement opt-out, la reconnaissance du signal Global Privacy Control et la gestion des demandes de droits des consommateurs pour les résidents du New Jersey.

Indiana Consumer Data Protection Act (INCDPA)

Répondez aux exigences de l'Indiana Consumer Data Protection Act (INCDPA). UniConsent CMP fournit des outils de consentement opt-out, des flux de travail pour les données sensibles et la gestion des droits des consommateurs pour les résidents de l'Indiana.

Iowa Consumer Data Protection Act (ICDPA)

Conformez-vous à l'Iowa Consumer Data Protection Act (ICDPA). UniConsent CMP fournit des bannières de consentement opt-out et la gestion des demandes de droits des consommateurs pour les résidents de l'Iowa.

Maryland Online Data Privacy Act (MODPA)

Répondez aux exigences strictes du Maryland Online Data Privacy Act (MODPA). UniConsent CMP prend en charge la minimisation des données, le consentement opt-in pour les données sensibles et la gestion des droits des consommateurs pour les résidents du Maryland.

Minnesota Consumer Data Privacy Act (MNCDPA)

Conformez-vous au Minnesota Consumer Data Privacy Act (MNCDPA). UniConsent CMP fournit des outils de consentement opt-out, des flux de travail pour les données sensibles et la gestion des droits des consommateurs pour les résidents du Minnesota.

Nebraska Data Privacy Act (NDPA)

Répondez aux exigences du Nebraska Data Privacy Act (NDPA). UniConsent CMP fournit des outils de consentement opt-out et opt-in, la prise en charge du Global Privacy Control et la gestion des droits des consommateurs pour les résidents du Nebraska.

Oregon Consumer Privacy Act (OCPA)

Conformez-vous à l'Oregon Consumer Privacy Act (OCPA). UniConsent CMP fournit des bannières de consentement opt-out, des flux de travail opt-in pour les données sensibles et la gestion des droits des consommateurs pour les résidents de l'Oregon.

Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)

Répondez aux exigences du Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA). UniConsent CMP fournit des bannières de consentement, la prise en charge du Global Privacy Control et la gestion des droits des consommateurs pour les résidents du Rhode Island.

Tennessee Information Protection Act (TIPA)

Conformez-vous au Tennessee Information Protection Act (TIPA). UniConsent CMP fournit des outils de consentement opt-out, des flux de travail pour les données sensibles et une gestion de la confidentialité alignée sur le NIST Privacy Framework pour les résidents du Tennessee.

Oklahoma Computer Data Privacy Act (OKCDPA)

Répondez aux exigences de l'Oklahoma Computer Data Privacy Act (OKCDPA). UniConsent CMP fournit des bannières de consentement opt-out, des flux de travail de consentement pour les données sensibles et la gestion des droits des consommateurs pour les résidents de l'Oklahoma.

Loi sur la confidentialité du Nevada (NRS 603A)

Conformez-vous à la loi sur la confidentialité du Nevada (NRS 603A). UniConsent CMP prend en charge les droits d'opt-out de la vente de données et la gestion du consentement pour les résidents du Nevada.

California Invasion of Privacy Act (CIPA)

Gérez la conformité CIPA de votre site web. UniConsent CMP fournit des outils de consentement opt-in qui bloquent les scripts de suivi tiers jusqu'à l'obtention du consentement, favorisant la conformité à la loi californienne sur les écoutes.

California Delete Act (SB 362)

Conformez-vous au California Delete Act (SB 362). UniConsent CMP aide les entreprises à gérer les demandes de suppression des consommateurs, les obligations des courtiers en données et les signaux de préférence d'opt-out.

Kentucky Consumer Data Protection Act (KCDPA)

Répondez aux exigences du Kentucky Consumer Data Protection Act (KCDPA). UniConsent CMP fournit des outils de consentement opt-out, des flux de travail pour les données sensibles et la gestion des droits des consommateurs pour les résidents du Kentucky.

Alabama Personal Data Protection Act (APDPA)

Préparez-vous à l'Alabama Personal Data Protection Act (APDPA), en vigueur à partir du 1er mai 2027. UniConsent CMP fournit des outils de consentement opt-out et opt-in, des flux de travail pour les données sensibles et la gestion des droits des consommateurs pour les résidents de l'Alabama.

Loi vietnamienne sur la protection des données personnelles (PDPL)

Conformez-vous à la loi vietnamienne sur la protection des données personnelles (PDPL), loi n° 91/2025/QH15, en vigueur depuis le 1er janvier 2026. UniConsent CMP fournit la collecte du consentement, la gestion des préférences et le stockage des registres de consentement pour répondre aux exigences du Vietnam centrées sur le consentement.