Comprendre la loi indienne sur la protection des données personnelles numériques : une approche centrée sur les personnes et l'IA avec Proofpoint

Lire le livre blanc : Comprendre la loi indienne sur la protection des données personnelles numériques

Une liste de clients est collée dans une invite d'IA générative afin de « nettoyer les doublons ».

Un analyste financier partage le lien d'un tableur, avant de réaliser que l'option « Tous les utilisateurs qui ont le lien » est activée.

Un collaborateur bien intentionné transmet un fichier à un partenaire, mais la fonction de saisie automatique choisit le mauvais « Rahul ».

Aucune de ces situations ne donne l'impression de pouvoir conduire à une compromission majeure. Ce sont juste des procédures de travail modernes qui évoluent rapidement.

Pourtant, ce sont précisément ces actions du quotidien qui sont à l'origine d'expositions de données personnelles, et dans le cadre du nouveau régime indien de protection de la vie privée, elles sont désormais assorties d'exigences plus claires en matière de responsabilité, de mesures de protection et de préparation aux incidents.

Pour Proofpoint, le nouveau cadre mis en place en Inde constitue une étape positive. La loi sur la protection des données personnelles numériques (DPDP) et les règles DPDP visent à renforcer la confiance dans l'économie numérique. Elles fixent des exigences minimales quant à la manière dont les entreprises traitent les données personnelles, sans imposer de liste de contrôle universelle.

Plus important encore, la loi DPDP peut servir de catalyseur. Elle donne aux dirigeants une raison claire de prendre du recul et de repenser la sécurité des données en tant que système connecté. Cela implique de surveiller les personnes, les données et les menaces, ainsi que d'aligner les contrôles appliqués aux emails, aux applications cloud, aux plates-formes de collaboration, aux endpoints et aux workflows basés sur l'IA. L'objectif n'est pas seulement d'assurer la conformité, mais aussi d'offrir une protection durable et démontrable.

Loi DPDP et règles DPDP : de quoi s'agit-il et pourquoi sont-elles importantes ?

La loi indienne de 2023 sur la protection des données personnelles numériques (DPDPA) définit les critères minimaux auxquels les entreprises doivent satisfaire pour traiter les données personnelles numériques de manière responsable. Les règles de protection des données personnelles numériques (DPDPR) de 2025 ajoutent des détails opérationnels qui rendent ces critères concrets et applicables.

Ce que le cadre couvre

La DPDPA se concentre sur les données personnelles numériques, autrement dit les données personnelles traitées sous forme numérique (y compris les données collectées hors ligne et numérisées ultérieurement). Dans la plupart des cas, elle s'applique lorsque le traitement se déroule en Inde. Mais elle peut également s'appliquer à certains traitements effectués en dehors de l'Inde, lorsqu'ils concernent l'offre de biens ou de services à des personnes résidant en Inde.

Pourquoi c'est important

La DPDPA repose sur une série de principes. Il ne s'agit pas d'acheter un outil particulier.

Il s'agit de pouvoir démontrer que vous :

• collectez et utilisez les données personnelles à des fins légales et spécifiques ;
• faites preuve de transparence et respectez les choix de chacun ;
• protégez les données personnelles à l'aide de mesures de sécurité raisonnables ;
• agissez rapidement en cas de problème ;
• assumez la responsabilité tout au long du cycle de vie des données.

En bref, on passe des « règles » à la preuve.

Points clés à retenir pour les entreprises

Bien que les exigences varient selon le rôle et le contexte, la plupart des entreprises reconnaîtront ces aspects pratiques :

• Avis clairs et choix en matière de consentement : les personnes doivent comprendre quelles données sont collectées et à quelles fins et comment retirer leur consentement.
• Gestion des droits et réponse aux réclamations : les personnes peuvent demander l'accès, la correction/mise à jour ou l'effacement de leurs données dans certaines situations, et les entreprises doivent mettre en place une procédure fiable pour répondre à ces demandes.
• Préparation à la gestion des compromissions : en cas de compromission de données personnelles, les entreprises sont tenues d'informer les personnes concernées sans délai et de suivre les procédures de signalement requises.
• Protection supplémentaire des données des enfants : le consentement des parents/du tuteur doit pouvoir être vérifié et des mesures de sécurité supplémentaires doivent être mises en place.
• Relèvement de la barre pour les « fiduciaires de données significatives » (FDS, Significant Data Fiduciaries) : des dispositions plus strictes en matière de gouvernance (audits et analyses d'impact, par exemple) sont d'application.

