Imaginez la scène. Vous entrez dans un cybercafé pour consulter vos emails, vérifier vos comptes bancaires ou simplement naviguer sur le web. Vous vous connectez à un ordinateur public, vous effectuez vos démarches, et vous repartez. Mais une question vous traverse l’esprit : que deviennent ces données ? Qui peut les consulter ? Combien de temps sont-elles conservées ?
Ces interrogations, légitimes, ont alimenté un vif débat au Kenya ces dernières semaines. En cause, les nouvelles règles d’octroi de licences pour les cybercafés, publiées par l’Autorité des communications du Kenya (CA) le 7 août. Les médias et les défenseurs des droits numériques s’étaient emparés du sujet, craignant que les opérateurs ne soient contraints de surveiller l’historique de navigation de leurs clients.
Face à cette inquiétude, la CA a tenu à clarifier les choses. Dans une déclaration publiée jeudi, l’agence a affirmé que les opérateurs seront tenus de conserver les enregistrements de base des clients et des sessions, mais qu’ils n’auront pas à suivre les historiques de navigation des utilisateurs. Une clarification bienvenue, qui rassure les défenseurs de la vie privée tout en maintenant un cadre réglementaire nécessaire. Décryptage de ces nouvelles règles, entre protection des données et lutte contre la cybercriminalité.
Les nouvelles règles : ce qui change pour les cybercafés
Des exigences claires pour les opérateurs
Les nouvelles conditions de licence ont été publiées dans le Kenya Gazette Notice Vol. CXXVIII n° 135 le 7 août. Elles entreront en vigueur le 7 septembre, après le délai légal de 30 jours. Concrètement, les exploitants de cybercafés devront se conformer à plusieurs obligations.
D’abord, ils doivent vérifier l’identité des clients avant d’accorder l’accès. Ensuite, ils doivent enregistrer le terminal utilisé ainsi que les heures de début et de fin de chaque session. Ils doivent également afficher les frais applicables et émettre des reçus pour les services payants. Ces enregistrements doivent être conservés en toute sécurité pendant au moins trois ans.
L’objectif est clair, fournir une piste d’audit lorsqu’une installation Internet publique est liée à une activité illégale : fraude cybernétique, vol d’identité, escroqueries en ligne, et autres infractions. Les autorités doivent pouvoir remonter jusqu’à l’utilisateur d’un ordinateur public en cas de besoin.
Pas de surveillance de l’historique de navigation
Mais la CA a tenu à dissiper un malentendu. L’obligation pour les cybercafés de conserver les journaux utilisateur de base ne s’étend pas à l’historique de navigation d’un client. Autrement dit, les opérateurs n’auront pas à enregistrer les sites web visités par chaque utilisateur. Une distinction cruciale, qui préserve la confidentialité des activités en ligne des citoyens.
Les règles n’imposent pas non plus de système spécifique d’identification des clients ni de solution de vidéosurveillance. Les opérateurs peuvent introduire des mesures supplémentaires de connaissance du client (KYC) si nécessaire, à condition qu’ils respectent les lois applicables.
Des mesures de sécurité supplémentaires
En revanche, les cybercafés devront mettre en œuvre des mesures approuvées de filtrage et de sécurité du réseau pour bloquer les contenus illégaux ou préjudiciables. Ils doivent également s’approvisionner en capacité Internet auprès de fournisseurs agréés et se conformer aux exigences de l’AC en matière d’inspections réglementaires et de protection des données.
Le non-respect de ces nouvelles exigences pourrait entraîner des sanctions sévères : amendes d’au moins 500 000 KSh (environ 3 864 dollars) ou 0,2 % du chiffre d’affaires annuel, selon le montant le plus élevé, ainsi qu’une suspension ou une fermeture.
Le contexte : un débat sur la protection des données
Des inquiétudes de longue date
La clarification de la CA intervient dans un contexte de préoccupations récurrentes au Kenya sur la collecte et l’utilisation des données personnelles. L’affaire Huduma Namba, qui a défrayé la chronique entre 2019 et 2021, a profondément marqué les esprits. Le Système national intégré de gestion des identités (NIIMS) du gouvernement a fait l’objet de contestations judiciaires, soulevant des questions sur la protection des données d’identité sensibles et le risque que les informations personnelles soient utilisées au-delà de leur objectif initial.
Ces craintes ont resurgi à l’occasion de la publication des nouvelles règles. Les associations de défense des droits numériques ont rapidement réagi, craignant que la surveillance des cybercafés ne devienne un outil de contrôle généralisé.
