Summary

  • Le 8 août 2023, une réponse de la Police Service of Northern Ireland à une demande de liberté d’information a publié un classeur contenant une feuille source avec des informations sur 9 483 policiers et membres du personnel civil. Le fichier est resté accessible pendant un peu moins de deux heures et demie. Il ne comportait pas d’adresses personnelles, mais associait des identifiants, des fonctions, des unités et des lieux de travail dans un contexte où cette combinaison augmentait fortement le risque.
  • Le dossier public ne permet pas de réduire l’incident à une faute individuelle ou à un onglet oublié. Un export issu des ressources humaines est demeuré dans l’objet destiné au public, tandis que les contrôles successifs ont porté sur la réponse visible. La propriété de l’information, l’évaluation du risque, la formation spécialisée, la classification et l’assurance portant sur le fichier binaire final n’ont pas empêché la publication.
  • L’Information Commissioner’s Office a conclu à des violations, par négligence, des articles 5(1)(f), 32(1) et 32(2) du UK GDPR. Le régulateur a calculé un montant de 5,6 millions de livres, puis imposé une amende de 750 000 livres selon son approche applicable au secteur public. Il a constaté peur, anxiété et perte de contrôle, sans avoir vu de preuve qu’une blessure physique résultait de l’incident.
  • Une responsabilité durable se mesure dans les contrôles. L’autorité publique doit générer un nouvel objet minimal, inspecter son contenu caché et ses métadonnées, faire approuver exactement les octets destinés à la publication, conserver les empreintes et les décisions, tester le retrait, soutenir les personnes concernées et distinguer l’avancement déclaré par la direction d’une validation indépendante.

Le risque résidait dans le fichier complet

La demande reçue par la PSNI portait sur des chiffres relatifs aux effectifs, ventilés par rang ou grade. Elle n’exigeait ni noms, ni numéros de service, ni lieux individuels. Une petite table statistique aurait donc pu constituer la réponse publique. Le travail a pourtant commencé à partir d’un export beaucoup plus riche de l’environnement de ressources humaines SAP. Cet export a servi à construire un tableau croisé et un onglet de réponse, mais la feuille contenant les données sources est restée dans le classeur.

Cette distinction est essentielle. Un tableur n’est pas seulement la grille visible lors de son ouverture. Il peut contenir d’autres feuilles, des formules, des plages nommées, des commentaires, des liens, des valeurs mises en cache et des métadonnées. Selon l’examen indépendant, plusieurs personnes ont regardé la réponse visible sans qu’un contrôle distinct établisse que le fichier entier ne contenait que les champs autorisés. Le classeur a été publié à 14 h 32 le 8 août et retiré un peu moins de deux heures et demie plus tard.

La copie comportait matériellement 32 colonnes, dont une était inutilisée. C’est pourquoi le rapport parle de 32 colonnes alors que la décision finale du régulateur recense 31 champs d’information utilisés. Les données concernaient 9 483 policiers et employés civils. Elles combinaient notamment nom ou initiales, numéro de service ou de personnel, rang ou grade, rôle, unité organisationnelle, lieu d’affectation, informations de service ou de contrat et genre. Les adresses personnelles n’étaient pas présentes. Respecter cette limite ne diminue pas la gravité de la divulgation; cela évite seulement de l’exagérer.

Une courte exposition n’est pas un rappel

Le risque provenait de l’agrégation et du contexte. Un nom, une fonction ou un lieu peut sembler ordinaire isolément. Reliés au plan opérationnel d’un service de police, ces éléments facilitent l’identification, le contact non désiré, l’intimidation ou l’analyse de schémas. La PSNI a déclaré que le jeu de données était parvenu à des républicains dissidents et a organisé sa réponse autour du risque d’intimidation ou de ciblage. Cette évaluation doit rester attribuée à la PSNI et au dossier officiel: les éléments publics ne permettent pas d’identifier chaque personne ayant téléchargé ou redistribué le fichier, ni son intention.

