La Communications Authority du Kenya (CA) propose de créer une base de données centrale destinée à permettre aux prestataires de vérifier si un numéro mobile a changé de titulaire avant d’envoyer des messages, afin de réduire le risque que des informations personnelles destinées à un ancien abonné n’atteignent un tiers.
Comment fonctionnera la base de données des numéros recyclés
La base permettrait à des prestataires de services à valeur ajoutée et à d’autres entreprises de vérifier si un numéro a été recyclé. Les opérateurs de télécommunications transmettraient au régulateur, tous les trois mois, des listes de numéros désactivés et recyclés pour alimenter ce mécanisme de vérification. La CA a indiqué, en réponse aux commentaires publics, que l’interrogation de cette base aiderait à s’assurer que les messages parviennent au titulaire légitime d’un numéro.
Cette vérification vise à réduire les cas où des entreprises continuent d’utiliser des coordonnées valides au moment de l’inscription d’un client mais qui ont depuis changé de mains. La CA note que le système ne défera pas automatiquement les anciens numéros des profils clients ni ne coupera les liens avec des comptes financiers ou en ligne : les entreprises devront maintenir des procédures fiables de mise à jour des comptes, des processus de récupération sécurisés et des dossiers clients précis.
Le dispositif ressemble à la Reassigned Numbers Database de la Federal Communications Commission américaine, qui permet à des appelants éligibles de vérifier si un numéro a été réattribué depuis une date donnée. La réussite de la mesure dépendra de règles claires sur l’accès à la base, la qualité des données et la conduite à tenir lorsqu’un numéro est signalé comme recyclé.
Nouvelles règles sur les SIM inactives
La base s’inscrit dans une série de modifications proposées par la CA concernant la gestion des lignes mobiles inactives. Selon ces propositions, un numéro pourrait devenir éligible à la désactivation après trois mois sans activité génératrice de revenus. L’abonné disposerait ensuite de trois mois supplémentaires pour réactiver la ligne avant qu’elle ne puisse être recyclée.
Les opérateurs seraient tenus d’informer à l’avance : trente jours avant l’expiration des délais, ils publieraient des listes de numéros susceptibles d’être désactivés sur leurs sites web, dans des journaux nationaux et par d’autres canaux médiatiques. Ces mesures font suite à une décision de justice ayant souligné les risques liés au recyclage de numéros inactifs sans garanties suffisantes.
La CA propose également que, avant la réattribution d’un numéro, les opérateurs doivent délier ou archiver les données personnelles de l’ancien abonné afin de réduire le risque qu’un nouveau titulaire hérite d’un accès aux informations associées au compte précédent. Le détail des procédures, des notifications et des exceptions sera défini dans les règles finales.
Impact pour les banques, fintech et services de messagerie
Les modifications concernent les banques, les coopératives d’épargne et de crédit, les fournisseurs de mobile money, les fintech et les sociétés qui envoient des messages en masse. Ces organisations s’appuient souvent sur les numéros mobiles pour les notifications de transaction, la vérification des comptes et l’authentification par mot de passe à usage unique (OTP). Envoyer un OTP, une alerte de transaction ou une demande de récupération de compte à un numéro désormais détenu par une autre personne peut exposer des données sensibles.
La CA propose en outre d’exclure par défaut les numéros nouvellement attribués ou recyclés des messages marketing. Les opérateurs devraient retirer les numéros recyclés des services de messagerie business-to-consumer lorsque l’ancien abonné s’y était inscrit. Le régulateur a rejeté une proposition demandant aux anciens abonnés d’avertir leurs contacts par SMS lors d’un changement de titulaire, invoquant des risques pour la vie privée.
Ces obligations entraîneront des coûts techniques et opérationnels : les opérateurs devront tenir des registres de réattribution précis, tandis que les entreprises devront éventuellement intégrer des vérifications dans leurs systèmes de messagerie, d’authentification et de gestion client. Les règles devront préciser la fréquence des contrôles, les types de messages nécessitant une vérification et la conduite à tenir en cas de numéro signalé comme recyclé.
Ce que cela change pour les abonnés
Pour les abonnés, des délais de désactivation plus longs et des avis préalables offrent davantage de temps pour conserver ou réactiver un numéro. Les restrictions proposées sur les messages marketing pourraient aussi réduire les communications promotionnelles pour les personnes qui obtiennent un numéro recyclé. En revanche, les abonnés restent responsables de la mise à jour de leurs coordonnées auprès des banques, des fournisseurs de mobile money et des autres services lorsqu’ils cessent d’utiliser un numéro.
L’efficacité du dispositif dépendra de la fiabilité et de la rapidité des mises à jour par les opérateurs et de la volonté des entreprises de consulter la base avant d’envoyer des communications sensibles : un reporting trimestriel peut laisser un intervalle pendant lequel un numéro est réattribué après la dernière mise à jour. Enfin, la CA prévoit des exemptions pour les personnes en détention : le Commissaire général des prisons facilitera des dispenses pour les détenus éligibles, y compris les personnes en détention provisoire dont les circonstances peuvent les empêcher d’utiliser leur carte SIM pendant de longues périodes.
Le succès de la proposition reposera donc autant sur la qualité des données et la définition des règles d’accès que sur les bonnes pratiques des entreprises en matière de gestion des comptes et de sécurité des messages.
