Résumé

  • La plateforme est revenue en janvier 2026 après des garanties ciblées, mais l’ICO exige encore des contrôles à l’échelle de la force.
  • Une action distincte d’août concernait les divulgations et la formation ; rien ne prouve ici un manquement à cette première injonction.

Le 14 octobre, l’Information Commissioner’s Office (ICO) a annoncé une réprimande et une injonction visant le Metropolitan Police Service (MPS), après l’utilisation par ses agents d’une plateforme tierce de renseignement sur les vols en magasin qui n’avait pas été approuvée. L’injonction est datée du 23 septembre. Le point de gouvernance est précis : des garanties propres à la plateforme ont précédé son retour, mais le régulateur demande encore à la police de démontrer l’efficacité de ses contrôles technologiques à l’échelle de l’institution.

Le MPS a utilisé la plateforme de mars 2023 à septembre 2024 sans l’avoir formellement autorisée. Environ 500 comptes ont été créés, dont 375 utilisés activement pour des activités policières. De janvier à septembre 2024, des données concernant 179 personnes ont été versées dans le service, dont trois mineurs. Elles comprenaient des noms et des dates de naissance et, dans quelques cas, des adresses personnelles. Ces chiffres montrent que l’outil avait pris une place opérationnelle. Ils ne signifient pas que chaque compte a transféré des données ni que chaque personne a été poursuivie.

Selon l’ICO, le MPS a suspendu la plateforme en septembre 2024, puis a renforcé sa gouvernance, formé le personnel, ajouté des contrôles contractuels et réalisé une analyse d’impact avant de la réintroduire en janvier 2026. Ces mesures ont compté, mais elles n’ont pas dissipé la préoccupation plus large du régulateur : le MPS ne disposait toujours pas de garanties suffisantes pour que seuls les services tiers approuvés soient utilisés.

L’injonction demande de mieux identifier, évaluer et autoriser ces services, de revoir les contrôles existants, de sensibiliser les agents, de tester régulièrement l’efficacité des mesures et de transmettre des comptes rendus périodiques. Les documents publics cités ne nomment pas le fournisseur et n’interdisent pas la plateforme.

Les constats relèvent de trois obligations distinctes. La Data Protection Act 2018 exige, à l’article 35(1), un traitement licite et équitable à des fins répressives ; l’article 40 impose des mesures de sécurité techniques ou organisationnelles adaptées ; l’article 64(1) prévoit une analyse préalable lorsque le traitement présente vraisemblablement un risque élevé. L’ICO indique que le traitement en cause n’avait pas de consentement et n’était pas nécessaire aux finalités policières, et qu’aucune analyse d’impact n’avait été menée avant ce traitement à haut risque. Un contrat ou une analyse ultérieure ne peut pas régulariser rétroactivement les opérations antérieures.

L’ICO avait déjà publié, en août, une action distincte contre le MPS au sujet d’un document judiciaire insuffisamment expurgé et d’un courriel groupé révélant des informations sensibles. Le régulateur y relevait notamment une faible conformité aux formations obligatoires, ainsi que des lacunes de suivi et de gouvernance. Les chaînes opérationnelles étaient différentes ; rien dans les sources publiques n’établit que le MPS ait enfreint cette première injonction. La juxtaposition rend néanmoins plus importante la capacité de contrôle à l’échelle de la force qu’une simple correction d’un outil.

Le MPS met aussi en avant l’intérêt opérationnel de ces technologies. Dans un communiqué d’août, il indique que 29,4 % des signalements de vols transmis via une nouvelle technologie ont donné lieu à une suite positive, contre 7,3 % auparavant en moyenne. Ce sont les chiffres communiqués par la police ; la page ne démontre pas un effet causal et ne précise pas si ce service est celui visé par l’ICO. Une réponse à l’Assemblée de Londres précise que le déploiement relève d’une décision opérationnelle du MPS et que le Mayor’s Office for Policing and Crime rencontre régulièrement le responsable de la lutte contre les vols. Elle ne décrit ni le registre des outils autorisés ni la manière dont ces rencontres le vérifient.

La question de conformité devient donc très concrète : au moment où un agent obtient un accès, le MPS peut-il prouver que le service est autorisé, que sa finalité et sa base juridique sont définies, qu’une analyse a précédé tout traitement à haut risque et que les protections fonctionnent encore ? L’action de l’ICO laisse en place le retour de la plateforme en janvier, tout en déplaçant l’attention vers le dispositif institutionnel qui encadre les outils disponibles aux agents.

Sources