↓ Télécharger le rapport complet (PDF)
↗ Dépôt complet, preuves & enquêtes à l'appui (GitHub)
Comment des gouvernements relient les dossiers de leurs citoyens avec Splink — et pourquoi les citoyens n'en ont pas vraiment été informés
Un rapport d'intérêt public constitué entièrement à partir de documents gouvernementaux publiquement accessibles et de littérature évaluée par les pairs. Aucun système non public n'a été consulté. Compilé le 2026-06-02. Le niveau de confiance et les sources sont indiqués pour chaque affirmation ; ce qui n'est pas vérifié est signalé comme tel.
En un paragraphe
Plusieurs gouvernements nationaux utilisent Splink — une bibliothèque libre et open source d'appariement probabiliste d'enregistrements développée par le ministère de la Justice britannique — pour assembler des jeux de données sur les citoyens jusque-là séparés, qui ne partagent aucun identifiant commun, en enregistrements uniques reliés au niveau de la personne. Ce n'est ni une fuite, ni un piratage, ni un programme secret : c'est légal, documenté et, dans plusieurs cas, techniquement excellent. La question d'intérêt public que pose ce rapport est plus étroite et plus inconfortable : les personnes ainsi reliées n'ont, en règle générale, jamais été informées individuellement, jamais été consultées, et n'ont dans la plupart des cas aucun moyen de s'y soustraire — parce que la base légale est la « mission de service public » prévue par la loi, et non le consentement. Cette capacité migre aussi discrètement de la statistique (dénombrer des populations) vers l'opérationnel (identifier des individus précis en temps réel). C'est ce basculement qui fait l'histoire.
• Bibliothèque open source développée par l'équipe d'appariement de données du MoJ, financée par ADR UK dans le cadre du programme « Data First ». Elle met en œuvre le modèle Fellegi–Sunter (la méthode statistique standard du secteur pour l'appariement d'enregistrements), estimé par Expectation-Maximisation, en s'appuyant sur l'implémentation R de FastLink. (Confiance élevée — GOV.UK ; IJPDS art. 1794, évalué par les pairs et rédigé par les développeurs ; documentation officielle de Splink ; GitHub.)
• Conçu pour l'échelle : construit pour relier ~100 millions d'enregistrements ; le MoJ en a relié ~15 millions en moins d'une heure. Agnostique quant au backend (DuckDB / Spark / AWS Athena). (Élevée.)
• Les mathématiques sont solides. Ce rapport n'allègue pas que l'algorithme serait inexact ou biaisé par conception. Fellegi–Sunter relève de la pratique courante et l'exactitude publiée est élevée. Le problème porte sur la gouvernance de ce que permet un résultat exact, non sur un défaut technique.
• Ce rapport porte strictement sur la gouvernance de l'appariement de données. Il est sans rapport avec un quelconque problème de sécurité logicielle.
🇬🇧 Royaume-Uni — ministère de la Justice · « Data First » (Confiance élevée)
Splink relie des enregistrements de personnes entre sept domaines du système judiciaire qui n'ont pas d'identifiant commun cohérent — Magistrates'/LIBRA, Crown/Common Platform, tribunaux de la famille, tribunaux civils, prisons (NOMIS), probation (DELIUS) et systèmes d'évaluation des délinquants — afin de suivre le parcours des individus dans le système et de repérer les usagers récurrents. Il déduplique à l'intérieur de chaque domaine, puis effectue un appariement supplémentaire pour créer un identifiant lié à l'échelle de tout le système judiciaire (table Cross Justice System / XJS). Nombres d'enregistrements documentés : Common Platform 2,9 M, LIBRA 19,6 M, NOMIS 2,2 M, DELIUS 2,4 M. Périmètre : Angleterre et pays de Galles. Les données mises à disposition des chercheurs sont désidentifiées.
Sources : GOV.UK Algorithmic Transparency Records (moj-data-first-splink, moj-splink-master-record) ; jeu de données phare ADR UK Data First ; IJPDS 1794.
Le signal de dérive d'usage : le MoJ fait tourner Splink en traitement par lots (actualisation statistique hebdomadaire) et en temps réel — « dans les tribunaux, pour retrouver les dossiers de probation associés aux personnes qui comparaissent ». Il expérimente « Core Person Record », un système en temps réel destiné à attribuer un identifiant unique de personne commun à toute la justice entre les prisons, la probation et les tribunaux pénaux, à mesure que les enregistrements sont créés ou mis à jour. C'est un passage de la statistique à l'identification opérationnelle de personnes nommées. (Core Person Record est décrit comme un pilote, pas encore opérationnel — dit honnêtement.) (Élevée.)
