Une suite à The Quiet Joining-Up. Construit entièrement à partir de documents publics du gouvernement. Chaque affirmation porte un niveau de confiance ; ce qui n'a pas été vérifié est indiqué comme non vérifié, et non comme blanchi.
Je ne suis pas parti de la colère. Je suis parti pour avoir tort — pour trouver, dans un document gouvernemental, la phrase qui dit clairement : cette machine à données appariées ne fait jamais que compter des populations ; elle ne descend jamais jusqu'à toucher une personne nommée.
Je n'ai pas trouvé cette phrase. Ce que j'ai trouvé, c'est le gouvernement traçant lui-même la limite — puis, dans un autre document, la franchissant.
Cet article pose donc une seule question, étroite, et refuse de la gonfler : l'infrastructure britannique de données administratives appariées est-elle restée statistique et réservée à la recherche, ou existe-t-il des documents publics montrant qu'elle s'oriente vers des décisions opérationnelles, en quasi-temps réel, sur des personnes identifiables ? Pas « est-ce illégal ». Seulement : dans quel sens cela évolue-t-il, et qui le dit.
La réponse honnête tient en deux voies — et la coupure est dans leurs propres mots.
Le verdict en un paragraphe
Le programme de recherche nommément désigné — Data First du MoJ, financé par ADR UK, accessible uniquement à l'intérieur du Secure Research Service de l'ONS — est bien désidentifié, réservé aux chercheurs accrédités et rétrospectif. L'Algorithmic Transparency Record du ministère de la Justice le dit lui-même, mot pour mot. Mais le même outil d'appariement, Splink, apparaît dans un autre registre de transparence, fonctionnant de façon opérationnelle sur des personnes identifiables : dans les tribunaux, pour aller chercher le dossier de probation d'un prévenu en vue de la peine, dans « des déploiements à la fois par lots et en temps réel », dans un Core Person Record en temps réel à l'état de pilote, et dans un flux quotidien qui transmet à la police les numéros de police des personnes suivies en probation. Un troisième volet, distinct — la fraude DWP/HMRC et les nouveaux pouvoirs d'Eligibility Verification — est sans ambiguïté opérationnel et au niveau de la personne. L'infrastructure de recherche a tenu la limite qu'elle avait tracée. La machinerie plus large, bâtie sur le même outillage, l'a franchie.
Voie 1 — la ligne recherche (réservée à la recherche, conformément à l'étiquette)
Data First met à disposition des enregistrements judiciaires au niveau de la personne et de l'affaire — magistrates' courts et Crown courts, détention, probation, évaluations des délinquants, tribunaux de la famille et tribunaux civils — de façon désidentifiée, aux seuls chercheurs habilités, à l'intérieur d'« environnements sûrs » contrôlés. Sa finalité déclarée est de repérer des tendances et d'éclairer les politiques publiques. Le MoJ le dit directement :
« Les jeux de données Data First ne sont pas intégrés à un processus décisionnel… ils ne sont pas destinés à la prise de décision opérationnelle. »
Source : Algorithmic Transparency Record du MoJ, moj-data-first-splink (17 déc. 2024). Confiance ÉLEVÉE.
Prenons cela au pied de la lettre. Pour les jeux de données Data First, je n'ai rien trouvé qui le contredise. Cette partie du système a fait ce qu'elle annonçait.
Voie 2 — la ligne opérationnelle (le même outil, des personnes identifiables)
C'est là le constat. Splink n'est pas seulement un instrument de recherche. Un second registre de transparence — le « Master Record » de Splink — décrit le même outil dans des opérations judiciaires en service :
« Il est utilisé dans les tribunaux pour retrouver les dossiers de probation associés aux personnes qui comparaissent… Il est expérimenté dans le cadre de Core Person Record, un produit qui vise à créer un identifiant unique de personne entre les prisons, la probation et les tribunaux pénaux… Il est utilisé pour retrouver les numéros du Police National Computer (PNC) associés à des individus, afin de demander à la police les informations d'arrestation pertinentes. »
Source : Algorithmic Transparency Record du MoJ, moj-splink-master-record (6 oct. 2025). Confiance ÉLEVÉE. La présentation du GDS confirme que le même outil fonctionne « dans des déploiements à la fois par lots et en temps réel ».
Relisez. Dans les tribunaux. Sur des individus. En temps réel. Avec une liaison quotidienne vers la police. Ce n'est pas compter une population. C'est identifier une personne précise et agir sur elle.