Une décision de justice historique
La question de la protection des données a récemment été portée devant les tribunaux. Dans une décision historique du 13 mai, la Haute Cour du Kenya, présidée par le juge Bahati Mwamuye, a accordé des dommages-intérêts généraux aux requérants qui ont poursuivi Safaricom et M-Pesa. Le juge a estimé que l’article 31 de la Constitution, qui garantit le droit à la vie privée, impose une obligation non délégable aux responsables du traitement des données.
Cette décision a renforcé la pression sur les autorités pour qu’elles veillent à la protection des données personnelles. Elle explique en partie pourquoi la CA a choisi de clarifier les nouvelles règles et d’exclure explicitement l’historique de navigation des enregistrements requis.
Ce que ces règles changent concrètement
Pour les utilisateurs de cybercafés
Pour les millions de Kényans qui utilisent régulièrement les cybercafés, ces nouvelles règles offrent une garantie supplémentaire. Leur historique de navigation ne sera pas enregistré, et les opérateurs ne pourront pas le consulter. Leur vie privée est donc préservée.
En revanche, ils devront s’identifier avant d’utiliser un ordinateur public. Une mesure qui peut sembler contraignante, mais qui vise à dissuader les activités illégales. Les utilisateurs légitimes n’ont rien à craindre de cette vérification d’identité.
Pour les exploitants de cybercafés
Les opérateurs, de leur côté, doivent se conformer à de nouvelles obligations. Ils doivent conserver les enregistrements des sessions pendant trois ans, mettre en place des mesures de filtrage réseau, et se préparer à des inspections réglementaires. Ces exigences représentent un coût et une charge administrative supplémentaires.
En revanche, ils n’ont pas à investir dans des systèmes de surveillance de l’historique de navigation. Une clarification qui évite des dépenses inutiles et des dérives potentielles.
Pour les autorités
Les autorités disposent désormais d’un cadre légal clair pour lutter contre la cybercriminalité. Les enregistrements des sessions permettent d’identifier les utilisateurs d’un ordinateur public en cas d’activité illégale. Un outil précieux pour les enquêtes, sans pour autant porter atteinte à la vie privée des citoyens.
Les sanctions prévues en cas de non-respect sont suffisamment dissuasives pour inciter les opérateurs à se conformer aux règles.
Les défis à relever
La mise en œuvre pratique
La mise en œuvre de ces règles ne sera pas sans difficultés. Les cybercafés sont souvent de petites structures, avec des moyens limités. Conserver des enregistrements pendant trois ans, mettre en place des mesures de filtrage réseau, se conformer aux inspections ; tout cela représente un coût.
Les autorités devront accompagner les opérateurs, notamment en fournissant des guides pratiques et en organisant des sessions de formation. Sans un accompagnement adéquat, les règles risquent de rester lettre morte.
La protection des données
Un autre défi concerne la protection des données elles-mêmes. Les enregistrements des sessions contiennent des informations personnelles : identité des clients, heures de connexion, terminal utilisé. Ces données doivent être protégées contre les accès non autorisés et les fuites.
Les opérateurs devront mettre en place des mesures de sécurité appropriées. Les autorités devront veiller au respect de ces obligations, sous peine de voir les données des citoyens compromises.
L’équilibre entre sécurité et vie privée
Enfin, ces règles illustrent la tension permanente entre sécurité et vie privée. Les autorités veulent pouvoir identifier les auteurs d’activités illégales. Les citoyens veulent préserver leur anonymat et leur liberté de navigation. L’équilibre est fragile.
La décision d’exclure l’historique de navigation des enregistrements requis est un pas dans la bonne direction. Elle montre que les autorités sont conscientes des enjeux de la vie privée. Mais la vigilance reste de mise.
Conclusion
Les nouvelles règles d’octroi de licences pour les cybercafés au Kenya ont suscité des inquiétudes légitimes. En clarifiant que les opérateurs n’auront pas à surveiller l’historique de navigation des utilisateurs, l’Autorité des communications répond à ces préoccupations.
Les cybercafés devront conserver les enregistrements des sessions pendant trois ans, mais pas les sites web visités. Une distinction cruciale, qui préserve la vie privée des citoyens tout en fournissant aux autorités les outils nécessaires pour lutter contre la cybercriminalité.
La mise en œuvre de ces règles ne sera pas sans défis. Les opérateurs devront s’adapter, les autorités devront accompagner, et la protection des données devra être garantie. Mais le cadre est désormais posé.
Alors que le Kenya continue de digitaliser ses services et ses infrastructures, les questions de protection des données et de vie privée resteront au cœur des débats. Les nouvelles règles pour les cybercafés sont un exemple de cet équilibre délicat entre sécurité et liberté.