Brytyjski regulator ochrony danych wydał naganę i nakaz egzekucyjny dla Metropolitan Police Service. Nagana ICO dla Metropolitan Police w sprawie Auror wynika z naruszeń prywatności związanych z Auror, platformą wykorzystywaną w zgłaszaniu przestępczości detalicznej. To formalne upomnienie skierowane do największej brytyjskiej służby policyjnej, które rodzi pytanie wykraczające daleko poza Londyn: co dzieje się z danymi osobowymi, gdy opuszczą one system policyjny i przejdą przez narzędzie strony trzeciej?

W tym artykule omawiamy, co zostało zgłoszone, dlaczego platformy stron trzecich są powracającym słabym punktem oraz jak możesz dowiedzieć się, jakie dane na Twój temat posiadają instytucje publiczne.

Co ICO ustaliło w sprawie Metropolitan Police i Auror

Według Infosecurity Magazine Information Commissioner's Office (ICO) wydało Metropolitan Police zarówno naganę, jak i nakaz egzekucyjny w związku z naruszeniami prywatności dotyczącymi platformy Auror. Własne oświadczenie ICO opisuje tę decyzję jako związaną z niepowodzeniami w zarządzaniu informacjami w tej służbie.

Te dwa środki różnią się od siebie. Nagana to formalne upomnienie, które dokumentuje ustalenia regulatora. Nakaz egzekucyjny idzie dalej: jest prawnie wiążącym poleceniem wymagającym od organizacji podjęcia określonych kroków w celu naprawienia problemów. Niewykonanie nakazu może prowadzić do dalszych działań regulacyjnych.

Dotychczasowe krótkie podsumowanie nie zawiera wszystkich szczegółów dotyczących naruszeń, a my unikaliśmy zgadywania ich. Czytelnicy, którzy chcą poznać pełne ustalenia, powinni sięgnąć do opublikowanej przez ICO nagany i nakazu egzekucyjnego, aby poznać dokładne naruszenia, przywołane przepisy prawne oraz kroki naprawcze, które Metropolitan Police musi podjąć.

Jak platformy stron trzecich narażają dane będące w posiadaniu policji

Materiały promocyjne samego Auror głoszą, że platforma została wdrożona w całym Londynie, aby pomóc w zwalczaniu recydywistów i zorganizowanej przestępczości detalicznej. Narzędzia takie jak to znajdują się między organizacjami prywatnymi, takimi jak sprzedawcy detaliczni, a policją. Jest to przydatne do łączenia zgłoszeń, ale tworzy także łańcuch odpowiedzialności, który jest trudniejszy do kontrolowania.

Gdy dane osobowe przepływają przez system strony trzeciej, kilka rzeczy może pójść nie tak:

  • Niejasna odpowiedzialność. Jeśli sprzedawca detaliczny, dostawca i służba policyjna mają dostęp do tego samego rekordu, trudno powiedzieć, kto decyduje o tym, jak jest on wykorzystywany, udostępniany lub usuwany.
  • Szerszy dostęp niż zamierzony. Pracownicy lub użytkownicy, którzy nie powinni widzieć określonych informacji, mogą mieć do nich dostęp, jeśli uprawnienia są luźno ustawione.
  • Słaby nadzór nad dostawcami. Organizacja pozostaje odpowiedzialna za dane osobowe, nawet gdy obsługuje je dostawca.

Nie dotyczy to wyłącznie policji. Ten sam wzorzec skoncentrowanych danych i szerokiego narażenia jest widoczny w ataku hakerskim na UK Biobank, gdzie dane 500 000 ochotników zostały wystawione na sprzedaż. Wspólnym wątkiem jest to, że bezpieczeństwo scentralizowanych danych jest tak silne, jak najsłabsze połączenie z nimi.

Co nakaz egzekucyjny oznacza dla Twoich praw do danych

Służby policyjne przetwarzają dane osobowe na podstawie konkretnej części Data Protection Act 2018, która obejmuje przetwarzanie na potrzeby organów ścigania. Nakłada ona obowiązki w zakresie bezpieczeństwa, dokładności i ograniczania kręgu osób mogących widzieć dane. Nakaz egzekucyjny sygnalizuje, że regulator uważa, iż obowiązki te nie zostały spełnione i oczekuje zweryfikowanych zmian, a nie tylko przeprosin.

