De Britse toezichthouder voor gegevensbescherming heeft een berisping en een handhavingsbevel uitgevaardigd aan de Metropolitan Police Service. De ICO Met Police Auror berisping volgt op privacyschendingen gerelateerd aan Auror, een platform dat wordt gebruikt bij het melden van winkeldelicten. Het is een formele berisping aan het grootste politiekorps van het land, en het roept een vraag op die veel verder reikt dan Londen: wat gebeurt er met persoonsgegevens zodra ze een politiesysteem verlaten en door een hulpmiddel van een derde partij gaan?

Dit artikel behandelt wat er is gemeld, waarom platforms van derde partijen een terugkerend zwak punt zijn, en hoe u kunt achterhalen welke gegevens overheidsinstanties over u bezitten.

Wat de ICO aantrof in de zaak-Met en Auror

Volgens Infosecurity Magazine heeft het Information Commissioner's Office (ICO) de Met zowel een berisping als een handhavingsbevel gegeven vanwege privacyschendingen in verband met het Auror-platform. De eigen aankondiging van de ICO beschrijft de maatregel als gerelateerd aan tekortkomingen in informatiebeheer bij het korps.

De twee maatregelen zijn verschillend. Een berisping is een formele censuur die de bevindingen van de toezichthouder vastlegt. Een handhavingsbevel gaat verder: het is een juridisch bindende instructie die de organisatie verplicht specifieke stappen te nemen om de problemen op te lossen. Het niet naleven van een handhavingsbevel kan leiden tot verdere regelgevende maatregelen.

De korte samenvatting die tot nu toe beschikbaar is, bevat niet alle details van de tekortkomingen, en we hebben vermeden erover te speculeren. Lezers die de volledige bevindingen willen, kunnen de gepubliceerde berisping en het handhavingsbevel van de ICO raadplegen voor de exacte schendingen, de aangehaalde wettelijke bepalingen en de corrigerende stappen die de Met moet nemen.

Hoe platforms van derde partijen gegevens in politiebezit in gevaar brengen

Auror's eigen publiciteit stelt dat het platform door heel Londen is uitgerold om recidivisten en georganiseerde winkeldelicten aan te pakken. Dergelijke hulpmiddelen bevinden zich tussen private organisaties, zoals retailers, en de politie. Dat is nuttig voor het samenvoegen van meldingen, maar het creëert ook een keten van bewaring die moeilijker te controleren is.

Wanneer persoonsgegevens door een systeem van een derde partij gaan, kunnen er verschillende dingen misgaan:

  • Onduidelijke verantwoordelijkheid. Als een retailer, een leverancier en een politiekorps allemaal dezelfde registratie aanraken, kan het moeilijk zijn om te zeggen wie beslist hoe deze wordt gebruikt, gedeeld of verwijderd.
  • Ruimere toegang dan bedoeld. Personeel of gebruikers die bepaalde informatie niet zouden mogen zien, kunnen er toch toegang toe krijgen als machtigingen te ruim zijn ingesteld.
  • Zwak toezicht op leveranciers. Een organisatie blijft verantwoordelijk voor persoonsgegevens, zelfs wanneer een leverancier deze verwerkt.

Dit is niet uniek voor politiewerk. Hetzelfde patroon van geconcentreerde gegevens en brede blootstelling is zichtbaar in de UK Biobank-hack, waarbij gegevens van 500.000 vrijwilligers te koop werden aangeboden. De rode draad is dat gecentraliseerde gegevens slechts zo veilig zijn als de zwakste verbinding ermee.

Wat het handhavingsbevel betekent voor uw gegevensrechten

Politiekorpsen verwerken persoonsgegevens onder een specifiek deel van de Data Protection Act 2018, dat de verwerking voor wetshandhaving betreft. Dit brengt verplichtingen met zich mee op het gebied van beveiliging, nauwkeurigheid en het beperken van wie gegevens mag zien. Een handhavingsbevel geeft aan dat de toezichthouder van mening is dat aan die verplichtingen niet is voldaan en geverifieerde wijzigingen wil, niet alleen een excuus.

