أصدرت الجهة التنظيمية لحماية البيانات في المملكة المتحدة توبيخاً وإشعار إنفاذ إلى خدمة شرطة العاصمة. يأتي توبيخ آي سي أو لشرطة العاصمة بشأن أورور في أعقاب إخفاقات الخصوصية المرتبطة بأورور، وهي منصة تُستخدم في الإبلاغ عن جرائم التجزئة. إنه توبيخ رسمي لأكبر قوة شرطة في البلاد، ويثير سؤالاً ينطبق خارج لندن بكثير: ما الذي يحدث للبيانات الشخصية بمجرد أن تغادر نظام شرطة وتمر عبر أداة تابعة لطرف ثالث؟
يتناول هذا المقال ما تم الإبلاغ عنه، ولماذا تُعد المنصات التابعة لأطراف ثالثة نقطة ضعف متكررة، وكيف يمكنك معرفة ما تحتفظ به الجهات العامة عنك.
ما وجدته آي سي أو في قضية شرطة العاصمة وأورور
وفقاً لمجلة إنفوسيكيوريتي، سلّمت مكتب المفوض المعلوماتي (آي سي أو) إلى شرطة العاصمة كلاً من توبيخ وإشعار إنفاذ بشأن إخفاقات الخصوصية المرتبطة بمنصة أورور. ويصف إعلان آي سي أو نفسه الإجراء بأنه يتعلق بإخفاقات حوكمة المعلومات في القوة.
الإجراءان مختلفان. التوبيخ هو لوم رسمي يسجّل نتائج الجهة التنظيمية. أما إشعار الإنفاذ فيذهب أبعد من ذلك: فهو تعليم ملزم قانوناً يطالب المنظمة باتخاذ خطوات محددة لمعالجة المشكلات. وقد يؤدي عدم الامتثال له إلى مزيد من الإجراءات التنظيمية.
لا يحدد الملخص القصير المتاح حتى الآن كل تفاصيل الإخفاقات، وقد تجنبنا التخمين بشأنها. وعلى القراء الذين يريدون النتائج الكاملة الرجوع إلى التوبيخ وإشعار الإنفاذ المنشورين من آي سي أو للاطلاع على الانتهاكات الدقيقة والأحكام القانونية المستشهد بها والخطوات التصحيحية التي يجب على شرطة العاصمة اتخاذها.
كيف تعرّض المنصات التابعة لأطراف ثالثة البيانات التي تحتفظ بها الشرطة للخطر
تقول الدعاية الخاصة بأورور إن المنصة تم نشرها في جميع أنحاء لندن للمساعدة في التصدي للجناة المتكررين وجرائم التجزئة المنظمة. أدوات كهذه تقع بين المنظمات الخاصة، مثل تجار التجزئة، والشرطة. وهذا مفيد لتوحيد التقارير، لكنه أيضاً ينشئ سلسلة حيازة يصعب التحكم فيها.
عندما تنتقل البيانات الشخصية عبر نظام تابع لطرف ثالث، يمكن أن تحدث عدة أمور خاطئة:
- مسؤولية غير واضحة. إذا لامس تاجر تجزئة ومورّد وقوة شرطة السجل نفسه، فقد يصعب تحديد من يقرر كيفية استخدامه أو مشاركته أو حذفه.
- وصول أوسع من المقصود. قد يتمكن الموظفون أو المستخدمون الذين لا ينبغي لهم رؤية معلومات معينة من الوصول إليها إذا كانت الأذونات مضبوطة بشكل متراخٍ.
- رقابة ضعيفة على الموردين. تظل المنظمة مسؤولة عن البيانات الشخصية حتى عندما يتولى مورّد معالجتها.
هذا ليس حصراً على policing. النمط نفسه من تركيز البيانات والتعرض الواسع ظاهر في اختراق يو كي بايوبانك، حيث عُرضت بيانات 500,000 متطوع للبيع. الخيط المشترك هو أن البيانات المركزية لا تكون أكثر أماناً من أضعف نقطة اتصال بها.
ماذا يعني إشعار الإنفاذ لحقوقك في البيانات
تعالج قوات الشرطة البيانات الشخصية بموجب جزء محدد من قانون حماية البيانات لعام 2018، الذي يغطي المعالجة لأغراض إنفاذ القانون. وهو يحمل التزامات تتعلق بالأمن والدقة وتقييد من يمكنه رؤية البيانات. ويشير إشعار الإنفاذ إلى أن الجهة التنظيمية تعتقد أن تلك الالتزامات لم تُستوفَ وتريد تغييرات موثقة، وليس مجرد اعتذار.