La DPDPA a également des conséquences majeures. La loi prévoit un modèle de sanctions civiles, les sanctions les plus élevées étant réservées aux manquements graves, comme le non-respect de mesures de sécurité raisonnables.

Le paysage de la sécurité des données en Inde et les véritables défis dans la pratique

La DPDPA arrive à un moment où la situation en matière de protection des données en Inde est déjà très tendue.

L'urgence, en chiffres

• D'après les conclusions du rapport Voice of the CISO 2025 de Proofpoint, 99 % des RSSI ont signalé une fuite importante de données sensibles au cours de l'année écoulée, 90 % s'attendent à une cyberattaque d'envergure au cours des 12 prochains mois et 96 % associent au moins une partie des fuites de données à des collaborateurs qui quittent l'entreprise. (Référence)
• Les conclusions du rapport Cost of a Data Breach d'IBM pour l'Inde font état d'un coût moyen de 220 millions de roupies indiennes (2025) et d'un cycle de vie moyen de 263 jours pour identifier et contenir une compromission. (Référence)
• L'étude Data Security Landscape de Proofpoint montre que les fuites de données sont généralisées et souvent concentrées : 85 % des entreprises ont subi une fuite de données au cours de l'année écoulée, et 1 % des utilisateurs étaient responsables de 76 % des fuites de données. (Référence)

Ces faits sont loin d'être des cas isolés et montrent que nombreuses équipes s'efforcent de protéger les données personnelles dans des environnements où les risques sont omniprésents et où les données circulent partout.

Le modèle de menace qui compte le plus

Lorsque les entreprises parlent de conformité à la DPDPA, elles commencent souvent par évoquer les règles et les aspects juridiques.

Dans la pratique, le plus difficile est de protéger les données personnelles là où elles se déplacent le plus :

• Messagerie électronique et outils de collaboration : emails adressés au mauvais destinataire, pièces jointes incorrectes, liens partagés de manière excessive, usurpation d'identité et compromission de comptes.
• Prolifération dans le cloud et les applications SaaS : données dispersées dans des applications métier, des disques partagés, des référentiels non gérés et des applications tierces.
• Risques liés aux utilisateurs internes et qui quittent l'entreprise : changement de fonction, accès élevé, téléchargements inhabituels, partage en masse et comportement des collaborateurs sur le point de quitter l'entreprise.
• IA générative et Shadow AI : données sensibles collées dans des invites, téléchargées vers des outils échappant à la gouvernance ou accessibles par des agents dotés d'autorisations excessives.
• Lenteur des investigations : outils fragmentés, alertes intempestives et corrélation manuelle qui ralentissent la réponse et compliquent la collecte de preuves pour les audits.

Cinq défis « dans la pratique » que nous observons constamment

Voici où les exigences de la DPDPA se heurtent à la réalité opérationnelle, et où les programmes ont tendance à coincer :

1. Sans une visibilité sur les données, il est impossible de les protéger efficacement. La découverte et la classification des données personnelles deviennent plus difficiles à mesure que les données sont distribuées entre les applications, les clouds et les outils de collaboration.
2. La plupart des expositions sont accidentelles, et non malveillantes. Les contrôles doivent réduire les risques sans entraver les activités de l'entreprise. Si les contrôles sont trop rigides, les collaborateurs ont tendance à les contourner.
3. Tous les collaborateurs ne présentent pas le même niveau de risque. Un petit nombre d'utilisateurs et d'équipes est souvent à l'origine d'une part disproportionnée des incidents. Traiter tout le monde de la même façon est une perte de temps.
4. L'IA élargit l'exposition et multiplie les voies d'attaque. L'IA générative augmente la vitesse et l'ampleur des mouvements de données. Les outils non approuvés, ou Shadow AI, élargissent le partage non approuvé de données. Les attaques optimisées par l'IA rendent le phishing et l'usurpation d'identité plus convaincants. Les workflows agentiques peuvent également se comporter comme des utilisateurs internes jouissant d'autorisations excessives si les garde-fous nécessaires ne sont pas en place.
5. Les « mesures de protection raisonnables » doivent être étayées. Il ne suffit pas de dire « nous avons une solution de prévention des fuites de données ». Vous avez besoin d'une couverture cohérente, d'une réduction mesurable de l'exposition et d'une traçabilité claire des incidents lorsque les auditeurs le demandent.

