Britský regulační orgán pro ochranu údajů vydal Metropolitní policejní službě reprimandu a oznamovací příkaz. Reprimanda ICO pro Met Police kvůli Auroru následuje po selháních v oblasti soukromí spojených s Aurorem, platformou používanou při nahlašování maloobchodní kriminality. Jde o formální pokárání největšího policejního sboru v zemi a vyvolává otázku, která se zdaleka netýká jen Londýna: co se stane s osobními údaji poté, co opustí policejní systém a projdou nástrojem třetí strany?

Tento příspěvek shrnuje, co bylo oznámeno, proč jsou platformy třetích stran opakujícím se slabým místem a jak můžete zjistit, jaké údaje o vás veřejné instituce uchovávají.

Co ICO v případu Met a Auror zjistil

Podle Infosecurity Magazine udělil Úřad komisaře pro informace (ICO) Metu jak reprimandu, tak oznamovací příkaz kvůli selháním v oblasti soukromí spojeným s platformou Auror. Vlastní oznámení ICO popisuje toto opatření jako související s nedostatky v řízení informací u sboru.

Obě opatření se liší. Reprimanda je formálním pokáráním, které zaznamenává zjištění regulátora. Oznamovací příkaz jde dál: je právně závazným pokynem vyžadujícím, aby organizace podnikla stanovené kroky k nápravě problémů. Nedodržení tohoto příkazu může vést k dalším regulačním opatřením.

Dosud dostupné krátké shrnutí neuvádí všechny podrobnosti selhání a my jsme se vyhnuli spekulacím o nich. Čtenáři, kteří chtějí úplná zjištění, by měli nahlédnout do zveřejněné reprimandy a oznamovacího příkazu ICO, kde najdou přesná porušení, citovaná právní ustanovení a nápravné kroky, které musí Met přijmout.

Jak platformy třetích stran ohrožují data v držení policie

Vlastní propagace Auroru uvádí, že platforma byla zavedena po celém Londýně, aby pomohla řešit recidivisty a organizovanou maloobchodní kriminalitu. Nástroje jako tento stojí mezi soukromými organizacemi, jako jsou maloobchodníci, a policií. To je užitečné pro propojování oznámení, ale také to vytváří řetězec správy, který je obtížnější kontrolovat.

Když osobní údaje procházejí systémem třetí strany, může se pokazit několik věcí:

  • Nejasná odpovědnost. Pokud se maloobchodník, dodavatel a policejní sbor dotýkají stejného záznamu, může být obtížné říci, kdo rozhoduje o tom, jak se používá, sdílí nebo maže.
  • Širší přístup, než bylo zamýšleno. Zaměstnanci nebo uživatelé, kteří by určité informace neměli vidět, k nim mohou mít přístup, pokud jsou oprávnění nastavena volně.
  • Slabý dohled nad dodavateli. Organizace zůstává odpovědná za osobní údaje, i když je zpracovává dodavatel.

To není jedinečné pro policejní práci. Stejný vzorec koncentrovaných dat a širokého vystavení je viditelný v případě hacknutí UK Biobank, kde byla data o 500 000 dobrovolnících nabídnuta k prodeji. Společným rysem je, že centralizovaná data jsou jen tak bezpečná, jak silné je nejslabší připojení k nim.

Co oznamovací příkaz znamená pro vaše práva na data

Policejní sbory zpracovávají osobní údaje podle specifické části zákona o ochraně údajů z roku 2018 (Data Protection Act 2018), která se týká zpracování pro účely vymáhání práva. Ta s sebou nese povinnosti týkající se bezpečnosti, přesnosti a omezení toho, kdo může data vidět. Oznamovací příkaz signalizuje, že regulátor se domnívá, že tyto povinnosti nebyly splněny, a požaduje ověřené změny, ne jen omluvu.

Pro jednotlivce je praktický význam dvojí. Zaprvé, regulátoři skutečně volají veřejné instituce k odpovědnosti, i když je zde výsledkem reprimanda a příkaz, nikoli pokuta. Zadruhé, nemusíte čekat, až regulátor zasáhne. Máte právo se zeptat, jaké údaje o vás organizace uchovává.

ICO zkoumal nakládání s policejními daty z několika stran. Naše pokrytí auditů ICO týkajících se policejního rozpoznávání obličejů ukazuje stejné téma: výkonné nástroje jsou rychle zaváděny a dohled je dohání. Podívejte se na náš report o pilotním projektu rozpoznávání obličejů British Transport Police, který ukazuje, jak nákladné a nejisté mohou tyto nástroje být v praxi.

Jak podat žádost o přístup k údajům u veřejné instituce

Žádost o přístup k údajům (SAR) je žádost o nahlédnutí do osobních údajů, které o vás organizace uchovává. Podání je ve většině případů zdarma a nevyžaduje právníka.

  1. Najděte správný kontakt. Většina policejních sborů a veřejných institucí má tým pro ochranu údajů nebo informační práva. Na jejich webových stránkách je obvykle uveden formulář SAR nebo e-mailová adresa.
  2. Buďte konkrétní. Uveďte, kdo jste, přiložte doklad totožnosti a popište záznamy, které chcete, například zprávy, záznamy o incidentech nebo korespondenci, s přibližnými daty.
  3. Zeptejte se na sdílení. Můžete se také zeptat, komu byly vaše údaje sdíleny, což může odhalit zapojené platformy třetích stran.
  4. Veďte záznam. Poznamenejte si datum odeslání žádosti. Organizace mají obecně jeden měsíc na odpověď, i když u složitých žádostí může být tato lhůta prodloužena.
  5. Očekávejte určitá omezení. Policie může informace zadržet, pokud by jejich zveřejnění mohlo poškodit vyšetřování nebo jiné policejní účely. Stále by vám však měla sdělit, zda data uchovává, pokud je to možné.
  6. V případě potřeby se odvolejte. Pokud nedostanete žádnou odpověď nebo odpověď neuspokojivou, můžete si stěžovat u ICO.

Co to znamená pro vás

Reprimanda ICO pro Met Police kvůli Auroru je připomínkou, že data předaná policii nezůstávají na jednom místě. Pokud jste nahlásili trestný čin, byli svědkem nebo byli uvedeni ve zprávě, vaše údaje mohou procházet systémy provozovanými externími dodavateli. Opatření regulátora naznačuje, že zárukám kolem těchto systémů je třeba věnovat větší pozornost.

Nemůžete ovlivnit, jak sbor konfiguruje své nástroje, ale můžete klást otázky a uplatňovat svá práva.

Hlavní body

  • Přečtěte si zveřejněnou reprimandu a oznamovací příkaz ICO, kde najdete úplné podrobnosti o selháních Metu.
  • Pamatujte, že reprimanda zaznamenává zjištění, zatímco oznamovací příkaz je právně závazný.
  • Podávejte žádost o přístup k údajům u svého místního policejního sboru nebo jakékoli veřejné instituce, o níž se domníváte, že o vás uchovává data, a zeptejte se, komu byla sdílena.
  • Uchovávejte kopie své žádosti a jakékoli odpovědi a stěžujte si u ICO, pokud nejste spokojeni.
  • Pro širší kontext o tom, jak regulátoři zkoumají nakládání s policejními daty, si přečtěte náš článek o auditech ICO týkajících se policejního rozpoznávání obličejů.

Reprimanda ICO pro Met Police kvůli Auroru je jedním případem, ale právo, na které poukazuje, je dostupné všem. Jediná žádost o přístup k údajům je nejjednodušší způsob, jak zjistit, co o vás uchovávají.