بالنسبة للأفراد، المعنى العملي مزدوج. أولاً، الجهات التنظيمية تحاسب الجهات العامة فعلاً، حتى لو كانت النتيجة هنا توبيخاً وإشعاراً بدلاً من غرامة. ثانياً، لا يتعين عليك انتظار جهة تنظيمية لتتحرك. لديك حق في السؤال عما تحتفظ به منظمة عنك.
دققت آي سي أو في تعامل الشرطة مع البيانات على عدة جبهات. تغطيتنا لـتدقيقات آي سي أو للتعرف على الوجوه في الشرطة تُظهر الموضوع نفسه: أدوات قوية يتم تبنيها بسرعة، والرقابة تلحق بها. ولنظرة على مدى تكلفة وتقلب تلك الأدوات عملياً، راجع تقريرنا عن تجربة التعرف على الوجوه في شرطة النقل البريطانية.
كيف تقدم طلب وصول شخصي إلى جهة عامة
طلب الوصول الشخصي (SAR) هو طلب لرؤية البيانات الشخصية التي تحتفظ بها منظمة عنك. تقديمه مجاني في معظم الحالات ولا يتطلب محامياً.
- اعثر على جهة الاتصال الصحيحة. لدى معظم قوات الشرطة والجهات العامة فريق لحماية البيانات أو حقوق المعلومات. عادةً ما يدرج موقعهم الإلكتروني نموذج SAR أو عنوان بريد إلكتروني.
- كن محدداً. اذكر من أنت، وأرفق إثبات الهوية، وصف السجلات التي تريدها، مثل التقارير أو سجلات الحوادث أو المراسلات، مع تواريخ تقريبية.
- اسأل عن المشاركة. يمكنك أيضاً السؤال عمن شاركت بياناتك معه، مما قد يكشف عن منصات تابعة لأطراف ثالثة متورطة.
- احتفظ بسجل. دوّن تاريخ إرسال الطلب. عادةً ما يكون لدى المنظمات شهر واحد للرد، رغم أنه يمكن تمديده للطلبات المعقدة.
- توقع بعض القيود. قد تحجب الشرطة معلومات إذا كان الكشف عنها سيضر بتحقيق أو بأغراض أخرى لإنفاذ القانون. ومع ذلك يجب أن تخبرك ما إذا كانت تحتفظ ببيانات حيثما أمكن.
- صعّد عند الحاجة. إذا لم تحصل على رد أو حصلت على رد غير مُرضٍ، يمكنك تقديم شكوى إلى آي سي أو.
ماذا يعني هذا لك
توبيخ آي سي أو لشرطة العاصمة بشأن أورور تذكير بأن البيانات المسلّمة إلى الشرطة لا تبقى في مكان واحد. إذا أبلغت عن جريمة، أو كنت شاهداً، أو ذُكر اسمك في تقرير، فقد تمر تفاصيلك عبر أنظمة تديرها جهات موردة خارجية. ويشير إجراء الجهة التنظيمية إلى أن الضمانات حول تلك الأنظمة تستحق مزيداً من الاهتمام.
لا يمكنك التحكم في كيفية تهيئة قوة شرطة لأدواتها، لكن يمكنك طرح الأسئلة وممارسة حقوقك.
النقاط الرئيسية
- اقرأ التوبيخ وإشعار الإنفاذ المنشورين من آي سي أو للاطلاع على التفاصيل الكاملة لإخفاقات شرطة العاصمة.
- تذكّر أن التوبيخ يسجّل النتائج، بينما إشعار الإنفاذ ملزم قانوناً.
- قدّم طلب وصول شخصي إلى قوة الشرطة المحلية أو أي جهة عامة تشك في أنها تحتفظ ببيانات عنك، واسأل عمن شاركتها معه.
- احتفظ بنسخ من طلبك وأي رد، وقدّم شكوى إلى آي سي أو إذا لم تكن راضياً.
- لسياق أوسع حول كيفية تدقيق الجهات التنظيمية لتعامل الشرطة مع البيانات، اقرأ مقالنا عن تدقيقات آي سي أو للتعرف على الوجوه في الشرطة.
توبيخ آي سي أو لشرطة العاصمة بشأن أورور هو حالة واحدة، لكن الحق الذي يشير إليه متاح للجميع. طلب وصول شخصي واحد هو أبسط طريقة لمعرفة ما يُحتفظ به عنك.
