L'Inde peut-elle réellement interdire les noms d'utilisateur sur les applications de messagerie chiffrées ?

Bien avant qu'un utilisateur n'envoie un message privé, l'architecte logiciel à son bureau à des milliers de kilomètres de là décide si ce message nécessite un numéro de téléphone pour exister. Ce choix technique est désormais un champ de bataille juridique en Inde. Le ministère de l'Électronique et des Technologies de l'information a récemment envoyé des notifications formelles à Telegram et Signal. Le gouvernement souhaite que ces plateformes justifient les fonctionnalités qui permettent aux personnes de communiquer via des noms d'utilisateur au lieu de révéler leurs numéros de téléphone. Cette initiative fait suite à un ultimatum de trois jours adressé à WhatsApp, forçant l'entreprise à suspendre son propre déploiement de noms d'utilisateur.

L'Inde change de stratégie en matière de police numérique. Par le passé, le gouvernement bloquait des applications entières ou ordonnait la suppression de comptes spécifiques. Désormais, l'État examine les fonctionnalités individuelles des produits à travers plusieurs services. L'accent est mis sur l'anonymat. Le gouvernement considère la possibilité de masquer un numéro de téléphone comme une porte ouverte à la fraude. Les défenseurs de la vie privée y voient l'ultime ligne de défense pour les journalistes et les dissidents.

Le passage de l'interdiction d'applications à l'examen des fonctionnalités

Pendant des années, la relation entre le gouvernement indien et les entreprises technologiques mondiales a suivi un modèle prévisible. Une plateforme hébergeait un contenu que le gouvernement jugeait répréhensible, et le ministère ordonnait un retrait. Si la plateforme refusait, une impasse juridique s'ensuivait. Nous l'avons vu lorsque le gouvernement s'est opposé à X concernant des contenus liés aux manifestations d'agriculteurs. Les récentes notifications à Telegram et Signal représentent une approche plus granulaire de la réglementation.

Le gouvernement ne regarde plus seulement ce que les gens disent. Il examine la manière dont le logiciel est construit. En ciblant la fonctionnalité des noms d'utilisateur, le ministère des TI remet en question le concept de pseudonymat. Telegram autorise les noms d'utilisateur depuis longtemps, permettant aux utilisateurs de rejoindre de grands groupes publics sans exposer leurs coordonnées à des inconnus. Signal a introduit une fonctionnalité similaire pour renforcer la sécurité des utilisateurs, permettant de partager un identifiant tout en gardant l'identifiant principal — le numéro de téléphone — caché du public.

L'enquête du ministère demande à ces entreprises de détailler leurs mesures de protection contre l'usurpation d'identité. Il s'agit d'un interrogatoire technique sur la "confidentialité dès la conception" (privacy by design). Si une plateforme est conçue pour minimiser les données qu'elle collecte, elle dispose de moins d'informations à fournir lorsque l'État exige une vérification d'identité. Une source gouvernementale a cité les arnaques à l'arrestation numérique et l'hameçonnage comme raisons principales de cette répression. Dans ces escroqueries, les criminels utilisent l'anonymat perçu des applications de messagerie pour se faire passer pour des agents des forces de l'ordre ou du fisc.

Pourquoi les noms d'utilisateur sont essentiels à l'hygiène numérique

Dans mon travail de journaliste, l'hygiène numérique est une exigence quotidienne plutôt qu'un choix. J'apprends à mes sources à utiliser Signal car cela minimise les traces laissées derrière elles. Lorsqu'une source contacte un reporter, elle le fait souvent au péril de sa vie. Partager un numéro de téléphone revient à remettre la clé de sa position physique et de son identité. Un nom d'utilisateur agit comme un tampon. C'est une couche pseudonyme qui protège la personne derrière l'écran.

Le chiffrement de bout en bout est une enveloppe scellée. Il garantit que seuls l'expéditeur et le destinataire peuvent lire le contenu. Cependant, le gouvernement ne s'intéresse pas seulement à la lettre à l'intérieur de l'enveloppe. Il veut que l'adresse de l'expéditeur soit un numéro de téléphone vérifié et lié au gouvernement. En masquant ce numéro avec un nom d'utilisateur, la plateforme rend l'adresse de retour beaucoup plus difficile à tracer.

Pour Signal, la fonctionnalité de nom d'utilisateur est un mécanisme de préservation de la vie privée. Elle ne stocke pas le nom d'utilisateur de manière à le lier au numéro de téléphone d'un utilisateur sur ses serveurs en texte clair. Pour le ministère des TI, il s'agit d'un système opaque qui empêche l'identification du "premier auteur" d'un message, une exigence en vertu des Règles sur les technologies de l'information (directives pour les intermédiaires et code d'éthique des médias numériques) de 2021.

L'ultimatum de trois jours pour WhatsApp

WhatsApp se trouve dans une position précaire. Contrairement à Signal ou Telegram, WhatsApp est un intermédiaire de médias sociaux important comptant des centaines de millions d'utilisateurs en Inde. Lorsque WhatsApp a annoncé qu'il permettrait aux utilisateurs de choisir des noms d'utilisateur, le ministère a réagi par une directive immédiate. L'entreprise avait trois jours pour justifier la fonctionnalité ou faire face à des mesures réglementaires.

La logique du gouvernement repose sur la multiplication des arnaques à l'arrestation numérique. Il s'agit d'attaques sophistiquées où l'on dit aux victimes qu'elles font l'objet d'une enquête pour blanchiment d'argent ou trafic de drogue. Les attaquants utilisent des applications de messagerie pour maintenir un appel vidéo continu, plaçant de fait la victime sous une "arrestation numérique" jusqu'à ce qu'elle transfère de l'argent. Le ministère soutient que les noms d'utilisateur facilitent l'action de ces attaquants sans qu'ils puissent être tracés.

