L'autorità di regolamentazione britannica per la protezione dei dati ha emesso un richiamo e un provvedimento esecutivo nei confronti del Metropolitan Police Service. Il richiamo dell'ICO alla Met Police su Auror fa seguito a violazioni della privacy legate ad Auror, una piattaforma utilizzata nella segnalazione dei reati al dettaglio. Si tratta di un biasimo formale nei confronti della più grande forza di polizia del Paese, e solleva una questione che va ben oltre Londra: cosa succede ai dati personali una volta che lasciano un sistema di polizia e passano attraverso uno strumento di terze parti?
Questo articolo illustra quanto è stato riportato, perché le piattaforme di terze parti sono un punto debole ricorrente e come puoi scoprire quali dati gli enti pubblici detengono su di te.
Cosa ha rilevato l'ICO nel caso Met e Auror
Secondo Infosecurity Magazine, l'Information Commissioner's Office (ICO) ha consegnato alla Met sia un richiamo sia un provvedimento esecutivo per violazioni della privacy connesse alla piattaforma Auror. L'annuncio dell'ICO stesso descrive l'azione come relativa a fallimenti nella governance delle informazioni presso la forza di polizia.
Le due misure sono diverse. Un richiamo è una censura formale che registra le conclusioni dell'autorità di regolamentazione. Un provvedimento esecutivo va oltre: è un'istruzione giuridicamente vincolante che richiede all'organizzazione di adottare misure specifiche per risolvere i problemi. Il mancato rispetto di un provvedimento può portare a ulteriori azioni regolatorie.
Il breve riepilogo finora disponibile non espone ogni dettaglio delle mancanze, e abbiamo evitato di fare supposizioni al riguardo. I lettori che desiderano le conclusioni complete dovrebbero consultare il richiamo e il provvedimento esecutivo pubblicati dall'ICO per conoscere le violazioni esatte, le disposizioni di legge citate e le misure correttive che la Met deve adottare.
Come le piattaforme di terze parti mettono a rischio i dati detenuti dalla polizia
La stessa pubblicità di Auror afferma che la piattaforma è stata distribuita in tutta Londra per contribuire a contrastare i recidivi e la criminalità organizzata nel commercio al dettaglio. Strumenti come questo si collocano tra organizzazioni private, come i rivenditori, e la polizia. È utile per unire le segnalazioni, ma crea anche una catena di custodia più difficile da controllare.
Quando i dati personali passano attraverso un sistema di terze parti, diverse cose possono andare storte:
- Responsabilità poco chiara. Se un rivenditore, un fornitore e una forza di polizia toccano tutti lo stesso record, può essere difficile dire chi decide come viene utilizzato, condiviso o cancellato.
- Accesso più ampio del previsto. Il personale o gli utenti che non dovrebbero vedere determinate informazioni potrebbero riuscire ad accedervi se i permessi sono impostati in modo approssimativo.
- Scarsa supervisione dei fornitori. Un'organizzazione rimane responsabile dei dati personali anche quando è un fornitore a gestirli.
Questo non è esclusivo dell'attività di polizia. Lo stesso schema di dati concentrati e ampia esposizione è visibile nell'hack del UK Biobank, dove i dati di 500.000 volontari sono stati messi in vendita. Il filo conduttore è che i dati centralizzati sono sicuri solo quanto il collegamento più debole verso di essi.
Cosa significa il provvedimento esecutivo per i tuoi diritti sui dati
Le forze di polizia trattano i dati personali ai sensi di una parte specifica del Data Protection Act 2018, che disciplina il trattamento per fini di applicazione della legge. Essa comporta obblighi in materia di sicurezza, accuratezza e limitazione di chi può vedere i dati. Un provvedimento esecutivo segnala che l'autorità di regolamentazione ritiene che tali obblighi non siano stati rispettati e vuole cambiamenti verificati, non solo scuse.
