En CBC-undersøkelse har avdekket en massiv lekkasje av tips til Crime Stoppers, og ettervirkningene reiser et ubehagelig spørsmål. Når en organisasjon lover anonymitet og deretter mislykkes med å beskytte den, hvem står til ansvar for den svikten? Historien om personvernbruddet hos Crime Stoppers tok en urovekkende vending etter at både føderale og provinsielle personvernvakter antydet at hendene deres er bundet.

Hva Crime Stoppers-lekkasjen avslørte

CBCs undersøkelse fant en storskala lekkasje av tips sendt inn til Crime Stoppers. En juridiskekspert sitert i reportasjen sa at det kan være «et av de verste bruddene i canadisk historie». Det er en sterk uttalelse, og den gjenspeiler naturen til dataene som er involvert: tips fra personer som fikk beskjed om at de kunne si fra uten å bli identifisert.

Annen dekning av saken har sitert tall som mer enn 1,5 millioner tips sendt inn de siste 25 årene, og noen rapporter nevner at Toronto Crime Stoppers har satt tipslinjen på pause. Tallene varierer mellom medier, så vi behandler ikke noe enkelt tall som endelig her. CBC-reportasjen er det beste stedet å sjekke detaljene etter hvert som de utvikler seg.

Det som betyr noe for leserne, er typen informasjon som står på spill. Tipslinjer kan inneholde detaljer om naboer, slektninger, arbeidsplasser og noen ganger tipsers egne omstendigheter. Selv når en innsending ikke inneholder et navn, kan innholdet peke på hvem som skrev det.

Hvorfor Canadas personvernvakter sier hendene er bundet

Ifølge CBCs oppsummering av sin reportasje har både de føderale og provinsielle personvernvaktene antydet at de har begrenset evne til å handle. I klartekst: kontorene som canadiere normalt forventer skal etterforske og reagere på store datainnbrudd, signaliserer at de kanskje ikke kan holde Crime Stoppers ansvarlig.

Vi vil ikke spekulere i den nøyaktige juridiske begrunnelsen, siden detaljene tilhører CBCs fulle reportasje. Det overordnede poenget er likevel lett å forstå. Personvernregulatorer kan bare handle innenfor de fullmaktene lovene deres gir dem. Når en organisasjon faller inn i et gap i disse lovene, kan et alvorlig brudd skje uten en klar vei til håndheving.

Dette gapet er ikke unikt for denne saken. Vi har dekket lignende bekymringer i Alberta-velgeres datainnbrudd, der eksponeringen av personopplysningene til rundt tre millioner velgere fremhevet hvordan politiske partier befinner seg i et uklart hjørne av personvernet. Ulike organisasjoner, samme mønster: sensitive data holdes av grupper hvis ansvarlighet er uklar.

Hva dette betyr for anonyme tipsere

For alle som har brukt en tipslinje, eller kanskje vil gjøre det i fremtiden, er de praktiske lærdommene nøkterne men håndterbare.

Anonymitet er et løfte, ikke en garanti. En tipslinje kan oppriktig ha til hensikt å beskytte identiteten din og likevel lagre informasjonen din i et system som blir hacket. Løftet er bare så sterkt som sikkerheten bak det og de juridiske konsekvensene av å ikke opprettholde det.

Muligheten for oppreisning kan være begrenset. Hvis regulatorer sier de ikke kan handle, har personer som er berørt av et brudd, færre åpenbare steder å henvende seg. Det reduserer presset på organisasjoner til å investere i sikkerhet, og det lar enkeltpersoner bære risikoen.

Detaljer kan identifisere deg selv uten et navn. Skrivestil, timing, spesifikke hendelser og personlige referanser kan alle innsnevre hvem som sendte inn et tips. Hvis en database eksponeres, blir disse detaljene det svake punktet.

Ingenting av dette betyr at tipslinjer er ubrukelige eller at folk bør slutte å rapportere alvorlige forbrytelser. Det betyr at du bør gå inn i det med et realistisk syn på hvor mye beskyttelse du faktisk har, og tenke over hva du inkluderer i en innsending.

Hva dette betyr for deg

De fleste lesere vil aldri sende inn et tips til Crime Stoppers, men den underliggende lærdommen gjelder bredt. Organisasjoner som lover anonymitet eller konfidensialitet, fra tipslinjer til undersøkelsesplattformer til påvirkningsgrupper, lagrer data som kan hackes som alle andre. Hvorvidt en regulator kan gripe inn etterpå, avhenger av lover du sannsynligvis ikke har lest.

Den samme bekymringen dukker opp i politiske debatter andre steder. Vår dekning av Ottawas lov om nettsikkerhet og dens alderskontroller gjenspeiler en lignende spenning: systemer som samler inn mer personlig informasjon, skaper mer å beskytte, og kritikere stiller spørsmål ved om sikkerhetstiltakene er sterke nok.

Hvordan begrense din egen dataeksponering

Du kan ikke kontrollere hvordan en organisasjon sikrer serverne sine, men du kan kontrollere hva du overlater.

  • Del minimum. Før du sender inn en rapport, et skjema eller et tips, spør om hver detalj er nødvendig. Utelat informasjon som kan peke tilbake til deg hvis den ikke er essensiell.
  • Skill identiteten din fra innsendingen. Unngå å bruke personlige e-postkontoer, arbeidsenheter eller arbeidsnettverk for sensitive rapporter. En VPN kan skjule IP-adressen din fra tjenesten som mottar den, men den beskytter ikke innholdet du sender inn når det først er lagret.
  • Les personvernvilkårene. Se etter hvor lenge data oppbevares, hvem som har tilgang til dem, og om organisasjonen sier den er dekket av personvernlovgivning. Vage svar er et signal om å være mer forsiktig.
  • Vurder alternative kanaler. For alvorlige saker, tenk over om en advokat, en pålitelig fagperson eller en direkte rapport til relevant myndighet passer situasjonen din bedre enn et anonymt nettskjema.
  • Følg med på offisielle varsler. Hvis du har brukt en tjeneste som er nevnt i et brudd, følg oppdateringer fra organisasjonen og fra nyhetsmedier som CBC om hva som ble eksponert.

Konklusjonen

Debatten om personvern i Crime Stoppers-datainnbruddet er en påminnelse om at et løfte om anonymitet bare er så sterkt som sikkerhetstiltakene og lovene bak det. Med canadiske regulatorer som antyder at hendene deres er bundet, flyttes byrden over på enkeltpersoner om å tenke nøye gjennom hva de deler. Bruk noen minutter denne uken på å gjennomgå hvilke organisasjoner som har sensitiv informasjon om deg, og hva de har lovet i retur. For et annet eksempel på hull i canadisk databeskyttelse, les vår rapport om Alberta-velgeres datainnbrudd.