Aadhaar : l’identification biométrique indienne connaît des ratés

Obligatoire en Inde dans de nombreuses situations mais frappée de fréquents dysfonctionnements, l’identification biométrique a des conséquences graves pour la population indienne. Conçue au départ afin de lutter contre la fraude et garantir plus de sécurité, la carte d’identité biométrique peine à atteindre ses objectifs. Peut-être les avantages qui en découlent ne sont-ils pas supérieurs aux désagréments qu’elle cause.

Lancé en 2010, le programme Aadhaar (fondation en hindi) est la plus grande base de données biométriques au monde, un fichier qui recense les empreintes digitales et autres scanners d’iris de 1,13 milliard d’individus, soit près de 99 % de la population adulte du pays. En Inde, les résidents reçoivent, à leur demande, un identifiant de 12 chiffres associé à leurs données biométriques : empreintes digitales, photographie du visage et scanner de l’iris. Toute personne vivant dans le pays depuis plus de six mois (y compris les étrangers) peut obtenir gratuitement sa « Aadhaar Card ». Mais cette possibilité confine à l’obligation, tant il devient difficile de vivre sans. En effet, Aadhar est devenu tentaculaire et il est aujourd’hui impossible, sans carte d’identité biométrique, outre de bénéficier de certaines prestations sociales, bourses d’étude et pensions, d’ouvrir un compte en banque, d’obtenir une ligne téléphonique, de souscrire une assurance ou encore d’être soigné à l’hôpital. Et la carte Aadhaar pourrait être bientôt exigée par les compagnies aériennes pour acheter un billet d’avion, par les universités pour suivre une formation, etc.

Lors de son lancement, le programme Aadhaar était présenté par la majorité de centre gauche comme un instrument au service des plus démunis – 10 % de la population indienne était alors sans papiers. Il était aussi conçu comme un outil de lutte contre la fraude et la corruption, massives en Inde, en permettant d’authentifier les versements d’aides, notamment alimentaires et énergétiques. Dans le nord de l’Inde, on estimait à près de 50 % le taux de détournement des subventions sociales publiques. Aussi, une fois revenu au pouvoir en 2014, le Bharatiya Janata Party (BJP, parti nationaliste hindou) a souhaité faire d’Aadhaar un véritable « couteau suisse » de l’identité. Si les intentions sont sans doute louables, le risque de dérive autoritaire (vers un Big Brother orwellien) est grand. Et, techniquement, le système est loin d’être infaillible.

Une identification trop aléatoire

Le 13 janvier 2018, dans une déclaration commune, Human Rights Watch et le chapitre indien d’Amnesty International ont tiré la sonnette d’alarme. Les deux ONG ont alerté sur le risque que « des millions de personnes se voient dénier l’accès à des prestations et services essentiels ». Des organisations locales rapportent en effet que de nombreuses familles n’auraient pas pu bénéficier de l’aide alimentaire à laquelle elles ont droit en raison d’un dysfonctionnement du système d’identification. D’ailleurs, l’État de Delhi a décidé, le 20 février 2018, de suspendre ce mode d’authentification dans les 2 254 magasins qui distribuent des denrées alimentaires à prix subventionné sur son territoire. Le gouvernement local précise que quelque 250 000 foyers étaient injustement privés de l’aide alimentaire depuis l’adoption du programme Aadhaar.

Ailleurs, les bénéficiaires sont parfois contraints de revenir plusieurs fois dans leurs magasins de rationnement, pouvant être situés loin de leur domicile. La presse indienne a même rapporté plusieurs cas d’enfants morts de faim, après que leurs mères ont été soudainement exclues de l’aide alimentaire en raison de problèmes d’identification. Des personnes se verraient également régulièrement refuser des rations alimentaires du fait de pannes d’électricité ou d’internet – ce qui arrive fréquemment dans les zones rurales. Et certains ont les doigts tellement déformés par le travail manuel ou par la vieillesse, ou les yeux affectés par la cataracte, qu’ils ne sont plus reconnaissables par les appareils biométriques. On leur dénie, en somme, leur réelle identité. Dans un pays qui connaît l’un des taux de malnutrition les plus élevés au monde, que des centaines de milliers d’Indiens soient privés de l’aide alimentaire en raison de bugs technologiques est évidemment inacceptable. Et les réactions indignées se multiplient.

Une étude conduite par des économistes en 2017 dans le Jharkhand a montré que les habitants n’ayant pas accès aux denrées alimentaires à prix subventionné étaient cinq fois plus nombreux dans les districts où l’identification biométrique est obligatoire. « Des milliers de noms disparaissent au moment de la synchronisation des bases de données d’Aadhaar et des programmes sociaux », explique Reetika Khera, économiste à l’Institut indien de technologie de Delhi. Dans l’Andhra Pradesh, pourtant l’un des États indiens les plus développés et les plus connectés, les problèmes d’authentification bloquent 8 à 12 % des transactions relatives aux pensions de retraite. « Or, si l’identification ne fonctionne pas, le bénéficiaire ne peut s’en prendre qu’à la machine. Il n’y a aucun recours ni aucun responsable. Les bénéficiaires sont livrés à eux-mêmes », regrette James Herenj, de l’ONG Jharkhand NREGA Watch. Des bénéficiaires souvent illettrés dont les préoccupations se situent à des années lumière des enjeux liés aux nouvelles technologies numériques.