🇬🇧 Royaume-Uni — Office for National Statistics (confiance élevée)
L'ONS a adopté Splink à l'échelle de l'ensemble du gouvernement et figure dans le catalogue de la Division de statistique de l'ONU. Pour l'appariement du recensement de 2021, l'ONS a relié le recensement aux données administratives du DWP : 96,7 % des identifiants du recensement (56 673 658 enregistrements) ont été reliés à une clé maîtresse du DWP ou à un numéro d'assurance nationale chiffré, le NINo chiffré faisant aussi le pont vers les données PAYE du HMRC ; précision 99,87 %, rappel 99,86 %. Une nuance, dite clairement : dans cet exercice précis, Splink a été appliqué aux enregistrements non appariés lors de l'analyse des faux négatifs, et non comme moteur principal. L'ONS utilise également Splink pour son Business Index (ex-IDBR) et son Demographic Index.
Source : méthodologie de l'ONS, « 2021 Census linkage to DWP master key and encrypted NINo » (déc. 2024) ; IJPDS 1794.
🇬🇧 Royaume-Uni — NHS England (confiance élevée, mais en cours)
NHS England génère un identifiant au niveau de la personne (Person_ID) via le Master Person Service (la colonne vertébrale opérationnelle en service, qui rapproche les données démographiques du numéro NHS) et « travaille actuellement à la mise en œuvre d'un modèle d'appariement probabiliste utilisant Splink » comme moteur d'un nouveau service d'appariement. Dit honnêtement : le travail sur Splink est en cours, distinct du mécanisme Person_ID/MPS déjà opérationnel.
Source : « Data Linkage Hub » de l'équipe data science de NHS England ; IJPDS 3271 ; manuel MPS de NHS Digital.
🇦🇺 Australie — ABS Person Linkage Spine (confiance élevée)
« Pour la première fois en 2025, le Spine a été construit avec Splink. » Il relie les individus entre trois agences fédérales : Medicare (Services Australia), Centrelink/DOMINO (ministère des Services sociaux) et l'impôt sur le revenu des personnes physiques (ATO) — santé, protection sociale et fiscalité — pour la population ayant résidé à un moment quelconque entre janvier 2006 et juin 2025. (Élevée.) Réserve : « ever-resident » est un peu plus large que « citoyens ».
Source : ABS, « Person Linkage Spine ».
🇦🇺 Australie — National Linkage Spine / National Disability Data Asset (confiance élevée)
Construit conjointement par l'ABS et l'AIHW (co-responsables techniques) pour le NDDA, il réalise un appariement interjuridictionnel afin d'assembler des profils au niveau de la personne (désidentifiés) de personnes en situation de handicap, à l'aide de méthodes déterministes, probabilistes et de machine learning, « destinés à être partagés au titre d'une nouvelle législation » autorisant le partage entre juridictions.
Source : IJPDS 2818 (rédigé par l'ABS/AIHW) ; pages NDDA de l'ABS/AIHW ; registre de partage de données de l'ONDC DSR-03110.
Dans chacun des déploiements examinés, les documents publics citent des dispositifs de gouvernance — DPIA / présélections de DPIA (MoJ), traitement au titre d'une « mission d'intérêt public » prévue par la loi, nouvelle législation sur le partage de données (Australie) — mais ne contiennent aucune mention du consentement individuel des citoyens, d'une information individuelle ou d'une possibilité de refus. La seule phrase du dossier du MoJ qui s'adresse à l'individu est que les données sont « collectées de manière courante… aux fins de la gestion des affaires judiciaires et des délinquants ». La page de l'ABS consacrée au spine ne propose qu'un geste générique « Five Safes / vie privée et confidentialité ».
C'est là le nœud — et il faut l'énoncer honnêtement. Cette absence est en partie voulue : le traitement des données administratives et des statistiques nationales repose légitimement sur une base juridique statutaire, de « mission d'intérêt public » (par exemple le Digital Economy Act 2017 britannique ; le Census and Statistics Act / ABS Act australien), qui n'exige pas de consentement. Le constat n'est donc pas « c'est illégal » ni « il n'y a pas de base légale ». Le constat est le véritable point d'intérêt public : la base légale est une base dont la plupart des citoyens n'ont jamais entendu parler, l'appariement est invisible pour l'individu, et il n'existe aucun droit personnel d'opposition — alors même que la même machinerie glisse vers un usage opérationnel en temps réel.
Repère d'honnêteté : il s'agit de constats d'absence de contenu, au périmètre délimité, portant sur les documents précis examinés, non d'une preuve qu'aucune information n'existe nulle part. L'ABS comme le MoJ disposent d'une autorité légale documentée sur d'autres pages.
• Un bénéfice public réel : des recensements exacts, la recherche en santé, la réduction des doublons dans les dossiers hospitaliers, la compréhension de la récidive, la constitution d'une base de preuves pour les politiques du handicap. Ce ne sont pas des prétextes.
