영국의 데이터 보호 규제 기관이 메트로폴리탄 경찰청에 견책과 집행 통지를 발부했습니다. ICO 메트 경찰 Auror 견책은 소매 범죄 신고에 사용되는 플랫폼인 Auror와 관련된 프라이버시 문제에 따른 것입니다. 이는 영국 최대 경찰 조직에 대한 공식적인 질책이며, 런던을 훨씬 넘어 적용되는 질문을 제기합니다: 개인 데이터가 경찰 시스템을 떠나 제3자 도구를 통과한 후에는 어떻게 되는가?
이 글은 보도된 내용, 제3자 플랫폼이 반복적으로 취약점이 되는 이유, 그리고 공공 기관이 자신에 대해 어떤 정보를 보유하고 있는지 확인하는 방법을 다룹니다.
ICO가 메트와 Auror 사건에서 발견한 것
Infosecurity Magazine에 따르면, 정보위원회(ICO)는 Auror 플랫폼과 관련된 프라이버시 문제로 메트에 견책과 집행 통지를 모두 부과했습니다. ICO의 자체 발표는 이 조치가 경찰의 정보 거버넌스 실패와 관련된 것이라고 설명합니다.
두 조치는 다릅니다. 견책은 규제 기관의 조사 결과를 기록하는 공식적인 질책입니다. 집행 통지는 더 나아갑니다: 조직이 문제를 해결하기 위해 특정 조치를 취하도록 요구하는 법적 구속력이 있는 명령입니다. 이를 준수하지 않으면 추가 규제 조치로 이어질 수 있습니다.
지금까지 입수 가능한 짧은 요약은 실패의 모든 세부 사항을 제시하지 않으며, 우리는 이를 추측하지 않았습니다. 전체 조사 결과를 원하는 독자는 정확한 위반 사항, 인용된 법적 조항, 메트가 취해야 할 시정 조치를 위해 ICO가 공개한 견책과 집행 통지를 참조해야 합니다.
제3자 플랫폼이 경찰 보유 데이터를 위험에 빠뜨리는 방식
Auror의 자체 홍보에 따르면, 이 플랫폼은 상습 범죄자와 조직화된 소매 범죄를 해결하기 위해 런던 전역에 도입되었습니다. 이런 도구는 소매업체 같은 민간 조직과 경찰 사이에 위치합니다. 이는 신고를 통합하는 데 유용하지만, 통제하기 어려운 보관 연쇄를 생성하기도 합니다.
개인 데이터가 제3자 시스템을 통해 이동할 때 여러 가지 문제가 발생할 수 있습니다:
- 불분명한 책임. 소매업체, 공급업체, 경찰이 모두 같은 기록을 다루면, 누가 그것의 사용, 공유, 삭제를 결정하는지 말하기 어려울 수 있습니다.
- 의도보다 넓은 접근. 권한이 느슨하게 설정되면 특정 정보를 보면 안 되는 직원이나 사용자가 접근할 수 있습니다.
- 공급업체에 대한 약한 감독. 공급업체가 개인 데이터를 처리하더라도 조직은 여전히 책임을 집니다.
이는 경찰에만 국한된 것이 아닙니다. 집중된 데이터와 광범위한 노출이라는 같은 패턴은 영국 바이오뱅크 해킹, 50만 명 자원봉사자 데이터 판매 시도에서도 볼 수 있습니다. 공통점은 중앙 집중화된 데이터는 그것에 연결된 가장 약한 연결고리만큼만 안전하다는 것입니다.
집행 통지가 귀하의 데이터 권리에 의미하는 것
경찰은 2018년 데이터 보호법의 특정 부분에 따라 개인 데이터를 처리하며, 이는 법 집행 처리를 다룹니다. 이는 보안, 정확성, 데이터를 볼 수 있는 사람 제한에 관한 의무를 수반합니다. 집행 통지는 규제 기관이 그러한 의무가 충족되지 않았다고 믿으며 사과가 아닌 검증된 변경을 원한다는 신호입니다.
