Qu'est-ce qu'un Data Principal au sens de la DPDPA indienne ?
Découvrez qui est un Data Principal au sens de la DPDPA indienne, de quels droits il dispose, comment fonctionne le retrait du consentement et en quoi il se distingue du Data Subject du RGPD.
En termes simples, si une organisation collecte ou traite des données personnelles vous concernant, vous êtes le Data Principal.
La DPDPA est la loi générale indienne sur la protection des données. Elle encadre la façon dont les organisations traitent les données personnelles numériques, et le Data Principal est la personne que ces obligations visent à protéger.
Par exemple, lorsque vous créez un compte sur une boutique en ligne et saisissez vos nom, adresse e-mail et adresse de livraison, vous êtes le Data Principal et la boutique est le Data Fiduciary qui décide pourquoi et comment ces informations sont utilisées.
Pour un enfant, le terme englobe également le parent ou le tuteur légal de l'enfant. Pour une personne en situation de handicap, il englobe le tuteur légal agissant pour son compte.
Les Data Principals disposent de droits au titre de la DPDPA et peuvent exercer un contrôle sur leurs données personnelles conformément à la loi, notamment des droits d'accès à l'information, de rectification et d'effacement, de traitement des réclamations et de désignation.
Que signifie Data Principal ?
Le Data Principal est la personne dont les données personnelles sont traitées.
Par exemple :
- Un client dont le nom et l'e-mail sont collectés par une boutique en ligne
- Un utilisateur qui crée un compte sur une plateforme SaaS
- Un patient dont les informations numériques sont traitées par un service de santé en ligne
- Un salarié dont les informations personnelles sont traitées sous forme numérique
- Un visiteur de site web dont les données personnelles sont collectées via un formulaire en ligne
Dans chacun de ces cas, la personne à laquelle se rapportent les données peut être le Data Principal.
Qui est un Data Principal au sens de la DPDPA ?
Le Data Principal est en principe la personne dont les données personnelles sont collectées, conservées, utilisées, partagées ou autrement traitées.
Prenons l'exemple d'un site e-commerce :
Client
Data PrincipalLe nom, l'adresse, le numéro de téléphone et les autres données personnelles du client se rapportent à cette personne.
Entreprise
Data FiduciaryL'entreprise détermine pourquoi et comment les données personnelles sont traitées.
Prestataire de services
Data ProcessorLe prestataire peut traiter les données personnelles pour le compte du Data Fiduciary.
Comprendre ces rôles est important, car chacun occupe une position différente au titre de la DPDPA.
Data Principal et Data Fiduciary
Le Data Principal est la personne que concernent les données personnelles.
Le Data Fiduciary est la personne ou l'organisation qui détermine les finalités et les moyens du traitement de ces données personnelles.
Les demandes d'exercice des droits s'adressent au Data Fiduciary, qui reste responsable des traitements effectués par ses Data Processors.
Par exemple :
| Rôle | Exemple |
|---|---|
| Data Principal | Un client qui utilise un site d'achat en ligne |
| Data Fiduciary | L'entreprise qui exploite le site |
| Data Processor | Un fournisseur cloud qui traite les données pour l'entreprise |
Le Data Principal est la personne dont les intérêts et les droits en matière de vie privée sont protégés, tandis que le Data Fiduciary est en principe chargé de respecter les obligations applicables au traitement.
Pourquoi la vie privée du Data Principal compte au regard de la DPDPA
Derrière chaque enregistrement conservé par une organisation, il y a une personne. Le Data Principal est cette personne, et la manière dont ses données sont collectées, utilisées et partagées constitue précisément sa vie privée.
