Vol d'ordinateurs portables du Bureau d'inscription et électoral de Hong Kong

Le 27 mars 2017, un seul jour après l'élection du chef de l'exécutif de Hong Kong, le Bureau d'inscription et électoral (REO) a découvert que deux ordinateurs portables avaient disparu d'une réserve verrouillée — et avec eux, les données personnelles des 3,7 millions d'électeurs inscrits du territoire.

Ce qui s'est passé

Les deux ordinateurs portables avaient été placés le 22 mars dans une salle verrouillée de l'AsiaWorld-Expo, le vaste centre de conférences proche de l'aéroport international de Hong Kong qui servait de site de repli pour l'élection du 26 mars. L'élection elle-même s'est déroulée sur le site principal, où le comité électoral de 1 194 membres a désigné Carrie Lam comme cheffe de l'exécutif.

Lorsque le personnel a vérifié la réserve le 27 mars, les ordinateurs portables avaient disparu. Le REO a signalé un vol présumé à la police et a informé le Bureau du commissaire à la protection des données personnelles.

Ce qui a été exposé

• Un ordinateur portable contenait les données d'inscription des 3,7 millions d'électeurs des circonscriptions géographiques, dont les noms, numéros de carte d'identité de Hong Kong, adresses physiques et numéros de téléphone portable.
• L'autre ordinateur portable contenait les noms des 1 194 membres du comité électoral.

Le REO a souligné que les données étaient chiffrées et a déclaré qu'« aucune information ne montre à ce jour de fuite des informations concernées ». Les critiques ont cependant demandé pourquoi une copie complète de l'ensemble de la liste électorale devait être stockée sur des ordinateurs portables, sur un site de secours, et ont réclamé des précisions sur la robustesse du chiffrement et la gestion des clés.

Impact et réponse

Il s'agissait, à l'époque, de la plus grande perte de données personnelles de l'histoire de Hong Kong. Bien qu'aucun usage abusif ultérieur n'ait jamais été confirmé, la violation a gravement entamé la confiance du public dans la gestion des données civiques sensibles par le gouvernement. L'épisode a déclenché une revue de sécurité des pratiques de traitement des données du REO, et le gouvernement a ensuite rendu compte au Conseil législatif de mesures correctives, dont un contrôle plus strict des conditions de copie et de stockage des données électorales en masse.

Pourquoi c'est important

Le vol au REO est un cas emblématique de défaillance en matière de sécurité physique et de minimisation des données. Aucun piratage sophistiqué n'était en cause — les dossiers de l'ensemble de l'électorat sont sortis d'une salle verrouillée sur deux ordinateurs portables. Il a mis en évidence des principes qui ancrent désormais la gouvernance des données publiques : ne pas répliquer des bases de données de population entières sur des appareils portables, imposer un chiffrement robuste et auditable lorsque des données personnelles en masse doivent circuler, et traiter la garde physique des appareils comme un contrôle de sécurité de premier ordre. Pour Hong Kong, c'est devenu l'incident de référence qui a impulsé la réforme du stockage et du transport des données électorales et citoyennes.