L’échéance de décembre place les cartes SIM enregistrées au cœur de l’accès aux services de messagerie
Le ministère indien des Télécommunications (DoT) a fixé au 31 décembre 2026 la date limite pour se conformer aux règles qui imposent de maintenir les comptes de messagerie liés aux cartes SIM enregistrées et actives. Leur mise en œuvre est prévue pour le 1er janvier 2027. Ce changement pourrait concerner les personnes qui utilisent WhatsApp ou Telegram sur des téléphones ne contenant pas la carte SIM utilisée pour créer leur compte, notamment celles qui se connectent en Wi-Fi ou changent de carte SIM en voyage.
Sommaire
- L’échéance de décembre place les cartes SIM enregistrées au cœur de l’accès aux services de messagerie
- Quels changements apportera la liaison à la carte SIM ?
- Évolution du calendrier
- Quelles applications et quels appareils seront concernés ?
- Des changements concrets pour les utilisateurs du Wi-Fi, les voyageurs et les familles
- Que va-t-il se passer pour WhatsApp Web ?
- Pourquoi le gouvernement veut maintenir un lien continu
- Pourquoi le secteur conteste la base juridique
- La protection de la vie privée et l’accès dépendront du déploiement
- À retenir
Le ministère a également assoupli une autre obligation : les sessions web et sur ordinateur n’auront plus à prendre automatiquement fin toutes les six heures. La nouvelle approche prévoit de mettre immédiatement fin aux sessions en cas de soupçon de fraude. Ce sont donc les activités suspectes, et non une durée fixe, qui déclencheront la déconnexion.
La mesure concerne un vaste public. WhatsApp compte environ 500 millions d’utilisateurs en Inde, et les autres services qui utilisent des numéros de téléphone indiens pour l’inscription sont également concernés. Concrètement, il ne s’agira plus seulement de vérifier un numéro à l’ouverture d’un compte, mais aussi de maintenir le lien avec la carte SIM active associée à ce numéro pendant toute la durée d’utilisation.
Selon le gouvernement, cette mesure permettra d’empêcher des criminels d’utiliser des numéros indiens à des fins frauduleuses après le retrait ou la désactivation de la carte SIM d’origine. Les entreprises technologiques et une association professionnelle ont exprimé des inquiétudes concernant les travaux d’ingénierie nécessaires, les perturbations pour les utilisateurs ordinaires et la base juridique de cette obligation.
Quels changements apportera la liaison à la carte SIM ?
Les applications de messagerie vérifient généralement un numéro de téléphone en envoyant un code par SMS. Une fois ce code saisi, le compte peut souvent continuer à fonctionner via Internet, même si la carte SIM est retirée. La liaison à la carte SIM ajoute une vérification continue pour s’assurer que la carte enregistrée est toujours présente dans l’appareil et active.
Le résumé sur la liaison à la carte SIM du Data Security Council of India, daté du 18 décembre 2025, décrit cette obligation comme un accès lié à une carte SIM précise et active. Il indique que la directive du 28 novembre vise à renforcer la traçabilité et le respect des exigences en matière de sécurité nationale et de protection des données.
KYC, abréviation de « know your customer » (« connaissance du client »), désigne les vérifications d’identité effectuées par un opérateur télécom lorsqu’il attribue un numéro de téléphone mobile. L’approche du gouvernement lie plus étroitement le compte de messagerie à cet abonnement vérifié, au lieu de se fonder uniquement sur la preuve qu’une personne a reçu un code d’inscription à un moment donné.
La liaison est assurée par les logiciels des applications et les systèmes d’authentification. Elle ne nécessite aucune modification de la carte SIM physique. Une analyse de l’International Bar Association publiée le 26 mars 2026 et rédigée par les avocats de JSA Tony Verghese, Radhika Gupta et Uddhav Gupta explique que les plateformes peuvent maintenir ce lien à l’aide d’interfaces logicielles autorisées et de signaux de validation des opérateurs télécoms.
Les avocats décrivent un dispositif dans lequel le retrait, la désactivation ou le remplacement de la carte SIM enregistrée, ainsi que le transfert du numéro vers un autre opérateur, déclencherait une suspension suivie d’une nouvelle vérification. Pour les utilisateurs, un simple changement d’opérateur mobile pourrait donc entraîner un contrôle supplémentaire de leur compte de messagerie.
