Ce qui s’est passé : des caméras à la manifestation, sans loi pour les encadrer

Lorsque des manifestants se rassemblent aujourd’hui dans les villes indiennes, il y a de fortes chances que leurs visages soient scannés, comparés et enregistrés avant même qu’ils ne brandissent une pancarte. La surveillance par reconnaissance faciale lors des manifestations est devenue en Inde une pratique courante pour les forces de l’ordre chargées de surveiller les rassemblements publics, sans qu’aucune législation spécifique ne régisse la collecte, le stockage ou l’utilisation de ces données biométriques.

Il ne s’agit pas d’une préoccupation théorique. La police de Delhi a déjà déployé la reconnaissance faciale lors de manifestations, signalant dans un cas environ 2 900 personnes ayant un casier judiciaire identifiées dans la foule à Jantar Mantar. La technologie a fonctionné exactement comme prévu : elle a scanné un rassemblement public, croisé les visages avec une base de données et produit une liste de noms. Ce qui lui manquait, c’était un cadre juridique précisant qui avait autorisé le scan, combien de temps les données peuvent être conservées ou quel recours est offert à une personne mal identifiée.

Cette lacune est au cœur du débat actuel. Les experts juridiques et la société civile affirment de plus en plus clairement que le Parlement indien n’a pas adopté de loi régissant spécifiquement les outils de surveillance pilotés par l’IA comme la reconnaissance faciale, alors même que les services de police de tout le pays continuent d’étendre leur utilisation de cette technologie lors de manifestations, de rassemblements et d’événements publics.

Le vide réglementaire : pourquoi le Parlement n’a pas agi

L’Inde dispose d’une législation sur la protection des données, mais elle n’a pas été conçue pour la reconnaissance faciale ou la surveillance des manifestations. Il en résulte un assemblage disparate où la police peut déployer le scan biométrique lors d’une manifestation en s’appuyant sur son pouvoir général de maintien de l’ordre, sans aucun texte de loi abordant spécifiquement le consentement, la minimisation des données, les limites de conservation ou la supervision pour cette catégorie de technologie de surveillance.

Les experts estiment que c’est précisément l’inverse qu’il faut faire. Un outil capable d’identifier des milliers de personnes dans une foule, dont beaucoup exercent leur liberté d’expression protégée par la Constitution, devrait être encadré par des règles claires avant son déploiement, et non après. Sans une telle loi, il n’existe aucune norme cohérente sur la durée de conservation des données de scan facial, sur les personnes qui peuvent y accéder ou sur la marche à suivre lorsque le système identifie quelqu’un par erreur. Il n’existe pas non plus d’organisme indépendant chargé d’évaluer si ces déploiements sont proportionnés au risque sécuritaire réel d’un événement donné.

Cette tendance ne se limite pas à une seule manifestation. La couverture des récentes manifestations de la génération Z en Inde montre que le maintien de l’ordre par reconnaissance faciale en direct devient une caractéristique courante de la réponse des autorités aux manifestations menées par des jeunes, ce qui augmente les enjeux pour une génération qui s’organise et s’exprime de plus en plus dans l’espace public. Chaque déploiement sans socle juridique crée un précédent qui rend l’absence finale de réglementation plus difficile à inverser.

Comparaisons internationales

L’Inde est loin d’être le seul pays aux prises avec une surveillance biométrique non réglementée, mais la configuration du problème varie d’un pays à l’autre. Aux États-Unis, des parlementaires ont proposé une loi, comme un projet visant à interdire aux agences fédérales d’utiliser des systèmes de lecture automatique des plaques d’immatriculation sans supervision, ce qui reflète un réflexe législatif plus large de maîtrise des outils de surveillance avant qu’ils ne s’enracinent, même si ces projets de loi ont du mal à être adoptés.

