La digitalisation des services publics constitue une avancée positive pour Haïti. Le Décret du 6 janvier 2016, reconnaissant le droit de tout administré à s'adresser à l'Administration Publique par des moyens électroniques, pose les bases d'une administration électronique moderne et respectueuse des droits des citoyens. Il vise à réduire les barrières d'accès aux services publics, à simplifier les démarches administratives et à améliorer la transparence.
Qui dit modernisation, dit également de nouveaux défis. Le Décret de 2016 établit des normes pour garantir la sécurité des systèmes électroniques, la confidentialité des données personnelles et la protection de la vie privée, tout en encourageant la coopération entre les entités administratives pour assurer l'interopérabilité des systèmes et des applications. Il met aussi l'accent sur la réduction de la fracture numérique et la préservation du bilinguisme (créole et français) dans les services électroniques.
C'est dans cette optique que plusieurs organes de l'État ont commencé à se moderniser pour mieux servir la population. Mais la confiance dans ces services suppose le respect des droits des utilisateurs. L'utilité de ces plateformes implique que les exigences de transparence et de protection déjà prévues par la législation en vigueur soient effectivement mises en œuvre lors de la conception de ces outils.
La protection des données personnelles : un droit reconnu
L'Arrêté du 30 avril 2018 sur la protection des données à caractère personnel reconnaît le droit des citoyens à la protection de leurs informations. Les principes qu'il consacre sont reconnus internationalement : finalité, proportionnalité, durée limitée, confidentialité, sécurité, droit d'accès et droit de rectification. Ces principes sont alignés avec les standards internationaux, notamment le Règlement Général sur la Protection des Données (RGPD) de l'Union européenne et les Lignes directrices de l'OCDE.
Les données collectées par les plateformes gouvernementales comptent parmi les plus sensibles qui soient : le Numéro d'Identification National Unique (NINU), les numéros de passeport, la date de naissance, les coordonnées de cartes de crédit, l'adresse personnelle, le numéro de téléphone. Ce sont des données intrinsèquement liées à l'identité de chaque individu. Si des personnes non autorisées y accèdent, elles pourraient servir à l'usurpation d'identité, à la fraude documentaire, ou à la surveillance non autorisée.
En effet, un cyberattaquant pourrait capturer ces numéros d'identification, les croiser avec les adresses et les numéros de téléphone pour constituer des profils complets. Le Décret de 2016 a prévu ce type de risque en son article 4 f) en exigeant un niveau de sécurité au moins égal à celui offert par les moyens non électroniques.
Transparence, politique de confidentialité et durée de conservation
Dans le cadre de la mise en confiance des utilisateurs, les politiques de confidentialité jouent un rôle essentiel. Elles informent le citoyen de la nature des données collectées, de leur finalité, de leur durée de conservation et des personnes autorisées à y accéder. Or, sur plusieurs plateformes gouvernementales existantes, ces politiques sont soit absentes, soit non prévues, ou inaccessibles. On observe des cas où il n'y a pas d'espace prévu à cet effet sur le site en question, et d'autres où les liens en pied de page redirigent vers des pages entièrement vides.
Le principe de proportionnalité, autrement dit de minimisation des données, prévu par l'Arrêté de 2018 précise qu'il « n'est requis des administrés que les données strictement nécessaires à la finalité pour laquelle elles sont demandées ». Sans politique de confidentialité publiée, il est impossible pour l'administré de vérifier si ce principe est respecté.
L'absence de politique de confidentialité entraîne également une autre lacune : il est difficile d'identifier, sur les plateformes examinées, la durée pendant laquelle les données soumises par les administrés seront conservées. L'Arrêté de 2018 exige pourtant, en son article 3, alinéa 3, que les données soient « conservées pour une durée établie en fonction de la finalité du fichier en question ». Ce principe de durée limitée signifie que les données personnelles ne doivent pas être conservées indéfiniment et doivent être supprimées ou anonymisées dès lors qu'elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées.
Concrètement, un voyageur qui remplit un formulaire d'entrée ou de sortie du territoire ne sait pas si ses données personnelles (numéro de passeport, adresse personnelle, numéro de téléphone, itinéraire de voyage) resteront dans le système un mois, un an, dix ans, ou indéfiniment. Un entrepreneur qui enregistre son entreprise en ligne ignore combien de temps ses informations personnelles et ses données de paiement seront conservées au-delà du traitement de sa demande.