Évolution du calendrier
Au départ, le DoT avait accordé aux plateformes 90 jours pour se conformer à ses directives du 28 novembre 2025 et 120 jours pour remettre un rapport de conformité. Les inquiétudes du secteur concernant la préparation technique ont conduit à une prolongation.
Les entreprises du secteur estimaient que la compatibilité avec Android et les systèmes d’Apple ne serait techniquement prête qu’aux alentours d’octobre ou novembre 2026. La date du 31 décembre leur donne donc davantage de temps pour achever les modifications.
- 28 novembre 2025 : le DoT publie les directives sur la liaison à la carte SIM, avec un délai initial de 90 jours pour s’y conformer.
- 18 décembre 2025 : le Data Security Council of India publie son résumé de l’obligation de maintenir une carte SIM active.
- 26 mars 2026 : l’International Bar Association publie une analyse qui mentionne l’ancienne échéance du 28 février 2026 et la règle initiale sur les sessions de six heures.
- Octobre à novembre 2026 : les entreprises du secteur prévoient que les dispositifs seront techniquement prêts sur les systèmes Android et Apple.
- 31 décembre 2026 : date limite de conformité, après prolongation, pour les plateformes.
- 1er janvier 2027 : le gouvernement prévoit l’entrée en vigueur des exigences.
L’article de l’International Bar Association mentionne encore l’ancienne échéance du 28 février, tandis que le calendrier révisé fixe désormais la date limite au 31 décembre 2026. Sa description du dispositif initial permet de comprendre les origines de la politique ; la prolongation et la nouvelle approche des déconnexions modifient le calendrier pratique et les règles applicables aux sessions.
Quelles applications et quels appareils seront concernés ?
WhatsApp et Telegram sont au cœur du déploiement, mais le périmètre initial est plus large. Le Data Security Council of India cite également Signal, Arattai, Snapchat, ShareChat, JioChat et Josh. Selon l’analyse de l’International Bar Association, sont concernés les services qui utilisent des identifiants télécoms indiens, notamment des numéros de téléphone mobile indiens, pour l’inscription et l’authentification.
La situation de Snapchat reste floue dans les informations publiques : les résumés institutionnels l’incluent, tandis que des informations ultérieures sur la mise en œuvre indiquent qu’il est exempté. Signal figure dans le périmètre et n’aurait pas répondu aux avis du gouvernement. Les consignes définitives adressées aux plateformes, le traitement réservé à Snapchat, les modalités de vérification selon la configuration de chaque appareil et la liste confirmée des modèles de téléphones concernés n’ont pas été précisés.
Les téléphones Android et les iPhone pourraient être concernés si la carte SIM enregistrée est absente ou inactive. La question déterminante est la façon dont l’application vérifie l’abonnement sur l’appareil, et non la marque du téléphone à elle seule.
WhatsApp aurait commencé à tester la liaison à la carte SIM sur Android auprès d’utilisateurs participant à son programme bêta. Les tests bêta consistent à essayer une fonctionnalité auprès d’un groupe restreint avant son déploiement à plus grande échelle. Apple aurait apporté des modifications de prise en charge dans une mise à jour d’iOS publiée en septembre 2026, qui aide à détecter si un iPhone fonctionne sans carte SIM. Au moment de l’annonce de la prolongation, Apple, Google et Meta n’avaient pas répondu aux questions sur leur préparation technique.
Des changements concrets pour les utilisateurs du Wi-Fi, les voyageurs et les familles
Un téléphone peut se connecter à Internet par Wi-Fi alors que la carte SIM enregistrée se trouve dans un autre appareil ou n’est plus active. Avec une liaison continue à la carte SIM, l’application devra également effectuer la vérification requise. Une connexion Internet fonctionnelle ne suffira donc plus, à elle seule, à garantir l’accès continu à la messagerie.
Les voyageurs pourraient être concernés lorsqu’ils retirent une carte SIM indienne pour utiliser une carte locale à l’étranger. L’analyse de l’International Bar Association souligne que les configurations à double SIM et les eSIM peuvent permettre de conserver la connexion enregistrée. Une eSIM est un profil SIM numérique stocké sur un appareil compatible, et non une carte plastique amovible.
