Résumé

  • Le guide publié en septembre par Ofcom explique comment les opérateurs britanniques peuvent partager des données liées à la fraude sous le droit existant. Il ne crée ni obligation générale de divulgation ni nouveau pouvoir d’accès aux dossiers clients.
  • L’enjeu opérationnel est de garder chaque information exacte, proportionnée et qualifiée comme fait, indice ou soupçon, avec une voie de correction si l’alerte se révèle infondée.

Une fraude peut franchir plusieurs frontières avant qu’un opérateur en voie l’ensemble. Un appel transite par un fournisseur de gros, atteint un service de détail, usurpe l’identité d’une banque puis pousse une victime à transférer de l’argent à un autre établissement. Chaque intervenant ne détient qu’un fragment : un numéro, une anomalie de trafic, une plainte ou un compte destinataire. Cette vision partielle complique la détection. La mise en commun peut, à son tour, diffuser plus vite un soupçon visant une personne ou une entreprise que les preuves qui l’ont fait naître.

L’annonce d’Ofcom, en septembre 2026, renvoie à un guide pratique destiné aux fournisseurs de communications du Royaume-Uni. Comms Council UK, le Home Office et Ofcom l’ont élaboré avec la contribution de l’Information Commissioner’s Office. Ofcom invite les opérateurs à en tenir compte. Cette coopération institutionnelle ne transforme toutefois pas le document en nouvelle base légale de transmission ni en ordre de divulguer tout dossier suspect. Le guide explique comment utiliser les cadres existants et cherche à clarifier quand, quoi et comment partager.

Le fondement juridique avait changé plus tôt dans l’année. Le Data (Use and Access) Act 2025 a ajouté une base d’intérêt légitime reconnu pour les traitements nécessaires à la détection, à l’enquête ou à la prévention d’un crime, y compris la fraude. La disposition est entrée en vigueur le 5 février 2026. Selon le guide, l’opérateur qui s’appuie sur cette base n’a pas à réaliser une évaluation distincte de l’intérêt légitime. Cette simplification procédurale compte.

Elle ne permet pas d’envoyer n’importe quelle donnée personnelle à n’importe quel destinataire : la nécessité reste une condition légale et le reste du droit de la protection des données continue de s’appliquer.

Le guide invite les opérateurs à motiver leur choix : quel dommage veulent-ils prévenir ? Le partage peut-il y contribuer ? Le même objectif est-il atteignable avec des données moins identifiantes ? Le destinataire est-il approprié ? Une limitation d’accès, l’anonymisation, la pseudonymisation ou un accord de partage convient-il ? Que faut-il consigner sur les données transmises, le destinataire, le motif et le résultat attendu ? Ces questions transforment « prévenir la fraude » en décision que l’on pourra examiner après coup.

Le dossier doit conserver les nuances des éléments de preuve. Le guide demande que les informations soient exactes, à jour et clairement distinguées entre fait et soupçon. Un pic de trafic, un identifiant d’appelant invalide ou une plainte peuvent constituer un indice utile. Aucun ne prouve à lui seul qui en est responsable, si un client a agi délibérément ou si une société est fautive. Une notification défendable indique ce qui a été observé, quand et par qui, en précisant les déductions et incertitudes. Si l’alerte est ensuite jugée infondée, le fournisseur devrait le consigner et actualiser le dispositif concerné.

La différence entre données anonymisées et pseudonymisées est tout aussi importante. Une liste de numéros peut sembler anonyme après suppression des noms, mais rester une donnée personnelle si l’opérateur ou le destinataire peut relier les numéros à des individus. Des tendances générales d’appels peuvent également permettre une identification lorsqu’elles sont croisées avec d’autres informations. Le guide recommande de réduire l’identifiabilité quand c’est possible ; un jeton, un hachage ou un agrégat ne dispense pas d’examiner ce que le destinataire peut en déduire.

Les dispositifs existants évitent aux fournisseurs de recréer chaque canal. Le guide distingue les acteurs de stratégie, les organisations de partage et les points d’entrée opérationnels. Il cite notamment Cifas, le Telecommunications UK Fraud Forum, la Cyber Defence Alliance et National Trading Standards. Son annexe décrit des échanges de numéros, d’enregistrements d’appel, de domaines, de mots-clés de messages malveillants et d’autres informations.

Un dispositif établi peut fournir un destinataire et des règles de fonctionnement ; il ne valide pas automatiquement chaque allégation reçue et ne décide pas de la sanction commerciale qu’une autre société devrait appliquer.

Les chiffres annexés montrent pourquoi le mot « impact » demande de la prudence. Un exemple rapporte le retrait de 1 275 numéros au quatrième trimestre 2025 et 300 à 400 retraits supplémentaires par mois, alors que le phénomène continuait de croître. Un cas de la Cyber Defence Alliance indique que 491 entreprises appelées par un numéro associé au vishing ont été signalées à des banques pour suivi ou enquête ; le document précise qu’il ne savait pas combien avaient subi une fraude ni combien de pertes avaient été évitées.

Cifas fait état de deux millions de dossiers actifs dans sa National Fraud Database, de 444 000 déclarations en 2025 et de 2,1 milliards de livres d’économies déclarées par ses membres.

Ces données mesurent une activité, une portée et une échelle opérationnelle. Elles n’ont ni dénominateur commun ni statut d’estimation causale auditée des pertes évitées. Le retrait d’un numéro est un résultat de processus ; le nombre de personnes protégées relève d’une estimation ; le renvoi d’un cas ne confirme pas une victime ; les économies déclarées par les membres ne constituent pas une étude contrefactuelle. Les annexes sont donc un inventaire de mécanismes en fonctionnement, pas la preuve que tous les canaux affichent la même efficacité.

Le guide reconnaît aussi des limites que le droit des données ne résout pas. Le droit de la concurrence et les droits de la défense restent en dehors de son périmètre. Un renseignement échangé pour lutter contre la fraude ne doit pas devenir un prétexte à des exclusions commerciales coordonnées. Les fournisseurs doivent distinguer le partage de renseignements antifraude d’une décision collective de refuser une interconnexion ou une relation d’affaires.

Une société mise en cause doit pouvoir comprendre et contester l’information ; une correction destinée à une personne mal identifiée doit atteindre le même réseau de destinataires que l’alerte initiale.

Le texte de septembre ajoute ainsi des liaisons pratiques à un système déjà composé de lois, de régulateurs, d’opérateurs, de banques, d’organismes antifraude et de services d’enquête. Sa contribution est de rendre le parcours juridique et opérationnel plus lisible, notamment pour les petits fournisseurs. Son efficacité se jugera à la qualité des décisions et des corrections, pas à la publication d’un guide, au volume brut des échanges ou à une affirmation non qualifiée sur le montant de fraude évité.

Sources : annonce et guide d’Ofcom ; exemples de partage ; Data (Use and Access) Act 2025, annexe 4 ; règlement d’entrée en vigueur.; guide de l’ICO sur la pseudonymisation; guide de l’ICO sur le partage de données personnelles contre les escroqueries et fraudes; charte britannique du secteur des télécommunications contre la fraude; stratégie britannique contre la fraude 2026–2029; guide PDF d’Ofcom destiné aux fournisseurs de télécommunications