Die britische Datenschutzaufsichtsbehörde hat dem Metropolitan Police Service eine Rüge und einen Durchsetzungsbescheid erteilt. Der ICO Met Police Auror Rüge folgen Datenschutzverstöße im Zusammenhang mit Auror, einer Plattform, die bei der Meldung von Einzelhandelskriminalität eingesetzt wird. Es ist ein formeller Verweis an die größte Polizeibehörde des Landes und wirft eine Frage auf, die weit über London hinaus relevant ist: Was geschieht mit personenbezogenen Daten, sobald sie ein Polizeisystem verlassen und durch ein Drittanbieter-Tool laufen?

Dieser Beitrag behandelt, was berichtet wurde, warum Drittanbieter-Plattformen ein wiederkehrender Schwachpunkt sind und wie Sie herausfinden können, welche Daten öffentliche Stellen über Sie speichern.

Was die ICO im Fall Met und Auror festgestellt hat

Laut Infosecurity Magazine hat das Information Commissioner's Office (ICO) der Met sowohl eine Rüge als auch einen Durchsetzungsbescheid wegen Datenschutzverstößen im Zusammenhang mit der Auror-Plattform erteilt. Die eigene Ankündigung der ICO beschreibt die Maßnahme als im Zusammenhang mit Informations-Governance-Versäumnissen bei der Behörde stehend.

Die beiden Maßnahmen sind unterschiedlich. Eine Rüge ist ein formeller Verweis, der die Feststellungen der Aufsichtsbehörde dokumentiert. Ein Durchsetzungsbescheid geht weiter: Er ist eine rechtlich bindende Anweisung, die von der Organisation verlangt, bestimmte Schritte zur Behebung der Probleme zu unternehmen. Die Nichtbefolgung kann zu weiteren regulatorischen Maßnahmen führen.

Die bisher verfügbare kurze Zusammenfassung enthält nicht jedes Detail der Versäumnisse, und wir haben davon abgesehen, Vermutungen darüber anzustellen. Leser, die die vollständigen Feststellungen wünschen, sollten die von der ICO veröffentlichte Rüge und den Durchsetzungsbescheid einsehen, um die genauen Verstöße, die zitierten Rechtsvorschriften und die Korrekturmaßnahmen, die die Met ergreifen muss, zu erfahren.

Wie Drittanbieter-Plattformen polizeilich gespeicherte Daten gefährden

Die eigene Werbung von Auror besagt, dass die Plattform in ganz London eingeführt wurde, um Wiederholungstäter und organisierte Einzelhandelskriminalität zu bekämpfen. Tools wie dieses stehen zwischen privaten Organisationen, wie Einzelhändlern, und der Polizei. Das ist nützlich, um Meldungen zusammenzuführen, schafft aber auch eine Verwahrungskette, die schwerer zu kontrollieren ist.

Wenn personenbezogene Daten durch ein Drittanbietersystem laufen, kann mehrere Dinge schiefgehen:

  • Unklare Verantwortlichkeit. Wenn ein Einzelhändler, ein Anbieter und eine Polizeibehörde alle denselben Datensatz berühren, kann es schwer sein zu sagen, wer entscheidet, wie er verwendet, geteilt oder gelöscht wird.
  • Weitergehender Zugriff als beabsichtigt. Mitarbeiter oder Nutzer, die bestimmte Informationen nicht sehen sollten, können möglicherweise darauf zugreifen, wenn Berechtigungen locker eingestellt sind.
  • Schwache Aufsicht über Anbieter. Eine Organisation bleibt für personenbezogene Daten verantwortlich, auch wenn ein Lieferant sie verarbeitet.

Dies ist nicht einzigartig für die Polizeiarbeit. Dasselbe Muster konzentrierter Daten und weitreichender Exposition ist beim UK Biobank Hack sichtbar, bei dem Daten von 500.000 Freiwilligen zum Verkauf angeboten wurden. Der gemeinsame Nenner ist, dass zentralisierte Daten nur so sicher sind wie die schwächste Verbindung zu ihnen.

Was der Durchsetzungsbescheid für Ihre Datenrechte bedeutet

Polizeibehörden verarbeiten personenbezogene Daten nach einem spezifischen Teil des Data Protection Act 2018, der die Strafverfolgungsverarbeitung abdeckt. Dieser bringt Verpflichtungen in Bezug auf Sicherheit, Genauigkeit und die Begrenzung, wer Daten sehen darf, mit sich. Ein Durchsetzungsbescheid signalisiert, dass die Aufsichtsbehörde der Ansicht ist, dass diese Verpflichtungen nicht erfüllt wurden, und verifizierte Änderungen wünscht, nicht nur eine Entschuldigung.