Les plateformes devront gérer correctement plusieurs situations courantes : un appareil doté de deux abonnements, le changement de profil eSIM, le remplacement d’une carte SIM et le transfert d’un numéro d’un opérateur à un autre. À défaut, les utilisateurs pourraient être interrompus par des vérifications lorsqu’ils changent de configuration pour voyager, faire réparer leur appareil ou bénéficier d’un meilleur service réseau.
Le partage familial complique également la situation. Une enquête de CUTS International révèle que 86 % des personnes interrogées autorisaient des membres de leur famille à utiliser leur téléphone ou leur carte SIM pour envoyer des messages. En liant plus étroitement le compte à un seul abonnement actif, ces arrangements pourraient devenir moins pratiques, en particulier lorsque les membres de la famille utilisent des appareils différents.
La même enquête révèle que 80 % des consommateurs et plus de 60 % des petites entreprises s’attendaient à des perturbations. Ces chiffres reflètent les attentes avant la mise en œuvre. Ils montrent pourquoi les modalités d’accès comptent pour les personnes qui dépendent de la messagerie pour communiquer avec leur famille, répondre à leurs clients et travailler au quotidien.
Que va-t-il se passer pour WhatsApp Web ?
Les directives initiales prévoyaient que les sessions web et sur ordinateur expirent au bout de six heures, puis qu’une nouvelle authentification soit effectuée depuis l’appareil principal, généralement à l’aide d’un code QR. Les utilisateurs auraient ainsi dû se reconnecter au cours de leur journée de travail, même en l’absence de toute activité suspecte.
Le DoT a ensuite remplacé la règle générale des six heures par une approche fondée sur le risque. Selon les modalités révisées, les sessions doivent prendre fin immédiatement en cas de soupçon de fraude. Certaines descriptions de la politique mentionnent encore l’obligation initiale des six heures, mais le dispositif révisé supprime ce délai systématique.
Le ministère souhaite également que les utilisateurs puissent relier à nouveau leurs sessions web et leurs autres appareils au moyen d’un code QR. Cette modification permet de se reconnecter, tout en donnant aux services la possibilité d’intervenir lorsque l’activité semble frauduleuse.
La vérification de la carte SIM reste une obligation distincte. Une personne peut éviter les déconnexions programmées à répétition sur un ordinateur portable tout en devant s’assurer que la carte SIM enregistrée reste valide et disponible dans l’appareil principal. Pour les entreprises qui utilisent la messagerie toute la journée, la conception de la vérification et de la récupération des comptes revêt donc une importance particulière.
Pourquoi le gouvernement veut maintenir un lien continu
Le ministère des Communications a fait état de pertes liées à la cyberfraude supérieures à 22 800 crores de roupies, soit 228 milliards de roupies, au cours de l’année précédente. Le gouvernement affirme que des criminels exploitent des comptes qui continuent de fonctionner après le retrait ou la désactivation de la carte SIM associée, ou après son départ à l’étranger.
Le DoT explique craindre qu’un numéro indien reste associé à un compte de messagerie actif alors que la personne qui l’utilise se trouve ailleurs. Le maintien d’un lien actif avec la carte SIM enregistrée vise à réduire la période pendant laquelle ce compte dissocié peut être utilisé.
Les escroqueries par « arrestation numérique » font partie des fraudes visées par la politique. Les criminels se font passer pour des policiers ou d’autres représentants des autorités et font pression sur leurs victimes pour qu’elles leur envoient de l’argent, en prétendant souvent à tort qu’elles font l’objet d’une enquête ou doivent rester en ligne. Le hameçonnage et d’autres formes d’usurpation d’identité font également partie des motifs avancés par le gouvernement.
Le ministre des Télécommunications, Jyotiraditya Scindia, a déclaré que la décision concernant la liaison à la carte SIM ne serait pas modifiée, invoquant la sécurité nationale. La Cellular Operators Association of India a soutenu les mesures visant à renforcer la sécurité des télécommunications et la fiabilité des identifiants mobiles.
Le DoT prévoit également de mettre en place une plateforme de vérification des numéros mobiles, appelée MNV, afin de déterminer si les numéros correspondent à des abonnements actifs attribués légalement. Ce système offrirait aux plateformes un moyen de vérification auprès des opérateurs, en complément des modifications apportées à leurs applications.
