Az Egyesült Királyság adatvédelmi hatósága megrovást és kötelezettség teljesítésére felszólító határozatot adott ki a Metropolitan Police Service részére. Az ICO Met Police Auror megrovás az Aurorhoz kapcsolódó adatvédelmi hiányosságokat követi, amely egy kiskereskedelmi bűncselekmények bejelentésére használt platform. Ez egy formális elmarasztalása az ország legnagyobb rendőri erejének, és egy olyan kérdést vet fel, amely jóval Londonon túl is érvényes: mi történik a személyes adatokkal, miután elhagyják a rendőrségi rendszert és egy harmadik féltől származó eszközön haladnak keresztül?

Ez a bejegyzés azt tárgyalja, amiről beszámoltak, hogy miért visszatérő gyenge pont a harmadik féltől származó platformok, és hogyan tudhatod meg, milyen adatokat tárolnak rólad a közintézmények.

Mit állapított meg az ICO a Met és az Auror ügyében

Az Infosecurity Magazine szerint az Information Commissioner's Office (ICO) megrovást és kötelezettség teljesítésére felszólító határozatot is kiszabott a Met-re az Auror platformhoz kapcsolódó adatvédelmi hiányosságok miatt. Az ICO saját közleménye úgy írja le az intézkedést, hogy az a rendőrségi erő információgazdálkodási hiányosságaihoz kapcsolódik.

A két intézkedés különbözik. A megrovás egy formális elmarasztalás, amely rögzíti a hatóság megállapításait. A kötelezettség teljesítésére felszólító határozat ennél tovább megy: jogilag kötelező erejű utasítás, amely előírja a szervezet számára, hogy meghatározott lépéseket tegyen a problémák megoldására. A teljesítésének elmulasztása további szabályozási intézkedésekhez vezethet.

A jelenleg elérhető rövid összefoglaló nem részletezi a hiányosságok minden részletét, és mi elkerültük ezek kitalálását. Azok az olvasók, akik a teljes megállapításokat szeretnék látni, forduljanak az ICO közzétett megrovásához és kötelezettség teljesítésére felszólító határozatához a pontos jogsértésekért, a hivatkozott jogszabályi rendelkezésekért és a Met által kötelezően végrehajtandó korrekciós lépésekért.

Hogyan teszik kockázatossá a harmadik féltől származó platformok a rendőrség által tárolt adatokat

Az Auror saját nyilvános anyaga szerint a platformot egész Londonban bevezették, hogy segítsen kezelni a visszaeső elkövetőket és a szervezett kiskereskedelmi bűncselekményeket. Az ehhez hasonló eszközök a magánszervezetek, például a kiskereskedők és a rendőrség között helyezkednek el. Ez hasznos a bejelentések összekapcsolásához, de egy olyan őrzési láncot is létrehoz, amelyet nehezebb ellenőrizni.

Amikor a személyes adatok egy harmadik féltől származó rendszeren haladnak keresztül, több dolog is rosszul alakulhat:

  • Nem egyértelmű felelősség. Ha egy kiskereskedő, egy szállító és egy rendőri erő is hozzáfér ugyanahhoz a rekordhoz, nehéz megmondani, ki dönti el, hogyan használják, osztják meg vagy törlik.
  • A szándékosnál szélesebb hozzáférés. Azok a munkatársak vagy felhasználók, akiknek nem szabadna bizonyos információkat látniuk, hozzáférhetnek azokhoz, ha az engedélyek lazán vannak beállítva.
  • Gyenge szállítói felügyelet. A szervezet továbbra is felelős a személyes adatokért akkor is, ha azokat egy beszállító kezeli.

Ez nem kizárólag a rendőrségre jellemző. Az adatok koncentrálódásának és a széles körű kitettségnek ugyanez a mintázata látható a UK Biobank hack esetében, ahol 500 000 önkéntes adatait kínálták eladásra. A közös szál az, hogy a központosított adatok csak annyira biztonságosak, mint a hozzájuk vezető leggyengébb kapcsolat.

Mit jelent a kötelezettség teljesítésére felszólító határozat az adatjogaidra nézve

A rendőri erők a 2018-as Adatvédelmi Törvény egy meghatározott része alapján dolgozzák fel a személyes adatokat, amely a bűnüldözési adatfeldolgozást szabályozza. Ez kötelezettségeket ír elő a biztonságra, a pontosságra és az adatokhoz hozzáférők körének korlátozására vonatkozóan. A kötelezettség teljesítésére felszólító határozat azt jelzi, hogy a hatóság úgy véli, ezeket a kötelezettségeket nem teljesítették, és ellenőrzött változtatásokat akar, nem csupán bocsánatkérést.

