Regulator perlindungan data Inggris telah menerbitkan reprimand dan pemberitahuan penegakan kepada Metropolitan Police Service. Reprimand ICO terhadap Polisi Met terkait Auror ini menyusul kegagalan privasi yang berkaitan dengan Auror, sebuah platform yang digunakan dalam pelaporan kejahatan ritel. Ini merupakan teguran resmi terhadap kekuatan polisi terbesar di negara itu, dan ini memunculkan pertanyaan yang berlaku jauh melampaui London: apa yang terjadi pada data pribadi setelah meninggalkan sistem kepolisian dan melewati alat pihak ketiga?
Artikel ini membahas apa yang telah dilaporkan, mengapa platform pihak ketiga menjadi titik lemah yang berulang, dan bagaimana Anda dapat mengetahui apa yang dimiliki badan publik tentang Anda.
Apa yang ditemukan ICO dalam kasus Met dan Auror
Menurut Infosecurity Magazine, Information Commissioner's Office (ICO) telah memberikan kepada Met baik reprimand maupun pemberitahuan penegakan terkait kegagalan privasi yang terhubung dengan platform Auror. Pengumuman ICO sendiri menggambarkan tindakan tersebut sebagai hal yang berkaitan dengan kegagalan tata kelola informasi di kepolisian tersebut.
Kedua tindakan ini berbeda. Reprimand adalah teguran resmi yang mencatat temuan regulator. Pemberitahuan penegakan melangkah lebih jauh: ini adalah instruksi yang mengikat secara hukum yang mengharuskan organisasi untuk mengambil langkah-langkah tertentu untuk memperbaiki masalah. Kegagalan untuk mematuhinya dapat menyebabkan tindakan regulasi lebih lanjut.
Ringkasan singkat yang tersedia sejauh ini tidak menguraikan setiap detail kegagalan tersebut, dan kami telah menghindari menebak-nebak tentangnya. Pembaca yang menginginkan temuan lengkap harus merujuk pada reprimand dan pemberitahuan penegakan yang diterbitkan ICO untuk pelanggaran yang tepat, ketentuan hukum yang dikutip, dan langkah-langkah korektif yang harus diambil Met.
Bagaimana platform pihak ketiga menempatkan data yang dipegang polisi pada risiko
Publisitas Auror sendiri menyatakan bahwa platform ini telah diluncurkan di seluruh London untuk membantu menangani pelanggar berulang dan kejahatan ritel terorganisir. Alat seperti ini berada di antara organisasi swasta, seperti pengecer, dan polisi. Itu berguna untuk menggabungkan laporan, tetapi juga menciptakan rantai kustodi yang lebih sulit dikendalikan.
Ketika data pribadi berpindah melalui sistem pihak ketiga, beberapa hal dapat menjadi salah:
- Tanggung jawab yang tidak jelas. Jika pengecer, vendor, dan kepolisian semuanya menyentuh catatan yang sama, sulit untuk mengatakan siapa yang memutuskan bagaimana data itu digunakan, dibagikan, atau dihapus.
- Akses yang lebih luas dari yang dimaksudkan. Staf atau pengguna yang seharusnya tidak melihat informasi tertentu mungkin dapat mengaksesnya jika izin diatur secara longgar.
- Pengawasan yang lemah terhadap vendor. Sebuah organisasi tetap bertanggung jawab atas data pribadi bahkan ketika pemasok menanganinya.
Ini bukan hal yang unik untuk kepolisian. Pola yang sama tentang data yang terpusat dan paparan yang luas terlihat dalam peretasan UK Biobank, di mana data tentang 500.000 relawan ditawarkan untuk dijual. Benang merahnya adalah bahwa data yang terpusat hanya seaman koneksi terlemah ke dalamnya.
Apa arti pemberitahuan penegakan bagi hak data Anda
Kekuatan polisi memproses data pribadi di bawah bagian tertentu dari Data Protection Act 2018, yang mencakup pemrosesan penegakan hukum. Ini membawa kewajiban seputar keamanan, akurasi, dan pembatasan siapa yang dapat melihat data. Pemberitahuan penegakan menandakan bahwa regulator meyakini kewajiban tersebut tidak dipenuhi dan menginginkan perubahan yang terverifikasi, bukan sekadar permintaan maaf.