Dla osób fizycznych praktyczne znaczenie jest dwojakie. Po pierwsze, regulatorzy rzeczywiście pociągają instytucje publiczne do odpowiedzialności, nawet jeśli wynikiem jest tu nagana i nakaz, a nie grzywna. Po drugie, nie musisz czekać, aż regulator podejmie działania. Masz prawo zapytać, jakie dane na Twój temat posiada organizacja.

ICO przyglądało się obsłudze danych przez policję w kilku obszarach. Nasze omówienie audytów ICO dotyczących rozpoznawania twarzy przez policję pokazuje ten sam motyw: potężne narzędzia są wdrażane szybko, a nadzór nadąża za nimi. Aby zobaczyć, jak kosztowne i niepewne mogą być te narzędzia w praktyce, zobacz nasz raport o pilotażu rozpoznawania twarzy przez British Transport Police.

Jak złożyć wniosek o dostęp do danych osobowych do instytucji publicznej

Wniosek o dostęp do danych osobowych (SAR) to żądanie udostępnienia danych osobowych, które organizacja posiada na Twój temat. Złożenie go jest w większości przypadków bezpłatne i nie wymaga prawnika.

  1. Znajdź właściwy kontakt. Większość służb policyjnych i instytucji publicznych ma zespół ds. ochrony danych lub praw do informacji. Ich strona internetowa zwykle zawiera formularz SAR lub adres e-mail.
  2. Bądź konkretny. Podaj, kim jesteś, dołącz dowód tożsamości i opisz dokumenty, które chcesz uzyskać, takie jak raporty, dzienniki zdarzeń lub korespondencję, z przybliżonymi datami.
  3. Zapytaj o udostępnianie. Możesz również zapytać, komu udostępniono Twoje dane, co może ujawnić zaangażowane platformy stron trzecich.
  4. Zachowaj dokumentację. Zanotuj datę wysłania wniosku. Organizacje mają zazwyczaj miesiąc na odpowiedź, choć w przypadku złożonych wniosków termin ten może zostać wydłużony.
  5. Spodziewaj się pewnych ograniczeń. Policja może wstrzymać informacje, jeśli ich ujawnienie mogłoby zaszkodzić śledztwu lub innym celom policyjnym. Powinna jednak poinformować Cię, czy posiada dane, gdy jest to możliwe.
  6. Odwołaj się w razie potrzeby. Jeśli nie otrzymasz odpowiedzi lub będzie ona niezadowalająca, możesz złożyć skargę do ICO.

Co to oznacza dla Ciebie

Nagana ICO dla Metropolitan Police w sprawie Auror przypomina, że dane przekazane policji nie pozostają w jednym miejscu. Jeśli zgłosiłeś przestępstwo, byłeś świadkiem lub zostałeś wymieniony w raporcie, Twoje dane mogą przechodzić przez systemy prowadzone przez zewnętrznych dostawców. Działanie regulatora sugeruje, że zabezpieczenia wokół tych systemów zasługują na bliższą uwagę.

Nie możesz kontrolować, jak służba konfiguruje swoje narzędzia, ale możesz zadawać pytania i korzystać ze swoich praw.

Najważniejsze wnioski

  • Przeczytaj opublikowaną przez ICO naganę i nakaz egzekucyjny, aby poznać pełne szczegóły naruszeń Metropolitan Police.
  • Pamiętaj, że nagana dokumentuje ustalenia, podczas gdy nakaz egzekucyjny jest prawnie wiążący.
  • Złóż wniosek o dostęp do danych osobowych do swojej lokalnej służby policyjnej lub dowolnej instytucji publicznej, co do której podejrzewasz, że posiada Twoje dane, i zapytaj, komu zostały udostępnione.
  • Zachowaj kopie swojego wniosku i wszelkich odpowiedzi, a jeśli nie jesteś usatysfakcjonowany, złóż skargę do ICO.
  • Aby uzyskać szerszy kontekst dotyczący tego, jak regulatorzy przyglądają się obsłudze danych przez policję, przeczytaj nasz artykuł o audytach ICO dotyczących rozpoznawania twarzy przez policję.

Nagana ICO dla Metropolitan Police w sprawie Auror to jeden przypadek, ale prawo, na które wskazuje, jest dostępne dla wszystkich. Pojedynczy wniosek o dostęp do danych osobowych to najprostszy sposób, aby dowiedzieć się, jakie dane są na Twój temat przechowywane.