Cette absence d'information crée des risques comme celui d'empêcher l'administré de donner un consentement éclairé, conformément au principe de transparence consacré par l'article 4 (k) du Décret de 2016. Elle crée aussi un risque d'accumulation : plus les données sont conservées longtemps, plus elles constituent une cible de valeur pour des cyberattaquants. Enfin, l'absence de durée définie rend impossible l'exercice effectif du droit de rectification prévu par l'article 3, alinéa 9, de l'Arrêté de 2018, puisque des données erronées ou obsolètes pourraient être conservées sans limite de temps.
Souveraineté technologique et localisation des données
Certaines plateformes gouvernementales sont hébergées sur des serveurs situés aux États-Unis. Or, depuis 2018, les États-Unis ont adopté le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) : législation permettant aux autorités américaines d'exiger d'un fournisseur de services basé aux États-Unis qu'il donne accès aux données stockées sur ses serveurs, même si ces données concernent des citoyens étrangers et même si les serveurs sont physiquement situés à l'étranger. Corrélativement, les données stockées sur un serveur situé aux États-Unis sont accessibles aux autorités américaines, sans que la nationalité étrangère de la personne concernée constitue, en soi, un obstacle.
Cette situation soulève une question de souveraineté. La législation haïtienne prévoit que les administrés ont droit à « la garantie de sécurité et de confidentialité des données figurant dans les fichiers, systèmes et applications de l'administration publique ». L'hébergement de données gouvernementales sur des serveurs étrangers, sans aucune divulgation aux utilisateurs, pose la question de la compatibilité de cette pratique avec cette garantie légale. Par conséquent, le gouvernement haïtien ne détient pas le contrôle sur les données collectées auprès des utilisateurs sur ses plateformes.
À notre connaissance, aucun accord bilatéral conclu entre Haïti et les États-Unis dans le cadre du CLOUD Act n'a été rendu public, et Haïti ne semble pas avoir adopté, à ce jour, de politique générale de localisation des données. Les États-Unis ont toutefois conclu des accords CLOUD Act avec le Royaume-Uni et l'Australie. Ces accords prévoient des garde-fous : ils sont réservés à des partenaires présentant des garanties suffisantes en matière de protection de la vie privée et des libertés civiles.
D'autres pays, ne pouvant satisfaire aux exigences de libertés civiles requises par ces accords ou ne disposant pas du poids diplomatique nécessaire pour les négocier, ont adopté des exigences de localisation ou des restrictions sur les transferts de données. Ces politiques obligent les opérateurs de services numériques à stocker les données de leurs citoyens sur des serveurs situés physiquement sur le territoire national. La Russie, la Chine, l'Inde, le Vietnam, le Nigeria et le Brésil ont adopté des mesures de localisation des données. Plus près de nous, dans la Caraïbe, ce sont des règles encadrant les transferts transfrontaliers de données qui ont été adoptées, notamment par la Jamaïque, les Bahamas et la Barbade.
L'obligation du bilinguisme
Le Décret de 2016 prévoit, à son article 49, que « les sites électroniques des entités administratives permettront l'accès à leurs contenus et services en créole et en français ». Or, certaines plateformes gouvernementales ne sont disponibles que dans une seule langue. Cette situation prive une partie significative de la population d'un accès égal aux services publics numériques, en contradiction avec le principe d'égalité des administrés consacré par le même décret.
Sécurité des noms de domaine et authentification des sites gouvernementaux
Lorsqu'un usager saisit l'adresse d'une plateforme dans son navigateur, un mécanisme appelé DNS (Domain Name System) traduit cette adresse en une localisation technique permettant d'atteindre le bon serveur. Ce système est au fondement de la navigation sur internet : il garantit que lorsqu'on tape l'adresse d'un site, il affiche le site authentique et non une copie frauduleuse.
Or, le DNS, tel qu'il a été conçu dans les années 1980, ne dispose d'aucun mécanisme intégré pour vérifier l'authenticité des réponses qu'il fournit. Une technologie appelée DNSSEC (Domain Name System Security Extensions) a été développée pour combler cette lacune. Le DNSSEC ajoute une couche de signature cryptographique aux réponses DNS, permettant au navigateur de l'utilisateur de vérifier que l'adresse obtenue provient bien du détenteur légitime du nom de domaine et qu'elle n'a pas été altérée en cours de route.
