Storbritanniens databeskyttelsesmyndighed har udstedt en reprimande og et håndhævelsespåbud til Metropolitan Police Service. ICO Met Police Auror-reprimanden følger efter privatlivsfejl knyttet til Auror, en platform, der bruges til anmeldelse af butikskriminalitet. Det er en formel irettesættelse af landets største politistyrke, og den rejser et spørgsmål, der gælder langt ud over London: hvad sker der med personoplysninger, når de forlader et politisystem og passerer gennem et tredjepartsværktøj?

Dette indlæg dækker, hvad der er blevet rapporteret, hvorfor tredjepartsplatforme er et tilbagevendende svagt punkt, og hvordan du kan finde ud af, hvad offentlige instanser har registreret om dig.

Hvad ICO fandt i Met- og Auror-sagen

Ifølge Infosecurity Magazine har Information Commissioner's Office (ICO) givet Met både en reprimande og et håndhævelsespåbud på grund af privatlivsfejl forbundet med Auror-platformen. ICO's egen meddelelse beskriver handlingen som vedrørende fejl i informationsstyringen hos styrken.

De to foranstaltninger er forskellige. En reprimande er en formel irettesættelse, der registrerer tilsynsmyndighedens konklusioner. Et håndhævelsespåbud går videre: det er en juridisk bindende instruktion, der kræver, at organisationen tager bestemte skridt til at løse problemerne. Manglende overholdelse af et påbud kan føre til yderligere regulatoriske skridt.

Det korte resumé, der er tilgængeligt indtil videre, opstiller ikke enhver detalje af fejlene, og vi har undgået at gætte på dem. Læsere, der ønsker de fulde konklusioner, bør se ICO's offentliggjorte reprimande og håndhævelsespåbud for de præcise overtrædelser, de citerede lovbestemmelser og de korrigerende skridt, Met skal tage.

Hvordan tredjepartsplatforme bringer politiets data i fare

Aurors egen markedsføring siger, at platformen er blevet udrullet i hele London for at hjælpe med at håndtere gentagelsesforbrydere og organiseret butikskriminalitet. Værktøjer som dette ligger mellem private organisationer, såsom detailhandlere, og politiet. Det er nyttigt til at samle anmeldelser, men det skaber også en kæde af varetægt, der er sværere at kontrollere.

Når personoplysninger bevæger sig gennem et tredjepartssystem, kan flere ting gå galt:

  • Uklart ansvar. Hvis en detailhandler, en leverandør og en politistyrke alle berører den samme post, kan det være svært at sige, hvem der beslutter, hvordan den bruges, deles eller slettes.
  • Bredere adgang end tilsigtet. Personale eller brugere, der ikke bør se visse oplysninger, kan muligvis få adgang til dem, hvis tilladelser er løst sat op.
  • Svagt tilsyn med leverandører. En organisation forbliver ansvarlig for personoplysninger, selv når en leverandør håndterer dem.

Dette er ikke unikt for politiet. Det samme mønster med koncentrerede data og bred eksponering ses i UK Biobank-hacket, hvor data om 500.000 frivillige blev udbudt til salg. Den fælles tråd er, at centraliserede data kun er så sikre som den svageste forbindelse ind til dem.

Hvad håndhævelsespåbuddet betyder for dine datarettigheder

Politistyrker behandler personoplysninger i henhold til en specifik del af Data Protection Act 2018, som dækker retshåndhævelsesbehandling. Det medfører forpligtelser vedrørende sikkerhed, nøjagtighed og begrænsning af, hvem der kan se data. Et håndhævelsespåbud signalerer, at tilsynsmyndigheden mener, at disse forpligtelser ikke blev overholdt, og ønsker verificerede ændringer, ikke bare en undskyldning.

For enkeltpersoner er den praktiske betydning todelt. For det første holder tilsynsmyndigheder faktisk offentlige instanser ansvarlige, selvom resultatet her er en reprimande og et påbud snarere end en bøde. For det andet behøver du ikke vente på, at en tilsynsmyndighed handler. Du har ret til at spørge, hvad en organisation har registreret om dig.

ICO har gransket politiets datahåndtering på flere fronter. Vores dækning af ICO's politi-ansigtsgenkendelsesrevisioner viser det samme tema: kraftfulde værktøjer tages i brug hurtigt, og tilsynet haler ind. For et indblik i, hvor dyre og usikre disse værktøjer kan være i praksis, se vores rapport om British Transport Police's ansigtsgenkendelsespilot.

Sådan indsender du en anmodning om indsigt hos en offentlig instans

En anmodning om indsigt (SAR) er en anmodning om at se de personoplysninger, en organisation har registreret om dig. At indsende en er i de fleste tilfælde gratis og kræver ikke en advokat.

  1. Find den rigtige kontakt. De fleste politistyrker og offentlige instanser har et databeskyttelses- eller informationsrettighedsteam. Deres hjemmeside angiver normalt en SAR-formular eller e-mailadresse.
  2. Vær specifik. Sig, hvem du er, vedlæg identitetsbevis, og beskriv de poster, du ønsker, såsom rapporter, hændelseslogge eller korrespondance, med omtrentlige datoer.
  3. Spørg om deling. Du kan også spørge, hvem dine data er blevet delt med, hvilket kan afsløre involverede tredjepartsplatforme.
  4. Hold styr på det. Notér datoen, du sendte anmodningen. Organisationer har generelt en måned til at svare, selvom dette kan forlænges for komplekse anmodninger.
  5. Forvent visse begrænsninger. Politiet kan tilbageholde oplysninger, hvis frigivelsen ville skade en efterforskning eller andre politimæssige formål. De bør stadig fortælle dig, om de har data, hvor de kan.
  6. Eskalér om nødvendigt. Hvis du ikke får svar eller et utilfredsstillende svar, kan du klage til ICO.

Hvad dette betyder for dig

ICO Met Police Auror-reprimanden er en påmindelse om, at data, der overdrages til politiet, ikke forbliver på ét sted. Hvis du har anmeldt en forbrydelse, været vidne eller være nævnt i en rapport, kan dine oplysninger passere gennem systemer, der drives af eksterne leverandører. Tilsynsmyndighedens handling tyder på, at sikkerhedsforanstaltninger omkring disse systemer fortjener større opmærksomhed.

Du kan ikke kontrollere, hvordan en styrke konfigurerer sine værktøjer, men du kan stille spørgsmål og udøve dine rettigheder.

Centrale pointer

  • Læs ICO's offentliggjorte reprimande og håndhævelsespåbud for de fulde detaljer om Met's fejl.
  • Husk, at en reprimande registrerer konklusioner, mens et håndhævelsespåbud er juridisk bindende.
  • Indsend en anmodning om indsigt til din lokale politistyrke eller enhver offentlig instans, du har mistanke om har data om dig, og spørg, hvem de er blevet delt med.
  • Gem kopier af din anmodning og ethvert svar, og klag til ICO, hvis du ikke er tilfreds.
  • For bredere kontekst om, hvordan tilsynsmyndigheder gransker politiets datahåndtering, læs vores artikel om ICO's politi-ansigtsgenkendelsesrevisioner.

ICO Met Police Auror-reprimanden er én sag, men den rettighed, den peger på, er tilgængelig for alle. En enkelt anmodning om indsigt er den nemmeste måde at finde ud af, hvad der er registreret om dig.