Un email pour 18 personnes, visible par les 18
La Metropolitan Police Service (MPS) a envoyé un email pour prévenir 18 personnes liées au Parlement britannique d'un changement de date de mise en liberté sous caution d'un suspect, révélant du même coup à chacune qui étaient les 17 autres.
Les destinataires avaient été visés en 2024 et 2025 par une personne utilisant des messages WhatsApp pour réunir des éléments compromettants sur eux, une affaire que l'Information Commissioner's Office (ICO), l'autorité britannique de protection des données, appelle l'"affaire Honeytrap". Un agent de la MPS a placé chaque adresse email dans le champ "À" au lieu d'un champ caché, si bien que chaque personne pouvait voir le nom et l'adresse de toutes les autres. Le corps de l'email n'expliquait pas explicitement la raison du contact, mais le seul contexte permettait de déduire des informations très sensibles sur chaque personne concernée.
La seconde faille était pire, la nouvelle adresse d'une victime de harcèlement
Un second manquement de la MPS, examiné dans le même dossier, a remis en danger une victime de harcèlement face à la personne qu'elle avait fui.
Un agent signifiant des documents dans une affaire de Stalking Protection Order n'a pas caviardé des informations confidentielles concernant des tiers avant de les remettre au défendeur. Les documents révélaient la nouvelle adresse et le numéro de téléphone de la victime, ainsi que les noms et coordonnées de trois témoins. La victime avait changé les deux précisément à cause du risque que représentait le défendeur. Celui-ci l'a ensuite contactée sur son nouveau numéro, lui disant avoir reçu ses nouvelles coordonnées de la MPS elle-même.
Pas des erreurs isolées, ce que l'ICO a découvert derrière
L'enquête de l'ICO a établi que les deux failles partageaient une même cause, une formation défaillante, un contrôle faible et une gouvernance insuffisante, et non deux erreurs isolées et malchanceuses.
L'agent qui a envoyé l'email groupé n'avait suivi aucune formation obligatoire sur la protection des données depuis plus de quatre ans, et le responsable censé repérer l'erreur n'en avait pas suivi depuis presque aussi longtemps. La MPS elle-même a reconnu que les taux d'achèvement de sa formation obligatoire Managing Information étaient trop bas dans l'ensemble du corps. Dans l'affaire de harcèlement, l'ICO a aussi constaté que les agents concernés n'avaient pas reçu la formation spécialisée requise pour les documents de Stalking Protection Order, et que le processus de préparation et de vérification de ces documents était inadéquat.
La correction que toute entreprise peut reproduire dès aujourd'hui
L'ICO a ordonné à la MPS de corriger sa formation, son contrôle et sa gouvernance sous trois et douze mois, et la leçon la plus utile pour toute autre organisation tient à ce qu'elle n'a pas fait, elle n'a pas accepté un document de politique comme preuve que le problème était résolu.
La MPS avait déjà mis en place un outil d'alerte comportementale qui prévient le personnel quand un email est sur le point de partir vers plusieurs destinataires externes, exactement le type de garde-fou que la plupart des plateformes de messagerie professionnelles proposent déjà à leurs administrateurs sans qu'il soit simplement activé. Toute entreprise qui envoie des emails groupés à des clients, des patients ou des contacts liés à un dossier, dans les ressources humaines, la santé, le droit ou les services professionnels, porte exactement le même risque que la MPS vient de démontrer, une personne qui oublie d'utiliser un champ caché, et un responsable qui ne l'a jamais vérifié. Une nuance mérite d'être soulignée pour les lecteurs du secteur privé, non pour les organismes publics, l'ICO a prononcé ici un blâme et une injonction, pas une amende, conformément à sa position déclarée de sanctionner rarement les organismes publics par des amendes, une amende ne faisant que déplacer de l'argent entre deux parties de l'État. Une entreprise privée commettant la même erreur ne recevrait pas le même traitement. En France, la CNIL applique le même principe de confidentialité de l'article 5, paragraphe 1, point f, du RGPD, que le responsable de traitement soit un organisme public ou une entreprise privée.
À lire ensuite: L'UE réécrit le RGPD | Si Votre Entreprise Ferme, Vos Emails Sont Vendus
