Yhdistyneen kuningaskunnan tietosuojaviranomainen on antanut moitteen ja täytäntöönpanomääräyksen Metropolitan Police Servicelle. ICO:n Met Police Auroriin liittyvä moite seuraa yksityisyyden suojan puutteita, jotka liittyvät Auroriin, alustaan, jota käytetään vähittäiskaupan rikosilmoituksissa. Se on muodollinen moite maan suurimmalle poliisivoimalle, ja se herättää kysymyksen, joka pätee paljon Lontoota laajemmalle: mitä henkilötiedoille tapahtuu, kun ne poistuvat poliisijärjestelmästä ja kulkevat kolmannen osapuolen työkalun kautta?

Tässä artikkelissa käsitellään sitä, mitä on raportoitu, miksi kolmannen osapuolen alustat ovat toistuva heikko kohta ja miten voit selvittää, mitä julkiset tahot tietävät sinusta.

Mitä ICO havaitsi Metin ja Aurorin tapauksessa

Infosecurity Magazinen mukaan Information Commissioner's Office (ICO) on antanut Metille sekä moitteen että täytäntöönpanomääräyksen yksityisyyden suojan puutteista, jotka liittyvät Auror-alustaan. ICO:n oma tiedote kuvailee toimenpidettä liittyväksi tietohallinnon puutteisiin poliisivoimissa.

Nämä kaksi toimenpidettä ovat erilaisia. Moite on muodollinen huomautus, joka kirjaa viranomaisen havainnot. Täytäntöönpanomääräys menee pidemmälle: se on oikeudellisesti sitova ohje, joka velvoittaa organisaation toteuttamaan määritellyt toimenpiteet ongelmien korjaamiseksi. Sen noudattamatta jättäminen voi johtaa jatkotoimenpiteisiin.

Toistaiseksi saatavilla oleva lyhyt yhteenveto ei erittele kaikkia puutteiden yksityiskohtia, emmekä ole ryhtyneet arvailemaan niitä. Lukijoiden, jotka haluavat täydelliset havainnot, kannattaa tutustua ICO:n julkaisemaan moitteeseen ja täytäntöönpanomääräykseen tarkkojen rikkomusten, viitattujen oikeussäännösten ja Metin toteutettavien korjaavien toimenpiteiden osalta.

Miten kolmannen osapuolen alustat vaarantavat poliisin hallussa olevat tiedot

Aurorin oma tiedotus kertoo, että alusta on otettu käyttöön kaikkialla Lontoossa, jotta voidaan puuttua uusintarikollisiin ja järjestäytyneeseen vähittäiskaupan rikollisuuteen. Tällaiset työkalut sijaitsevat yksityisten organisaatioiden, kuten vähittäiskauppiaiden, ja poliisin välissä. Tämä on hyödyllistä ilmoitusten yhdistämisessä, mutta se luo myös hallussapitoketjun, jota on vaikeampi valvoa.

Kun henkilötiedot kulkevat kolmannen osapuolen järjestelmän kautta, useita asioita voi mennä pieleen:

  • Epäselvä vastuu. Jos vähittäiskauppias, toimittaja ja poliisivoima kaikki käsittelevät samaa tietuetta, voi olla vaikeaa sanoa, kuka päättää sen käytöstä, jakamisesta tai poistamisesta.
  • Laajempi pääsy kuin on tarkoitettu. Henkilöstö tai käyttäjät, joiden ei pitäisi nähdä tiettyjä tietoja, voivat päästä niihin, jos käyttöoikeudet on asetettu löyhästi.
  • Heikko toimittajien valvonta. Organisaatio on edelleen vastuussa henkilötiedoista, vaikka toimittaja käsittelisi niitä.

Tämä ei ole ainutlaatuista poliisitoiminnalle. Sama keskitetyn datan ja laajan altistumisen kaava on nähtävissä UK Biobank -hakkerointitapauksessa, jossa 500 000 vapaaehtoisen tiedot asetettiin myyntiin. Yhteinen piirre on, että keskitetty data on vain niin turvallista kuin sen heikoin yhteys.

Mitä täytäntöönpanomääräys merkitsee tietosuojaoikeuksillesi

Poliisivoimat käsittelevät henkilötietoja tietosuojalain 2018 (Data Protection Act 2018) tietyssä osassa, joka kattaa lainvalvontakäsittelyn. Siihen liittyy velvoitteita tietoturvasta, täsmällisyydestä ja siitä, kuka saa nähdä tietoja. Täytäntöönpanomääräys osoittaa, että viranomainen uskoo, ettei näitä velvoitteita ole täytetty, ja haluaa vahvistettuja muutoksia, ei pelkkää anteeksipyyntöä.

