Britanski regulator za zaštitu podataka izdao je opomenu i rješenje o ovrsi Metropolitanskoj policijskoj službi. ICO Met Police Auror opomena uslijedila je nakon propusta u zaštiti privatnosti povezanih s Aurorom, platformom koja se koristi u prijavljivanju kriminala u maloprodaji. To je službeni prijekor najvećoj policijskoj snazi u zemlji i pokreće pitanje koje seže daleko izvan Londona: što se događa s osobnim podacima nakon što napuste policijski sustav i prođu kroz alat treće strane?

Ovaj članak pokriva što je objavljeno, zašto su platforme trećih strana ponavljajuća slaba točka i kako možete saznati što javna tijela drže o vama.

Što je ICO utvrdio u slučaju Met i Auror

Prema Infosecurity Magazineu, Ured informacijskog povjerenika (ICO) uručio je Metu i opomenu i rješenje o ovrsi zbog propusta u zaštiti privatnosti povezanih s platformom Auror. ICO-ova vlastita objava opisuje tu radnju kao povezanu s propustima u upravljanju informacijama u toj policijskoj snazi.

Te dvije mjere su različite. Opomena je službeni prijekor koji bilježi nalaze regulatora. Rješenje o ovrsi ide dalje: to je pravno obvezujuća uputa kojom se od organizacije zahtijeva da poduzme određene korake kako bi ispravila probleme. Neispunjavanje rješenja može dovesti do daljnjih regulatornih mjera.

Kratki sažetak dostupan zasada ne navodi svaki detalj propusta te smo izbjegli nagađanja o njima. Čitatelji koji žele potpune nalaze trebaju pogledati ICO-ovu objavljenu opomenu i rješenje o ovrsi za točne povrede, citirane pravne odredbe i korektivne korake koje Met mora poduzeti.

Kako platforme trećih strana ugrožavaju podatke koje drži policija

Aurorovo vlastito promidžbeno materijal navodi da je platforma uvedena diljem Londona kako bi pomogla u rješavanju problema recidivista i organiziranog kriminala u maloprodaji. Alati poput ovog nalaze se između privatnih organizacija, poput trgovaca, i policije. To je korisno za povezivanje prijava, ali istovremeno stvara lanac skrbništva koji je teže kontrolirati.

Kada osobni podaci prolaze kroz sustav treće strane, nekoliko stvari može poći po zlu:

  • Nejasna odgovornost. Ako trgovac, dobavljač i policijska snaga svi dotiču isti zapis, može biti teško reći ko odlučuje o tome kako se koristi, dijeli ili briše.
  • Širi pristup od predviđenog. Osoblje ili korisnici koji ne bi trebali vidjeti određene informacije mogu im pristupiti ako su dopuštenja labavo postavljena.
  • Slab nadzor nad dobavljačima. Organizacija ostaje odgovorna za osobne podatke čak i kada njima upravlja dobavljač.

To nije jedinstveno za policijski rad. Isti obrazac koncentriranih podataka i široke izloženosti vidljiv je u UK Biobank hacku, gdje su podaci o 500.000 volontera stavljeni na prodaju. Zajednička nit je da su centralizirani podaci sigurni onoliko koliko je sigurna najslabija veza prema njima.

Što rješenje o ovrsi znači za vaša prava na podatke

Policijske snage obrađuju osobne podatke prema posebnom dijelu Zakona o zaštiti podataka iz 2018., koji pokriva obradu za potrebe provedbe zakona. On nosi obveze u pogledu sigurnosti, točnosti i ograničavanja koga može vidjeti podatke. Rješenje o ovrsi signalizira da regulator smatra da te obveze nisu ispunjene i želi provjerene promjene, a ne samo ispriku.

Za pojedince praktično značenje je dvostruko. Prvo, regulatori doista pozivaju javna tijela na odgovornost, čak i ako je ishod ovdje opomena i rješenje, a ne novčana kazna. Drugo, ne morate čekati da regulator djeluje. Imate pravo pitati što organizacija drži o vama.

ICO je nadzirao policijsko rukovanje podacima na nekoliko frontova. Naše izvješće o ICO-ovim revizijama policijske biometrijske identifikacije lica pokazuje istu temu: moćni alati usvajaju se brzo, a nadzor ih sustiže. Za pogled na to koliko ti alati mogu biti skupi i neizvjesni u praksi, pogledajte naš izvještaj o pilot-projektu biometrijske identifikacije lica Britanske prometne policije.

Kako podnijeti zahtjev za pristup podacima javnom tijelu

Zahtjev za pristup podacima (SAR) je zahtjev da vidite osobne podatke koje organizacija drži o vama. Podnošenje je u većini slučajeva besplatno i ne zahtijeva odvjetnika.

  1. Pronađite pravi kontakt. Većina policijskih snaga i javnih tijela ima tim za zaštitu podataka ili prava na informacije. Njihova web-stranica obično navodi obrazac za SAR ili adresu e-pošte.
  2. Budite konkretni. Recite tko ste, priložite dokaz identiteta i opišite zapise koje želite, poput izvješća, evidencija incidenata ili korespondencije, s približnim datumima.
  3. Pitajte o dijeljenju. Također možete pitati s kim su vaši podaci podijeljeni, što može otkriti uključene platforme trećih strana.
  4. Vodite evidenciju. Zabilježite datum kada ste poslali zahtjev. Organizacije općenito imaju mjesec dana za odgovor, iako se to može produljiti za složene zahtjeve.
  5. Očekujte određena ograničenja. Policija može uskratiti informacije ako bi njihovo otkrivanje naškodilo istrazi ili drugim policijskim svrhama. Ipak bi vam trebali reći drže li podatke gdje mogu.
  6. Eskalirajte ako je potrebno. Ako ne dobijete odgovor ili dobijete nezadovoljavajući, možete se žaliti ICO-u.

Što to znači za vas

ICO Met Police Auror opomena podsjetnik je da podaci predani policiji ne ostaju na jednom mjestu. Ako ste prijavili kazneno djelo, bili svjedok ili bili imenovani u prijavi, vaši podaci mogu proći kroz sustave kojima upravljaju vanjski dobavljači. Regulatorna radnja sugerira da zaštitne mjere oko tih sustava zaslužuju bližu pozornost.

Ne możete kontrolirati kako policijska snaga konfigurira svoje alate, ali możete postavljati pitanja i ostvarivati svoja prava.

Ključne poruke

  • Pročitajte ICO-ovu objavljenu opomenu i rješenje o ovrsi za potpune pojedinosti o Metovim propustima.
  • Zapamtite da opomena bilježi nalaze, dok je rješenje o ovrsi pravno obvezujuće.
  • Podnesite zahtjev za pristup podacima svojoj lokalnoj policijskoj snazi ili bilo kojem javnom tijelu za koje sumnjate da drži podatke o vama i pitajte s kim su podijeljeni.
  • Čuvajte kopije svog zahtjeva i svakog odgovora te se žalite ICO-u ako niste zadovoljni.
  • Za širi kontekst o tome kako regulatori nadziru policijsko rukovanje podacima, pročitajte naš članak o ICO-ovim revizijama policijske biometrijske identifikacije lica.

ICO Met Police Auror opomena jedan je slučaj, ali pravo na koje upućuje dostupno je svima. Jedan zahtjev za pristup podacima najjednostavniji je način da saznate što se o vama drži.