Aadhaar empêche certaines formes de corruption… et en engendre d’autres

Le programme Aadhaar a-t-il au moins permis de mettre fin ou, du moins, de limiter la corruption qui gangrène depuis longtemps le pays ? La technologie ne saurait suffire à remédier à des habitudes profondément ancrées dans une société et dans sa classe dirigeante. Cercle vicieux : il semble que les propriétaires de magasins de rationnement continuent de se livrer à des détournements de denrées. Pour cela, ils inventeraient de faux dysfonctionnements du système d’identification biométrique, la récurrence des vrais dysfonctionnements les rendant plausibles.

Pour lutter contre ce phénomène, certains États expérimentent des méthodes alternatives. Par exemple, dans le Madhya Pradesh, les ayants droit doivent aller dans le bureau du fonctionnaire local qui les identifie puis leur distribue des coupons à échanger dans les magasins de rationnement. Ce dernier n’a dès lors plus qu’à mettre en œuvre lui-même le système Aadhaar.

De graves failles de sécurité

Quant à la sécurité de la base de données, il a été prouvé à plusieurs reprises qu’elle est très insuffisante. En février 2017, un chercheur en cybersécurité a découvert que des centaines de milliers de numéros Aadhaar avaient été publiés en ligne par erreur. En mai, le Center for Internet and Society (CIS), organisme indépendant basé à Bangalore, a « piraté » les données personnelles liées à 130 millions de cartes Aadhaar. Les chercheurs ont pu ainsi connaître les noms, religions, castes, adresses et numéros de téléphone des personnes concernées, ainsi que leurs numéros de compte en banque.

Puis, début janvier 2018, Rachna Khaira, journaliste du quotidien anglophone The Tribune, a pu se procurer, en corrompant un agent public pour 500 roupies (6,4 euros), un identifiant et un mot de passe permettant d’accéder au serveur d’Aadhaar et, par la suite, à d’innombrables données personnelles. Enfin, le 11 mars 2018, Baptiste Robert, informaticien français qui se présente comme un « hackeur éthique », est parvenu à identifier cinq moyens différents de « craquer » l’application mobile d’Aadhaar et à télécharger les informations personnelles de près de 20 000 Indiens. La plus grande base de données biométriques du monde est donc à l’évidence poreuse et souffre de graves failles de sécurité.

Du côté de l’Unique Identification Authority of India (UIDAI), l’autorité indienne chargée des systèmes informatiques, on nie toute fuite de données se soit produite, malgré les éléments incontestables rapportés par certains journalistes et experts. Et d’ajouter, par la voix du procureur général s’exprimant devant les juges de la Cour suprême : « Nos données sont complètement en sûreté car elles sont protégées par des murs de 4 mètres de haut et de 1,5 mètre d’épaisseur ». Un argument assurément peu convaincant : nul besoin d’être informaticien pour savoir qu’il n’est aujourd’hui pas nécessaire d’entrer physiquement dans les locaux abritant les serveurs pour voler leurs données…

Big Brother devenu réalité ?

Au-delà de ses dysfonctionnements et de ses problèmes de sécurité, le programme Aadhaar est-il un outil de surveillance de masse dans les mains du gouvernement indien ? Est-il détourné de sa vocation initiale afin de contrôler la population ? C’est ce que dénoncent les défenseurs des droits et libertés individuels. Dans leur déclaration commune du 13 janvier, Human Rights Watch et le chapitre indien d’Amnesty International regrettent ainsi « l’absence de lois pour protéger les données personnelles en Inde et le manque de contrôle judiciaire ou parlementaire sur les activités des services de renseignement ». Toutefois, le 24 août 2017, la Cour suprême d’Inde a reconnu l’existence d’un droit fondamental au respect de la vie privée, un droit dès lors constitutionnellement protégé (voir La rem n°44, p.55). À la suite de plusieurs recours en justice intentés par des citoyens indiens, la Cour est appelée à se prononcer prochainement sur la licéité du système d’identification biométrique dans son ensemble.

Peut-être d’autres scandales du même ordre sont-ils en passe d’éclater en Inde. L’informaticien Baptiste Robert s’est penché sur l’application du Premier ministre Narendra Modi. Il a révélé que Aadhaar collectait les données de géolocalisation sans autorisation préalable et que les informations enregistrées, concernant environ 5 millions d’utilisateurs, étaient analysées afin d’orienter la communication politique, donc influencer l’électorat – ce qui n’est pas sans rappeler les polémiques nées de l’utilisation des données de Facebook par Cambridge Analytica.

Sources :

• « Aadhaar, ou le scandale de la fuite des données privées de 130 millions d’Indiens », Sébastien Farcis, Rfi.fr, 4 mai 2017.
• « L’ombre de Big Brother s’étend sur l’Inde », Vanessa Dougnac, Letemps.ch, 9 janvier 2018.
• « Inde : une journaliste prouve la vulnérabilité d’Aadhaar, énorme base de données », Sébastien Farcis, Rfi.fr, 11 janvier 2018.
• « Les ratés de l’identification biométrique en Inde », Julien Bouissou, New Delhi, correspondance, Le Monde, 2 mars 2018.
• « L’Inde teste les limites de la carte d’identité biométrique », Marjorie Cessac, correspondante à New Delhi, LesEchos.fr, 19 mars 2018.
• « What you don’t know about Aadhaar », Devansh Sharma, EconomicTimes, IndiaTimes.com, May 18, 2018.