Le front barré d'un signe religieux hindou rouge, Vivek Kumar se tient droit derrière le comptoir de son étroite papeterie située dans une allée obscure d'un quartier populaire du sud-est de New Delhi. Sous le regard bienveillant d'une idole de Ganesh - le dieu qui efface les obstacles -, le commerçant à la fine moustache et à la chemise bleu-gris au col Nehru réalise des photocopies, fournit des tampons ou des stylos à des dizaines de chalands.
Gaurav, un vendeur de légumes de la halle d'à côté, entre acheter du crédit de communication mobile. Au moment de payer, il sort son portefeuille, mais pas pour chercher de la monnaie. Il y prend sa carte d'identité Aadhaar et fournit ses douze chiffres au commerçant. Qui les entre dans un smartphone, sélectionne la banque de Gaurav et indique le montant de l'achat. Le client n'a plus qu'à poser son pouce sur un lecteur biométrique relié au combiné, connecté à Internet. Une lumière rouge s'allume et un son retentit : la transaction est bien passée.
Depuis mars, 32 banques indiennes fournissent ce service novateur de paiement par empreinte digitale. Appelé Aadhaar Pay, il utilise les informations biométriques, à savoir les dix empreintes digitales et celle de l'iris, recueillies par le gouvernement depuis septembre 2010 pour créer la première carte d'identité du pays. Toute personne résidant en Inde depuis plus de six mois, y compris les étrangers, peut s'inscrire et l'obtenir gratuitement.
L'Aadhaar («la fondation» en hindi) représente aujourd'hui la plus grande base de données biométriques au monde, avec 1,13 milliard de personnes enregistrées sur 1,25 milliard, soit 99 % de la population adulte indienne.
L'objectif initial était double : identifier la population - 10% des Indiens n'avaient jusqu'ici aucun papier, et donc aucun droit - et se servir de ces moyens biométriques pour sécuriser l'attribution de nombreuses subventions alimentaires ou énergétiques, dont le détournement coûte plusieurs milliards d'euros chaque année à l'Etat fédéral.
A partir de 2014, la nouvelle majorité nationaliste hindoue du BJP a étendu les usages de l'Aadhaar pour transformer cet outil de reconnaissance en un vrai «passe-partout» de la vie quotidienne indienne : depuis l'ouverture d'une ligne téléphonique à la déclaration de ses impôts, en passant surtout par la création d'un compte en banque, le numéro Aadhaar sera à présent requis. Dans ce dernier cas, l'Aadhaar permet en prime d'utiliser le paiement bancaire par biométrie pour réduire le recours au liquide, qui représente encore plus de 90 % des transactions dans le pays.
Le Premier ministre, Narendra Modi, a fait de cette inclusion financière l'un de ses principaux chevaux de bataille : en 2014, son gouvernement a lancé un énorme programme qui a permis la création de 213 millions de comptes bancaires en deux ans - aujourd'hui, quasiment tous les foyers en possèdent au moins un. Il a continué dans cette voie énergique en démonétisant, en novembre, les principales coupures. But de la manœuvre : convaincre les Indiens de se défaire, au moins temporairement, de leur dépendance aux billets marqués de la tête de Gandhi.
«Le liquide est gratuit, donc il est difficile de pousser les gens à utiliser d'autres moyens de paiement, explique Ragavan Venkatesan, responsable des paiements numériques à la banque IDFC, pionnière dans l'utilisation de l'Aadhaar Pay. Nous avons donc renversé le système pour que le commerçant soit incité à utiliser les moyens numériques.» L'établissement financier a d'abord développé le «microdistributeur de billets» : une tablette que le vendeur peut utiliser pour créer des comptes, recevoir des petits dépôts ou fournir du liquide aux clients au nom de la banque, contre une commission. Comme l'Aadhaar Pay, cette tablette se connecte au lecteur biométrique - fourni par l'entreprise française Safran - pour l'identification et l'authentification. Dans les deux cas, et à la différence des paiements par carte, ni le marchand ni le client ne paient pour l'utilisation de ce réseau. «Le mode traditionnel de paiement par carte va progressivement disparaître», prédit Ragavan Venkatesan.
