Le projet de règles de protection des données personnelles numériques, 2025 a semé la confusion quant à savoir si tous les utilisateurs devront ou non vérifier leur âge et leur identité pour accéder aux services en ligne.

En vertu de la loi de 2023 sur la protection des données personnelles numériques (que les règles cherchent à rendre opérationnelles), les plateformes en ligne doivent obtenir un consentement parental vérifiable.

The draft Digital Personal Data Protection Rules, 2025 have led to confusion about whether or not all users will have to verify their age and identity to access online services. Under the Digital Personal Data Protection Act, 2023 (which the rules seek to operationalise) online platforms have to obtain verifiable parental consent before processing the data of anyone under 18 years of age.

Le projet de règles de protection des données personnelles numériques, 2025 a semé la confusion quant à savoir si tous les utilisateurs devront ou non vérifier leur âge et leur identité pour accéder aux services en ligne. En vertu de la loi de 2023 sur la protection des données personnelles numériques (que les règles cherchent à rendre opérationnelles), les plateformes en ligne doivent obtenir le consentement parental vérifiable avant de traiter les données de toute personne de moins de 18 ans.

The rules then elaborate that platforms have to verify the age and identity of anyone claiming to be a parent and giving consent on behalf of a child. While the rules specify what platforms can do when an under-18 user declares themself as a child and when a parent comes forward, they don’t take note of situations where a child inputs the wrong information and claims to be an adult.

Les règles précisent ensuite que les plateformes doivent vérifier l’âge et l’identité de toute personne prétendant être un parent et donnant son consentement au nom d’un enfant. Si les règles précisent ce que les plateformes peuvent faire lorsqu'un utilisateur de moins de 18 ans se déclare enfant et lorsqu'un parent se manifeste, elles ne prennent pas en compte les situations dans lesquelles un enfant saisit des informations erronées et prétend être un adulte.

In such cases, platforms will have to verify everyone’s age, some like MediaNama’s editor Nikhil Pahwa argue. On the other hand, some, like Aparajita Bharti, the co-founder of Quantum Hub Consulting believe that the way the rules read right now, companies could use self-declaration measures as a means to determine whether the person signing up is a child or not. “The illustrations 1 & 2 seem to suggest if the user indicates they are a child then the platform has to take steps to gather verifiable parental consent,” she explained in a post on X (formerly Twitter).

Dans de tels cas, les plateformes devront vérifier l’âge de chacun, affirment certains comme Nikhil Pahwa, rédacteur en chef de MediaNama. D'un autre côté, certains, comme Aparajita Bharti, co-fondateur de Quantum Hub Consulting, estiment que, dans l'état actuel des règles, les entreprises pourraient utiliser des mesures d'auto-déclaration comme moyen de déterminer si la personne qui s'inscrit est un enfant ou un enfant. pas. "Les illustrations 1 et 2 semblent suggérer que si l'utilisateur indique qu'il est un enfant, la plateforme doit prendre des mesures pour obtenir un consentement parental vérifiable", a-t-elle expliqué dans un article sur X (anciennement Twitter).

Similarly, the founder of social media impact consulting Space2Grow, also told MediaNama that the DPDP Rules “do not explicitly require mandatory age verification unless the user’s data triggers any sign of them being a child”.

De même, le fondateur du cabinet de conseil en impact sur les réseaux sociaux Space2Grow a également déclaré à MediaNama que les règles DPDP « n'exigent pas explicitement une vérification obligatoire de l'âge, à moins que les données de l'utilisateur ne déclenchent un signe qu'il est un enfant ».

How consent provisions could cause user drop-offs:

Comment les dispositions de consentement pourraient entraîner des abandons d’utilisateurs :

When a parent comes forward to give consent on behalf of a child, the platform has to verify their age and identity as well. The rules provide two ways in which platforms can approach this verification—

Lorsqu’un parent se présente pour donner son consentement au nom d’un enfant, la plateforme doit également vérifier son âge et son identité. Les règles prévoient deux manières pour les plateformes d’aborder cette vérification :

Bharti expressed concern that getting synchronous consent (consent right before a child uses the platform) will be operationally difficult. She explained that it would lead to “huge drop-offs (especially among low-income/rural households) and increased costs of compliance.” Talking about the synchronicity of consent, she said that there could be circumstances where the parent isn’t available to give consent when the child needs to access a specific online service.

Bharti s'est dit préoccupé par le fait qu'il sera difficile d'obtenir un consentement synchrone (consentement juste avant qu'un enfant n'utilise la plateforme). Elle a expliqué que cela entraînerait « d’énormes baisses (en particulier parmi les ménages à faible revenu/ruraux) et une augmentation des coûts de conformité ». Parlant de la synchronicité du consentement, elle a déclaré qu'il pourrait y avoir des circonstances dans lesquelles le parent ne serait pas disponible pour donner son consentement lorsque l'enfant aurait besoin d'accéder à un service en ligne spécifique.

During a spaces discussion on X, Bharti explained that her organisation Young Leaders for Active Citizenship (YLAC) works with rural communities where there is a lot of shared device usage. “Children [in these communities] are way more sophisticated users of technology than their parents. Parents on the other hand ask children for help to navigate the tech world,” she explained. She said that while children do need to be safe online, cutting their access to the internet off is a bigger harm to them.

