Le régulateur britannique des données personnelles a adressé une injonction et une réprimande à la Metropolitan Police Service après deux divulgations d’informations sensibles. Dans l’un des cas, les nouvelles coordonnées d’une victime de harcèlement ont été communiquées à l’homme contre lequel elle cherchait à se protéger. Pour l’Information Commissioner’s Office, ces incidents révèlent des défaillances plus profondes dans la formation et la gouvernance de la police londonienne.
La protection des données peut, dans certaines circonstances, devenir une question de sécurité physique. C’est précisément ce que rappelle la décision annoncée le 5 août 2026 par l’Information Commissioner’s Office (ICO), le régulateur britannique chargé de la protection des données, à l’encontre de la Metropolitan Police Service (MPS).
L’autorité a adressé à la police du Grand Londres une enforcement notice, autrement dit une injonction imposant des mesures correctives, ainsi qu’une réprimande officielle. En cause : deux divulgations distinctes d’informations personnelles dans des affaires particulièrement sensibles. L’ICO estime que la MPS n’avait pas mis en place les mesures techniques et organisationnelles appropriées pour protéger ces données, en violation de la section 40 du Data Protection Act 2018.
Les nouvelles coordonnées d’une victime transmises au défendeur
Le premier incident concerne une procédure de protection contre le harcèlement, ou Stalking Protection Order. Un agent de la Metropolitan Police a transmis au défendeur des documents qui n’avaient pas été correctement expurgés.
Ils contenaient la nouvelle adresse et le nouveau numéro de téléphone de la victime, mais également les noms et coordonnées de trois témoins. Une divulgation d’autant plus préoccupante que la victime avait précisément déménagé et changé de numéro de téléphone en raison des risques auxquels elle était confrontée.
La conséquence a été immédiate. Après avoir reçu ces documents, l’homme a contacté la victime sur son nouveau numéro et lui a indiqué avoir obtenu ses nouvelles coordonnées grâce aux documents transmis par la Metropolitan Police.
L’enquête de l’ICO a établi que les informations confidentielles concernant des tiers n’avaient pas été correctement masquées avant la communication des pièces. Les agents concernés n’avaient par ailleurs pas reçu la formation spécialisée requise pour les procédures de Stalking Protection Order. Le processus de préparation et de contrôle qualité des documents a lui aussi été jugé insuffisant.
Dans une affaire de harcèlement, une telle erreur dépasse largement le cadre d’un simple couac administratif. Une adresse ou un numéro de téléphone peut permettre de contourner les précautions prises par une victime pour échapper à une personne dont elle cherche justement à se protéger.
L’affaire « Honeytrap » également concernée
Le deuxième incident est lié à l’affaire dite « Honeytrap ». Celle-ci concernait des personnes liées au Parlement britannique qui avaient été ciblées en 2024 et 2025 par des messages WhatsApp visant à obtenir des informations compromettantes.
Un agent de la Metropolitan Police devait informer les personnes concernées d’une modification de la date de mise en liberté sous caution du suspect. Un courriel collectif leur a alors été envoyé, mais leurs adresses électroniques ont été inscrites dans le champ « À ».
Résultat : chaque destinataire pouvait voir les noms et les adresses électroniques des autres personnes ayant reçu le message. Au total, 18 personnes liées au Parlement britannique ont été touchées par cette divulgation. Si le contenu même du courriel ne révélait pas explicitement d’informations sensibles à leur sujet, son contexte permettait potentiellement de déduire leur implication dans une enquête pénale particulièrement délicate.
L’ICO considère que la police londonienne aurait dû choisir une méthode de communication plus appropriée plutôt que de recourir à un unique courriel collectif dans de telles circonstances.
Des défaillances qui dépassent les erreurs individuelles
Pris séparément, les deux incidents sont très différents. L’un porte sur la communication de documents judiciaires non expurgés, l’autre sur une mauvaise utilisation des champs d’un courrier électronique. L’enquête du régulateur a néanmoins conclu qu’ils n’étaient pas de simples erreurs isolées.
L’ICO relève des faiblesses plus larges dans les politiques, les procédures et les mécanismes de contrôle de la Metropolitan Police concernant le traitement d’informations personnelles sensibles.