Pour l'instant, le système n'en est toutefois qu'à ses débuts. Environ 70 banques - une minorité du réseau indien - sont reliées à l'Aadhaar Pay, et lors de nos visites dans différents magasins de New Delhi, une transaction a été bloquée pendant dix minutes à cause d'un problème de serveur. La connectivité est d'ailleurs un défi dans un pays dont la population est en majorité rurale : le système nécessite au minimum le réseau 2G, dont sont dépourvus environ 8 % des villages, selon le ministère des Télécommunications.
Mais c'est la protection du système qui est surtout en question : «La biométrie réduit fortement le niveau de sécurité, car c'est facile de voler ces données et de les utiliser sans votre accord, explique Sunil Abraham, directeur du Centre pour l'Internet et la société de Bangalore. Il existe maintenant des appareils photo de haute résolution qui permettent de capturer et de répliquer les empreintes ou l'iris», affirme ce spécialiste en cybersécurité.
Le problème tient au caractère irrévocable de ces données biométriques. A la différence d'une carte bancaire qu'on peut annuler et remplacer, on ne peut changer d'empreinte ou d'iris. L'Autorité indienne d'identification unique (UIDAI), qui gère l'Aadhaar, prévoit bien que l'on puisse bloquer l'utilisation de ses propres données biométriques sur demande, ce qui offre une solution de sécurisation temporaire. «Si un fraudeur essaie de les utiliser, on peut le repérer [grâce au réseau internet, ndlr] et l'arrêter», défend Ragavan Venkatesan, de la banque IDFC.
Mais cela risque de ne pas suffire en cas de recel de ces informations : la police vient d'interpeller un groupe de trafiquants qui étaient en possession des données bancaires de 10 millions d'Indiens, récupérées à travers des employés et sous-traitants, données qu'ils revendaient par paquets. Une femme âgée s'était déjà fait dérober 146 000 roupies (un peu plus de 2 000 euros) à cause de cette fraude.
Le directeur de l'UIDAI assure qu'aucune fuite ni vol de données n'ont été rapportés à ce jour depuis leurs serveurs - ce qui ne garantit pas que cette confidentialité sera respectée par tous les autres acteurs qui y ont accès. En février, un chercheur en cybersécurité a alerté la police sur le fait que 500 000 numéros Aadhaar ainsi que les détails personnels de leurs propriétaires - exclusivement des mineurs - avaient été publiés en ligne. La loi sur l'Aadhaar punit de trois ans de prison le vol ou le recel de ces données. Ce texte adopté l'année dernière - soit six ans après le début de la collecte - empêche également leur utilisation à d'autres fins que l'authentification pour l'attribution de subventions et de services. Et l'UIDAI ne peut y accéder pleinement qu'en cas de risque pour la sécurité nationale, et selon une procédure spéciale.
Reste qu'il n'existe pas d'autorité, comme la Cnil en France, chargée de veiller de manière indépendante à ce que ces lignes rouges ne soient pas franchies par un Etat à la recherche de nouveaux moyens de renseignement. Car les experts s'accordent sur ce point : le biométrique est un outil idéal pour surveiller une population.
En 2010, le gouvernement britannique avait d'ailleurs mis fin à son projet de carte d'identité biométrique, estimant que le taux d'erreurs dans l'authentification était trop élevé et le risque d'atteinte aux libertés trop important. Les Indiens, souvent subjugués par les nouvelles technologies pour résoudre leurs problèmes sociaux, ne semblent pas prêts de revenir en arrière. Surtout si cela peut en plus servir à mieux ficher un pays menacé par un terrorisme régional et local.
His forehead marked with a red Hindu religious sign, Vivek Kumar stands straight behind the counter of his narrow stationery shop in a dimly lit alley in a working-class neighbourhood in south-east New Delhi. Under the benevolent gaze of a Ganesh idol — the god who removes obstacles — the thin-moustached shopkeeper in a grey-blue Nehru-collar shirt makes photocopies, sells stamps, and hands pens to dozens of customers.
Gaurav, a vegetable vendor from the adjacent market, comes in to buy mobile phone credit. When it comes to paying, he takes out his wallet — not for change, but for his Aadhaar identity card. He gives its twelve digits to the shopkeeper, who enters them into a smartphone, selects Gaurav's bank, and keys in the amount. The customer then places his thumb on a biometric reader connected to the handset and the internet. A red light flashes and a sound chimes: the transaction has gone through.
Since March, 32 Indian banks have been offering this innovative fingerprint payment service. Called Aadhaar Pay, it uses biometric data — ten fingerprints and an iris scan — collected by the government since September 2010 to create the country's first national identity card. Any person residing in India for more than six months, including foreigners, can enrol and obtain it free of charge.