Yksityishenkilöille käytännön merkitys on kaksijakoinen. Ensinnäkin viranomaiset pitävät julkiset tahot vastuullisina, vaikka lopputulos tässä olisikin moite ja määräys sakon sijaan. Toiseksi sinun ei tarvitse odottaa viranomaisen toimivan. Sinulla on oikeus kysyä, mitä organisaatiolla on hallussaan sinusta.

ICO on tarkastellut poliisin tietojenkäsittelyä useilla rintamilla. Käsittelymme ICO:n poliisin kasvojentunnistuksen tarkastuksista osoittaa saman teeman: tehokkaita työkaluja otetaan käyttöön nopeasti, ja valvonta ottaa niitä kiinni. Katsauksen siihen, kuinka kalliita ja epävarmoja nämä työkalut voivat käytännössä olla, löydät raportistamme British Transport Policen kasvojentunnistuksen pilottihankkeesta.

Miten tehdä tietopyyntö julkiselle taholle

Tietopyyntö (subject access request, SAR) on pyyntö nähdä henkilötiedot, jotka organisaatiolla on hallussaan sinusta. Sen tekeminen on useimmissa tapauksissa ilmaista eikä vaadi asianajajaa.

  1. Etsi oikea yhteystaho. Useimmilla poliisivoimilla ja julkisilla tahoilla on tietosuoja- tai tieto-oikeustiimi. Heidän verkkosivustonsa yleensä luettelee SAR-lomakkeen tai sähköpostiosoitteen.
  2. Ole täsmällinen. Kerro kuka olet, liitä mukaan henkilöllisyystodistus ja kuvaile tietueet, jotka haluat, kuten raportit, tapahtumalokit tai kirjeenvaihto, likimääräisine päivämäärineen.
  3. Kysy jakamisesta. Voit myös kysyä, kenen kanssa tietojasi on jaettu, mikä voi paljastaa mukana olleet kolmannen osapuolen alustat.
  4. Pidä kirjaa. Merkitse muistiin päivämäärä, jolloin lähetit pyynnön. Organisaatioilla on yleensä kuukausi aikaa vastata, joskin tätä voidaan pidentää monimutkaisten pyyntöjen osalta.
  5. Odota joitakin rajoituksia. Poliisi voi pidättää tietoja, jos niiden luovuttaminen vaarantaisi tutkinnan tai muita poliisitoiminnan tarkoituksia. Heidän tulisi silti kertoa sinulle, onko heillä tietoja hallussaan, jos mahdollista.
  6. Valita tarvittaessa. Jos et saa vastausta tai saat epätyydyttävän vastauksen, voit tehdä valituksen ICO:lle.

Mitä tämä merkitsee sinulle

ICO:n Met Police Auror -moite on muistutus siitä, että poliisille luovutetut tiedot eivät pysy yhdessä paikassa. Jos olet ilmoittanut rikoksesta, ollut todistaja tai sinut on nimetty raportissa, tietosi voivat kulkea ulkopuolisten toimittajien ylläpitämien järjestelmien kautta. Viranomaisen toimenpide viittaa siihen, että näiden järjestelmien suojatoimet ansaitsevat tarkempaa huomiota.

Et voi hallita sitä, miten poliisivoima konfiguroi työkalunsa, mutta voit esittää kysymyksiä ja käyttää oikeuksiasi.

Keskeiset huomiot

  • Lue ICO:n julkaisema moite ja täytäntöönpanomääräys saadaksesi täydelliset tiedot Metin puutteista.
  • Muista, että moite kirjaa havainnot, kun taas täytäntöönpanomääräys on oikeudellisesti sitova.
  • Jätä tietopyyntö paikalliselle poliisivoimallesi tai mille tahansa julkiselle taholle, jonka epäilet pitävän hallussaan tietoja sinusta, ja kysy, kenen kanssa ne on jaettu.
  • Säilytä kopiot pyynnöstäsi ja mahdollisesta vastauksesta, ja valita ICO:lle, jos et ole tyytyväinen.
  • Laajemman kontekstin siitä, miten viranomaiset tarkastelevat poliisin tietojenkäsittelyä, saat lukemalla artikkelimme ICO:n poliisin kasvojentunnistuksen tarkastuksista.

ICO:n Met Police Auror -moite on yksi tapaus, mutta sen osoittama oikeus on kaikkien saatavilla. Yksi ainoa tietopyyntö on yksinkertaisin tapa selvittää, mitä sinusta on kirjattu.