Регулаторът за защита на данните във Великобритания издаде порицание и заповед за принудително изпълнение на Службата на столичната полиция. Нареждането на ICO към столичната полиция във връзка с Auror следва нарушения на неприкосновеността на личния живот, свързани с Auror, платформа, използвана при докладване на престъпления в търговията на дребно. Това е официално порицание към най-голямата полицейска сила в страната и повдига въпрос, който важи далеч отвъд Лондон: какво се случва с личните данни, след като напуснат полицейска система и преминат през инструмент на трета страна?

Тази публикация обхваща какво е било докладвано, защо платформите на трети страни са повтаряща се слаба точка и как можете да разберете какви данни за вас държат публичните органи.

Какво установи ICO в случая с Метрополитен и Auror

Според Infosecurity Magazine Службата на комисаря по информацията (ICO) е връчила на Метрополитен както порицание, така и заповед за принудително изпълнение заради нарушения на неприкосновеността на личния живот, свързани с платформата Auror. Самото съобщение на ICO описва действието като свързано с неуспехи в управлението на информацията в полицейската сила.

Двете мерки са различни. Порицанието е официално порицание, което документира констатациите на регулатора. Заповедта за принудително изпълнение отива по-далеч: тя е юридически обвързващо указание, изискващо организацията да предприеме определени стъпки за отстраняване на проблемите. Неспазването ѝ може да доведе до допълнителни регулаторни действия.

Краткото резюме, налично досега, не излага всеки детайл от нарушенията и ние се въздържахме от предположения за тях. Читателите, които искат пълните констатации, следва да се обърнат към публикуваните от ICO порицание и заповед за принудително изпълнение за точните нарушения, цитираните правни разпоредби и коригиращите стъпки, които Метрополитен трябва да предприеме.

Как платформите на трети страни излагат на риск данни, държани от полицията

В собствените си рекламни материали Auror твърди, че платформата е разгърната в целия Лондон, за да помогне за справяне с повторните нарушители и организираната престъпност в търговията на дребно. Инструменти като този стоят между частни организации, като търговци на дребно, и полицията. Това е полезно за обединяване на доклади, но също така създава верига на съхранение, която е по-трудна за контролиране.

Когато личните данни преминават през система на трета страна, няколко неща могат да се объркат:

  • Неясна отговорност. Ако търговец на дребно, доставчик и полицейска сила всички имат достъп до един и същ запис, може да е трудно да се каже кой решава как се използва, споделя или изтрива.
  • По-широк достъп от предвидения. Служители или потребители, които не трябва да виждат определена информация, може да имат достъп до нея, ако разрешенията са зададени небрежно.
  • Слаб надзор върху доставчиците. Една организация остава отговорна за личните данни, дори когато доставчик ги обработва.

Това не е уникално за полицията. Същият модел на концентрирани данни и широко излагане е видим при хакерската атака срещу UK Biobank, при която данни за 500 000 доброволци бяха предложени за продажба. Общата нишка е, че централизираните данни са толкова сигурни, колкото е най-слабата връзка към тях.

Какво означава заповедта за принудително изпълнение за правата ви върху данните

Полицейските сили обработват лични данни съгласно специфична част от Закона за защита на данните от 2018 г., която обхваща обработването за целите на правоприлагането. Тя носи задължения относно сигурността, точността и ограничаването на това кой може да вижда данните. Заповедта за принудително изпълнение сигнализира, че регулаторът смята, че тези задължения не са били спазени и иска потвърдени промени, а не просто извинение.

За отделните лица практическото значение е двойно. Първо, регулаторите наистина търсят отговорност от публичните органи, дори когато резултатът тук е порицание и заповед, а не глоба. Второ, не е нужно да чакате регулаторът да действа. Имате право да попитате какви данни за вас държи дадена организация.

ICO scrutinзира обработването на полицейски данни по няколко фронта. Нашето отразяване на одитите на ICO на полицейско разпознаване на лица показва същата тема: мощни инструменти се приемат бързо и надзорът наваксва. За поглед върху това колко скъпи и несигурни могат да бъдат тези инструменти на практика, вижте нашия доклад за пилотния проект за разпознаване на лица на Британската транспортна полиция.

Как да подадете заявление за достъп до лични данни до публичен орган

Заявлението за достъп до лични данни (SAR) е искане да видите личните данни, които дадена организация държи за вас. Подаването му е безплатно в повечето случаи и не изисква адвокат.

  1. Намерете правилния контакт. Повечето полицейски сили и публични органи имат екип за защита на данните или информационни права. Уебсайтът им обикновено посочва формуляр за SAR или имейл адрес.
  2. Бъдете конкретни. Кажете кой сте, включете доказателство за самоличност и опишете записите, които искате, като доклади, регистри на инциденти или кореспонденция, с приблизителни дати.
  3. Попитайте за споделянето. Можете също да попитате с кого са били споделени вашите данни, което може да разкрие участващи платформи на трети страни.
  4. Водете си запис. Отбележете датата, на която сте изпратили заявлението. Организациите обикновено имат един месец да отговорят, въпреки че този срок може да бъде удължен за сложни заявления.
  5. Очаквайте някои ограничения. Полицията може да задържи информация, ако разкриването ѝ би навредило на разследване или други полицейски цели. Те все пак трябва да ви кажат дали държат данни, когато могат.
  6. Ескалирайте, ако е необходимо. Ако не получите отговор или получите незадоволителен такъв, можете да се оплачете на ICO.

Какво означава това за вас

Нареждането на ICO към столичната полиция във връзка с Auror е напомняне, че данните, предадени на полицията, не остават на едно място. Ако сте докладвали престъпление, били сте свидетел или сте били посочени в доклад, вашите данни може да преминат през системи, управлявани от външни доставчици. Действието на регулатора подсказва, че защитните мерки около тези системи заслужават по-голямо внимание.

Не можете да контролирате как дадена полицейска сила конфигурира своите инструменти, но можете да задавате въпроси и да упражнявате правата си.

Основни изводи

  • Прочетете публикуваните от ICO порицание и заповед за принудително изпълнение за пълните подробности за нарушенията на Метрополитен.
  • Помнете, че порицанието документира констатации, докато заповедта за принудително изпълнение е юридически обвързваща.
  • Подайте заявление за достъп до лични данни до местната си полицейска сила или до всеки публичен орган, за който подозирате, че държи данни за вас, и попитайте с кого са били споделени.
  • Пазете копия от заявлението си и всеки отговор и се оплачете на ICO, ако не сте удовлетворени.
  • За по-широк контекст относно това как регулаторите scrutinзират обработването на полицейски данни, прочетете нашата статия за одитите на ICO на полицейско разпознаване на лица.

Нареждането на ICO към столичната полиция във връзка с Auror е един случай, но правото, към което то сочи, е достъпно за всички. Едно единствено заявление за достъп до лични данни е най-простият начин да разберете какво се държи за вас.