Sans DNSSEC, une attaque dite d'empoisonnement de cache DNS est possible. Dans ce scénario, un attaquant exploite le système de résolution de noms pour rediriger les utilisateurs vers un faux site qui imite l'apparence du site officiel (ce type d'attaque s'est produit par le passé sur des sites bancaires). L'utilisateur, croyant se trouver sur la plateforme gouvernementale légitime, saisit ses informations personnelles, qui sont alors captées par l'attaquant. Si le site frauduleux est soigneusement élaboré, l'utilisateur ne dispose d'aucun moyen de détecter l'arnaque.
En effectuant un contrôle en ligne à l'aide de sites publiquement accessibles, nous avons constaté que plusieurs plateformes gouvernementales ne disposent pas du DNSSEC. Cette absence, combinée à un nombre limité de serveurs de noms — parfois seulement deux, hébergés par le même prestataire — réduit la résilience de ces sites face à ce type d'attaque.
En conséquence, un attaquant qui réussit un empoisonnement DNS pourrait créer une copie fidèle d'une plateforme gouvernementale et collecter en temps réel les numéros de passeport, les NINU, les dates de naissance et les numéros de carte de crédit de chaque utilisateur. L'administré n'aurait aucun moyen de savoir que ses données ont été compromises, puisque le faux site pourrait même transmettre les informations au vrai serveur après les avoir copiées, ce qui rendrait l'attaque invisible.
Le Décret du 6 janvier 2016 aborde cette préoccupation à plusieurs niveaux. L'article 17 exige des « systèmes de signature électronique sécurisée attestée par des certificats électroniques qualifiés ou un moyen équivalent ». Si le certificat SSL (le cadenas du navigateur) constitue un premier niveau de protection, il ne protège pas contre l'empoisonnement DNS : un attaquant qui redirige le trafic vers un faux serveur peut aussi y installer un certificat SSL valide. Le DNSSEC et le SSL sont donc complémentaires, et non interchangeables. L'article 4 f) impose par ailleurs « au moins le même niveau de garantie et de sécurité que celui requis pour l'utilisation des moyens non électroniques » : l'authenticité du site doit être vérifiable, ce que le DNSSEC permet de garantir.
Les droits des administrés sur leurs données
Accessibilité et rectification
Le droit d'accès permet à l'administré de savoir quelles données l'administration détient sur lui ; le droit de rectification lui permet de corriger les erreurs. Le Décret de 2016 (article 9) et l'Arrêté de 2018 (article 3, alinéas 5, 8 et 9) garantissent l'accès limité aux services habilités, l'accessibilité des données à la personne concernée et leur rectification sur demande.
Or, l'analyse de ces plateformes ne nous a pas permis d'identifier un mécanisme d'accès permettant aux utilisateurs de consulter les données les concernant : formulaire de contact, adresse de correspondance ou espace dédié ne sont pas visibles pour exercer un droit de rectification. Quant aux échanges de données entre entités (IHSI, ONI, AGD, DGI…), aucun protocole n'est documenté publiquement. Sans cette documentation, l'obligation légale d'accès limité aux services habilités est invérifiable.
La protection des données ne se résume pas à une action ponctuelle : elle suppose une chaîne de responsabilités continue, de la collecte jusqu'à la suppression, reposant sur trois piliers indissociables — la transparence, la sécurité et l'accessibilité. Chaque plateforme d'e-gouvernance devrait s'inscrire dans un cycle : collecte limitée à la finalité déclarée, traitement sécurisé, partage inter-agences documenté et consenti, conservation limitée dans le temps, suppression ou anonymisation à l'expiration de cette durée.
Vers une mise en conformité
Les citoyens disposent de voies de recours. L'Office de la Protection du Citoyen (OPC) veille au respect des droits des administrés en matière d'administration électronique. L'Office de Management et des Ressources Humaines (OMRH), via sa Cellule de Promotion de l'Administration Électronique, accompagne les institutions et formule des recommandations pour sécuriser les services publics numériques.
La digitalisation est une promesse. Pour qu'elle tienne, les plateformes collectant les données à caractère personnel de la population doivent offrir la transparence et la protection que la loi leur impose.