Pourquoi le secteur conteste la base juridique
Le Broadband India Forum (BIF), une organisation professionnelle qui représente de grandes entreprises technologiques, dont Meta et Google, a contesté cette obligation dans une lettre adressée le 23 février au secrétaire du DoT, Amit Agrawal. Il y cite l’avis d’un conseiller juridique principal selon lequel les Telecommunications (Telecom Cyber Security) Amendment Rules, 2025, et les directives associées outrepassent les pouvoirs conférés par le Telecommunications Act, 2023.
Le BIF indique que l’avis juridique aboutit à la conclusion suivante au sujet des règles modifiées et des directives :
ultra vires la législation dont elles découlent et également inconstitutionnelles
L’expression « ultra vires » signifie qu’une mesure dépasse les pouvoirs juridiques accordés à l’autorité qui l’édicte. Le BIF estime que le gouvernement s’est servi de règles prises en application d’une loi existante pour étendre la réglementation des télécommunications à une catégorie d’entreprises numériques qui n’entrait pas dans le champ voulu par cette loi.
La catégorie contestée est celle des entités utilisatrices d’identifiants de télécommunication, ou TIUE. En termes simples, elle englobe les entreprises qui utilisent des identifiants tels que des numéros de téléphone mobile. Le BIF soutient qu’une application qui se réfère au numéro d’un client n’équivaut pas à un opérateur télécom autorisé à fournir des services de télécommunication.
L’association estime également que ce cadre recoupe l’Information Technology Act, la réglementation financière et la Digital Personal Data Protection Act. Elle craint que les entreprises ne soient soumises à des exigences contradictoires relevant de différents régimes juridiques. Cette position oppose la contestation du secteur à l’argument du gouvernement selon lequel la vérification continue de la carte SIM est nécessaire pour protéger les identifiants télécoms et lutter contre la fraude.
La protection de la vie privée et l’accès dépendront du déploiement
L’analyse de l’International Bar Association replace le débat sur la vie privée dans le cadre de l’arrêt Puttaswamy rendu par la Cour suprême en 2017. Ce cadre permet d’évaluer si une restriction repose sur une base juridique, poursuit un objectif légitime, est nécessaire et proportionnée, et s’accompagne de garanties procédurales.
Dans le cas de la liaison à la carte SIM, les questions pratiques relatives à la vie privée portent notamment sur les informations recueillies par les plateformes lors des vérifications, la durée de leur conservation et les mécanismes de contrôle applicables. Les avocats soulignent qu’il faut prêter attention à la limitation de la collecte des données, à la responsabilité des plateformes et à la protection contre une surveillance disproportionnée.
Les systèmes d’exploitation mobiles limitent déjà l’accès direct des applications à certains identifiants sensibles de l’appareil et de l’abonné. Les plateformes doivent donc utiliser des méthodes de vérification compatibles avec ces protections tout en respectant les exigences du DoT. Cela explique en partie pourquoi la mise en œuvre exige une coordination entre les éditeurs d’applications, les fournisseurs de systèmes d’exploitation et les opérateurs télécoms.
Les plateformes qui ne se conformeraient pas aux règles pourraient faire l’objet de mesures en vertu du Telecommunications Act, 2023, et des Telecom Cyber Security Rules, 2024. Pour les utilisateurs, les prochaines étapes sont l’échéance de conformité du 31 décembre et l’entrée en vigueur prévue le 1er janvier 2027. Le changement essentiel est simple : l’accès continu devrait dépendre davantage d’une carte SIM enregistrée et active, tandis que la règle révisée sur les sessions web se concentre sur les soupçons de fraude.
À retenir
- Le DoT a fixé la date limite de conformité au 31 décembre 2026, et prévoit une mise en œuvre le 1er janvier 2027.
- Les comptes de messagerie concernés devront rester liés à leur carte SIM enregistrée et active.
- L’obligation générale de mettre fin aux sessions web et sur ordinateur toutes les six heures a été remplacée par une approche fondée sur le risque.
- Les personnes qui utilisent leur téléphone sans la carte SIM enregistrée, changent d’abonnement à l’étranger ou partagent des appareils pourraient voir leurs conditions d’accès évoluer.
- Le gouvernement invoque la lutte contre la fraude et la sécurité nationale ; le BIF conteste la base juridique de cette obligation.
- Les plateformes mettent au point des systèmes de vérification pour les appareils Android et Apple. WhatsApp testerait la fonctionnalité sur Android.
