L'enregistrement biométrique des cartes SIM de la TCRA — la Tanzanie a réutilisé les données du NIDA pour 37 millions de lignes, sans loi sur la protection des données correspondante

Le régulateur des télécommunications de Tanzanie, la TCRA, exige que chaque carte SIM prépayée soit vérifiée biométriquement par rapport à la base de données de l'Autorité nationale d'identification (NIDA) depuis l'entrée en vigueur de la réglementation en 2018–2019, appliquant le principe du « once-only » en réutilisant la biométrie de la carte d'identité nationale déjà existante des citoyens.

La TCRA recoupe les enregistrements SIM nouveaux et existants avec la base de données biométrique d'identification nationale de la NIDA, au lieu de collecter de nouveaux documents dans chaque boutique de télécommunications.

Selon la déclaration budgétaire 2020/2021 du ministre de l'Intérieur, George Simbachawene, la TCRA avait enregistré 37 297 930 cartes SIM via le système biométrique d'ici mars 2020, tandis que la NIDA avait délivré 21 823 026 numéros d'identification nationale à la même date. La demande d'enregistrement des SIM a fait grimper les propres revenus d'enregistrement de la NIDA de 177 %, passant d'une projection de 500 millions de TZS à plus de 1,3 milliard de TZS. Une analyse indépendante de l'Institute for Security Studies (Gumba & Wanyonyi, juillet 2020) n'a trouvé aucune preuve empirique que l'enregistrement biométrique obligatoire des SIM réduit la fraude ou la criminalité, pointant l'expérience de cinq ans du Kenya, où des détenus ont continué à escroquer des citoyens en utilisant des SIM non enregistrées ou irrégulièrement enregistrées. La même analyse a constaté que la réglementation tanzanienne manque de législation sur la protection de la vie privée à l'appui — y compris toute procédure pour désenregistrer les données biométriques des utilisateurs décédés — et que la TCRA elle-même avait du mal à faire respecter la conformité, avec des sanctions aussi faibles qu'une amende de 216 $ ou trois mois d'emprisonnement.

Le cas illustre les deux facettes de la réutilisation des données « once-only » : la TCRA a atteint une véritable échelle opérationnelle nationale en recoupant les données avec un registre biométrique déjà existant plutôt qu'en recollectant les données des citoyens, mais l'infrastructure juridique et de supervision nécessaire pour encadrer cette réutilisation de manière responsable n'était pas encore en place au moment du rapport.