Savoir qui est le Data Principal, et ce à quoi il a droit, change la façon dont une entreprise traite les données personnelles au quotidien. Cela favorise :
- Le contrôle de chacun sur ses données personnelles
- La transparence sur ce qui est collecté et pourquoi
- Un traitement responsable et limité à sa finalité
- Des choix réels plutôt que de simples formalités
- Des voies claires pour exercer ses droits
- Une base concrète pour la conformité à la DPDPA
Ainsi menée, la protection de la vie privée est plus simple à expliquer aux Data Principals et plus simple à démontrer, car les processus qui respectent les choix des personnes sont ceux-là mêmes qui les enregistrent.
Base juridique : ce que dit le DPDP Act
La Section 2(j) du Digital Personal Data Protection Act, 2023 définit le Data Principal comme la personne à laquelle se rapportent les données personnelles. Lorsqu'il s'agit d'un enfant, le terme inclut ses parents ou son tuteur légal ; lorsqu'il s'agit d'une personne en situation de handicap, il inclut le tuteur légal qui agit en son nom.
La loi confère aux Data Principals leurs droits aux Sections 11 à 14 (accès à l'information, rectification et effacement, traitement des réclamations et désignation d'un tiers), et la Section 6 leur permet de retirer leur consentement aussi facilement qu'ils l'ont donné.
La DPDPA fixe aussi des obligations aux Data Principals, à la Section 15. Par exemple, un Data Principal ne doit pas usurper l'identité d'une autre personne, dissimuler des informations importantes lorsqu'il fournit des données personnelles pour un document officiel, ni déposer une réclamation fausse ou abusive, et il doit fournir uniquement des informations dont l'authenticité est vérifiable lorsqu'il demande une rectification ou un effacement.
Les obligations qui donnent corps à ces droits incombent au Data Fiduciary, et le Data Protection Board of India peut enquêter sur les manquements à la loi.
Les droits du Data Principal
La DPDPA confère aux Data Principals des droits relatifs à leurs données personnelles.
Selon les dispositions applicables, ces droits comprennent :
Droit d'accès à l'information
Le Data Principal peut demander certaines informations sur les données personnelles traitées et les activités de traitement associées, dans les conditions prévues par la DPDPA.
Cela aide les personnes à comprendre comment leurs données personnelles sont utilisées.
Droit de rectification et d'effacement
Le Data Principal peut demander la rectification, la complétion, la mise à jour ou l'effacement de ses données personnelles, sous réserve des exigences et exceptions applicables.
Les organisations doivent disposer de processus pour recevoir ces demandes et y répondre.
Droit au traitement des réclamations
Le Data Principal a le droit d'accéder à un mécanisme de traitement des réclamations mis en place par le Data Fiduciary ou le Consent Manager.
Cela offre un cadre pour faire part de préoccupations sur le traitement des données personnelles ou sur la gestion des demandes d'exercice des droits.
Droit de désignation
Le Data Principal peut désigner une autre personne pour exercer les droits applicables dans certaines circonstances prévues par la DPDPA.
Droit de retirer son consentement
Lorsque les données personnelles sont traitées sur la base du consentement, le Data Principal peut retirer ce consentement.
Le retrait doit être aussi simple que le fait de consentir.
Le consentement et comment le retirer
Le consentement est l'un des principaux fondements permettant de traiter des données personnelles au titre de la DPDPA.
Lorsque le consentement est invoqué, il doit répondre aux exigences applicables de la loi et notamment être :
- Libre
- Spécifique
- Éclairé
- Inconditionnel
- Univoque
- Exprimé par un acte positif clair
Le Data Principal doit comprendre la finalité pour laquelle son consentement est demandé.
Un processus de consentement solide doit permettre de :
- Informer
- Demander
- Recueillir
- Enregistrer
- Appliquer
- Retirer
Cela permet de relier la décision de l'utilisateur au traitement effectif des données personnelles.
Comment un Data Principal peut-il retirer son consentement ?
Lorsque le traitement repose sur le consentement, le Data Principal doit disposer d'un mécanisme efficace pour le retirer.
Une entreprise ne doit pas rendre le retrait inutilement difficile ou sensiblement plus compliqué que le fait de consentir.
