L'Inde a franchi une étape importante vers l'élaboration d'une politique adéquate en matière de protection des données. Le Comité Srikrishna, un comité d'experts composé de dix membres et présidé par l'ancien juge de la Cour suprême BN Srikrishna, nommé par le gouvernement indien en août 2017 pour « identifier les principaux enjeux liés à la protection des données », a finalement remis un rapport et un projet de loi établissant un cadre juridique pour cette protection. data privacy dans le pays fin juillet.
Comprendre le cadre de protection des données proposé par l'Inde
Le rapport complet de 213 pages , ainsi que le projet de loi de 67 pages, sont disponibles sur le site web du ministère de l'Électronique et des Technologies de l'information et offrent un aperçu détaillé des contours que pourrait prendre la protection des données en Inde. Bien que tout cela reste encore théorique et que le comité Srikrishna n'ait fourni qu'un projet de loi devant être adopté par le Parlement, la politique qui sera mise en œuvre devrait vraisemblablement être très proche de ce texte. Dans ce contexte, il est important que les entreprises, petites et grandes, analysent et comprennent la situation, et, le cas échéant, commencent à apporter les modifications nécessaires.
Considérations clés en matière de protection des données pour les entreprises
Pour les entreprises, les points clés suivants doivent être pris en compte :
- Le projet de loi propose que la nouvelle loi s'appliquera à toutes les données traitées en Inde. Même les collecteurs de données, que le rapport qualifie de « fiduciaires de données », qui ne sont pas présents en Inde mais exercent des activités affectant les donneurs d'ordre, seraient soumis à cette loi.
- Un organisme de régulation indépendant appelé Autorité de protection des données (APD) sera créé par la loi et sera chargé de l'application effective de la loi.
- Certains fiduciaires de données, classés par la DPA comme fiduciaires de données importants « en raison de leur capacité à causer un préjudice plus important aux responsables des données du fait de leurs activités de traitement de données », devront s'acquitter d'obligations telles que (i) l'enregistrement auprès de la DPA ; (ii) les analyses d'impact relatives à la protection des données ; (iii) la tenue de registres ; (iii) les audits de données ; et (iv) la nomination d'un délégué au traitement des données. La DPA peut exiger que tout autre fiduciaire de données soit également tenu de s'acquitter de ces obligations.
- Similaire à celui de l'Union européenne Règlement général sur la protection des données (GDPR)Des sanctions peuvent être infligées aux fiduciaires de données et des indemnités peuvent être accordées aux mandants de données en cas de violation de la loi sur la protection des données. Les sanctions imposées correspondraient à un montant pouvant atteindre le plafond fixé ou un pourcentage du chiffre d'affaires mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
- Les données personnelles sensibles comprendront les mots de passe, les données financières, les données de santé, l’identifiant officiel, la vie sexuelle, l’orientation sexuelle, les données biométriques et génétiques, ainsi que les données qui révèlent le statut transgenre, le statut intersexué, la caste, la tribu, les croyances ou affiliations religieuses ou politiques d’un individu.
- Le consentement constitue une base légale pour le traitement des données personnelles. Pour être valable, le consentement doit être « libre, éclairé, spécifique, clair et révocable ».
- Tout traitement de données personnelles par les fiduciaires de données doit être juste et raisonnable.
- Les fiduciaires de données sont soumis à des obligations de qualité des données et de limitation de leur stockage.
- Le droit à la portabilité des données, sous réserve d’exceptions limitées, devrait être inclus dans la loi.
- Le droit à l’oubli peut être adopté, l’aile d’arbitrage de la DPA déterminant son applicabilité sur la base de certains critères.
- Les données personnelles jugées critiques seront soumises à l'obligation de traitement uniquement en Inde.
- D'autres types de données personnelles (non critiques) seront soumis à l'obligation de conserver au moins une copie de service en Inde.
- Dans le projet de loi présenté, toute infraction punissable en vertu de celui-ci a été classée comme étant passible de poursuites judiciaires et non passible de caution.
D'autres points sont à prendre en compte, mais voici les principaux qui auront un impact sur la manière dont les entreprises mènent leurs activités en Inde. Ainsi, de nombreuses multinationales comme Facebook, Google ou WhatsApp devront s'assurer que les données collectées auprès des utilisateurs indiens sont protégées conformément à la loi sur la protection des données. Elles seront également tenues d'en stocker une copie en Inde, ce qui peut augmenter les coûts des serveurs.
L'autre point important est que les fiduciaires de données considérés comme « importants » devront également se préparer dès maintenant à diverses mesures de conformité. Le projet de loi de 2018 sur la protection des données, bien qu'il ne soit pas encore entré en vigueur, ouvre certainement la voie à un futur cadre législatif sur les données en Inde. Les entreprises doivent en tenir compte et commencer à préparer le terrain dès maintenant afin de ne pas être prises au dépourvu lors de son entrée en vigueur.
En tant que partenaire de sécurité informatique pour votre entreprise, Seqrite Offre une sécurité complète contre les cybermenaces avancées. Pour en savoir plus
