Des alliés afghans ayant collaboré avec les forces britanniques ont été injustement refusés pour une relocalisation, les laissant exposés à des années de danger, de retards et d’incertitudes. Une brèche de données au sein du ministère de la Défense (MoD) est décrite par des députés comme une défaillance systémique prévisible, révélant un échec plus large en matière de gouvernance, de responsabilité et de confiance publique.
Ces conclusions figurent dans un rapport majeur du Comité de la Défense de la Chambre des Communes, intitulé « Shifting heaven and earth ? The Afghan data breach and resettlement schemes », publié le 30 juillet, soit cinq ans après la chute de Kaboul et un an après la révélation publique de la fuite de données.
En février 2022, un membre du personnel du MoD a envoyé hors du cadre gouvernemental un fichier tableur, censé contenir des informations sur environ 150 candidats au programme de relocalisation et d’assistance afghane (ARAP). En réalité, ce fichier comprenait des données personnelles détaillées concernant plus de 18 500 dossiers. Cette fuite n’a été découverte qu’en août 2023, lorsque ces données ont été partiellement publiées dans un groupe Facebook. La gestion de cette crise par le gouvernement s’est faite sous le régime d’une super-injonction inédite, empêchant toute information publique tant sur la brèche que sur la réaction gouvernementale pendant près de deux ans.
Le comité est catégorique : cette fuite était évitable. Sa conclusion formelle indique :
« Cette brèche ne résulte pas d’une simple erreur individuelle, mais d’une défaillance systémique prévisible. Elle est due à la combinaison d’outils inadaptés, de procédures opératoires faibles, d’un manque de formation, d’une mauvaise continuité organisationnelle et d’une culture insuffisante de protection des données et de responsabilité. Les pressions liées à la chute de Kaboul en 2021 expliquent comment ces faiblesses sont apparues, mais n’excusent en rien leur prolongement en 2022. Le MoD a géré des dossiers d’immigration très sensibles avec des outils et des contrôles inappropriés pour un jeu de données mettant des vies en danger, quel que soit l’échelle. »
Le rapport retrace également l’origine de la prise en charge de ce programme par le ministère. Sir Ben Wallace, alors secrétaire à la Défense à l’initiative de cette politique, a déclaré au comité qu’il avait volontairement maintenu la gestion des critères d’éligibilité séparée de celle du ministère de l’Intérieur, précisant :
« L’ARAP était destiné à nos personnels qui nous avaient aidés et avaient sauvé des vies… Le ministère de l’Intérieur cherchait toujours à amalgamer les deux, ce que je refusais. » Il a reconnu que cela avait contraint le MoD à « concevoir et développer des bases de données d’immigration de toutes pièces ». David Williams, secrétaire permanent à l’époque, a décrit le système initial comme « essentiellement une combinaison d’utilisation ad hoc de tableurs sur des sites SharePoint ».
Wallace a ajouté que la fuite n’aurait pu se produire que si les procédures n’avaient pas été respectées, affirmant : « quelqu’un n’a clairement pas fait son travail. » En revanche, la réponse écrite du MoD indique que la fuite est survenue « alors que les fonctionnaires suivaient les processus convenus », un contraste que le comité interprète comme la preuve d’un échec culturel persistant.
Responsabilité et secret
Le comité souligne qu’aucun individu n’a semble-t-il été tenu personnellement responsable de cette situation. Il considère ce dossier comme un échec de gouvernance :
« Qualifier cette brèche de défaillance systémique ne signifie pas que la responsabilité n’incombe à personne. La responsabilité institutionnelle exige des lignes claires de gouvernance. Lorsqu’un ministère assume des responsabilités inhabituelles impliquant des données mettant des vies en danger, il est crucial que la haute hiérarchie prenne en charge la gestion des risques, la garantie et la protection des données. Les preuves indiquent que cette prise en charge était insuffisante avant la fuite ; par ailleurs, l’injonction a rendu quasi impossible la reddition de comptes politique pendant près de deux ans. »
Le rapport met aussi en lumière l’usage prolongé de la confidentialité juridique par le gouvernement, qui a empêché tout contrôle public, parlementaire ou de la Cour des Comptes. De ce fait, des décisions majeures impactant des milliers d’Afghans et engendrant d’importantes dépenses publiques ont été prises à l’abri des regards, le gouvernement n’assurant pas une visibilité suffisante des coûts financiers directs liés à la gestion de la fuite.
Le président du comité, Tan Dhesi, a déclaré :
« Cette enquête a débuté avec une fuite de données, mais elle concerne au final les vies réelles affectées par les retards, le secret et des prises de décision défaillantes. Le gouvernement doit désormais expliquer comment il protégera les Afghans éligibles qui ne peuvent pas sécuritairement, légalement ou financièrement se rendre dans un pays tiers pour les contrôles d’entrée au Royaume-Uni. Sinon, la dernière politique de ‘mobilité autonome’ risque d’exclure des personnes que le Royaume-Uni s’est engagé à aider, y compris certains qui auraient dû être accueillis ici il y a des années. »
Il a ajouté :
« Le constat global est profondément inquiétant. Le ministère de la Défense doit se concentrer sur la défense – il n’aurait jamais dû se voir confier la gestion de procédures d’immigration. Le secret a été trop souvent utilisé comme un bouclier contre toute forme de responsabilité dans des domaines éloignés des opérations sensibles. Le gouvernement doit être plus ouvert au contrôle et à la contestation, y compris pour les forces spéciales, et doit rendre des comptes sur des défaillances administratives qui ont affecté des vies, sapé la confiance et coûté cher au contribuable britannique. »
Les attentes du comité
Parmi ses recommandations, le comité demande l’instauration de normes minimales applicables et des clarifications sur la responsabilité des hauts responsables :
« Le gouvernement doit imposer et faire respecter des normes minimales en termes de compétences, procédures, outils, contrôles, garanties indépendantes et tests pour les jeux de données dont la compromission mettrait potentiellement des vies en danger. Le MoD doit également préciser qui assumait la responsabilité officielle en matière de protection des données dans le cadre de l’ARAP avant la fuite de février 2022, si des procédures disciplinaires, d’évaluation ou autres ont été engagées, et comment la responsabilité au plus haut niveau est désormais organisée pour des opérations à haut risque comparables. Le gouvernement doit examiner comment préserver la responsabilité ministérielle lorsque des décisions majeures sont prises sous couvert de secret juridique, empêchant tout contrôle parlementaire ou public jusqu’au départ des ministres concernés. »
Le gouvernement dispose de deux mois pour répondre. Le comité lui a demandé de publier un plan d’action unique intégrant les enseignements tirés de la fuite et de la gestion de la relocalisation, « avec pour chaque action un responsable identifié, un calendrier, un objectif clair et un mode de rapport des progrès », ainsi qu’un suivi bisannuel de l’avancement des mesures.
La conclusion principale du rapport revient sur la dimension humaine du dossier :
« Mais la leçon centrale de cet épisode est qu’une défaillance prévisible du MoD en matière de protection des données est devenue un échec plus large de gouvernance. Une fuite qui aurait dû être évitée a été suivie d’une réponse marquée par un secret prolongé, une faible responsabilité, une mise en œuvre fragmentée et un manque de contestation. Les conséquences ont été opérationnelles, financières et constitutionnelles, mais avant tout humaines. Les opérations à haut risque, secrètes et rapidement déployées nécessitent des systèmes renforcés, une gouvernance plus claire, une contestation externe en amont et une responsabilité ferme dès le début. »
