DPDP Act 2023 : 250 Crore d’amende (30 M$) – Qui est dans le viseur ?

Le DPDP Act 2023 : un coup de massue financier

Imaginez recevoir une amende de 250 Crore INR (environ 30 millions de dollars) pour une simple négligence dans la gestion des données personnelles. C'est la réalité du Digital Personal Data Protection Act (DPDP Act) 2023 en Inde. Mais à qui s'appliquent ces sanctions ? Spoiler : presque toutes les entreprises traitant des données d'Indiens sont concernées.

Qui est concerné par les amendes du DPDP Act ?

Le DPDP Act s'applique à toute entité – entreprise, startup, association, voire individu – qui collecte, stocke ou traite des données personnelles de citoyens indiens, que ce soit en Inde ou à l'étranger. Les amendes peuvent atteindre 250 Crore INR pour les violations les plus graves, comme le non-respect des droits des personnes concernées ou une fuite de données due à une sécurité insuffisante.

Les catégories d'entités dans le viseur

• Data fiduciaires (Data Fiduciaries) : toute entité qui détermine les finalités et les moyens du traitement. Exemple : une plateforme e-commerce qui utilise vos données pour du marketing ciblé.
• Data processors : entités qui traitent des données pour le compte d'un data fiduciary. Exemple : un service cloud hébergeant des données clients.
• Significant Data Fiduciaries : catégorie spéciale pour les entités traitant de grands volumes de données ou des données sensibles. Elles sont soumises à des obligations renforcées et à des amendes potentiellement plus lourdes.

Exemples concrets d'amendes potentielles

Prenons un cas typique : une startup qui oublie de nommer un Data Protection Officer (DPO) alors qu'elle traite des données de 10 000 utilisateurs. Amende possible : jusqu'à 50 Crore INR. Ou une grande entreprise qui subit une violation de données et ne la notifie pas dans les 72 heures : 150 Crore INR. Et si vous êtes récidiviste, le régulateur peut multiplier les sanctions.

Comment éviter ces amendes ?

La clé est la conformité proactive. Mettez en place des politiques de protection des données, nommez un DPO si nécessaire, et surtout, respectez les droits des utilisateurs (accès, rectification, effacement). Pensez-y comme à un vaccin : une petite piqûre maintenant vous évite une grosse facture d'hôpital plus tard.

FAQ