Az egyének számára a gyakorlati jelentés kettős. Először is, a hatóságok felelősségre vonják a közintézményeket, még akkor is, ha az eredmény itt egy megrovás és egy határozat, nem pedig pénzbírság. Másodszor, nem kell megvárnod, hogy egy hatóság cselekedjen. Jogod van megkérdezni, milyen adatokat tárol rólad egy szervezet.

Az ICO több fronton is vizsgálta a rendőrségi adatkezelést. Az ICO rendőrségi arcfelismerési auditjairól szóló tudósításunk ugyanezt a témát mutatja: a hatékony eszközöket gyorsan vezetik be, és a felügyelet igyekszik lépést tartani. Annak áttekintéséhez, hogy ezek az eszközök a gyakorlatban mennyire költségesek és bizonytalanok lehetnek, lásd a British Transport Police arcfelismerési kísérleti programjáról szóló jelentésünket.

Hogyan nyújts be adathozzáférési kérelmet egy közintézményhez

Az adathozzáférési kérelem (SAR) egy kérelem arra, hogy lásd azokat a személyes adatokat, amelyeket egy szervezet tárol rólad. Benyújtása a legtöbb esetben ingyenes, és nem igényel ügyvédet.

  1. Találd meg a megfelelő kapcsolattartót. A legtöbb rendőri erőnek és közintézménynek van adatvédelmi vagy információs jogi csapata. A weboldaluk általában felsorol egy SAR űrlapot vagy e-mail címet.
  2. Légy konkrét. Mondd meg, ki vagy, csatolj személyazonosságot igazoló dokumentumot, és írd le, milyen nyilvántartásokat szeretnél, például jelentéseket, eseménynaplókat vagy levelezést, hozzávetőleges dátumokkal.
  3. Kérdezz a megosztásról. Azt is megkérdezheted, kikkel osztották meg az adataidat, ami felfedheti a bevont harmadik féltől származó platformokat.
  4. Vezess nyilvántartást. Jegyezd fel a kérelem elküldésének dátumát. A szervezeteknek általában egy hónapjuk van válaszolni, bár ez összetett kérelmek esetén meghosszabbítható.
  5. Számíts bizonyos korlátokra. A rendőrség visszatarthat információkat, ha azok kiadása hátrányosan érintené egy nyomozást vagy más rendőrségi célokat. Ennek ellenére közölniük kell veled, hogy tárolnak-e adatokat, ahol tudják.
  6. Fokozd, ha szükséges. Ha nem kapsz választ vagy nem kielégítő választ kapsz, panaszt tehetsz az ICO-nál.

Mit Jelent Ez Számodra

Az ICO Met Police Auror megrovás emlékeztető arra, hogy a rendőrségnek átadott adatok nem maradnak egy helyen. Ha bűncselekményt jelentettél, tanú voltál, vagy megneveztek egy jelentésben, az adataid külső szállítók által üzemeltetett rendszereken haladhatnak keresztül. A hatóság intézkedése arra utal, hogy az e rendszerek körüli biztosítékok fokozottabb figyelmet érdemelnek.

Nem tudod kontrollálni, hogyan konfigurálja egy rendőri erő az eszközeit, de kérdezhetsz és gyakorolhatod a jogaidat.

Legfontosabb Tudnivalók

  • Olvasd el az ICO közzétett megrovását és kötelezettség teljesítésére felszólító határozatát a Met hiányosságainak teljes részleteiért.
  • Ne feledd, hogy a megrovás rögzíti a megállapításokat, míg a kötelezettség teljesítésére felszólító határozat jogilag kötelező erejű.
  • Nyújts be adathozzáférési kérelmet a helyi rendőri erődhöz vagy bármely közintézményhez, amelyről gyanítod, hogy adatokat tárol rólad, és kérdezd meg, kikkel osztották meg azokat.
  • Őrizd meg a kérelmed és bármely válasz másolatát, és tegyél panaszt az ICO-nál, ha nem vagy elégedett.
  • A szélesebb kontextushoz arról, hogyan vizsgálják a hatóságok a rendőrségi adatkezelést, olvasd el az ICO rendőrségi arcfelismerési auditjairól szóló cikkünket.

Az ICO Met Police Auror megrovás egy eset, de a jog, amelyre rámutat, mindenki számára elérhető. Egyetlen adathozzáférési kérelem a legegyszerűbb módja annak, hogy megtudd, milyen adatokat tárolnak rólad.