Une fois le consentement retiré, le Data Fiduciary doit prendre les mesures requises pour cesser le traitement des données personnelles lorsque cela s'applique et gérer les conséquences du retrait conformément à la DPDPA et aux autres exigences applicables.
Pour les sites web et les applications, le retrait du consentement peut impliquer de mettre à jour les préférences de consentement et de s'assurer que les systèmes connectés respectent le nouveau choix.
Enfants et personnes en situation de handicap
Le Data Principal et les données des enfants
La DPDPA prévoit des protections supplémentaires pour les données personnelles des enfants.
Un enfant s'entend d'une personne qui n'a pas atteint l'âge de 18 ans.
La DPDPA fixe également des exigences spécifiques concernant le traitement des données personnelles des enfants, notamment des exigences de consentement parental ou du tuteur légal dans les cas applicables et des restrictions relatives à certaines formes de traitement.
Les entreprises qui traitent des données personnelles d'enfants doivent examiner les exigences propres à leurs services.
Le Data Principal et les personnes en situation de handicap
La définition légale du Data Principal traite également des situations impliquant une personne en situation de handicap.
Le cadre de la DPDPA reconnaît ainsi les situations dans lesquelles les droits relatifs aux données personnelles et les actions liées au consentement doivent être exercés par un représentant légal habilité.
Comment un Data Principal exerce ses droits
Les entreprises doivent proposer des processus accessibles permettant aux Data Principals d'exercer les droits applicables.
Un parcours type peut comprendre :
Soumettre
Soumettre une demande via le mécanisme de confidentialité ou de réclamation disponible.
Vérifier
Vérifier la demande lorsque cette vérification est nécessaire et appropriée.
Identifier
Identifier les données personnelles et l'activité de traitement concernées.
Évaluer
Évaluer la demande au regard des exigences légales applicables.
Agir
Prendre la mesure requise : fournir des informations, rectifier des données ou les effacer lorsque cela s'applique.
Enregistrer
Consigner le résultat et répondre par le canal approprié.
La procédure exacte dépend du type de demande et des obligations de l'organisation au titre de la DPDPA.
Data Principal vs Data Subject, et le Consent Manager
Le terme Data Principal est employé par la DPDPA indienne.
Le terme Data Subject (personne concernée) est couramment employé par des cadres tels que le RGPD.
Les deux termes désignent en principe la personne à laquelle se rapportent les données personnelles, mais ils relèvent de cadres juridiques différents.
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | Pas d'équivalent direct |
Les entreprises présentes à l'international doivent employer la terminologie et respecter les exigences propres à chaque cadre de protection de la vie privée.
Le Data Principal et le Consent Manager
La DPDPA définit le Consent Manager comme une personne enregistrée qui agit comme point de contact unique permettant à un Data Principal de donner, gérer, consulter et retirer son consentement via une plateforme accessible, transparente et interopérable.
Ce modèle vise à donner aux Data Principals un plus grand contrôle sur leurs décisions de consentement.
Les entreprises doivent distinguer la notion légale de Consent Manager d'un logiciel généraliste de gestion du consentement ou d'un simple bandeau cookies.
Checklist de conformité pour les entreprises
Les sites web et applications peuvent traiter des données personnelles par le biais de :
- La création de compte
- Les formulaires de contact
- Les inscriptions à la newsletter
- Les achats et paiements
- Les systèmes de support client
- L'utilisation d'applications mobiles
- Les cookies et identifiants en ligne
- Les outils d'analyse
- Les technologies publicitaires
- D'autres services tiers
Les entreprises doivent savoir où ces données sont traitées afin de pouvoir répondre efficacement lorsqu'un Data Principal exerce un droit applicable.
Une demande relative à la vie privée ne peut pas être traitée efficacement si l'organisation ignore où sont conservées les données personnelles concernées, ou quels systèmes et prestataires les traitent.