Per gli individui, il significato pratico è duplice. In primo luogo, le autorità di regolamentazione chiamano effettivamente a rendere conto gli enti pubblici, anche se il risultato qui è un richiamo e un provvedimento anziché una multa. In secondo luogo, non devi aspettare che un'autorità di regolamentazione intervenga. Hai il diritto di chiedere quali dati un'organizzazione detiene su di te.
L'ICO ha esaminato il trattamento dei dati da parte della polizia su più fronti. La nostra copertura dei controlli dell'ICO sul riconoscimento facciale della polizia mostra lo stesso tema: strumenti potenti vengono adottati rapidamente e la supervisione sta recuperando terreno. Per uno sguardo su quanto possano essere costosi e incerti questi strumenti nella pratica, consulta il nostro rapporto sul progetto pilota di riconoscimento facciale della British Transport Police.
Come presentare una richiesta di accesso agli atti a un ente pubblico
Una richiesta di accesso agli atti (SAR) è una richiesta di vedere i dati personali che un'organizzazione detiene su di te. Presentarla è gratuito nella maggior parte dei casi e non richiede un avvocato.
- Trova il contatto giusto. La maggior parte delle forze di polizia e degli enti pubblici ha un team per la protezione dei dati o i diritti di informazione. Il loro sito web di solito elenca un modulo SAR o un indirizzo email.
- Sii specifico. Dì chi sei, includi una prova d'identità e descrivi i documenti che desideri, come rapporti, registri di incidenti o corrispondenza, con date approssimative.
- Chiedi informazioni sulla condivisione. Puoi anche chiedere a chi sono stati condivisi i tuoi dati, il che potrebbe rivelare piattaforme di terze parti coinvolte.
- Conserva una registrazione. Annota la data in cui hai inviato la richiesta. Le organizzazioni hanno generalmente un mese per rispondere, anche se questo può essere prorogato per richieste complesse.
- Aspettati alcuni limiti. La polizia può trattenere informazioni se la loro divulgazione pregiudicherebbe un'indagine o altre finalità di polizia. Dovrebbe comunque dirti se detiene dati, ove possibile.
- Fai escalation se necessario. Se non ricevi risposta o ne ricevi una insoddisfacente, puoi presentare reclamo all'ICO.
Cosa significa questo per te
Il richiamo dell'ICO alla Met Police su Auror è un promemoria del fatto che i dati consegnati alla polizia non rimangono in un unico posto. Se hai denunciato un reato, sei stato testimone o sei stato nominato in un rapporto, i tuoi dettagli possono passare attraverso sistemi gestiti da fornitori esterni. L'azione dell'autorità di regolamentazione suggerisce che le salvaguardie attorno a quei sistemi meritano maggiore attenzione.
Non puoi controllare come una forza di polizia configura i suoi strumenti, ma puoi fare domande ed esercitare i tuoi diritti.
Punti chiave
- Leggi il richiamo e il provvedimento esecutivo pubblicati dall'ICO per tutti i dettagli sulle mancanze della Met.
- Ricorda che un richiamo registra le conclusioni, mentre un provvedimento esecutivo è giuridicamente vincolante.
- Invia una richiesta di accesso agli atti alla tua forza di polizia locale o a qualsiasi ente pubblico che sospetti detenga dati su di te, e chiedi a chi sono stati condivisi.
- Conserva copie della tua richiesta e di qualsiasi risposta, e presenta reclamo all'ICO se non sei soddisfatto.
- Per un contesto più ampio su come le autorità di regolamentazione esaminano il trattamento dei dati da parte della polizia, leggi il nostro articolo sui controlli dell'ICO sul riconoscimento facciale della polizia.
Il richiamo dell'ICO alla Met Police su Auror è un caso, ma il diritto a cui rimanda è disponibile per tutti. Una singola richiesta di accesso agli atti è il modo più semplice per scoprire cosa viene detenuto su di te.
