Un plan de sécurité pour les enfants qui pourrait toucher tous les adultes

Un cadre proposé pour protéger les enfants en ligne en Inde a fait émerger un compromis inconfortable : pour empêcher les mineurs d’accéder à certaines plateformes, le système pourrait exiger de chaque adulte qu’il prouve, par la biométrie, qu’il n’est pas un enfant. Ce point a été au cœur d’une table ronde organisée le 31 juillet à New Delhi, réunissant juristes, psychiatres et experts des droits numériques, à l’invitation de MediaNama, pour analyser le projet indien de cadre à trois niveaux sur les données et la sécurité des enfants.

La tension fondamentale est simple à énoncer, mais difficile à résoudre. Si une plateforme veut bloquer de façon fiable l’accès des enfants à certains contenus ou fonctionnalités, elle a besoin d’un moyen de confirmer l’âge de l’utilisateur. En Inde, le système d’identité à grande échelle le plus immédiatement disponible est Aadhaar, le programme d’identité biométrique du pays qui couvre déjà la grande majorité de la population grâce aux empreintes digitales, à l’iris et aux données faciales. Utiliser Aadhaar pour la vérification de l’âge impliquerait que les adultes, et pas seulement les mineurs, devraient s’authentifier par biométrie simplement pour prouver qu’ils ne font pas partie d’une catégorie d’âge protégée.

Comment le cadre à trois niveaux est censé fonctionner

Selon les échanges de la table ronde, le cadre à l’étude répartit les obligations de protection de l’enfance en trois niveaux, vraisemblablement en fonction de tranches d’âge ou de niveaux de risque des plateformes, même si les seuils précis n’étaient pas au centre des débats. Ce qui importe pour les défenseurs de la vie privée, c’est le mécanisme sous-jacent : la vérification de l’âge sur les réseaux sociaux reposerait sur une infrastructure d’identité conçue à l’origine pour la distribution de prestations sociales et les services gouvernementaux, et non pour contrôler l’accès aux plateformes en ligne.

Ce détournement d’usage soulève des questions qui dépassent cette seule politique. Aadhaar a été conçu pour authentifier l’identité dans le cadre des subventions, des services bancaires et des prestations publiques. L’utiliser comme preuve universelle de la majorité introduit une nouvelle exposition : les plateformes, les intermédiaires de vérification ou l’État lui-même devraient traiter des confirmations biométriques à une échelle couvrant quasiment chaque internaute du pays, qu’il ait ou non des enfants dans son foyer ou un quelconque intérêt pour les restrictions de contenu destinées aux enfants.

Pourquoi la vérification d’âge par biométrie inquiète les défenseurs de la vie privée

Les psychiatres et juristes présents à la table ronde de MediaNama auraient soulevé des inquiétudes qui vont au-delà de la simple collecte de données. Contrairement aux mots de passe ou aux identifiants de compte, les identifiants biométriques ne peuvent pas être réinitialisés s’ils sont compromis. Une empreinte digitale ou un scan de l’iris lié à une transaction de vérification de l’âge devient un marqueur permanent qui, une fois exposé ou utilisé à mauvais escient, ne peut pas être réémis comme un mot de passe divulgué.

Ce n’est pas la première fois que les autorités indiennes adoptent une vision extensive de ce que devrait signifier la vie privée dans les espaces numériques publics ou semi-publics. Dans une autre affaire, les avocats du gouvernement ont soutenu devant la Haute Cour de Delhi que la vie privée dans les lieux publics est une sorte d’oxymore juridique, une position qui illustre la manière dont les responsables pourraient aborder l’équilibre entre les outils à caractère de surveillance et les droits individuels lorsque la sécurité des enfants ou l’ordre public servent de justification officielle.

L’Inde n’est pas seule à être aux prises avec la tension entre vérification et excès de pouvoir. Des régulateurs d’autres pays ont proposé leurs propres systèmes obligatoires d’identité ou de licence pour l’accès au numérique, et les critiques ont été constantes. La récente initiative de la Turquie visant à imposer des licences gouvernementales aux fournisseurs de VPN a suscité une vague de critiques similaire, les opposants estimant que les exigences de licence risquent de devenir des outils de contrôle élargi plutôt que des mesures de sécurité étroitement ciblées. Dans tous ces cas, le schéma est le même : une politique présentée comme protégeant un groupe vulnérable – mineurs ou grand public – finit par exiger une infrastructure qui touche tout le monde.

Ce que cela signifie pour vous

Si vous utilisez les réseaux sociaux en Inde, cette proposition en est encore au stade de la discussion, mais il est utile de comprendre ce qui pourrait changer si un système de vérification de l’âge basé sur la biométrie allait de l’avant. Toute obligation de lier les données biométriques d’Aadhaar aux comptes de réseaux sociaux signifierait que votre activité sur les plateformes deviendrait traçable jusqu’à un enregistrement d’identité gouvernemental, ce qui n’est pas le cas actuellement. Cela aurait des conséquences sur l’anonymat, sur la possibilité d’utiliser des pseudonymes et sur le degré d’agrégation des données envisageable entre les services si les prestataires de vérification ou les plateformes conservent les traces de ces contrôles.

Même si vous n’avez pas d’enfant et n’êtes pas directement concerné par la politique de protection de l’enfance, un mandat universel de vérification de l’âge exigerait tout de même votre participation, puisque la seule façon de prouver que vous êtes adulte dans un tel système serait de vous soumettre au même contrôle biométrique que tout le monde. C’est là le paradoxe souligné par les participants de la table ronde : une politique destinée à protéger une partie des utilisateurs finit par exiger l’authentification de l’ensemble de la base d’utilisateurs.

Rester informé et protéger vos données

La proposition n’a pas été finalisée, et le débat public, comme la table ronde de MediaNama, fait partie du processus par lequel ces cadres sont examinés avant leur mise en œuvre. Les lecteurs qui souhaitent anticiper ces évolutions devraient surveiller les documents de consultation officiels ou les projets de loi émanant des régulateurs indiens, car les périodes de consultation publique sont souvent la seule fenêtre pour un apport significatif avant l’entrée en vigueur des règles.

Dans l’intervalle, il est utile de passer en revue les informations d’identité que vous avez déjà liées à vos comptes en ligne et de faire preuve de prudence avant de consentir à toute nouvelle demande de vérification, tant que vous ne savez pas exactement quelles données sont collectées et combien de temps elles seront conservées. Alors que la vérification de l’âge pour les réseaux sociaux devient un débat politique récurrent en Inde comme ailleurs, comprendre les mécanismes qui sous-tendent ces systèmes – et pas seulement leurs objectifs affichés – est la meilleure façon d’évaluer si une proposition protège véritablement les enfants ou si elle élargit simplement le champ de la surveillance numérique pour tout le monde.