L'autorité britannique a sanctionné le service de police métropolitain pour l'utilisation d'une plateforme tierce non approuvée par ses agents, soulignant que les mesures correctives prises a posteriori ne suffisent pas à écarter la nécessité d'une action réglementaire face à des défaillances de gouvernance systémiques.

Faits et contexte

L'autorité britannique de protection des données (ICO) a aujourd'hui publié une décision prononçant un blâme et une injonction à l'encontre du service de police métropolitain (MPS) pour des manquements liés à l'utilisation d'une plateforme tierce non approuvée pour le partage d'informations personnelles.

L'affaire fait suite à une enquête de l'autorité britannique ayant révélé que des agents et du personnel du service de police partageaient des données personnelles via une plateforme tierce non autorisée, destinée au partage de renseignements sur la criminalité dans le commerce de détail.

Motifs de la décision

L'autorité a retenu plusieurs manquements à l'encontre du service de police métropolitain :

• Absence de base juridique appropriée (équivalent de l'article 6 du RGPD): L'autorité a constaté que le partage d'informations sur la plateforme, concernant 179 personnes dont trois mineurs, s'effectuait sans base juridique valable. Ce partage n'était ni fondé sur le consentement des personnes, ni nécessaire à l'exécution de missions à des fins répressives.
• Manquement à l'obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées (équivalent de l'article 32 du RGPD) : Le service de police n'a pas mis en place de garanties adéquates pour protéger les données, ni de processus d'évaluation et d'approbation pour les technologies tierces. Cette défaillance a permis la création de près de 500 comptes et l'utilisation active de 375 d'entre eux sur une plateforme non validée entre mars 2023 et septembre 2024.
• Absence d'analyse d'impact relative à la protection des données (équivalent de l'article 35 du RGPD) : Avant de procéder à ce traitement à haut risque, consistant à téléverser des noms, dates de naissance et parfois des adresses postales pour identifier des suspects de vol à l'étalage, le service de police a omis de réaliser une analyse d'impact, pourtant nécessaire pour évaluer et atténuer les risques pour les droits et libertés des personnes concernées.
• Défaillance générale de la gouvernance et de la surveillance : L'autorité a souligné une défaillance persistante dans la mise en place de mesures garantissant que seules les technologies tierces approuvées sont utilisées pour le traitement de données personnelles, révélant une lacune systémique dans la surveillance interne et la maîtrise des outils utilisés par son personnel.

Décision de l'autorité

En conséquence, l'autorité a adressé un blâme au service de police métropolitain.

En outre, l'autorité a émis une injonction exigeant du service de police qu'il renforce son approche pour l'identification, l'évaluation et l'approbation des services tiers, qu'il révise ses contrôles, améliore ses processus de gouvernance, sensibilise son personnel et teste régulièrement l'efficacité des mesures mises en place.

Enseignements

Cette décision rappelle que :

• L'adoption de nouvelles technologies, même pour des bénéfices opérationnels, ne doit pas primer sur les obligations en matière de protection des données ; une évaluation des risques et la mise en place de garanties doivent précéder toute mise en œuvre.
• La mise en œuvre de mesures correctives après la découverte d'un manquement, bien que prise en compte par l'autorité, ne dispense pas le responsable de traitement de sa responsabilité pour la violation initiale, surtout si celle-ci révèle des failles de gouvernance plus larges.
• Un cadre de gouvernance robuste est indispensable pour contrôler l'utilisation de technologies tierces par le personnel, incluant des processus clairs d'identification, d'évaluation et d'approbation formelle avant toute utilisation pour le traitement de données personnelles.