Voor individuen is de praktische betekenis tweeledig. Ten eerste houden toezichthouders overheidsinstanties wel degelijk ter verantwoording, zelfs als de uitkomst hier een berisping en een bevel is in plaats van een boete. Ten tweede hoeft u niet te wachten tot een toezichthouder actie onderneemt. U heeft het recht om te vragen welke gegevens een organisatie over u bezit.

De ICO heeft het politiële gegevensbeheer op meerdere fronten onder de loep genomen. Onze berichtgeving over de gezichtsherkenningaudits van de politie door de ICO toont hetzelfde thema: krachtige hulpmiddelen worden snel ingevoerd en het toezicht haalt hen langzaam in. Voor een blik op hoe kostbaar en onzeker die hulpmiddelen in de praktijk kunnen zijn, zie ons rapport over de gezichtsherkenningspilot van de British Transport Police.

Hoe u een verzoek om inzage indient bij een overheidsinstantie

Een verzoek om inzage (subject access request, SAR) is een verzoek om de persoonsgegevens te zien die een organisatie over u bezit. Het indienen ervan is in de meeste gevallen gratis en vereist geen advocaat.

  1. Vind de juiste contactpersoon. De meeste politiekorpsen en overheidsinstanties hebben een team voor gegevensbescherming of informatierechten. Hun website vermeldt meestal een SAR-formulier of e-mailadres.
  2. Wees specifiek. Vermeld wie u bent, voeg een identiteitsbewijs toe en beschrijf welke gegevens u wilt, zoals rapporten, incidentregistraties of correspondentie, met globale datums.
  3. Vraag naar deling. U kunt ook vragen met wie uw gegevens zijn gedeeld, wat platforms van derde partijen kan onthullen.
  4. Houd een administratie bij. Noteer de datum waarop u het verzoek heeft verzonden. Organisaties hebben doorgaans één maand om te reageren, hoewel dit voor complexe verzoeken kan worden verlengd.
  5. Verwacht enkele beperkingen. De politie kan informatie achterhouden als vrijgave een onderzoek of andere politietaken zou schaden. Ze moeten u nog steeds vertellen of ze gegevens bezitten waar dat mogelijk is.
  6. Escaleer indien nodig. Als u geen of een onbevredigend antwoord krijgt, kunt u een klacht indienen bij de ICO.

Wat dit voor u betekent

De ICO Met Police Auror berisping is een herinnering dat gegevens die aan de politie worden gegeven niet op één plek blijven. Als u een misdrijf heeft gemeld, getuige bent geweest of genoemd bent in een rapport, kunnen uw gegevens door systemen van externe leveranciers gaan. De maatregel van de toezichthouder suggereert dat de waarborgen rond die systemen meer aandacht verdienen.

U kunt niet bepalen hoe een korps zijn hulpmiddelen configureert, maar u kunt wel vragen stellen en uw rechten uitoefenen.

Belangrijkste punten

  • Lees de gepubliceerde berisping en het handhavingsbevel van de ICO voor de volledige details van de tekortkomingen van de Met.
  • Onthoud dat een berisping bevindingen vastlegt, terwijl een handhavingsbevel juridisch bindend is.
  • Dien een verzoek om inzage in bij uw lokale politiekorps of een overheidsinstantie waarvan u vermoedt dat deze gegevens over u bezit, en vraag met wie deze zijn gedeeld.
  • Bewaar kopieën van uw verzoek en eventuele reacties, en dien een klacht in bij de ICO als u niet tevreden bent.
  • Lees voor bredere context over hoe toezichthouders het politiële gegevensbeheer onder de loep nemen ons artikel over de gezichtsherkenningaudits van de politie door de ICO.

De ICO Met Police Auror berisping is één geval, maar het recht waarop het wijst is voor iedereen beschikbaar. Een enkel verzoek om inzage is de eenvoudigste manier om erachter te komen wat er over u wordt bijgehouden.