Un volet distinct rend le virage opérationnel encore plus net. Aux termes du Public Authorities (Fraud, Error and Recovery) Act 2025, les banques seront tenues de rapprocher les comptes des bénéficiaires de prestations d'indicateurs d'éligibilité du DWP et de restituer des informations identifiantes :
« …rapprocher ces comptes d'indicateurs d'éligibilité précis… des informations déterminées sur le ou les titulaires du compte (comme leur nom et leur date de naissance)… examinées par le DWP en vue d'investigations complémentaires. »
Source : fiche d'information Eligibility Verification du DWP et Data Usage Agreement DWP/HMRC sur la fraude — « a risking API will generate a risk score for an attribute bank account » (les deux datés du 22 juil. 2025). Confiance ÉLEVÉE. Le DWP indique qu'un humain intervient toujours ; mise en œuvre à partir de 2026. Il s'agit d'un programme DISTINCT de Data First.
Ce que je n'affirmerai pas (la partie qui garde tout cela honnête)
• Je n'affirme pas que les jeux de données de recherche Data First sont utilisés de façon opérationnelle. Le MoJ le nie et je n'ai trouvé aucun document qui le contredise. « Splink, l'outil, est opérationnel » est vrai ; « les jeux de données Data First sont opérationnels » n'est pas étayé par les preuves. Confondre les deux, c'est l'erreur qui discréditerait tout le reste.
• Le NHS, l'application des lois sur l'immigration par le Home Office et l'Integrated Data Service de l'ONS — j'y suis retourné et j'ai vérifié. Les verdicts figurent dans la suite, à la fin de cet article : le NHS ressort mitigé (opérationnel pour l'orientation des soins, pas pour la répression), le Home Office opérationnel mais historique (retiré en 2018), et l'IDS de l'ONS toujours non confirmé dans un sens comme dans l'autre. Une lacune n'est pas un acquittement — alors plutôt que de la laisser béante, je suis allé chercher les documents.
• Aucune preuve de décisions entièrement automatisées sans humain. Tous les documents du DWP que j'ai lus affirment la présence d'un humain dans la boucle. Je le prends tel qu'énoncé, en notant qu'il s'agit de la description que les agences font d'elles-mêmes.
• Le Core Person Record et le flux quotidien vers la police sont décrits comme des pilotes, non comme un déploiement national confirmé. C'est la trajectoire qui fait l'histoire ; le déploiement complet reste une question ouverte.
La forme de tout cela, sur une frise chronologique
Juil. 2021 — Splink est publié en open source par le MoJ, présenté comme un outil de recherche et d'analyse.
Sept. 2022 — Splink partage des jeux de données appariés avec des chercheurs accrédités via ADR UK Data First.
Déc. 2024 — registre de transparence Data First : « pas destiné à la prise de décision opérationnelle ».
Juil. 2025 — accord DWP/HMRC sur la fraude + fiche d'information Eligibility Verification : scoring de risque, rapprochement des comptes bancaires.
Oct. 2025 — registre de transparence « Master Record » de Splink : tribunaux, temps réel, pilote Core Person Record, flux PNC quotidien vers la police.
Déc. 2025 — le Fraud, Error & Recovery Act reçoit la sanction royale ; les pouvoirs de vérification entrent en vigueur à partir de 2026.
Le cadrage recherche a été publié en 2024. Le registre opérationnel a été publié en 2025. Le même outil. Onze mois d'écart.
Pourquoi c'est important
Un système statistique qui compte une population et un système opérationnel qui identifie une personne et va chercher un dossier de police ne sont pas la même chose sous deux casquettes. Ils emportent des obligations différentes — d'information, de recours, de droit d'opposition. Le débat public, les environnements sûrs, le vocabulaire des Five Safes, tout l'appareil de réassurance ont été bâtis pour le premier. Les documents décrivent désormais le second. Personne ne semble avoir reposé la question du consentement en chemin.
C'est tout le propos. Pas l'indignation — le dossier. Leur dossier.
← Lire le rapport d'origine : The Quiet Joining-Up
↗ Dépôt complet, preuves & enquêtes à l'appui (GitHub)
Vérification : 5 angles de recherche → 19 sources primaires récupérées → 87 affirmations candidates → 25 vérifiées de façon contradictoire (un vote de réfutation de 2 sur 3 était requis pour écarter une affirmation) → 24 confirmées, 1 écartée → synthèse. L'affirmation écartée — « Splink n'est pas utilisé de façon opérationnelle » — est précisément ce qui scinde tout ceci en deux voies : elle est vraie des jeux de données Data First, fausse de Splink en tant qu'outil. Sources publiques uniquement ; aucun système non public n'a été consulté.
Suite : les trois que je n'avais pas vérifiés
Lors de la première publication, j'avais signalé le NHS, l'application des lois sur l'immigration par le Home Office et l'Integrated Data Service de l'ONS comme non examinés — pas blanchis. Cela me gênait, alors j'ai fait une seconde passe sous la même règle : uniquement leurs propres documents, uniquement les affirmations qui survivent à une vérification contradictoire. Voici ce qui en est ressorti.
