Inde accorde une dérogation à Cellebrite et suscite des critiques sur la surveillance

Nouvelle exemption permet l’achat par l’État indien d’outils d’extraction et de surveillance étrangers

Exemption ‘Make in India’ autorisée: l’État indien peut acheter des outils d’extraction et de surveillance étrangers, alimentant des craintes pour la vie privée.

L’Inde a accordé une dérogation ministérielle aux règles d’approvisionnement « Make in India », ouvrant la voie à l’achat par des agences gouvernementales d’outils d’extraction et de surveillance étrangers. Une enquête du groupe de défense des droits numériques Internet Freedom Foundation (IFF) et l’examen de documents officiels montrent qu’une décision signée le 7 janvier 2026 a autorisé l’acquisition d’au moins 422 articles médico-légaux étrangers, parmi lesquels figurent des solutions développées par la société israélienne Cellebrite. La mesure a relancé le débat sur l’étendue des capacités de surveillance de l’État et sur l’absence de garde-fous juridiques clairs.

Déréglementation ciblée par décret ministériel

Une lettre du ministère de l’Intérieur, datée du 7 janvier 2026, porte la signature du ministre en charge des achats et accorde une dérogation d’un an aux exigences de préférence pour les fabricants nationaux. Une seconde lettre, datée du 20 janvier 2026, autorise explicitement une licence triennale d’environ 50 millions de roupies (environ 529 947 dollars) pour l’achat d’un outil premium de Cellebrite par l’Agence nationale d’enquête (NIA). Ces décisions activent des possibilités d’acquisition pour les laboratoires médico-légaux et les services de renseignement au niveau central et étatique.

Portée technique des outils demandés par les autorités

Les spécifications figurant dans les appels d’offres et les listes d’exemption décrivent des capacités avancées : extraction complète du système de fichiers, contournement des verrouillages d’écran, récupération de jetons de connexion permettant l’accès à plus de 100 services cloud, décryptage de sauvegardes, et collecte de données depuis des appareils connectés comme des assistants vocaux et des objets portables. Les plateformes visées comprennent des services de médias sociaux et de messagerie, ainsi que des plateformes de rencontres et de collaboration en ligne. Le recours aux jetons de connexion — clés numériques qui maintiennent une session active — permettrait d’accéder à des comptes en ligne sans connaître le mot de passe.

Multiplicité d’acheteurs au-delà du gouvernement central

L’enquête révèle que ces achats ne concernent pas seulement les agences liées au gouvernement central dirigé par le Bharatiya Janata Party. Des États gouvernés par le parti d’opposition national ont également émis des demandes pour des outils similaires. Parmi les produits identifiés figurent non seulement des solutions de Cellebrite, mais aussi des logiciels et matériels d’autres fournisseurs internationaux de criminalistique numérique. Au total, l’IFF a relevé 118 éléments clairement liés à l’investigation numérique et multimédia sur la liste d’exemption.

Incidents concrets et inquiétudes des journalistes et militants

La mise en œuvre de ces capacités soulève des inquiétudes pratiques. Des personnalités publiques et des journalistes ont signalé la confiscation de téléphones lors d’arrestations, suivie d’extractions ou de suppressions d’éléments de preuve numérique. Un vidéaste critique de l’exécutif a déclaré que la police avait tenté de cloner son iPhone lors d’une opération, tandis qu’un journaliste a affirmé que des images de reportages avaient été supprimées de son appareil après restitution. Ces témoignages rendent tangibles les risques d’usage contre des acteurs de la société civile et des médias, et alimentent la crainte d’une surveillance moins ciblée et plus intrusive.

Vide juridique et risque de surveillance généralisée

Les spécialistes du droit et des droits numériques estiment que le cadre législatif indien n’encadre pas spécifiquement le déverrouillage forcé des appareils, la copie intégrale des systèmes de fichiers, la collecte de jetons de connexion ni les règles de conservation et de suppression des données extraites. La Cour suprême a reconnu le droit à la vie privée en 2017, exigeant une base légale, un objectif légitime et une proportionnalité pour toute intrusion. Or, les experts notent qu’en l’absence de protocoles clairs et d’un contrôle judiciaire ou parlementaire renforcé, ces capacités peuvent être déployées sans garanties suffisantes contre les abus.

Des juristes soulignent que, là où certains pays ont instauré des mécanismes de contrôle judiciaire ou parlementaire pour encadrer l’accès aux données, l’Inde s’appuie principalement sur des mécanismes internes au sein de l’exécutif. Selon des défenseurs des droits numériques, l’absence de “frictions” procédurales — exigences légales et procédurales qui rendent l’accès délicat et ciblé — augmente le risque d’une surveillance de masse.

Le débat porte désormais sur la mise en place de cadres légaux spécifiques, la transparence des acquisitions et l’instauration de mécanismes indépendants de contrôle et de reddition de comptes. Les autorités n’ont pas publié de communication exhaustive sur l’étendue exacte des achats ni sur les protocoles d’utilisation et de conservation des données extraites. Dans ce contexte, les appels à des garanties supplémentaires se multiplient auprès des organes législatifs et judiciaires afin de préserver la vie privée et d’éviter des usages disproportionnés des nouveaux outils.