Le retrait rapide a contenu le point de publication initial, mais il ne pouvait pas effacer les copies déjà obtenues. Une page peut être corrigée; un fichier de données personnelles rendu public ne peut pas être rappelé de tous les appareils et échanges privés. Le délai d’exposition limite éventuellement l’occasion, sans prouver combien de téléchargements ou de redistributions ont eu lieu. Cette asymétrie justifie un seuil de contrôle plus élevé avant publication lorsque l’audience est ouverte, le contenu sensible et la diffusion irréversible.

Les conséquences n’ont pas été uniformes. Certaines personnes étaient déjà publiquement associées à la police; d’autres protégeaient délibérément leur profession ou leur fonction. Les représentants du personnel ont décrit changements d’habitudes, inquiétude, questions de relogement et perte de confiance. Le régulateur a retenu la peur, l’anxiété et la perte de contrôle comme préjudices réels à des degrés divers, tout en précisant qu’il n’avait pas vu de preuve de blessure physique causée par la divulgation.

Les 3 954 auto-saisines du groupe de gestion des menaces au 30 août 2023, puis 4 024 au 18 octobre, sont des indicateurs datés de demande d’évaluation et de soutien, non un décompte d’attaques ou de blessures établies.

Le droit a sanctionné une sécurité inadaptée au contexte

La décision monétaire finale de l’ICO constitue le dossier juridique de référence. Elle conclut que la PSNI a enfreint le principe d’intégrité et de confidentialité de l’article 5(1)(f), ainsi que les obligations de sécurité des articles 32(1) et 32(2) du UK GDPR. Les manquements ont été qualifiés de clairement négligents, et non d’intentionnels. Cette qualification exclut une histoire de divulgation délibérée sans atténuer l’obligation d’un responsable de traitement qui gère les données d’une population policière exposée à des menaces connues.

La sécurité de l’environnement SAP ne suffisait pas. Le traitement comprenait ce qui arrivait après l’export: choix des champs, stockage temporaire, préparation de la réponse, vérification, approbation et mise en ligne. Une organisation ne peut pas protéger le système d’origine puis considérer chaque copie comme la seule responsabilité de son utilisateur. Si l’export est une fonction professionnelle autorisée, les contrôles doivent suivre les données: finalité consignée, minimisation, classification, durée de conservation, inspection de l’objet public et journalisation.

Le calcul financier du régulateur doit lui aussi conserver ses étiquettes. L’ICO a calculé 5,6 millions de livres avant de réduire l’amende imposée à 750 000 livres dans le cadre de son approche du secteur public. Il ne s’agit pas de deux coûts à additionner. Cette réduction visait l’effet des sanctions sur les organismes et services publics; elle n’a annulé ni les violations ni l’analyse du risque.

Le régulateur avait aussi envisagé une mesure d’exécution. Au 14 juin 2024, la PSNI avait fourni des instructions mises à jour, un journal d’audit, une liste d’assurance qualité et une politique relative aux tableurs. L’ICO a considéré que les garanties pertinentes contre les données cachées avaient été corrigées et n’a donc pas poursuivi cette mesure, tout en maintenant la sanction financière. Ce constat ferme un mode de défaillance précis. Il ne certifie pas l’achèvement des 37 recommandations, des changements culturels, de la modernisation des systèmes ou des procédures de compensation.

La responsabilité suit la capacité de contrôle

La personne la plus proche de l’erreur finale ne détenait pas seule les moyens de prévention. La direction contrôlait les ressources, l’appétence au risque et l’architecture de gouvernance. Les responsables des ressources humaines contrôlaient l’extraction, la transformation et la propriété opérationnelle du jeu de données. Les responsables de la liberté d’information contrôlaient la méthode de réponse, le format, l’approbation et la publication. Les fonctions de protection des données et de risque devaient conseiller, contester et faire remonter les insuffisances.

Les propriétaires technologiques pouvaient fournir des rapports bornés, des emplacements contrôlés, des étiquettes, des journaux et des barrières avant une mise en ligne publique.