Les entreprises qui traitent des données personnelles doivent vérifier si elles savent :
- Identifier les Data Principals concernés
- Fournir des informations claires sur la confidentialité et le consentement
- Expliquer les finalités de traitement applicables
- Recueillir un consentement valable lorsqu'il est requis
- Enregistrer les décisions de consentement
- Prendre en charge le retrait du consentement
- Localiser les données personnelles concernées
- Rectifier ou mettre à jour les données lorsque cela est requis
- Effacer les données lorsque cela s'applique
- Mettre en place des mécanismes de traitement des réclamations
- Traiter correctement les données personnelles des enfants
- Gérer les demandes formulées par les représentants habilités
- Conserver un historique des demandes et des réponses
- S'assurer que les systèmes connectés respectent les choix de confidentialité mis à jour
Comment ConsentX vous aide à respecter les droits du Data Principal
ConsentX offre à chaque Data Principal un moyen clair de donner, revoir et retirer son consentement, et à votre équipe une trace à présenter lors d'un audit.
Consentement par finalité
Demandez un consentement distinct pour chaque finalité.
Informations claires
Affichez des informations en langage simple avant toute collecte de données.
Reçus de consentement
Conservez une trace infalsifiable de chaque décision.
Retrait
Permettez aux utilisateurs de changer d'avis aussi facilement qu'ils ont consenti.
Détection des cookies et blocage préalable
Repérez les traceurs et laissez les non essentiels désactivés jusqu'à l'accord de l'utilisateur.
Workflows de demandes d'exercice des droits
Recevez, vérifiez et traitez les demandes d'accès, de rectification et d'effacement.
Contrôle de l'âge et consentement parental
Appliquez les règles propres aux données des enfants.
Preuves prêtes pour l'audit
Conservez les preuves de consentement et les demandes au même endroit.
Chaque décision est conservée dans vos registres de consentement, appuyée par des reçus de consentement infalsifiables que vous pouvez exporter pour un audit. Sur votre site, la détection des cookies et traceurs montre quelles balises s'exécutent, et le blocage préalable maintient les balises non essentielles désactivées jusqu'à l'accord de l'utilisateur. Des règles par région permettent de proposer aux visiteurs indiens une expérience propre à la DPDPA, et notre page sur le consentement des visiteurs indiens explique le fonctionnement de l'information, du consentement et du retrait.
Les organisations passent ainsi d'une politique de confidentialité statique à des systèmes techniques capables de recueillir, de gérer et de démontrer les choix de confidentialité.
Commencez gratuitement ou réservez une démo pour le voir en action.
Passez à la pratique avec les droits du Data Principal
ConsentX aide les entreprises à recueillir un consentement valable, à gérer les préférences de confidentialité, à prendre en charge le retrait et à conserver les preuves des choix des Data Principals. Commencez gratuitement avec ConsentX.
Termes associés
Le Data Fiduciary est la personne ou l'organisation qui détermine les finalités et les moyens du traitement des données personnelles.
Le Data Processor traite les données personnelles pour le compte d'un Data Fiduciary.
Le cadre indien de protection des données qui régit les traitements concernés de données personnelles numériques.
Une plateforme enregistrée par laquelle un Data Principal peut donner, gérer, consulter et retirer son consentement.
Un logiciel qui aide les organisations à recueillir, gérer, appliquer et documenter les choix de confidentialité et de consentement.
Un reçu de consentement est l'enregistrement de la décision d'un utilisateur et des informations associées.
Les droits ouverts aux personnes par la DPDPA, notamment ceux relatifs à l'information, à la rectification, à l'effacement, au traitement des réclamations et à la désignation.
Le consentement aux cookies aide les sites web à recueillir et à gérer l'autorisation de l'utilisateur pour les cookies et technologies de traçage concernés.
Le blocage préalable est le procédé technique qui maintient inactifs les traceurs non essentiels concernés tant que le consentement requis n'a pas été obtenu.