Bagi individu, makna praktisnya ada dua. Pertama, regulator memang meminta pertanggungjawaban badan publik, bahkan jika hasilnya di sini adalah reprimand dan pemberitahuan daripada denda. Kedua, Anda tidak perlu menunggu regulator bertindak. Anda memiliki hak untuk menanyakan apa yang dimiliki organisasi tentang Anda.
ICO telah meneliti penanganan data polisi di beberapa front. Liputan kami tentang audit pengenalan wajah polisi oleh ICO menunjukkan tema yang sama: alat-alat yang kuat diadopsi dengan cepat, dan pengawasan sedang mengejar. Untuk melihat betapa mahal dan tidak pastinya alat-alat tersebut dalam praktik, lihat laporan kami tentang pilot pengenalan wajah British Transport Police.
Cara mengajukan permintaan akses subjek kepada badan publik
Permintaan akses subjek (SAR) adalah permintaan untuk melihat data pribadi yang dimiliki organisasi tentang Anda. Mengajukannya gratis dalam sebagian besar kasus dan tidak memerlukan pengacara.
- Temukan kontak yang tepat. Sebagian besar kekuatan polisi dan badan publik memiliki tim perlindungan data atau hak informasi. Situs web mereka biasanya mencantumkan formulir SAR atau alamat email.
- Bersikap spesifik. Sebutkan siapa Anda, sertakan bukti identitas, dan jelaskan catatan yang Anda inginkan, seperti laporan, log insiden, atau korespondensi, dengan tanggal perkiraan.
- Tanyakan tentang berbagi. Anda juga dapat menanyakan kepada siapa data Anda telah dibagikan, yang mungkin mengungkapkan platform pihak ketiga yang terlibat.
- Simpan catatan. Catat tanggal Anda mengirim permintaan. Organisasi umumnya memiliki waktu satu bulan untuk merespons, meskipun ini dapat diperpanjang untuk permintaan yang kompleks.
- Perkirakan beberapa batasan. Polisi dapat menahan informasi jika mengungkapkannya akan merugikan penyelidikan atau tujuan kepolisian lainnya. Mereka tetap harus memberi tahu Anda apakah mereka memiliki data jika memungkinkan.
- Eskalasi jika perlu. Jika Anda tidak mendapat balasan atau balasan yang tidak memuaskan, Anda dapat mengadu ke ICO.
Apa Artinya Ini Bagi Anda
Reprimand ICO terhadap Polisi Met terkait Auror adalah pengingat bahwa data yang diserahkan kepada polisi tidak tetap di satu tempat. Jika Anda telah melaporkan kejahatan, menjadi saksi, atau disebutkan dalam laporan, detail Anda mungkin melewati sistem yang dijalankan oleh pemasok luar. Tindakan regulator menunjukkan bahwa pengamanan di sekitar sistem tersebut perlu mendapat perhatian lebih dekat.
Anda tidak dapat mengontrol bagaimana kepolisian mengonfigurasi alatnya, tetapi Anda dapat mengajukan pertanyaan dan menggunakan hak Anda.
Poin Penting
- Baca reprimand dan pemberitahuan penegakan yang diterbitkan ICO untuk detail lengkap kegagalan Met.
- Ingatlah bahwa reprimand mencatat temuan, sementara pemberitahuan penegakan mengikat secara hukum.
- Ajukan permintaan akses subjek kepada kekuatan polisi lokal Anda atau badan publik mana pun yang Anda curigai memiliki data tentang Anda, dan tanyakan kepada siapa data itu telah dibagikan.
- Simpan salinan permintaan dan tanggapan apa pun, dan adukan ke ICO jika Anda tidak puas.
- Untuk konteks yang lebih luas tentang bagaimana regulator meneliti penanganan data polisi, baca artikel kami tentang audit pengenalan wajah polisi oleh ICO.
Reprimand ICO terhadap Polisi Met terkait Auror adalah satu kasus, tetapi hak yang ditunjuknya tersedia untuk semua orang. Satu permintaan akses subjek adalah cara paling sederhana untuk mengetahui apa yang dimiliki tentang Anda.
