Crime Stoppers-brud: Canadas datatilsynsmyndigheder siger, at deres hænder er bundet

En CBC-undersøgelse har afsløret en massiv lækage af Crime Stoppers-tips, og efterspillet rejser et ubehageligt spørgsmål. Når en organisation lover anonymitet og derefter svigter med at beskytte den, hvem står så til ansvar for den svigt? Historien om databruddet hos Crime Stoppers tog en bekymrende drejning, efter at både de føderale og provinsielle datatilsynsmyndigheder antydede, at deres hænder er bundet.

Hvad Crime Stoppers-lækagen afslørede

CBC's undersøgelse fandt en lækage i stor skala af tips indsendt til Crime Stoppers. En juridisks ekspert citeret i reportagen sagde, at det kunne være "et af de værste brud i canadisk historie." Det er en stærk udtalelse, og den afspejler arten af de data, der er involveret: tips fra personer, som fik at vide, at de kunne sige noget uden at blive identificeret.

Anden dækning af historien har citeret tal som mere end 1,5 millioner tips indsendt over de sidste 25 år, og nogle rapporter nævner, at Toronto Crime Stoppers satte deres tip-linje på pause. Tallene varierer mellem medier, så vi behandler ikke noget enkelt tal som fastslået her. CBC's rapport er det bedste sted at tjekke detaljerne, efterhånden som de udvikler sig.

Det, der betyder noget for læserne, er typen af information, der er på spil. Tip-linjer kan indeholde detaljer om naboer, pårørende, arbejdspladser og nogle gange tipgiverens egne omstændigheder. Selv når en indsendelse ikke indeholder et navn, kan indholdet pege på, hvem der skrev den.

Hvorfor Canadas datatilsynsmyndigheder siger, at deres hænder er bundet

Ifølge CBC's opsummering af deres reportage har både de føderale og provinsielle datatilsynsmyndigheder antydet, at de har begrænset mulighed for at handle. I klare vendinger: de kontorer, som canadiere normalt forventer undersøger og reagerer på større databrud, signalerer, at de muligvis ikke kan holde Crime Stoppers ansvarlig.

Vi vil ikke spekulere i den præcise juridiske begrundelse, da detaljerne tilhører CBC's fulde reportage. Den bredere pointe er dog let at forstå. Datatilsyn kan kun handle inden for de beføjelser, deres love giver dem. Når en organisation falder ned i et hul i disse love, kan et alvorligt brud ske uden en klar vej til håndhævelse.

Det hul er ikke unikt for denne sag. Vi har dækket lignende bekymringer i Alberta-vælgerdatabruddet, hvor eksponeringen af omkring tre millioner vælgeres personlige oplysninger fremhævede, hvordan politiske partier befinder sig i et uklart hjørne af databeskyttelsen. Forskellige organisationer, samme mønster: følsomme data holdt af grupper, hvis ansvarlighed er uklar.

Hvad dette betyder for anonyme tipgivere

For alle, der har brugt en tip-linje, eller måske vil gøre det i fremtiden, er de praktiske konklusioner nøgterne men håndterbare.

Anonymitet er et løfte, ikke en garanti. En tip-linje kan ærligt have til hensigt at beskytte din identitet og stadig opbevare dine oplysninger i et system, der bliver kompromitteret. Løftet er kun så stærkt som sikkerheden bag det og de juridiske konsekvenser ved ikke at overholde det.

Mulighederne for at søge erstatning kan være begrænsede. Hvis tilsynsmyndighederne siger, at de ikke kan handle, har personer berørt af et brud færre oplagte steder at henvende sig. Det reducerer presset på organisationer for at investere i sikkerhed, og det efterlader enkeltpersoner med risikoen.

Detaljer kan identificere dig, selv uden et navn. Skrivestil, timing, specifikke begivenheder og personlige referencer kan alle indsnævre, hvem der indsendte et tip. Hvis en database eksponeres, bliver disse detaljer det svage punkt.

Intet af dette betyder, at tip-linjer er ubrugelige, eller at folk bør stoppe med at anmelde alvorlige forbrydelser. Det betyder, at du bør gå ind i det med et realistisk syn på, hvor meget beskyttelse du faktisk har, og overveje, hvad du inkluderer i en indsendelse.

Hvad dette betyder for dig

De fleste læsere vil aldrig indsende et Crime Stoppers-tip, men den underliggende lektie gælder bredt. Organisationer, der lover anonymitet eller fortrolighed, fra tip-linjer til undersøgelsesplatforme til interesseorganisationer, opbevarer data, der kan kompromitteres som alle andre. Hvorvidt en tilsynsmyndighed kan gribe ind bagefter, afhænger af love, du sandsynligvis ikke har læst.

Den samme bekymring dukker op i politiske debatter andre steder. Vores dækning af Ottawas onlinesikkerhedslov og dens alderskontrol afspejler en lignende spænding: systemer, der indsamler mere personlig information, skaber mere at beskytte, og kritikere stiller spørgsmålstegn ved, om sikkerhedsforanstaltningerne er stærke nok.

Sådan begrænser du din egen dataeksponering

Du kan ikke kontrollere, hvordan en organisation sikrer sine servere, men du kan kontrollere, hvad du afgiver.

• Del det minimale. Før du indsender nogen rapport, formular eller tip, spørg om hver detalje er nødvendig. Udelad oplysninger, der kan pege tilbage på dig, hvis de ikke er essentielle.
• Adskil din identitet fra indsendelsen. Undgå at bruge personlige e-mailkonti, arbejdsenheder eller arbejdsnetværk til følsomme rapporter. En VPN kan skjule din IP-adresse for modtagertjenesten, men den beskytter ikke det indhold, du indsender, når det først er gemt.
• Læs privatlivsvilkårene. Se efter, hvor længe data opbevares, hvem der kan få adgang til dem, og om organisationen siger, at den er omfattet af databeskyttelsesloven. Vage svar er et signal om at være mere forsigtig.
• Overvej alternative kanaler. For alvorlige sager bør du overveje, om en advokat, en betroet professionel eller en direkte anmeldelse til den relevante myndighed passer bedre til din situation end en anonym webformular.
• Hold øje med officielle meddelelser. Hvis du har brugt en tjeneste, der er nævnt i et brud, følg opdateringer fra organisationen og fra medier som CBC om, hvad der blev eksponeret.

Konklusionen

Debatten om databruddet hos Crime Stoppers er en påmindelse om, at et løfte om anonymitet kun er så stærkt som sikkerhedsforanstaltningerne og lovene bag det. Med canadiske tilsynsmyndigheder, der antyder, at deres hænder er bundet, flyttes byrden over mod enkeltpersoner om at tænke grundigt over, hvad de deler. Brug et par minutter i denne uge på at gennemgå, hvilke organisationer der har følsomme oplysninger om dig, og hvad de har lovet til gengæld. For et andet eksempel på huller i canadisk databeskyttelse, læs vores rapport om Alberta-vælgerdatabruddet.