La Haute Cour du Kerala a ordonné au gouvernement de l'Union de rendre fonctionnel le Conseil indien de protection des données dans un délai de huit semaines. Selon The Hindu, la cour a déclaré que la vie privée des citoyens est compromise, et parmi les préoccupations qu'elle a examinées figure la manière dont les données des passagers sont traitées dans les aéroports. L'ordonnance de la Haute Cour du Kerala relative au Conseil de protection des données fixe une échéance à un organisme sur lequel repose la loi sur la protection des données personnelles numériques (DPDP) de 2023 pour son application.

Les informations disponibles sont brèves, c'est pourquoi cet article s'en tient à ce qui a été confirmé et explique pourquoi cela compte.

Ce que la Haute Cour du Kerala a ordonné

La cour a enjoint le gouvernement central d'activer le Conseil de protection des données dans un délai de huit semaines. Cette décision intervient dans un contexte de préoccupations liées à la vie privée concernant les données des passagers dans les aéroports, et la cour a observé que la vie privée des citoyens est compromise.

L'ordonnance ne crée ni nouvelle loi ni nouvelles obligations. Elle demande au gouvernement de mettre en place l'institution que la loi existante décrit déjà. Cette distinction est importante : le cadre juridique existe, mais la cour signale qu'un cadre sans organisme d'application opérationnel ne protège personne en pratique.

Pourquoi le Conseil de protection des données est important pour la loi DPDP

La loi DPDP de 2023 établit des règles sur la manière dont les organisations traitent les données personnelles. Les règles sur le papier ne comptent que si quelqu'un peut examiner les plaintes, évaluer les violations et agir en conséquence. Le Conseil de protection des données est censé être cet organisme.

Tant qu'il n'est pas fonctionnel, les personnes qui estiment que leurs données ont été utilisées à mauvais escient n'ont aucun régulateur pleinement opérationnel vers qui porter plainte. Les organisations, quant à elles, subissent peu de pression pratique pour modifier leur façon de collecter et de stocker les informations. C'est le cœur du déficit d'application que l'ordonnance de la cour met en évidence : une loi peut être adoptée et rester largement inapplicable.

Le délai de huit semaines est un test concret. Les lecteurs pourront observer si le Conseil est réellement rendu opérationnel avant l'échéance, et quels pouvoirs et effectifs il aura une fois en place.

Comment la collecte des données des passagers dans les aéroports expose les voyageurs

Les aéroports sont un point de pression pour les données personnelles. Les voyageurs remettent des documents d'identité, des itinéraires de voyage et, dans certains systèmes, des informations biométriques dans le cadre du traitement de routine. La préoccupation dans cette affaire porte sur les données des passagers dans les aéroports, et il est facile de comprendre pourquoi : les personnes ont peu de choix quant à leur fourniture, et elles savent rarement où elles sont stockées, qui peut y accéder ou combien de temps elles sont conservées.

Les grandes collections centralisées de ce type sont des cibles attractives et ne sont aussi sûres que les contrôles qui les entourent. Sans un régulateur capable d'enquêter sur les plaintes ou d'examiner les pratiques, les voyageurs disposent de recours limités en cas de problème. Des incidents récents ailleurs montrent à quoi ressemble l'exposition. La violation du portail de passeports ANTS en France impliquait l'agence responsable des documents d'identité sécurisés du pays, et la violation du registre d'État lituanien a affecté des dossiers détenus par l'État lui-même.

Comment le déficit d'application en Inde se compare à d'autres régimes de protection de la vie privée

De nombreux régimes de protection de la vie privée associent des droits juridiques à une autorité capable de recevoir des plaintes et d'imposer des conséquences. La différence dans le cas de l'Inde, comme le souligne l'ordonnance de la cour, est que la loi a été adoptée alors que l'organisme censé l'appliquer ne fonctionne pas encore. Nous n'avons pas vu de détails dans les sources journalistiques sur la structure du Conseil, les comparaisons doivent donc être faites avec prudence.

Ce qui peut être affirmé, c'est qu'un texte solide seul ne prévient pas l'exposition. Des bases de données détenues par des gouvernements ont été compromises dans d'autres pays. La violation de données au Mexique qui a exposé 195 millions d'identités et les 10 millions d'enregistrements divulgués du registre civil du Chili montrent ce qui peut se produire lorsque les données des citoyens sont détenues à grande échelle et mal protégées.

Ce que cela signifie pour vous

Si vous voyagez via des aéroports indiens, l'ordonnance ne change rien à ce qui vous est collecté aujourd'hui. Ce qu'elle fait, c'est accroître la pression pour un régulateur opérationnel qui pourrait à terme examiner ces pratiques et entendre les plaintes.

Pour les voyageurs et les résidents plus largement, le point pratique est que vous ne pouvez pas compter sur un régulateur pour protéger des données déjà collectées. Un VPN n'aide pas pour les données que vous remettez à un comptoir d'enregistrement ou à un poste frontière, l'accent devrait donc être mis sur la limitation de ce que vous partagez et la sécurisation de vos propres comptes.

Points à retenir

  • Ne partagez que les informations personnelles requises, et demandez ce qui est collecté et pourquoi lorsque vous le pouvez.
  • Conservez des copies sécurisées de vos documents de voyage et d'identité, et évitez de les envoyer par des canaux non chiffrés.
  • Utilisez des mots de passe uniques et l'authentification multifacteur sur vos comptes de compagnies aériennes, de réservation et de services gouvernementaux.
  • Surveillez les avis de violations de données affectant les services que vous utilisez, et changez rapidement vos identifiants si vous êtes concerné.
  • Suivez si le Conseil de protection des données est opérationnel une fois le délai de huit semaines écoulé.

L'ordonnance de la Haute Cour du Kerala relative au Conseil de protection des données rappelle que les droits sur le papier ont besoin d'une institution derrière eux. Une application faible combinée à de grandes bases de données détenues par le gouvernement conduit à une exposition réelle, comme le montrent les violations au Mexique et au Chili. Tant que le Conseil indien ne fonctionne pas, traitez vos données avec soin et partagez-les avec parcimonie.