ExpressVPN, Surfshark, NordVPN… Pourquoi les éditeurs VPN quittent l’Inde ?

Depuis le 27 juin, tous les services VPN exploitant des serveurs physiques en Inde sont tenus de se conformer à une nouvelle loi beaucoup plus stricte sur la conservation des données.

Mais les directives vont à contre-courant de la fonction principale des réseaux privés virtuels, à savoir protéger la confidentialité en ligne, notamment en s’engageant dans une stricte politique de non-journalisation des données.

Cette nouvelle réglementation, intitulée Cyber Security Directions, somme les fournisseurs de service cloud et des opérateurs VPN de stocker un certain nombre de données pendant une période d’au moins 5 ans, avec entre autres :

– Le nom d’utilisateur des clients utilisant le service
– L’adresse e-mail, l’adresse IP et l’horodatage utilisés au moment de l’inscription
– La période et la durée des sessions VPN
– Les adresses IP attribuées

…De quoi pouvoir facilement remonter à l’identité des internautes, ce qui est d’ailleurs le but de la manœuvre. Selon les justifications du gouvernement, ces nouvelles directives pour le moins musclées visent à lutter contre la cybercriminalité, en recrudescence dans le pays : pour mieux contrer les “attaques pirates”, le gouvernement indien a l’anonymat dans la ligne de mire.

Néanmoins, comme le souligne Prateek Waghre, un activiste dans une organisation de défense des droits numériques des citoyens à Delhi, cette loi est non seulement une atteinte à la vie privée, mais isole davantage certains profils d’utilisateurs de VPN, comme les activistes ou les journalistes : « en l’absence d’une supervision suffisante et d’un cadre de protection des données contre les abus, ces exigences peuvent permettre une surveillance de masse ».

Rajeev Chandrasekhar, le ministre d’État à l’électronique et à l’informatique, a d’ores et déjà mis en demeure les fournisseurs qui chercheraient à contourner la loi. Dans sa déclaration, il explique clairement que les éditeurs exploitant des serveurs physiques en Inde doivent se plier aux nouvelles directives ou quitter le pays.

Pour l’heure, ExpressVPN, NordVPN, PIA (Private Internet Access), Atlas VPN et Surfshark ont officialisé leur retrait du pays, de nouveaux fournisseurs devraient suivre dans les semaines à suivre. « En tant que défenseurs de la confidentialité et de la sécurité numériques, nous sommes préoccupés par l’effet possible que ce règlement peut avoir sur les données des personnes » déplore Laura Tyrylyte, responsable des relations publiques de NordVPN.