La police du Staffordshire a fait l'objet d'une réprimande de la part de l'autorité britannique pour avoir illégalement communiqué l'adresse d'une victime de violences domestiques à son agresseur présumé, en raison de mesures de sécurité et de formation internes jugées insuffisantes.

Faits et contexte

L'autorité britannique de protection des données, le Bureau du Commissaire à l'information (ICO), a publié une décision de réprimande à l'encontre de la police du Staffordshire pour des manquements en lien avec la sécurité des données personnelles.

L'affaire fait suite à la divulgation non autorisée de l'adresse d'une victime de violences domestiques à son agresseur présumé en mars 2024.

Motifs de la décision

L'autorité a retenu plusieurs manquements :

• Manquement à l'obligation de garantir la confidentialité des données : L'autorité a constaté que la police du Staffordshire avait inclus l'adresse actuelle de la victime dans un Avis de protection contre la violence domestique (DVPN) remis à l'auteur présumé des violences à sa sortie de prison. Cette adresse n'était pas connue de ce dernier et son inclusion n'était pas légalement requise, constituant ainsi une divulgation non autorisée qui a exposé la victime à un risque immédiat et lui a causé une grave détresse.
• Manquement à l'obligation de mettre en œuvre des mesures de sécurité appropriées : L'enquête a révélé que l'incident n'était pas une simple erreur isolée mais résultait de défaillances systémiques. L'autorité a notamment relevé des taux d'achèvement insuffisants pour les formations obligatoires relatives à la protection des données et à l'émission des DVPN, démontrant l'absence de mesures organisationnelles adéquates pour prévenir une divulgation non autorisée.

Décision de l'autorité

En conséquence, l'autorité a prononcé une réprimande à l'encontre de la police du Staffordshire.

Enseignements

Cette décision rappelle que :

• Les modèles de documents et les processus par défaut doivent être révisés pour garantir que les données personnelles, telles que les adresses, ne sont incluses que lorsque cela est strictement nécessaire d'un point de vue légal.
• La mise en œuvre de mesures de sécurité appropriées passe impérativement par la formation effective et suivie du personnel, en particulier lorsque le traitement de données sensibles peut exposer les personnes concernées à des risques élevés.
• Une procédure de double vérification humaine avant toute communication de données personnelles est une mesure de base indispensable, notamment pour s'assurer que les informations confidentielles ont bien été expurgées des documents transmis à des tiers.