개인에게 실질적인 의미는 두 가지입니다. 첫째, 규제 기관은 여기서 결과가 벌금이 아닌 견책과 통지이더라도 공공 기관에 책임을 묻습니다. 둘째, 규제 기관이 조치를 취할 때까지 기다릴 필요가 없습니다. 귀하는 조직이 자신에 대해 어떤 정보를 보유하고 있는지 물을 권리가 있습니다.
ICO는 여러 측면에서 경찰의 데이터 처리를 조사해 왔습니다. ICO의 경찰 얼굴 인식 감사에 대한 우리의 보도는 같은 주제를 보여줍니다: 강력한 도구가 빠르게 채택되고 있으며, 감독이 뒤따르고 있습니다. 그러한 도구가 실제로 얼마나 비용이 많이 들고 불확실할 수 있는지에 대해서는 영국 교통경찰 얼굴 인식 파일럿에 대한 우리의 보고서를 참조하십시오.
공공 기관에 정보주체 접근 요청을 제출하는 방법
정보주체 접근 요청(SAR)은 조직이 자신에 대해 보유한 개인 데이터를 보기 위한 요청입니다. 대부분의 경우 무료이며 변호사가 필요하지 않습니다.
- 올바른 연락처를 찾으십시오. 대부분의 경찰과 공공 기관에는 데이터 보호 또는 정보 권리 팀이 있습니다. 그들의 웹사이트는 보통 SAR 양식이나 이메일 주소를 나열합니다.
- 구체적으로 작성하십시오. 자신이 누구인지 밝히고, 신분 증명을 포함하며, 원하는 기록(보고서, 사건 기록, 서신 등)을 대략적인 날짜와 함께 설명하십시오.
- 공유에 대해 물으십시오. 귀하의 데이터가 누구와 공유되었는지도 물을 수 있으며, 이는 관련된 제3자 플랫폼을 드러낼 수 있습니다.
- 기록을 보관하십시오. 요청을 보낸 날짜를 기록하십시오. 조직은 일반적으로 한 달 내에 응답해야 하지만, 복잡한 요청의 경우 연장될 수 있습니다.
- 일부 제한을 예상하십시오. 경찰은 정보 공개가 수사나 다른 치안 목적을 해칠 경우 정보를 보류할 수 있습니다. 그래도 가능한 경우 데이터를 보유하고 있는지 알려야 합니다.
- 필요시 상급 기관에 제기하십시오. 답변이 없거나 만족스럽지 않으면 ICO에 불만을 제기할 수 있습니다.
이것이 귀하에게 의미하는 것
ICO 메트 경찰 Auror 견책은 경찰에 전달된 데이터가 한 곳에 머물지 않는다는 것을 상기시킵니다. 범죄를 신고했거나, 목격자였거나, 신고에서 이름이 언급되었다면, 귀하의 세부 정보는 외부 공급업체가 운영하는 시스템을 통과할 수 있습니다. 규제 기관의 조치는 그러한 시스템 주변의 안전장치가 더 주의 깊게 검토될 필요가 있음을 시사합니다.
경찰이 도구를 구성하는 방식을 통제할 수는 없지만, 질문하고 권리를 행사할 수는 있습니다.
핵심 요점
- 메트의 실패에 대한 전체 세부 사항은 ICO가 공개한 견책과 집행 통지를 읽으십시오.
- 견책은 조사 결과를 기록하고, 집행 통지는 법적 구속력이 있다는 것을 기억하십시오.
- 지역 경찰이나 데이터를 보유하고 있다고 의심되는 공공 기관에 정보주체 접근 요청을 제출하고, 누구와 공유되었는지 물으십시오.
- 요청과 응답 사본을 보관하고, 만족스럽지 않으면 ICO에 불만을 제기하십시오.
- 규제 기관이 경찰의 데이터 처리를 어떻게 조사하는지에 대한 더 넓은 맥락은 ICO의 경찰 얼굴 인식 감사에 대한 우리 글을 읽으십시오.
ICO 메트 경찰 Auror 견책은 한 사례에 불과하지만, 그것이 가리키는 권리는 모든 사람이 이용할 수 있습니다. 단 한 번의 정보주체 접근 요청이 자신에 대해 어떤 정보가 보유되고 있는지 알아내는 가장 간단한 방법입니다.
