O regulador de proteção de dados do Reino Unido emitiu uma repreensão e uma nota de execução ao Metropolitan Police Service. A repreensão do ICO à Met Police sobre o Auror surge após falhas de privacidade ligadas ao Auror, uma plataforma usada na comunicação de crimes no retalho. Trata-se de uma censura formal à maior força policial do país, e levanta uma questão que se aplica muito para além de Londres: o que acontece aos dados pessoais depois de saírem de um sistema policial e passarem por uma ferramenta de terceiros?
Este artigo aborda o que foi noticiado, porque é que as plataformas de terceiros são um ponto fraco recorrente e como pode descobrir o que os organismos públicos detêm sobre si.
O que o ICO concluiu no caso da Met e do Auror
De acordo com a Infosecurity Magazine, o Information Commissioner's Office (ICO) entregou à Met tanto uma repreensão como uma nota de execução devido a falhas de privacidade ligadas à plataforma Auror. O próprio anúncio do ICO descreve a ação como estando relacionada com falhas de governação da informação na força policial.
As duas medidas são diferentes. Uma repreensão é uma censura formal que regista as conclusões do regulador. Uma nota de execução vai mais longe: é uma instrução juridicamente vinculativa que exige que a organização tome medidas específicas para corrigir os problemas. O incumprimento de uma pode levar a novas ações regulatórias.
O resumo curto disponível até agora não expõe todos os detalhes das falhas, e evitámos especular sobre eles. Os leitores que queiram conhecer as conclusões completas devem consultar a repreensão e a nota de execução publicadas pelo ICO para conhecer as violações exatas, as disposições legais citadas e as medidas corretivas que a Met deve tomar.
Como as plataformas de terceiros põem em risco os dados detidos pela polícia
A própria publicidade do Auror diz que a plataforma foi implementada em toda Londres para ajudar a combater reincidentes e o crime organizado no retalho. Ferramentas como esta situam-se entre organizações privadas, como retalhistas, e a polícia. Isso é útil para agregar comunicações, mas também cria uma cadeia de custódia mais difícil de controlar.
Quando os dados pessoais passam por um sistema de terceiros, várias coisas podem correr mal:
- Responsabilidade pouco clara. Se um retalhista, um fornecedor e uma força policial tocam todos no mesmo registo, pode ser difícil dizer quem decide como é usado, partilhado ou eliminado.
- Acesso mais amplo do que o pretendido. Funcionários ou utilizadores que não deveriam ver determinadas informações podem conseguir aceder-lhes se as permissões estiverem definidas de forma pouco rigorosa.
- Fraca supervisão dos fornecedores. Uma organização continua responsável pelos dados pessoais mesmo quando um fornecedor os trata.
Isto não é exclusivo da atividade policial. O mesmo padrão de dados concentrados e ampla exposição é visível no hack ao UK Biobank, onde dados de 500 000 voluntários foram colocados à venda. O denominador comum é que os dados centralizados são apenas tão seguros quanto a ligação mais fraca que a eles conduz.
O que a nota de execução significa para os seus direitos sobre os dados
As forças policiais tratam dados pessoais ao abrigo de uma parte específica do Data Protection Act 2018, que abrange o tratamento no âmbito da aplicação da lei. Esta comporta obrigações em matéria de segurança, exatidão e limitação de quem pode ver os dados. Uma nota de execução sinaliza que o regulador considera que essas obrigações não foram cumpridas e pretende alterações verificadas, não apenas um pedido de desculpas.
Para os indivíduos, o significado prático é duplo. Primeiro, os reguladores responsabilizam os organismos públicos, mesmo que o resultado aqui seja uma repreensão e uma nota em vez de uma coima. Segundo, não tem de esperar que um regulador aja. Tem o direito de perguntar o que uma organização detém sobre si.
O ICO tem escrutinado o tratamento de dados policiais em várias frentes. A nossa cobertura das auditorias do ICO ao reconhecimento facial policial mostra o mesmo tema: ferramentas poderosas estão a ser adotadas rapidamente e a supervisão está a tentar acompanhar. Para uma análise de quão dispendiosas e incertas essas ferramentas podem ser na prática, veja o nosso relatório sobre o projeto-piloto de reconhecimento facial da British Transport Police.
Como apresentar um pedido de acesso do titular dos dados a um organismo público
Um pedido de acesso do titular dos dados (SAR) é um pedido para ver os dados pessoais que uma organização detém sobre si. Apresentá-lo é gratuito na maioria dos casos e não exige um advogado.
- Encontre o contacto certo. A maioria das forças policiais e organismos públicos tem uma equipa de proteção de dados ou de direitos de informação. O seu site normalmente indica um formulário de SAR ou um endereço de email.
- Seja específico. Diga quem é, inclua prova de identidade e descreva os registos que pretende, como relatórios, registos de incidentes ou correspondência, com datas aproximadas.
- Pergunte sobre partilhas. Também pode perguntar com quem foram partilhados os seus dados, o que pode revelar plataformas de terceiros envolvidas.
- Guarde um registo. Anote a data em que enviou o pedido. As organizações geralmente têm um mês para responder, embora este prazo possa ser prolongado para pedidos complexos.
- Conte com alguns limites. A polícia pode retter informações se a sua divulgação puder prejudicar uma investigação ou outros fins policiais. Ainda assim, deve dizer-lhe se detém dados, quando o puder fazer.
- Escale se necessário. Se não obtiver resposta ou receber uma resposta insatisfatória, pode apresentar reclamação ao ICO.
O que isto significa para si
A repreensão do ICO à Met Police sobre o Auror é um lembrete de que os dados entregues à polícia não ficam num só lugar. Se comunicou um crime, foi testemunha ou foi nomeado num relatório, os seus dados podem passar por sistemas geridos por fornecedores externos. A ação do regulador sugere que as salvaguardas em torno desses sistemas merecem mais atenção.
Não pode controlar a forma como uma força policial configura as suas ferramentas, mas pode fazer perguntas e exercer os seus direitos.
Principais conclusões
- Leia a repreensão e a nota de execução publicadas pelo ICO para conhecer em detalhe as falhas da Met.
- Lembre-se de que uma repreensão regista conclusões, enquanto uma nota de execução é juridicamente vinculativa.
- Apresente um pedido de acesso do titular dos dados à sua força policial local ou a qualquer organismo público que suspeite deter dados sobre si, e pergunte com quem foram partilhados.
- Guarde cópias do seu pedido e de qualquer resposta, e reclame junto do ICO se não estiver satisfeito.
- Para um contexto mais amplo sobre como os reguladores escrutinam o tratamento de dados policiais, leia o nosso artigo sobre as auditorias do ICO ao reconhecimento facial policial.
A repreensão do ICO à Met Police sobre o Auror é um caso, mas o direito que ela aponta está disponível para todos. Um único pedido de acesso do titular dos dados é a forma mais simples de descobrir o que é detido sobre si.
