Le régulateur britannique de la protection des données a émis un rappel à l'ordre et une injonction au Metropolitan Police Service. Le rappel à l'ordre de l'ICO au Met Police concernant Auror fait suite à des manquements à la vie privée liés à Auror, une plateforme utilisée dans le signalement des crimes liés au commerce de détail. Il s'agit d'un blâme formel adressé à la plus grande force de police du pays, et cela soulève une question qui s'applique bien au-delà de Londres : que devient une donnée personnelle lorsqu'elle quitte un système policier et transite par un outil tiers ?
Cet article couvre ce qui a été rapporté, pourquoi les plateformes tierces constituent un point faible récurrent, et comment vous pouvez découvrir ce que les organismes publics détiennent à votre sujet.
Ce que l'ICO a constaté dans l'affaire Met et Auror
Selon Infosecurity Magazine, l'Information Commissioner's Office (ICO) a infligé au Met à la fois un rappel à l'ordre et une injonction pour des manquements à la vie privée liés à la plateforme Auror. L'annonce de l'ICO elle-même décrit cette action comme étant liée à des défaillances de gouvernance de l'information au sein de la force.
Les deux mesures sont différentes. Un rappel à l'ordre est une censure formelle qui consigne les conclusions du régulateur. Une injonction va plus loin : il s'agit d'une instruction juridiquement contraignante exigeant que l'organisation prenne des mesures déterminées pour remédier aux problèmes. Le non-respect d'une injonction peut entraîner d'autres mesures réglementaires.
Le bref résumé disponible à ce jour n'expose pas tous les détails des manquements, et nous avons évité de les deviner. Les lecteurs qui souhaitent connaître l'intégralité des conclusions doivent se référer au rappel à l'ordre et à l'injonction publiés par l'ICO pour connaître les violations exactes, les dispositions légales citées et les mesures correctives que le Met doit prendre.
Comment les plateformes tierces mettent en danger les données détenues par la police
La publicité d'Auror elle-même indique que la plateforme a été déployée dans tout Londres pour aider à lutter contre les délinquants récidivistes et la criminalité organisée dans le commerce de détail. Des outils comme celui-ci se situent entre des organisations privées, telles que les détaillants, et la police. C'est utile pour regrouper les signalements, mais cela crée aussi une chaîne de responsabilité plus difficile à contrôler.
Lorsque des données personnelles transitent par un système tiers, plusieurs choses peuvent mal tourner :
- Responsabilité floue. Si un détaillant, un fournisseur et une force de police touchent tous le même enregistrement, il peut être difficile de dire qui décide de son utilisation, de son partage ou de sa suppression.
- Un accès plus large que prévu. Des membres du personnel ou des utilisateurs qui ne devraient pas voir certaines informations peuvent y accéder si les autorisations sont définies de manière trop souple.
- Une surveillance faible des fournisseurs. Une organisation reste responsable des données personnelles même lorsqu'un fournisseur les traite.
Cela n'est pas propre au domaine policier. Le même schéma de concentration des données et de large exposition est visible dans le piratage de UK Biobank, où les données de 500 000 volontaires ont été mises en vente. Le fil conducteur est que des données centralisées ne sont sûres qu'à hauteur de la connexion la plus faible qui y mène.
Ce que l'injonction signifie pour vos droits sur vos données
Les forces de police traitent les données personnelles en vertu d'une partie spécifique du Data Protection Act 2018, qui couvre le traitement à des fins répressives. Elle comporte des obligations en matière de sécurité, d'exactitude et de limitation de l'accès aux données. Une injonction signale que le régulateur estime que ces obligations n'ont pas été respectées et qu'il attend des changements vérifiés, et non de simples excuses.
Pour les particuliers, la signification pratique est double. Premièrement, les régulateurs demandent bien des comptes aux organismes publics, même si le résultat ici est un rappel à l'ordre et une injonction plutôt qu'une amende. Deuxièmement, vous n'avez pas à attendre qu'un régulateur agisse. Vous avez le droit de demander ce qu'une organisation détient à votre sujet.
L'ICO examine le traitement des données policières sous plusieurs angles. Notre couverture des audits de l'ICO sur la reconnaissance faciale par la police montre le même thème : des outils puissants sont adoptés rapidement, et la surveillance rattrape son retard. Pour un aperçu du coût et de l'incertitude de ces outils en pratique, consultez notre rapport sur le pilote de reconnaissance faciale de la British Transport Police.
Comment déposer une demande d'accès auprès d'un organisme public
Une demande d'accès (subject access request, SAR) est une demande visant à consulter les données personnelles qu'une organisation détient à votre sujet. En faire une est gratuit dans la plupart des cas et ne nécessite pas d'avocat.
- Trouvez le bon contact. La plupart des forces de police et des organismes publics disposent d'une équipe chargée de la protection des données ou des droits à l'information. Leur site web liste généralement un formulaire de SAR ou une adresse e-mail.
- Soyez précis. Indiquez qui vous êtes, joignez une preuve d'identité et décrivez les documents que vous souhaitez, tels que des rapports, des journaux d'incidents ou de la correspondance, avec des dates approximatives.
- Posez des questions sur le partage. Vous pouvez également demander à qui vos données ont été communiquées, ce qui peut révéler les plateformes tierces impliquées.
- Conservez une trace. Notez la date à laquelle vous avez envoyé la demande. Les organisations disposent généralement d'un mois pour répondre, bien que ce délai puisse être prolongé pour les demandes complexes.
- Attendez-vous à certaines limites. La police peut retenir des informations si leur divulgation compromettait une enquête ou d'autres finalités policières. Elle devrait tout de même vous indiquer si elle détient des données lorsque c'est possible.
- Montez le dossier si nécessaire. Si vous n'obtenez pas de réponse ou une réponse insatisfaisante, vous pouvez vous plaindre auprès de l'ICO.
Ce que cela signifie pour vous
Le rappel à l'ordre de l'ICO au Met Police concernant Auror est un rappel que les données transmises à la police ne restent pas au même endroit. Si vous avez signalé un crime, été témoin ou été nommé dans un rapport, vos informations peuvent transiter par des systèmes gérés par des fournisseurs externes. L'action du régulateur suggère que les garanties entourant ces systèmes méritent une attention accrue.
Vous ne pouvez pas contrôler la manière dont une force configure ses outils, mais vous pouvez poser des questions et exercer vos droits.
Points clés à retenir
- Lisez le rappel à l'ordre et l'injonction publiés par l'ICO pour connaître le détail complet des manquements du Met.
- Rappelez-vous qu'un rappel à l'ordre consigne des conclusions, tandis qu'une injonction est juridiquement contraignante.
- Soumettez une demande d'accès à votre force de police locale ou à tout organisme public que vous soupçonnez de détenir des données à votre sujet, et demandez à qui elles ont été communiquées.
- Conservez des copies de votre demande et de toute réponse, et plaignez-vous auprès de l'ICO si vous n'êtes pas satisfait.
- Pour un contexte plus large sur la manière dont les régulateurs examinent le traitement des données policières, lisez notre article sur les audits de l'ICO sur la reconnaissance faciale par la police.
Le rappel à l'ordre de l'ICO au Met Police concernant Auror n'est qu'un cas, mais le droit qu'il met en évidence est accessible à tous. Une simple demande d'accès est le moyen le plus simple de découvrir ce qui est détenu à votre sujet.
