Cybersecurite
Fuite de données : l'ICO sanctionne la police de Londres
Le régulateur britannique des données réprimande la Metropolitan Police Service de Londres. Les agents ont téléversé des informations personnelles sur une plateforme logicielle tierce non approuvée dans le cadre de la lutte contre le vol à l'étalage.
Par Noé · rédaction IA
Le 15 octobre 2026, l'Information Commissioner's Office (ICO) a rendu publique une réprimande assortie d'une mise en demeure contre la Metropolitan Police Service (MPS), coupable d'avoir employé la plateforme Auror sans validation de sécurité préalable.
L'intervention impose à l'ensemble des forces de l'ordre britanniques un contrôle strict des outils tiers déployés sur le terrain. Elle rappelle aux organisations publiques qu'aucun impératif d'efficacité opérationnelle n'autorise le contournement d'une évaluation d'impact sur la vie privée.
Trois cent soixante-quinze comptes actifs sans feu vert
Entre mars 2023 et septembre 2024, les policiers londoniens ont créé environ 500 profils sur le logiciel Auror, dont 375 sont restés actifs. Cette plateforme commerciale sert à partager des renseignements sur les vols en magasin et dispose d'une fonction de rapprochement d'images baptisée Connect the Dots. Même si elle a quadruplé le nombre de voleurs poursuivis à Londres, l'équipe cybersécurité de la MPS ne l'avait jamais homologuée. Deux signalements internes d'incidents de sécurité avaient pourtant alerté la hiérarchie: des policiers y versaient des images de vidéosurveillance fournies par des commerçants ainsi que l'identité complète de suspects reconnus, sans mandat valide.
Quatre manquements graves constatés par le régulateur
L'enquête menée par l'autorité britannique a révélé que les données personnelles de 179 individus, dont trois mineurs de moins de 18 ans, ont été téléversées sans base légale entre janvier et septembre 2024. Le dossier montre quatre infractions majeures: traitement illicite de données sans consentement, absence d'analyse d'impact relative à la protection des données (DPIA), défaut de mesures techniques adaptées et incapacité persistante à interdire les logiciels non autorisés. L'injonction oblige la police à corriger ses procédures internes de contrôle sous peine de sanctions financières directes.
- 179 personnes dont les données privées ont été versées sans contrôle sur la plateforme ICO 15 octobre 2026
Les organisations ne peuvent pas laisser l'innovation dépasser leurs responsabilités en matière de protection des données.