英国のデータ保護規制当局は、ロンドン警視庁（メトロポリタン・ポリス・サービス）に対して譴責と執行通知書を発行しました。ICOによるメトロポリタン警察のAurorに関する譴責は、小売犯罪の報告に使用されるプラットフォーム「Auror」に関連するプライバシー上の不備を受けたものです。これは英国最大の警察機関に対する正式な叱責であり、ロンドンにとどまらない問題を提起しています。警察のシステムを離れ、サードパーティ製ツールを通過した後、個人データはどうなるのか、という問いです。

この記事では、これまでに報じられた内容、サードパーティ製プラットフォームが繰り返し弱点となる理由、そして公的機関があなたについて保有している情報を確認する方法を解説します。

ICOがメトロポリタン警察とAurorの案件で発見したこと

Infosecurity Magazineによると、情報コミッショナー事務局（ICO）は、Aurorプラットフォームに関連するプライバシー上の不備をめぐり、メトロポリタン警察に対して譴責と執行通知書の両方を発行しました。ICO自身の発表では、この措置は同警察における情報ガバナンスの失敗に関連するものと説明されています。

この2つの措置は異なるものです。譴責は、規制当局の調査結果を記録する正式な叱責です。執行通知書はさらに踏み込み、組織に対して問題を修正するための特定の措置を講じるよう求める法的拘束力のある指示です。これに従わない場合、さらなる規制措置につながる可能性があります。

これまでに入手可能な短い要約では、不備の詳細がすべて示されているわけではなく、我们は推測を避けています。完全な調査結果を求める読者は、正確な違反内容、引用された法的条項、メトロポリタン警察が講じるべき是正措置について、ICOが公表した譴責および執行通知書を参照してください。

サードパーティ製プラットフォームが警察保有データを危険にさらす仕組み

Auror自身の広報によると、このプラットフォームは常習犯や組織的な小売犯罪への対策を支援するため、ロンドン全域で展開されているとのことです。このようなツールは、小売業者などの民間組織と警察の間に位置します。報告を統合する上では有用ですが、管理がより困難な保管の連鎖（チェーン・オブ・カストディ）も生み出します。

個人データがサードパーティのシステムを通じて移動する場合、いくつかの問題が発生する可能性があります。

  • 責任の不明確さ。 小売業者、ベンダー、警察が同じ記録に触れる場合、そのデータの使用方法、共有方法、削除方法を誰が決定するのかを特定するのが難しくなることがあります。
  • 意図された範囲を超えたアクセス。 権限が緩く設定されている場合、特定の情報を見るべきでないスタッフやユーザーがアクセスできてしまう可能性があります。
  • ベンダーへの監督不足。 サプライヤーが個人データを処理する場合でも、組織は引き続き責任を負います。

これは警察に固有のものではありません。データの集中と広範な露出という同じパターンは、50万人のボランティアのデータが売りに出されたUKバイオバンクのハッキング事件にも見られます。共通するのは、集中化されたデータは、そこへの最も弱い接続部分と同じ程度にしか安全ではないということです。

執行通知書があなたのデータ権利にとって意味するもの

警察は、法執行機関の処理を対象とする2018年データ保護法の特定の部分に基づいて個人データを処理します。これには、セキュリティ、正確性、データを閲覧できる人物の制限に関する義務が伴います。執行通知書は、規制当局がこれらの義務が果たされていないと判断し、単なる謝罪ではなく、検証された変更を求めていることを示します。

個人にとっての実際的な意味は2つあります。第一に、ここでの結果が罰金ではなく譴責と通知書であったとしても、規制当局は公的機関に責任を負わせるということです。第二に、規制当局が行動するのを待つ必要はありません。あなたには、組織があなたについて保有している情報を尋ねる権利があります。

ICOは複数の面で警察のデータ処理を精査してきました。ICOによる警察の顔認識監査に関する私たちの報道も同じテーマを示しています。強力なツールが急速に導入され、監督が追いつこうとしているのです。これらのツールが実際にどれほど高コストで不確実であり得るかについては、英国交通警察の顔認識パイロットに関する私たちの報告をご覧ください。

公的機関に対して本人開示請求を行う方法

本人開示請求（SAR）とは、組織があなたについて保有している個人データを閲覧するための請求です。ほとんどの場合無料で、弁護士は必要ありません。

  1. 正しい連絡先を見つける。 ほとんどの警察や公的機関には、データ保護または情報権利を担当するチームがあります。通常、ウェブサイトにSARフォームまたはメールアドレスが掲載されています。
  2. 具体的に記載する。 あなたが誰であるかを伝え、身分証明書を添付し、入手したい記録（報告書、インシデントログ、通信文など）をおよその日付とともに説明してください。
  3. 共有について尋ねる。 あなたのデータが誰と共有されたかも尋ねることができ、これにより関与したサードパーティ製プラットフォームが明らかになる場合があります。
  4. 記録を残す。 請求を送信した日付を記録してください。組織は通常1か月以内に回答する義務がありますが、複雑な請求の場合は延長されることがあります。
  5. 一定の制限を想定する。 警察は、情報の開示が捜査やその他の警察目的を損なう場合、情報を伏せることがあります。それでも、可能な限りデータを保有しているかどうかは伝えるべきです。
  6. 必要に応じてエスカレーションする。 返答がない場合や不満足な場合は、ICOに苦情を申し立てることができます。

あなたにとって意味するもの

ICOによるメトロポリタン警察のAurorに関する譴責は、警察に渡されたデータが一か所にとどまらないことを思い起こさせます。犯罪を報告したことがある、目撃者であった、報告書に名前が記載されたことがある場合、あなたの詳細は外部サプライヤーが運営するシステムを通過する可能性があります。規制当局の措置は、これらのシステムを取り巻く保護措置に、より注意を払うべきであることを示唆しています。

警察がツールをどのように設定するかを制御することはできませんが、質問をし、権利を行使することはできます。

まとめ

  • メトロポリタン警察の不備の詳細については、ICOが公表した譴責および執行通知書をお読みください。
  • 譴責は調査結果を記録するものであり、執行通知書は法的拘束力を持つものであることを覚えておいてください。
  • 地元の警察や、あなたに関するデータを保有していると思われる公的機関に本人開示請求を提出し、誰と共有されたかを尋ねてください。
  • 請求書と回答のコピーを保管し、満足できない場合はICOに苦情を申し立ててください。
  • 規制当局が警察のデータ処理をどのように精査しているかについてのより広い文脈については、ICOによる警察の顔認識監査に関する記事をお読みください。

ICOによるメトロポリタン警察のAurorに関する譴責は一つの事例ですが、それが示す権利は誰もが利用できます。1回の本人開示請求が、あなたについて何が保有されているかを知る最も簡単な方法です。