Für Einzelpersonen ist die praktische Bedeutung zweifach. Erstens halten Aufsichtsbehörden öffentliche Stellen tatsächlich zur Rechenschaft, auch wenn das Ergebnis hier eine Rüge und ein Bescheid statt eines Bußgeldes ist. Zweitens müssen Sie nicht warten, bis eine Aufsichtsbehörde handelt. Sie haben das Recht zu fragen, welche Daten eine Organisation über Sie speichert.

Die ICO hat die Datenverarbeitung der Polizei in mehreren Bereichen genau geprüft. Unsere Berichterstattung über die Gesichtserkennungs-Audits der ICO bei der Polizei zeigt dasselbe Thema: Leistungsstarke Tools werden schnell eingeführt, und die Aufsicht holt auf. Für einen Blick darauf, wie kostspielig und unsicher diese Tools in der Praxis sein können, lesen Sie unseren Bericht über den Pilotversuch zur Gesichtserkennung der British Transport Police.

Wie Sie einen Auskunftsantrag bei einer öffentlichen Stelle stellen

Ein Auskunftsantrag (Subject Access Request, SAR) ist ein Antrag, die personenbezogenen Daten einzusehen, die eine Organisation über Sie speichert. Die Antragstellung ist in den meisten Fällen kostenlos und erfordert keinen Anwalt.

  1. Finden Sie den richtigen Kontakt. Die meisten Polizeibehörden und öffentlichen Stellen haben ein Datenschutz- oder Informationsrechtsteam. Deren Website listet normalerweise ein SAR-Formular oder eine E-Mail-Adresse auf.
  2. Seien Sie konkret. Geben Sie an, wer Sie sind, fügen Sie einen Identitätsnachweis bei und beschreiben Sie die Datensätze, die Sie wünschen, wie Berichte, Einsatzprotokolle oder Korrespondenz, mit ungefähren Daten.
  3. Fragen Sie nach der Weitergabe. Sie können auch fragen, an wen Ihre Daten weitergegeben wurden, was beteiligte Drittanbieter-Plattformen aufdecken kann.
  4. Führen Sie Aufzeichnungen. Notieren Sie das Datum, an dem Sie den Antrag gesendet haben. Organisationen haben in der Regel einen Monat Zeit zu antworten, obwohl dies bei komplexen Anträgen verlängert werden kann.
  5. Rechnen Sie mit einigen Einschränkungen. Die Polizei kann Informationen zurückhalten, wenn deren Herausgabe eine Ermittlung oder andere polizeiliche Zwecke beeinträchtigen würde. Sie sollte Ihnen dennoch mitteilen, ob sie Daten speichert, soweit dies möglich ist.
  6. Eskalieren Sie bei Bedarf. Wenn Sie keine Antwort oder eine unbefriedigende erhalten, können Sie sich bei der ICO beschweren.

Was das für Sie bedeutet

Die ICO Met Police Auror Rüge ist eine Erinnerung daran, dass Daten, die der Polizei übergeben werden, nicht an einem Ort bleiben. Wenn Sie eine Straftat gemeldet haben, Zeuge waren oder in einem Bericht genannt wurden, können Ihre Angaben durch Systeme laufen, die von externen Anbietern betrieben werden. Die Maßnahme der Aufsichtsbehörde deutet darauf hin, dass die Sicherheitsvorkehrungen rund um diese Systeme größere Aufmerksamkeit verdienen.

Sie können nicht kontrollieren, wie eine Behörde ihre Tools konfiguriert, aber Sie können Fragen stellen und Ihre Rechte ausüben.

Kernpunkte

  • Lesen Sie die von der ICO veröffentlichte Rüge und den Durchsetzungsbescheid für die vollständigen Details der Versäumnisse der Met.
  • Denken Sie daran, dass eine Rüge Feststellungen dokumentiert, während ein Durchsetzungsbescheid rechtlich bindend ist.
  • Reichen Sie einen Auskunftsantrag bei Ihrer örtlichen Polizeibehörde oder jeder öffentlichen Stelle ein, von der Sie vermuten, dass sie Daten über Sie speichert, und fragen Sie, an wen diese weitergegeben wurden.
  • Bewahren Sie Kopien Ihres Antrags und jeder Antwort auf und beschweren Sie sich bei der ICO, wenn Sie nicht zufrieden sind.
  • Für weiteren Kontext dazu, wie Aufsichtsbehörden die Datenverarbeitung der Polizei prüfen, lesen Sie unseren Beitrag über die Gesichtserkennungs-Audits der ICO bei der Polizei.

Die ICO Met Police Auror Rüge ist ein Fall, aber das Recht, auf das sie hinweist, steht allen zur Verfügung. Ein einzelner Auskunftsantrag ist der einfachste Weg herauszufinden, was über Sie gespeichert wird.