NHS — verdict : MITIGÉ / deux voies
NHS England fonctionne sur la même scission que le ministère de la Justice. Côté recherche, son équipe Data Science est en train de « mettre en œuvre un modèle d'appariement probabiliste utilisant Splink, afin d'améliorer les résultats d'appariement et, par extension, les résultats pour les patients » — et des agents du NHS ont publié eux-mêmes la méthode (IJPDS art. 3271, août 2025), confirmant une implémentation interne de Splink qui relie les données de santé au Personal Demographics Service en guise de colonne vertébrale nationale d'appariement.
Mais le versant opérationnel est explicite. La Federated Data Platform — bâtie sur Palantir Foundry — est, selon les mots mêmes de NHS England : « donne au personnel de terrain un accès rapide aux informations sur les patients… consulter les données les plus à jour, gérer les listes d'attente, programmer les opérations… elle ne sera pas utilisée pour la recherche externe ». Elle embarque des outils de triage en temps réel qui donnent la priorité à « ceux dont les besoins sont les plus urgents ».
Sources : FAQ de la FDP de NHS England ; Data Linkage Hub de NHS England ; IJPDS art. 3271. Confiance ÉLEVÉE.
La lecture équitable compte, ici. L'appariement opérationnel du NHS est tourné vers les soins — des attentes plus courtes, moins de doublons, un triage plus rapide — pas vers la répression. C'est autre chose qu'un flux quotidien vers la police, et je ne mélangerai pas les deux. Le constat honnête est plus étroit : la même machinerie d'appariement probabiliste occupe désormais à la fois une voie recherche et une voie de première ligne, en temps réel et sur des personnes identifiables — et les patients ne peuvent pas se soustraire à la seconde, parce que NHS England la classe comme soins directs.
Home Office — verdict : OPÉRATIONNEL, mais historique
C'est celui qu'il faut énoncer avec précaution, car la version la plus forte en est aussi la plus périmée. Un protocole d'accord de 2017 entre NHS Digital et le Home Office « permettait au Home Office d'accéder aux données des patients – y compris à des informations non cliniques – aux fins de localiser les personnes en infraction à la législation sur l'immigration » — utilisé, selon les termes mêmes de l'accord, comme « un dernier recours… lorsque la dernière adresse connue s'est révélée inutile ». En 2016, ce canal a traité 8 127 demandes et permis de localiser 5 854 personnes.
Source : preuve écrite MOU0009 devant le Health & Social Care Committee du Parlement britannique. Le protocole d'accord a été suspendu en mai 2018 puis retiré le 9 novembre 2018. Confiance ÉLEVÉE — et il n'est plus en vigueur.
Donc : il est confirmé que des données de patients du NHS ont été un jour utilisées de façon opérationnelle pour localiser des personnes identifiables aux fins de l'application des lois sur l'immigration, et il est confirmé que la voie formelle qui le permettait a été fermée en 2018. L'inquiétude actuelle porte sur une capacité technique, non sur un circuit avéré — Foundry de Palantir (la base de la FDP) est, d'après la documentation de Palantir elle-même, interopérable avec sa plateforme Gotham, orientée vers la répression, avec « la possibilité de faire glisser-déposer des données entre les deux systèmes ». C'est un fait technique réel. Ce n'est pas la preuve que des données du NHS aient effectivement circulé par cette voie, et je le signale exactement comme tel : une capacité et une question ouverte, pas un constat.
Integrated Data Service de l'ONS — verdict : preuves insuffisantes
Je serai direct : cette passe n'a rien confirmé au sujet de l'IDS, dans un sens comme dans l'autre. Pas une seule affirmation vérifiée ne s'y rapporte. Je ne vous dirai donc pas que c'est un environnement sûr, propre et réservé à la recherche, et je ne vous dirai pas qu'il glisse vers l'opérationnel — je n'ai pas encore les documents. Cela reste ouvert. Une case vide est moins satisfaisante qu'un verdict, mais en inventer un serait exactement la malhonnêteté que tout cet article est censé refuser.
Seconde passe : 5 angles de recherche → 21 sources primaires récupérées → 91 affirmations candidates → 25 vérifiées de façon contradictoire → 24 confirmées, 1 écartée. L'affirmation écartée était une exagération de mon côté — celle selon laquelle les données de la FDP partagées à l'échelle nationale restent identifiantes. Elles ne le restent pas : le traitement identifiant se fait au niveau du trust, et les données sont désidentifiées lorsqu'elles remontent. Corriger nos propres excès fait partie de la méthode, ce n'en est pas une exception. Sources publiques uniquement ; aucun système non public n'a été consulté.