La formation des agents figure notamment au cœur des critiques. Dans l’affaire du courriel collectif, l’agent à l’origine de l’envoi n’avait pas suivi de formation à la protection des données depuis plus de quatre ans avant l’incident. Son supérieur hiérarchique n’avait, lui non plus, pas suivi la formation pertinente depuis près de quatre ans. Plus généralement, l’ICO a constaté que les taux de suivi de la formation obligatoire « Managing Information » demeuraient faibles, un constat également reconnu par la Metropolitan Police.
La décision déplace ainsi le regard de la seule responsabilité individuelle vers le fonctionnement de l’institution. Former les agents ne suffit pas : encore faut-il vérifier que les formations sont suivies, que les procédures sont appliquées et que les mécanismes de contrôle fonctionnent réellement.
Des incidents jugés « prévisibles et évitables »
Pour l’ICO, les personnes confient aux forces de police certaines de leurs informations les plus sensibles, parfois lorsqu’elles se trouvent dans une situation de vulnérabilité ou de danger. Elles sont donc en droit d’attendre que ces données soient correctement sécurisées.
L’autorité considère que les deux incidents étaient « prévisibles et évitables ». Elle insiste sur la nécessité, notamment pour les organismes publics manipulant des informations sensibles liées aux activités policières, de disposer de dispositifs efficaces de formation, de surveillance et d’assurance qualité. Des politiques internes ou de simples rappels ne peuvent suffire s’ils ne sont ni respectés ni contrôlés.
La Metropolitan Police avait déjà engagé des mesures
La MPS n’est toutefois pas restée totalement inactive après les incidents. Selon l’ICO, les personnes concernées ont été informées et une assistance supplémentaire a été proposée dans l’affaire de harcèlement. Des formations spécialisées supplémentaires ont également été dispensées et un processus renforcé de contrôle qualité en plusieurs étapes a été intégré au traitement des demandes de Stalking Protection Order.
Après l’incident du courriel collectif, la police a contacté les personnes affectées, rappelé à l’ensemble de ses effectifs l’obligation de suivre la formation relative à la sécurité de l’information et introduit un outil d’alerte destiné à prévenir les agents lorsqu’un courriel est envoyé à plusieurs destinataires externes.
Ces mesures ont été prises en compte par le régulateur. Elles n’ont toutefois pas suffi à clore le dossier. L’ICO relève que les taux de formation restent faibles et que certaines améliorations prévues, notamment des solutions techniques plus larges et des mécanismes de suivi renforcés, n’ont pas encore été entièrement déployées ou n’ont pas démontré leur efficacité.
Une injonction et une réprimande, mais pas d’amende
L’ICO a donc prononcé une réprimande pour les infractions constatées dans les deux affaires et adressé une injonction à la Metropolitan Police. Celle-ci impose des mesures à mettre en œuvre dans des délais de trois et douze mois afin d’améliorer le respect des obligations de formation, leur suivi ainsi que les mécanismes de gouvernance relatifs à la protection des données.
Il ne s’agit pas d’une amende. Cette nuance est essentielle : la Metropolitan Police n’a pas été condamnée à payer une sanction financière dans cette affaire. Elle fait en revanche l’objet d’une mesure contraignante exigeant des changements dans son fonctionnement et d’une réprimande officielle du régulateur.
Le dossier met ainsi en évidence la frontière parfois ténue entre protection des données et protection des personnes. Dans une procédure de harcèlement, divulguer une adresse ou un numéro de téléphone peut anéantir en quelques secondes les précautions prises pendant des mois par une victime. Dans une enquête pénale sensible, révéler l’identité de personnes concernées peut également exposer des informations qui n’auraient jamais dû circuler.
Pour la Metropolitan Police, l’enjeu est désormais de démontrer que ces deux incidents peuvent déboucher sur une transformation durable de ses procédures, de la formation de ses agents et de la supervision exercée par sa hiérarchie.
Sources :
Information Commissioner’s Office (ICO) — « Metropolitan Police Service issued with enforcement notice and reprimand following data protection failures », publié le 5 août 2026.