Règles DPDP 2025 de l'Inde — Cadre national de protection des données des enfants pour les écoles et l'EdTech

Le MeitY (ministère de l'Électronique et des Technologies de l'information) a notifié les règles DPDP 2025 au Journal officiel de l'Inde le 13 novembre 2025, mettant en œuvre la loi sur la protection des données personnelles numériques de 2023 après une consultation publique sur un projet publié le 3 janvier 2025.

La règle 10 exige que les responsables du traitement obtiennent un « consentement parental vérifiable » pour tout utilisateur de moins de 18 ans, notamment via des jetons DigiLocker liés à l'Aadhaar avec pistes d'audit ; la règle 11 prévoit des dispositions spécifiques pour les enfants en situation de handicap, exigeant une vérification de la tutelle légale ; les règles interdisent le suivi comportemental, la surveillance et la publicité ciblée envers les enfants — des dispositions qui s'appliquent directement aux applications EdTech, aux outils d'évaluation en ligne et aux plateformes d'IA scolaires desservant environ 250 millions d'élèves en Inde. La règle 12 prévoit une exemption limitée permettant aux écoles de traiter certaines données sans consentement parental complet lorsque cela est strictement nécessaire à la santé, à la sécurité ou aux services éducatifs essentiels.

La plupart des obligations n'entrent en vigueur qu'après une période de transition de 18 mois (échéance de conformité le 13 mai 2027) ; à l'heure actuelle, il n'existe donc aucun bilan d'application. La solidité de la preuve tient au mécanisme statutaire lui-même — amendes pouvant atteindre 200 crores de roupies pour violation des données d'enfants, et un Conseil de protection des données doté de pouvoirs d'enquête et de blocage de plateformes (article 37) — plutôt qu'à un résultat mesuré.