Plusieurs regards ne constituent pas automatiquement un contrôle indépendant. Si chaque personne ouvre le même fichier, arrive sur le même onglet et vérifie la même présentation, toutes peuvent partager le même angle mort. Une véritable séparation des fonctions donne des questions distinctes aux réviseurs. L’un vérifie que les chiffres répondent à la demande et respectent le droit applicable. Un autre énumère les feuilles et les structures incorporées, inspecte les métadonnées et compare le fichier final à une spécification des champs autorisés.

Pour une publication à haut risque, un propriétaire responsable accepte explicitement le risque restant.

Le rapport indépendant a formulé 37 recommandations dans cinq domaines: gouvernance et responsabilité organisationnelles, prise de responsabilité, fondations, partage et usage des données, ainsi que culture, compétences et talents. Cette ampleur montre que l’onglet manqué était à la fois une défaillance concrète et le symptôme de faiblesses plus larges: propriété de l’information, évaluations de risque, formation adaptée aux rôles, assurance, registre des traitements, analyses d’impact, accès de la fonction de protection des données aux responsables et dette technique d’un SAP ancien et fortement personnalisé.

Construire la réponse publique à partir de zéro

Le contrôle le plus robuste consiste à séparer l’environnement de travail de l’objet de diffusion. Pour une demande de chiffres, une requête ou un calcul approuvé devrait écrire uniquement les agrégats autorisés dans un document vide. Dans une méthode soustractive, la sécurité dépend de la découverte de chaque élément excédentaire. Dans une méthode additive, aucun champ ne peut apparaître sans avoir été sélectionné. Le résultat doit toujours être réconcilié, mais l’export complet ne devient jamais un candidat à la publication.

Aucun format n’est intrinsèquement sûr. Un PDF peut conserver des métadonnées, des pièces jointes ou des couches cachées. Un CSV supprime les feuilles multiples, mais peut contenir toutes les colonnes exportées. Une table web peut cacher des données dans son balisage ou ses caches. Le contrôle porte sur la minimisation vérifiée de l’objet exact, son accessibilité et son usage, non sur le nom de son format.

L’approbation devrait être liée aux octets. Le dossier de publication peut conserver l’identifiant de la demande, le système source, l’agrégation approuvée, les champs autorisés, les personnes responsables, la destination et une empreinte cryptographique. Le système recalcule cette empreinte au moment de la mise en ligne et bloque tout objet modifié après approbation. Cette preuve n’établit pas que la décision de fond était correcte; elle établit que l’objet examiné est celui qui a été publié.

Un scanner peut énumérer les feuilles, y compris les états très cachés, les plages nommées, les liens externes et les propriétés du document. Il peut comparer le résultat avec le schéma autorisé. Mais la détection automatique reste limitée: elle peut manquer un identifiant atypique ou signaler un élément bénin. Le contrôle responsable associe inspection automatique, jugement humain, séparation des rôles et escalade claire.

Mesurer la remédiation plutôt que les annonces

La réponse publique contient plusieurs jalons. Outre les garanties acceptées par l’ICO, la PSNI a signalé la création d’un Service Data Board, le positionnement du rôle de SIRO au niveau du Deputy Chief Constable, le remplacement des numéros de service utilisés à l’extérieur par des PIN et une aide pouvant atteindre 500 livres pour des mesures de sécurité personnelle. Chacune de ces actions a une logique crédible; aucune ne devrait être close uniquement parce qu’une politique ou une structure existe.

En juin 2024, un rapport de responsabilité du Chief Constable indiquait que 17 recommandations étaient terminées. En février 2026, des témoins parlementaires en rapportaient 29 comme achevées, tandis que plusieurs restaient en cours ou dépendaient d’un financement, et que l’équipe indépendante revenait examiner les progrès. Le total stable demeure les 37 recommandations du rapport original. Le témoignage plus récent est un état daté de mise en œuvre, pas le résultat final de la validation indépendante encore attendue.

Une preuve de clôture utile associe à chaque recommandation un objectif, un dirigeant responsable, un propriétaire opérationnel, une date, des artefacts, une méthode d’essai, des résultats, des exceptions et un risque résiduel. Une politique approuvée, un contrôle déployé, une adoption observée et une efficacité indépendante sont quatre états différents. Les mesures devraient inclure les quasi-incidents, fichiers bloqués, exceptions, désaccords entre réviseurs, temps de résolution et répétitions. Ces données permettent de savoir si le contrôle change effectivement le résultat sous une pression ordinaire.