À l’autre extrémité du spectre, plus restrictive, l’Iran a intégré la surveillance directement dans son infrastructure internet. Son soi-disant « plan pro-internet » lie la connectivité elle-même à la surveillance, ce qui signifie que l’accès et l’observation ne sont plus des fonctions séparées mais un système unique et groupé. Ce modèle montre ce qui se passe lorsque l’infrastructure de surveillance est construite sans véritables garde-fous : elle devient une condition permanente de participation à la vie publique, en ligne et hors ligne.

La trajectoire actuelle de l’Inde se situe quelque part entre ces deux pôles. La technologie est déployée à grande échelle, mais l’architecture juridique destinée à l’encadrer n’a tout simplement pas suivi. Ce retard constitue la fenêtre que les experts veulent combler avant que la reconnaissance faciale lors des manifestations ne devienne aussi normalisée et incontestée que dans des systèmes moins responsables ailleurs.

Ce que les VPN peuvent et ne peuvent pas protéger face à la surveillance biométrique

Il est utile d’être direct sur les limites des outils de confidentialité numérique. Un VPN chiffre votre trafic internet et masque votre adresse IP, ce qui est réellement utile pour protéger votre activité en ligne, vos habitudes de navigation et vos communications contre l’espionnage au niveau du réseau. Mais un VPN n’empêche en rien une caméra de scanner votre visage sur une place publique.

La surveillance par reconnaissance faciale lors des manifestations opère dans l’espace physique, et non sur votre appareil ou votre connexion réseau. Aucun niveau de chiffrement ne modifie ce qu’une caméra capture lorsque vous passez devant elle. C’est une distinction importante pour quiconque pense que sa boîte à outils de confidentialité numérique couvre toutes les formes de surveillance. Ce n’est pas le cas, et comprendre cette lacune est le premier pas vers une planification plus réaliste de la sécurité personnelle lors des manifestations et des rassemblements publics.

Ce que cela signifie pour vous

Si vous vivez en Inde ou dans un endroit où la reconnaissance faciale est utilisée lors de manifestations publiques, la réalité pratique est que votre présence à une manifestation peut être enregistrée et associée à une identité, que vous portiez un téléphone, utilisiez un VPN ou preniez toute autre précaution numérique. L’absence de loi encadrante signifie qu’il n’y a actuellement aucune limite garantie quant à la manière dont ces données sont utilisées ou à leur durée de conservation.

Cela ne signifie pas que les outils de confidentialité sont inutiles. Les VPN, la messagerie chiffrée et une bonne hygiène numérique restent importants pour protéger vos communications, l’historique de localisation lié à vos appareils et votre empreinte en ligne. Mais ils ne constituent qu’une couche de protection parmi d’autres, et non un bouclier complet contre l’identification biométrique dans les espaces physiques.

Points clés à retenir

  • La reconnaissance faciale est utilisée lors des manifestations en Inde sans loi spécifique régissant son déploiement, les règles de conservation des données ou sa supervision.
  • L’utilisation de cette technologie par la police de Delhi à Jantar Mantar et lors des récentes manifestations menées par la génération Z illustre à quel point cette pratique est devenue routinière.
  • Les experts juridiques estiment que le Parlement doit adopter une législation spécifique sur la surveillance par IA avant, et non après, la poursuite d’un déploiement à plus grande échelle.
  • Les VPN et le chiffrement protègent votre trafic numérique mais ne peuvent pas empêcher les caméras de reconnaissance faciale de vous identifier en public.
  • Toute personne participant à des manifestations publiques doit comprendre que les outils de confidentialité numérique ne sont qu’une partie d’un dispositif de sécurité personnelle plus large, qui inclut également la vigilance physique.

Le débat sur la surveillance par reconnaissance faciale lors des manifestations en Inde est en fin de compte un test de la capacité des cadres juridiques à suivre le rythme des technologies déployées. Tant que le Parlement n’agira pas, il incombera aux citoyens eux-mêmes de comprendre ces risques, et cela commence par reconnaître exactement où s’arrêtent les outils de confidentialité numérique et où commence l’exposition biométrique physique.