Cela crée un conflit entre sécurité et vie privée. Si une plateforme exige que chaque utilisateur soit identifiable par un numéro de téléphone, cela aide les forces de l'ordre à traquer les criminels. Cependant, cela crée également une vulnérabilité systémique pour tous les autres. Les violations de données chez les opérateurs télécoms ou des acteurs malveillants ayant accès aux bases de données de numéros de téléphone peuvent utiliser ces informations pour harceler des individus. Dans ce contexte réglementaire, le gouvernement donne la priorité à la capacité de surveillance de l'État sur la capacité de l'individu à rester privé.

La base juridique de la surveillance généralisée

L'Internet Freedom Foundation (IFF) a demandé le retrait de ces notifications. Le groupe soutient que le gouvernement n'a aucune base légale claire pour examiner les fonctionnalités logicielles individuelles de cette manière. Les règles de 2021 sur les TI exigent déjà que les plateformes identifient les auteurs des messages lorsqu'un tribunal ou une autorité compétente l'ordonne. Cependant, ces règles font actuellement l'objet de contestations juridiques devant divers tribunaux indiens.

L'IFF affirme que la notification à Signal porte directement atteinte à la liberté d'expression protégée. Les journalistes, les militants et les lanceurs d'alerte comptent sur la possibilité de communiquer sans être identifiés par l'État. Si le gouvernement force ces plateformes à supprimer les fonctionnalités de noms d'utilisateur, il impose de fait que chaque conversation numérique soit liée à une identité physique via une carte SIM. En Inde, les cartes SIM sont liées à Aadhaar, le système national d'identité biométrique.

Cela crée une chaîne d'identité difficile à briser. Si vous supprimez le pseudonymat, vous supprimez la capacité d'une personne vulnérable à s'exprimer sans crainte immédiate de représailles. Le paysage réglementaire devient un patchwork d'exigences qui rend de plus en plus difficile le fonctionnement des applications axées sur la confidentialité.

Comment les utilisateurs peuvent protéger leur identité

Pendant que la bataille juridique se poursuit, les utilisateurs doivent prendre des mesures pour gérer leur empreinte numérique. La tension entre le gouvernement et ces plateformes signifie que les fonctionnalités sur lesquelles vous comptez aujourd'hui pourraient changer ou disparaître demain.

Si vous utilisez ces applications pour des communications sensibles, vérifiez vos paramètres dès maintenant. Dans Signal, vous pouvez aller dans Paramètres > Confidentialité > Numéro de téléphone et régler "Qui peut voir mon numéro" sur "Personne". Vous pouvez également régler "Qui peut me trouver par mon numéro" sur "Personne". Cela oblige les gens à utiliser votre nom d'utilisateur pour vous trouver.

Dans Telegram, le nom d'utilisateur est public par défaut si vous en définissez un. Vous devriez revoir vos paramètres de confidentialité pour vous assurer que votre numéro de téléphone n'est pas visible par tout le monde. Cependant, sachez que l'architecture de Telegram est différente de celle de Signal. Telegram stocke plus de métadonnées sur ses serveurs, ce qui le rend plus vulnérable aux demandes légales de données.

L'avenir de la vie privée en Inde

L'accent mis par le ministère des TI sur les noms d'utilisateur n'est pas un événement isolé. Cela fait partie d'une tendance plus large vers une traçabilité totale. Le gouvernement veut éliminer les zones d'ombre d'Internet où il ne peut pas voir qui parle à qui. Bien que l'objectif affiché soit de prévenir la fraude, la méthode consiste à démanteler les protections de la vie privée pour tous les citoyens.

La loi sur la protection des données personnelles numériques (DPDP) de 2023 commence également à entrer en vigueur. Bien que la loi se concentre sur la manière dont les entreprises gèrent les données, elle comprend des dispositions qui permettent au gouvernement d'exempter ses propres agences de nombreuses exigences de confidentialité. Cela crée un miroir sans tain où l'État peut voir le citoyen, mais le citoyen ne peut pas voir l'État.

En fin de compte, la lutte sur les noms d'utilisateur est une lutte pour le droit au pseudonymat. Si le gouvernement réussit à forcer Telegram, Signal et WhatsApp à lier chaque interaction à un numéro de téléphone, l'enveloppe scellée du chiffrement demeure, mais la confidentialité de l'expéditeur disparaît. L'enveloppe est toujours fermée, mais les noms de l'expéditeur et du destinataire sont écrits à l'encre indélébile à l'extérieur.

Prenez le temps de revoir les autorisations de vos applications et vos paramètres de confidentialité. Si une fonctionnalité protégeant votre identité est disponible, utilisez-la. Si une plateforme est forcée de supprimer cette fonctionnalité, évaluez si elle répond toujours à vos besoins de sécurité. La réputation personnelle et la sécurité dépendent de ces petits choix techniques. Le ministère de l'Électronique et des Technologies de l'information a émis les notifications jeudi. Les plateformes n'ont pas encore fourni de réponse publique.

Sources

• Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021.
• Digital Personal Data Protection Act, 2023 (India).
• Supreme Court of India: Justice K.S. Puttaswamy (Retd.) vs Union Of India (Right to Privacy judgment).
• Official statements from the Internet Freedom Foundation (IFF) regarding messaging app notices.

Avertissement : Cet article est à but informatif et journalistique uniquement. Il ne constitue pas un conseil juridique formel. Les lois et réglementations sur la vie privée sont susceptibles de changer et varient selon les juridictions.