Ne pas fusionner les chiffres financiers

Les montants publics répondent à des questions différentes. Le témoignage parlementaire de septembre 2023 évoquait un scénario précoce de 174 à 217 millions de livres pour le rétablissement et le contentieux. Le rapport annuel 2023–2024 enregistrait 6 millions de financement immédiat supplémentaire et une provision de 610 000 livres correspondant à la pénalité attendue à cette date. L’amende finale a été de 750 000 livres. En décembre 2025, l’Exécutif d’Irlande du Nord a engagé 119 millions de livres en vue des coûts de la violation et des négociations de règlement.

Une estimation, une provision, une amende, une allocation et des règlements individuels ne forment pas un total audité. Ils couvrent des périodes et des catégories différentes et peuvent se chevaucher. Une comptabilité responsable sépare enquête et réponse immédiate, soutien, réglementation, exposition juridique, transformation à long terme et coût d’opportunité du personnel détourné de ses fonctions habituelles.

La transparence a besoin d’ingénierie

La liberté d’information n’imposait pas de publier les données sources sur le personnel. La demande portait sur des statistiques. Le problème n’était pas la décision d’être transparent, mais l’incapacité du processus à isoler de façon fiable la réponse statistique des données sensibles utilisées pour la calculer. Répondre par moins d’ouverture traiterait donc la mauvaise cause.

Une transparence sûre est une fonction d’ingénierie et de gouvernance. Elle définit l’objet autorisé, cartographie le trajet des données, génère un résultat minimal, sépare les responsabilités, inspecte le conteneur complet, lie l’approbation au fichier exact et prépare le retrait. Elle soutient également les personnes concernées, mesure les effets et conserve les inconnues: diffusion finale, dommages individuels, coût total, actions encore dépendantes de financement et conclusion du retour indépendant.

Le dossier montre des progrès réels et des travaux non clos. La responsabilité n’exige pas de nier l’un ou l’autre. Elle exige que chaque déclaration de réparation corresponde à une preuve datée et reproductible. La leçon durable n’est pas qu’aucun employé ne manquera jamais un onglet. C’est qu’un onglet manqué ne doit plus pouvoir devenir silencieusement un jeu de données public, et que toute affirmation de clôture doit rester ouverte tant qu’une validation indépendante ne l’a pas établie.

Frozen source register

  1. Police Service of Northern Ireland, Independent Review.
  2. Police Service of Northern Ireland and Northern Ireland Policing Board, Protecting From Within.
  3. Information Commissioner’s Office, Police Service of Northern Ireland enforcement record.
  4. Information Commissioner’s Office, PSNI monetary penalty notice.
  5. Information Commissioner’s Office, PSNI provisional penalty announcement.
  6. Information Commissioner’s Office, Guidance on disclosing documents to the public.
  7. Northern Ireland Policing Board, Publication of the independently led review.
  8. Northern Ireland Policing Board, Statement on follow-up action.
  9. Northern Ireland Policing Board, Chief Constable’s Accountability Report — June 2024.
  10. Police Service of Northern Ireland, Annual Report and Accounts to 31 March 2024.
  11. UK Parliament Northern Ireland Affairs Committee, Oral evidence, 5 September 2023.
  12. UK Parliament Northern Ireland Affairs Committee, Staff-association evidence, 12 December 2023.
  13. UK Parliament Northern Ireland Affairs Committee, Policing Board evidence, 13 December 2023.
  14. UK Parliament Northern Ireland Affairs Committee, PSNI leadership evidence, 13 December 2023.
  15. UK Government, Secretary of State’s speech — PSNI data breach.
  16. UK Government, Information Security Review 2023 Final Report.
  17. Northern Ireland Department of Justice, PSNI data-breach funding allocation.
  18. UK Parliament Northern Ireland Affairs Committee, Oral evidence, 25 February 2026.