Pourquoi choisir Proofpoint et comment nous aidons les entreprises à mettre en œuvre les dispositions de la DPDPA

La vision de Proofpoint est simple : la protection des données est un problème humain. La mise en corrélation du comportement des personnes, de la sensibilité des données et des signaux de menace, ainsi que l'application de contrôles au niveau des canaux où le travail se déroule réellement permettent d'obtenir les meilleurs résultats.

C'est pourquoi notre approche de la préparation à la DPDPA se concentre sur trois aspects :

1. Déterminer l'emplacement des données personnelles (afin de pouvoir donner la priorité aux éléments les plus importants)
2. Prévenir l'exposition via les canaux utilisés dans le cadre du travail (emails, cloud, endpoints, outils de collaboration et d'IA)
3. Enquêter et réagir rapidement (pour pouvoir intervenir, alerter et prouver la responsabilité)

En pratique

Proofpoint réunit un ensemble de fonctionnalités clés qui répondent aux besoins opérationnels associés à la DPDPA :

• Proofpoint Data Security Posture Management (DSPM) : identifiez, classifiez et priorisez les données sensibles dans les environnements cloud et SaaS.
• Proofpoint Enterprise DLP (y compris Adaptive Email DLP) : prévenez les fuites de données via la messagerie électronique, le cloud et les endpoints, ainsi que le partage accidentel et les communications adressées au mauvais destinataire.
• Proofpoint Insider Threat Management (ITM) : détectez les comportements à risque d'utilisateurs négligents, compromis et malveillants, et priorisez les investigations en fonction du contexte comportemental.

Ensemble, ces solutions aident les équipes à :

• Réduire l'exposition des données personnelles dans les workflows quotidiens
• Concentrer les efforts sur les utilisateurs, les données et les canaux les plus à risque
• Soutenir un tri plus rapide grâce à des preuves et des workflows unifiés
• Élaborer un argumentaire défendable basé sur des « mesures de protection raisonnables », avec des contrôles et des rapports clairs

Liste de contrôle pratique de l'état de préparation

Si vous planifiez votre programme DPDPA, voici quelques questions qui permettent de mettre rapidement au jour les lacunes :

• Pouvons-nous localiser et classer en permanence les données personnelles hébergées dans les applications cloud et les référentiels partagés ?
• Nos règles suivent-elles les données au niveau de la messagerie électronique, du cloud, des endpoints et des outils de collaboration, ou uniquement sur un seul canal ?
• Pouvons-nous empêcher les événements accidentels courants (envoi au mauvais destinataire, liens partagés de manière excessive, téléchargements non sécurisés) avec un minimum de frictions ?
• Avons-nous une visibilité sur les risques liés aux collaborateurs qui quittent l'entreprise et les mouvements inhabituels de données ?
• Savons-nous où les outils d'IA générative sont utilisés et pouvons-nous empêcher que des données sensibles soient injectées dans des invites ou des agents ?
• Si un incident se produit demain, sommes-nous en mesure d'enquêter rapidement et de produire un rapport prêt pour les audits ?

Si vous n'êtes pas sûr de l'une des réponses à ces questions, sachez que vous n'êtes pas le seul. C'est précisément là qu'une approche unifiée se révèle utile.

Téléchargez le livre blanc et passez à la vitesse supérieure

La DPDPA et les règles DPDP constituent une étape majeure sur la voie du renforcement de la confiance dans le numérique en Inde. Ils offrent également une opportunité claire aux responsables de la sécurité et de la conformité de moderniser la protection des données personnelles, en particulier dans un contexte d'accélération des workflows optimisés par l'IA.

Lisez le livre blanc Comprendre la loi indienne sur la protection des données personnelles numériques

Pour savoir comment Proofpoint peut vous aider à vous conformer aux dispositions de la DPDPA et à renforcer la protection des données personnelles, contactez votre représentant Proofpoint ou demandez une consultation. Nous pouvons vous aider à évaluer les risques liés à la sécurité des données, à identifier les lacunes et à élaborer un plan axé sur les personnes offrant des résultats mesurables.

Pour en savoir plus sur notre approche unifiée de la sécurité des données, découvrez les solutions Proofpoint de sécurité des données ou planifiez une démonstration avec votre représentant Proofpoint.

Remarque : ce blog est fourni à titre purement informatif et ne constitue pas un conseil juridique.