Lors d'une discussion sur X, Bharti a expliqué que son organisation Young Leaders for Active Citizenship (YLAC) travaille avec les communautés rurales où l'utilisation d'appareils partagés est importante. « Les enfants [de ces communautés] sont des utilisateurs de technologie bien plus avertis que leurs parents. Les parents, quant à eux, demandent de l’aide à leurs enfants pour naviguer dans le monde de la technologie », a-t-elle expliqué. Elle a déclaré que même si les enfants doivent être en sécurité en ligne, couper leur accès à Internet leur cause un plus grand préjudice.

The grey area for establishing parent-child relationships:

La zone grise pour établir les relations parents-enfants :

One of the age verification scenarios under the rules is where a person comes forward identifying themself as child’s parent. The platform then verifies the age and identity of the parent. The rules do not specify how platforms have to go about verifying this parent and child relationship.

L'un des scénarios de vérification de l'âge en vertu des règles est celui où une personne se présente en s'identifiant comme le parent de l'enfant. La plateforme vérifie ensuite l'âge et l'identité du parent. Les règles ne précisent pas comment les plateformes doivent procéder pour vérifier cette relation parent-enfant.

“The ‘due diligence’ methods expected of data fiduciaries to establish relationship with the minor is a grey area – in effect indicating that people have to surrender more data about themselves, their relationships, and online behaviour to either platforms or the government,” Nidhi Sudhan, co-founder of Citizen Digital Foundation told MediaNama. According to her, the rules appear to favour the interests of businesses and the Government more than the people whose data it was meant to protect.

« Les méthodes de « diligence raisonnable » attendues des fiduciaires des données pour établir une relation avec le mineur constituent une zone grise – ce qui indique en fait que les gens doivent fournir davantage de données sur eux-mêmes, leurs relations et leur comportement en ligne aux plateformes ou au gouvernement », Nidhi Sudhan, co-fondateur de Citizen Digital Foundation, a déclaré à MediaNama. Selon elle, les règles semblent favoriser davantage les intérêts des entreprises et du gouvernement que ceux des personnes dont elles sont censées protéger les données.

Other key comments about the rules:

Autres commentaires clés sur les règles :

Missing out room for positive behavioral monitoring of children:

Il manque de la place pour un suivi comportemental positif des enfants :

Besides parental consent, the act also restricts platforms from carrying out tracking/behavioral monitoring of children. It says that the government can exempt certain platforms from these restrictions as well as verification restrictions provided that they process a child’s data in a verifiably safe manner.

Outre le consentement parental, la loi restreint également les plateformes de suivi/surveillance comportementale des enfants. Il indique que le gouvernement peut exempter certaines plateformes de ces restrictions ainsi que des restrictions de vérification à condition qu'elles traitent les données d'un enfant d'une manière vérifiable et sûre.

While the rules list a range of different services that the government allows to carry out behavioral monitoring/exempts from verifiable consent, Sidharth Deb from Quantum Hub Consulting mentioned that they “seem to miss out on an opportunity to incentivise positive/beneficial processing activities that can preserve meaningful internet experiences for under 18 users.” He adds that the rules could have initiated a discussion around what standards companies must meet to qualify as verifiably safe so that the Government allows them to curate digital products for under 18 users.

Alors que les règles énumèrent une gamme de services différents que le gouvernement autorise à effectuer une surveillance comportementale/exemptés de consentement vérifiable, Sidharth Deb de Quantum Hub Consulting a mentionné qu'ils « semblent manquer une opportunité d'encourager des activités de traitement positives/bénéfiques qui peuvent préserver des expériences Internet significatives pour les utilisateurs de moins de 18 ans. Il ajoute que les règles auraient pu lancer une discussion sur les normes que les entreprises doivent respecter pour être considérées comme étant vérifiables, afin que le gouvernement leur permette d'organiser des produits numériques pour les utilisateurs de moins de 18 ans.

Lack of inclusion of vicarious consent:

Absence d’inclusion du consentement du fait d’autrui :

The Data Protection Act says that companies can only process the personal data of an Indian citizen for purposes to which the citizen has specifically consented or for legitimate uses as specified under the act such as court orders, medical emergencies, epidemics, employment and so on. Bharti says that in certain situations like sending gifts to friends or family, or fraud prevention require vicarious consent.

La loi sur la protection des données stipule que les entreprises ne peuvent traiter les données personnelles d'un citoyen indien qu'à des fins auxquelles le citoyen a spécifiquement consenti ou pour des utilisations légitimes spécifiées par la loi, telles que des décisions de justice, des urgences médicales, des épidémies, de l'emploi, etc. Bharti dit que dans certaines situations, comme l'envoi de cadeaux à des amis ou à la famille, ou la prévention de la fraude, le consentement d'autrui est nécessaire.

Now that I have had the time to sleep over them for a (very) few hours, here are some observations:

Maintenant que j'ai eu le temps de dormir dessus pendant de (très) quelques heures, voici quelques observations :

1) At

1) À