Aadhaar ("the foundation" in Hindi) is now the world's largest biometric database, with 1.13 billion people registered out of a population of 1.25 billion — that is 99% of India's adult population.
The original aim was twofold: to identify the population — 10% of Indians had until then had no documents, and therefore no rights — and to use biometric data to secure the distribution of food and energy subsidies, the misappropriation of which costs the federal government several billion euros each year.
From 2014, the BJP's new Hindu nationalist majority extended Aadhaar's uses, transforming this identification tool into a genuine "master key" for Indian daily life: from opening a phone line to filing a tax return, and above all for opening a bank account, an Aadhaar number would now be required. In the latter case, Aadhaar also enables biometric bank payments, reducing reliance on cash, which still accounts for more than 90% of transactions in the country.
Prime Minister Narendra Modi made financial inclusion one of his key political battles: in 2014, his government launched a massive programme that led to the creation of 213 million bank accounts in two years — today, almost every household has at least one. He continued along this path by demonetising the main banknotes in November, aiming to convince Indians to shed, at least temporarily, their dependence on Gandhi-headed bills.
"Cash is free, so it is hard to push people towards other means of payment," explains Ragavan Venkatesan, head of digital payments at IDFC Bank, a pioneer in Aadhaar Pay. "So we reversed the system to incentivise merchants to use digital means." The bank first developed the "micro-ATM": a tablet that a vendor can use to open accounts, receive small deposits, or provide cash to customers on the bank's behalf, in exchange for a commission. Like Aadhaar Pay, this tablet connects to a biometric reader — supplied by French company Safran — for identification and authentication. In both cases, and unlike card payments, neither the merchant nor the customer pays to use the network. "The traditional card payment model will gradually disappear," predicts Ragavan Venkatesan.
For now, however, the system is still in its early stages. Around 70 banks — a minority of India's banking network — are connected to Aadhaar Pay, and during visits to various shops in New Delhi, one transaction was blocked for ten minutes due to a server problem. Connectivity is also a challenge in a country whose population is predominantly rural: the system requires at minimum a 2G network, which around 8% of villages lack, according to the Ministry of Telecommunications.
But it is the security of the system that is most in question. "Biometrics significantly reduces the level of security, because it is easy to steal this data and use it without your consent," explains Sunil Abraham, director of the Centre for Internet and Society in Bangalore. "There are now high-resolution cameras that can capture and replicate fingerprints or iris scans," says the cybersecurity expert.
The problem lies in the irrevocable nature of biometric data. Unlike a bank card that can be cancelled and replaced, one cannot change one's fingerprints or iris. India's Unique Identification Authority (UIDAI), which manages Aadhaar, does allow individuals to request a lock on the use of their own biometric data, offering a temporary security measure. "If a fraudster tries to use them, we can spot them [via the internet network] and stop them," argues Ragavan Venkatesan of IDFC Bank.
But this may not be sufficient in cases of data trafficking: police recently arrested a group of criminals in possession of the banking data of 10 million Indians, obtained through employees and subcontractors, and sold in bulk. An elderly woman had already been robbed of 146,000 rupees (just over €2,000) as a result of this fraud.
The UIDAI's director insists that no data leak or theft has been reported from their servers to date — though this does not guarantee that confidentiality will be respected by all the other parties with access to it. In February, a cybersecurity researcher alerted police to the fact that 500,000 Aadhaar numbers, along with the personal details of their holders — exclusively minors — had been posted online. The Aadhaar Act punishes the theft or receipt of such data with three years in prison. Passed the previous year — six years after data collection began — the law also prohibits use of the data for any purpose other than authentication for the allocation of subsidies and services. The UIDAI can only access it fully in cases of national security risk, and through a special procedure.
Yet there is no independent authority — equivalent to France's CNIL — tasked with ensuring these boundaries are not crossed by a state in search of new intelligence tools. Experts agree on this point: biometrics is an ideal tool for surveilling a population.
In 2010, the British government had indeed scrapped its own biometric identity card project, concluding that the authentication error rate was too high and the risk to civil liberties too great. Indians, often captivated by new technologies as solutions to their social problems, seem in no hurry to turn back — especially if biometrics can also serve to better monitor a country threatened by regional and local terrorism.