Ce qui s'est passé à Jantar Mantar et ce que la police nie
La police de Delhi a rejeté les accusations de surveillance biométrique de masse lors des récentes manifestations du CJP à Jantar Mantar, un lieu depuis longtemps associé aux manifestations publiques dans la capitale. Selon les informations rapportées, la police a confirmé que 2 873 visages ont été scannés pendant les manifestations, mais a fermement rejeté l'accusation plus large selon laquelle des informations biométriques auraient été collectées auprès de chaque manifestant présent.
La police a également nié deux autres allégations spécifiques qui avaient circulé : que les données Aadhaar, le système national d'identité biométrique de l'Inde, auraient été utilisées pour identifier ou convoquer des personnes ayant participé à la manifestation, et que des informations personnelles recueillies auprès des manifestants auraient été partagées avec des entreprises privées. Les responsables ont également déclaré qu'aucune force excessive n'avait été utilisée pendant les manifestations.
La distinction que la police établit est importante. Scanner 2 873 visages n'est pas la même chose que scanner chaque personne présente à la manifestation, et nier l'existence de convocations liées à Aadhaar n'est pas la même chose que nier que la reconnaissance faciale a été utilisée. Ce type de déni étroit et soigneusement formulé est courant dans les controverses sur la surveillance dans le monde entier, et c'est précisément pourquoi la transparence concernant la portée, la base juridique et la conservation des données biométriques collectées lors des manifestations reste une question si contestée.
Comment fonctionnent réellement la reconnaissance faciale et le scan biométrique lors des manifestations
Les systèmes de reconnaissance faciale déployés lors de rassemblements publics fonctionnent généralement en capturant des images à partir de caméras positionnées autour du lieu, puis en faisant passer ces images par un logiciel qui cartographie les traits du visage dans un modèle mathématique. Ce modèle peut être comparé à une liste de surveillance, à une base de données policière, ou simplement enregistré pour une utilisation ultérieure. Contrairement à un point de contrôle où l'on présente consciemment une pièce d'identité, ce type de scan peut se produire passivement, sans que le manifestant sache jamais que son visage a été capturé ou comparé.
La technologie n'exige pas que chaque personne dans une foule soit identifiée pour susciter des inquiétudes. Le scan sélectif, où seuls certains visages sont signalés ou recoupés, crée néanmoins un registre de qui a assisté à une manifestation et peut être utilisé pour élaborer des profils au fil du temps. C'est précisément pourquoi le chiffre de 2 873 visages est significatif, même s'il est inférieur à « tout le monde à Jantar Mantar ». Un scan partiel reste un scan, et les critères utilisés pour décider quel visage est enregistré sont rarement rendus publics.
Le risque d'extension de la mission de surveillance et de partage de données avec des tiers
L'une des préoccupations les plus persistantes parmi les défenseurs de la vie privée et les organisateurs de manifestations dans le monde n'est pas la collecte initiale de données elle-même, mais ce qu'il advient de ces données par la suite. Une fois que des informations biométriques existent dans une base de données, elles peuvent être réutilisées pour des enquêtes sans rapport, conservées indéfiniment, ou dans certains cas partagées avec des fournisseurs externes qui assurent en coulisses l'analytique ou l'infrastructure de stockage.
La police de Delhi a explicitement nié avoir partagé les données des manifestants avec des entreprises privées dans ce cas, ce qui est une réassurance significative si cela est exact. Mais le schéma plus large observé dans de nombreuses juridictions est que les données confiées à des fournisseurs tiers ne restent pas toujours sécurisées. Les défaillances des entreprises dans le traitement des données se produisent régulièrement, et lorsque des informations sensibles se retrouvent dans les mauvais systèmes, les conséquences peuvent refléter ce qui se passe dans des cas de violation de données sans rapport, comme l'incident de ransomware et la menace de fuite contre HBS Group, où les données stockées d'une entreprise sont devenues un levier d'extorsion. La leçon s'applique largement : toute organisation qui stocke des données personnelles, qu'il s'agisse d'une entreprise de restauration du patrimoine ou de la base de données biométriques d'un service de police, devient une cible dès l'instant où ces données ont de la valeur pour quelqu'un d'autre.
Auto-défense numérique : ce que les outils de confidentialité peuvent et ne peuvent pas protéger
C'est la partie que les manifestants et les militants ont le plus besoin de comprendre clairement. Un VPN chiffre votre trafic internet et masque votre adresse IP aux sites web et aux réseaux, ce qui est véritablement utile pour protéger l'activité en ligne, les communications et la recherche liées à l'organisation. Mais un VPN ne fait rien pour empêcher une caméra de capturer votre visage sur une place publique. Les préoccupations concernant la reconnaissance faciale lors des manifestations sont fondamentalement un problème de vie privée physique, pas un problème de vie privée réseau, et elles nécessitent des outils différents.
Les mesures pratiques qui abordent le côté physique incluent le port de couvre-visages et de lunettes de soleil qui obscurcissent les points de repère clés du visage, la désactivation du déverrouillage par visage et par empreinte digitale sur les téléphones avant d'assister à une manifestation (un code secret ne peut pas être physiquement contraint de la même manière que les données biométriques peuvent parfois l'être), et l'utilisation d'applications de messagerie chiffrées pour se coordonner plutôt que les SMS. Côté numérique, les VPN, les e-mails chiffrés et les navigateurs axés sur la confidentialité restent précieux pour protéger le travail de planification, de communication et de documentation qui se déroule avant et après une manifestation.
Ce que cela signifie pour vous
Si vous assistez à des manifestations, organisez des démonstrations, ou simplement vous souciez de la manière dont les données biométriques publiques sont collectées et utilisées, le cas de Jantar Mantar est un rappel utile que les dénis officiels portent souvent sur des allégations plus étroites que celles qui sont débattues publiquement. « Nous n'avons pas scanné tout le monde » est une déclaration différente de « nous n'avons pas utilisé la reconnaissance faciale », et « nous n'avons pas partagé de données avec des entreprises privées » ne répond pas à la question de savoir combien de temps ces données sont conservées en interne ou qui, au sein du gouvernement, peut y accéder. Lire ces dénis attentivement, plutôt que de prendre les assurances des gros titres au pied de la lettre, est en soi une forme de littératie numérique qui vaut la peine d'être pratiquée.
Points à retenir concrets
Avant d'assister à une manifestation ou à une démonstration publique, envisagez de désactiver le déverrouillage biométrique de vos appareils au profit d'un code secret, d'utiliser la messagerie chiffrée pour la coordination, et de couvrir les traits faciaux identifiants lorsque c'est possible. Associez ces précautions physiques à de solides habitudes numériques comme l'utilisation d'un VPN pour la navigation sensible et l'évitement de publier des détails de localisation en temps réel. La surveillance par reconnaissance faciale lors de manifestations est un risque du monde physique que les outils numériques seuls ne peuvent pas entièrement résoudre, mais combiner une hygiène intelligente des appareils avec une sensibilisation physique de base donne aux militants une couche de protection nettement plus solide que de s'appuyer uniquement sur les assurances officielles.