• Le cadre Five Safes (personnes/projets/environnements/données/résultats sûrs) régit l'accès. (Éthique des données de GOV.UK.)
• Les dispositifs Accredited/Approved Researcher et le Secure Research Service de l'ONS font que les micro-données appariées sont consultées dans des environnements contrôlés par des chercheurs habilités, avec désidentification/pseudonymisation — les chercheurs voient en général les enregistrements appariés sans identifiants directs. (ONS ; UK Statistics Authority ; éthique d'ADR UK.)
• Des organes de contrôle existent : l'Office for Statistics Regulation, le Research Accreditation Panel, l'ICO et (en Australie) l'OAIC / le National Data Commissioner.
Le cadrage équitable : les garde-fous sont réels mais en grande partie internes et tournés vers les chercheurs ; ils protègent contre un mésusage de l'accès, non contre la question préalable de savoir si un appariement à l'échelle de la population devrait avoir lieu à l'insu de l'individu — et ils ont été conçus pour l'usage statistique, pas pour l'usage opérationnel qui émerge.
• Scoring de crédit / bureaux de crédit : NON ÉTAYÉ. Aucune source primaire ou secondaire trouvée. Écarté. (Si quelqu'un répète cela, c'est la phrase qui discrédite tout le reste.)
• Affirmé mais non corroboré dans cette passe (à creuser, pas encore citable ici) : appariement des dépistages du VIH par la UK Health Security Agency ; MoD Veterans Card / anciens militaires ↔ recensement ; US Defense Health Agency (plus de 200 M d'enregistrements) ; appariement des vaccinations de migrants au Chili ; adoption par Statistics Canada / Stats NZ / Eurostat. La formule des développeurs, « l'ONS et d'autres collaborateurs », laisse entendre qu'il y a d'autres utilisateurs — mais « laisse entendre » n'est pas « confirmé ».
1. Quelle est la liste complète, interministérielle et internationale, des agences qui font tourner Splink sur des données de citoyens ?
2. Pour les systèmes pilotes/opérationnels (Core Person Record du MoJ ; le modèle Splink de NHS England ; le NLS de l'ABS au titre d'une « nouvelle législation »), quel est le calendrier, et l'usage opérationnel déclenche-t-il de nouvelles obligations d'information ou de transparence ?
3. Un individu est-il jamais informé que ses enregistrements ont été appariés de façon probabiliste entre santé, justice, fisc et prestations sociales — et existe-t-il la moindre possibilité de refus, ou s'agit-il uniquement d'une mission d'intérêt public sans droit d'opposition ?
4. Quel organisme indépendant (ICO, OSR, OAIC, National Data Commissioner) a réellement audité ces déploiements précis et leur risque de réidentification — par opposition aux DPIA menées par les agences elles-mêmes ?
• GOV.UK — Splink: MoJ's open-source library for probabilistic record linkage at scale
• GOV.UK Algorithmic Transparency Records — moj-data-first-splink ; moj-splink-master-record
• ADR UK — Data First (Cross Justice System, Angleterre et pays de Galles) ; ADR UK ethics & responsibility
• IJPDS art. 1794 (Splink, rédigé par les développeurs, évalué par les pairs) ; art. 2818 (NLS/NDDA de l'ABS/AIHW) ; art. 3271 (appariement probabiliste du NHS)
• ONS — 2021 Census linkage to DWP master key and encrypted NINo (déc. 2024) ; Secure Research Service ; Approved Researcher Scheme ; attitudes du public à l'égard des données (juin 2023)
• NHS England — « Data Linkage Hub » de l'équipe Data Science ; Master Person Service de NHS Digital
• ABS — Person Linkage Spine ; National Disability Data Asset
• Documentation officielle de Splink (Fellegi-Sunter) et GitHub (moj-analytical-services/splink)
• Office for Statistics Regulation — « Data sharing and linkage for the public good »
• GOV.UK — Le cadre Five Safes
• Georgina Sturge, « The silent creep of data linkage » (commentaire/blog — référence de cadrage, signalée comme non primaire)
Vérification : 6 angles de recherche → 22 sources récupérées → 102 affirmations candidates → 25 vérifiées de façon contradictoire (un vote de réfutation de 2 sur 3 était requis pour écarter une affirmation) → 25 confirmées, 0 écartée → synthèse en 9 constats.
Coffre à preuves — leurs propres mots, archivés
Chaque affirmation de ce rapport s'appuie sur des documents que les gouvernements ont publiés eux-mêmes. Vous trouverez ci-dessous chaque source primaire, capturée le 2 juin 2026 — la phrase accablante surlignée dans leurs propres mots, chaque page en capture d'écran, plus une copie complète enregistrée (HTML + PDF) au cas où la page en ligne changerait. La plupart de ces pages ne sont pas dans l'Internet Archive ; ces captures sont donc peut-être la seule copie conservée.
