Storbritannias datatilsyn har utstedt en reprimande og et håndhevingsvarsel til Metropolitan Police Service. ICO Met Police Auror-reprimanden følger etter personvernsvikt knyttet til Auror, en plattform som brukes i rapportering av butikkriminalitet. Det er en formell irettesettelse av landets største politistyrke, og den reiser et spørsmål som gjelder langt utenfor London: hva skjer med personopplysninger når de forlater et politisystem og passerer gjennom et tredjepartsverktøy?

Dette innlegget dekker det som er rapportert, hvorfor tredjepartsplattformer er et tilbakevendende svakt punkt, og hvordan du kan finne ut hva offentlige organer har registrert om deg.

Hva ICO fant i Met- og Auror-saken

Ifølge Infosecurity Magazine har Information Commissioner's Office (ICO) gitt Met både en reprimande og et håndhevingsvarsel på grunn av personvernsvikt knyttet til Auror-plattformen. ICOs egen kunngjøring beskriver tiltaket som relatert til svikt i informasjonsstyringen hos styrken.

De to tiltakene er forskjellige. En reprimande er en formell kritikk som registrerer tilsynsmyndighetens funn. Et håndhevingsvarsel går lenger: det er en juridisk bindende instruks som krever at organisasjonen iverksetter bestemte tiltak for å rette opp problemene. Manglende etterlevelse kan føre til ytterligere regulatoriske tiltak.

Det korte sammendraget som så langt er tilgjengelig, gjengir ikke alle detaljer om sviktene, og vi har unngått å gjette på dem. Lesere som ønsker de fullstendige funnene, bør se ICOs publiserte reprimande og håndhevingsvarsel for de nøyaktige bruddene, de påberopte lovbestemmelsene og de korrigerende tiltakene Met må gjennomføre.

Hvordan tredjepartsplattformer setter data politiet besitter i fare

Aurors egen markedsføring sier at plattformen er rullet ut over hele London for å hjelpe med å håndtere gjengangere og organisert butikkriminalitet. Verktøy som dette befinner seg mellom private organisasjoner, som butikker, og politiet. Det er nyttig for å koble sammen rapporter, men det skaper også en kjede av ansvar som er vanskeligere å kontrollere.

Når personopplysninger beveger seg gjennom et tredjepartssystem, kan flere ting gå galt:

  • Uklart ansvar. Hvis en butikk, en leverandør og en politistyrke alle berører samme post, kan det være vanskelig å si hvem som bestemmer hvordan den brukes, deles eller slettes.
  • Bredere tilgang enn tiltenkt. Ansatte eller brukere som ikke skal se viss informasjon, kan få tilgang til den hvis tillatelsene er løst satt.
  • Svakt tilsyn med leverandører. En organisasjon forblir ansvarlig for personopplysninger selv når en leverandør håndterer dem.

Dette er ikke unikt for politiet. Det samme mønsteret med konsentrerte data og bred eksponering er synlig i UK Biobank-hacket, der data om 500 000 frivillige ble lagt ut for salg. Den felles tråden er at sentraliserte data bare er så trygge som den svakeste forbindelsen inn til dem.

Hva håndhevingsvarselet betyr for dine datarettigheter

Politistyrker behandler personopplysninger under en spesifikk del av Data Protection Act 2018, som dekker rettshåndhevelsesbehandling. Den medfører forpliktelser knyttet til sikkerhet, nøyaktighet og begrensning av hvem som kan se data. Et håndhevingsvarsel signaliserer at tilsynsmyndigheten mener disse forpliktelsene ikke ble oppfylt, og ønsker verifiserte endringer, ikke bare en unnskyldning.

For enkeltpersoner er den praktiske betydningen todelt. For det første holder tilsynsmyndigheter faktisk offentlige organer ansvarlige, selv om utfallet her er en reprimande og et varsel snarere enn en bot. For det andre trenger du ikke vente på at en tilsynsmyndighet skal handle. Du har rett til å spørre hva en organisasjon har registrert om deg.

ICO har gransket politiets datahåndtering på flere fronter. Vår dekning av ICOs revisjoner av politiets ansiktsgjenkjenning viser samme tema: kraftige verktøy tas i bruk raskt, og tilsynet kommer etter. For en titt på hvor kostbare og usikre disse verktøyene kan være i praksis, se vår rapport om British Transport Polices pilotprosjekt for ansiktsgjenkjenning.

Hvordan sende inn en innsynsbegjæring til et offentlig organ

En innsynsbegjæring (subject access request, SAR) er en forespørsel om å se personopplysningene en organisasjon har registrert om deg. Å sende inn en er gratis i de fleste tilfeller og krever ikke advokat.

  1. Finn riktig kontaktpunkt. De fleste politistyrker og offentlige organer har et personvern- eller informasjonsrettsteam. Nettstedet deres viser vanligvis et SAR-skjema eller en e-postadresse.
  2. Vær spesifikk. Si hvem du er, inkluder identitetsbevis, og beskriv hvilke poster du ønsker, som rapporter, hendelseslogger eller korrespondanse, med omtrentlige datoer.
  3. Spør om deling. Du kan også spørre hvem dine data har blitt delt med, noe som kan avsløre involverte tredjepartsplattformer.
  4. Hold en oversikt. Noter datoen du sendte forespørselen. Organisasjoner har generelt én måned til å svare, men dette kan forlenges ved komplekse forespørsler.
  5. Forvent visse begrensninger. Politiet kan holde tilbake informasjon hvis utlevering vil skade en etterforskning eller andre politiformål. De bør likevel fortelle deg om de har data der de kan.
  6. Klag videre ved behov. Hvis du ikke får svar eller får et utilfredsstillende svar, kan du klage til ICO.

Hva dette betyr for deg

ICO Met Police Auror-reprimanden er en påminnelse om at data som overleveres til politiet, ikke forblir på ett sted. Hvis du har anmeldt en forbrytelse, vært vitne eller blitt nevnt i en rapport, kan opplysningene dine passere gjennom systemer som drives av eksterne leverandører. Tilsynsmyndighetens tiltak tyder på at sikkerhetstiltakene rundt disse systemene fortjener større oppmerksomhet.

Du kan ikke kontrollere hvordan en styrke konfigurerer verktøyene sine, men du kan stille spørsmål og bruke rettighetene dine.

Hovedpunkter

  • Les ICOs publiserte reprimande og håndhevingsvarsel for alle detaljer om Mets svikt.
  • Husk at en reprimande registrerer funn, mens et håndhevingsvarsel er juridisk bindende.
  • Send inn en innsynsbegjæring til din lokale politistyrke eller ethvert offentlig organ du mistenker har data om deg, og spør hvem de har blitt delt med.
  • Ta vare på kopier av forespørselen din og eventuelle svar, og klag til ICO hvis du ikke er fornøyd.
  • For bredere kontekst om hvordan tilsynsmyndigheter gransker politiets datahåndtering, les vår artikkel om ICOs revisjoner av politiets ansiktsgjenkjenning.

ICO Met Police Auror-reprimanden er én sak, men rettigheten den peker på, er tilgjengelig for alle. En enkelt innsynsbegjæring er den enkleste måten å finne ut hva som er registrert om deg.