Autoritatea de reglementare în domeniul protecției datelor din Regatul Unit a emis o reprimandă și o notificare de aplicare către Serviciul de Poliție Metropolitan. Reprimanda ICO Met Police Auror urmează unor deficiențe de confidențialitate legate de Auror, o platformă folosită în raportarea infracțiunilor din comerțul cu amănuntul. Este o mustrare formală adresată celei mai mari forțe de poliție din țară și ridică o întrebare care se aplică mult dincolo de Londra: ce se întâmplă cu datele personale odată ce părăsesc un sistem de poliție și trec printr-un instrument terț?
Acest articol acoperă ceea ce a fost raportat, de ce platformele terțe sunt un punct slab recurent și cum poți afla ce dețin instituțiile publice despre tine.
Ce a constatat ICO în cazul Met și Auror
Potrivit Infosecurity Magazine, Oficiul Comisarului pentru Informații (ICO) a înmânat Met atât o reprimandă, cât și o notificare de aplicare cu privire la deficiențe de confidențialitate legate de platforma Auror. Anunțul ICO descrie acțiunea ca fiind legată de eșecuri de guvernanță a informațiilor la nivelul forței de poliție.
Cele două măsuri sunt diferite. O reprimandă este o mustrare formală care consemnează constatările autorității de reglementare. O notificare de aplicare merge mai departe: este o instrucțiune obligatorie din punct de vedere legal care cere organizației să ia măsuri specificate pentru a remedia problemele. Nerespectarea acesteia poate duce la acțiuni de reglementare suplimentare.
Rezumatul scurt disponibil până acum nu prezintă fiecare detaliu al deficiențelor și am evitat să facem presupuneri despre acestea. Cititorii care doresc constatările complete ar trebui să consulte reprimanda și notificarea de aplicare publicate de ICO pentru a afla încălcările exacte, prevederile legale citate și măsurile corective pe care Met trebuie să le ia.
Cum platformele terțe pun în pericol datele deținute de poliție
Materialele publicitare ale Auror afirmă că platforma a fost implementată în tot Londra pentru a ajuta la combaterea infractorilor recidiviști și a criminalității organizate din comerțul cu amănuntul. Instrumente ca acesta se situează între organizații private, precum comercianții cu amănuntul, și poliție. Acest lucru este util pentru unirea rapoartelor, dar creează și un lanț de custodie mai greu de controlat.
Când datele personale trec printr-un sistem terț, mai multe lucruri pot merge prost:
- Responsabilitate neclară. Dacă un comerciant cu amănuntul, un furnizor și o forță de poliție ating toți aceeași înregistrare, poate fi greu de spus cine decide cum este utilizată, partajată sau ștearsă.
- Acces mai larg decât era prevăzut. Personalul sau utilizatorii care nu ar trebui să vadă anumite informații ar putea ajunge la ele dacă permisiunile sunt configurate lax.
- Supraveghere slabă a furnizorilor. O organizație rămâne responsabilă pentru datele personale chiar și atunci când un furnizor le gestionează.
Acest lucru nu este unic pentru activitatea de poliție. Același tipar de date concentrate și expunere largă este vizibil în hackul UK Biobank, unde datele a 500.000 de voluntari au fost scoase la vânzare. Firul comun este că datele centralizate sunt doar atât de sigure pe cât este cea mai slabă conexiune către ele.
Ce înseamnă notificarea de aplicare pentru drepturile tale asupra datelor
Forțele de poliție prelucrează date personale în temeiul unei părți specifice din Legea privind protecția datelor din 2018, care acoperă prelucrarea în scopuri de aplicare a legii. Aceasta implică obligații privind securitatea, exactitatea și limitarea cui poate vedea datele. O notificare de aplicare semnalează că autoritatea de reglementare consideră că acele obligații nu au fost îndeplinite și dorește schimbări verificate, nu doar o scuză.
Pentru persoane fizice, semnificația practică este dublă. În primul rând, autoritățile de reglementare trag la răspundere instituțiile publice, chiar dacă rezultatul aici este o reprimandă și o notificare, nu o amendă. În al doilea rând, nu trebuie să aștepți ca o autoritate de reglementare să acționeze. Ai dreptul să întrebi ce deține o organizație despre tine.
ICO a examinat cu atenție gestionarea datelor de către poliție pe mai multe fronturi. Articolul nostru despre auditurile ICO privind recunoașterea facială în poliție arată aceeași temă: instrumente puternice sunt adoptate rapid, iar supravegherea recuperează din urmă. Pentru o privire asupra cât de costisitoare și incerte pot fi aceste instrumente în practică, consultați raportul nostru despre pilotul de recunoaștere facială al British Transport Police.
Cum să depui o cerere de acces la datele personale la o instituție publică
O cerere de acces la datele personale (SAR) este o solicitare de a vedea datele personale pe care o organizație le deține despre tine. Depunerea uneia este gratuită în majoritatea cazurilor și nu necesită un avocat.
- Găsește contactul potrivit. Majoritatea forțelor de poliție și instituțiilor publice au o echipă de protecție a datelor sau de drepturi de informare. Site-ul lor web listează de obicei un formular SAR sau o adresă de e-mail.
- Fii specific. Spune cine ești, include dovada identității și descrie înregistrările pe care le dorești, cum ar fi rapoarte, jurnale de incidente sau corespondență, cu date aproximative.
- Întreabă despre partajare. Poți de asemenea să întrebi cu cine au fost partajate datele tale, ceea ce poate dezvălui platforme terțe implicate.
- Păstrează o evidență. Notează data la care ai trimis cererea. Organizațiile au în general o lună pentru a răspunde, deși aceasta poate fi extinsă pentru cereri complexe.
- Așteaptă-te la unele limitări. Poliția poate reține informații dacă divulgarea acestora ar prejudicia o investigație sau alte scopuri de poliție. Ar trebui totuși să îți spună dacă dețin date, acolo unde pot.
- Escaladează dacă este necesar. Dacă nu primești niciun răspuns sau unul nesatisfăcător, poți depune o plângere la ICO.
Ce înseamnă acest lucru pentru tine
Reprimanda ICO Met Police Auror este un memento că datele predate poliției nu rămân într-un singur loc. Dacă ai raportat o infracțiune, ai fost martor sau ai fost menționat într-un raport, detaliile tale pot trece prin sisteme administrate de furnizori externi. Acțiunea autorității de reglementare sugerează că garanțiile din jurul acestor sisteme merită o atenție mai mare.
Nu poți controla modul în care o forță de poliție își configurează instrumentele, dar poți pune întrebări și îți poți exercita drepturile.
Concluzii principale
- Citiți reprimanda și notificarea de aplicare publicate de ICO pentru detaliile complete ale deficiențelor Met.
- Rețineți că o reprimandă consemnează constatări, în timp ce o notificare de aplicare este obligatorie din punct de vedere legal.
- Depuneți o cerere de acces la datele personale la forța de poliție locală sau la orice instituție publică despre care suspectați că deține date despre dvs. și întrebați cu cine au fost partajate.
- Păstrați copii ale cererii dvs. și ale oricărui răspuns și depuneți o plângere la ICO dacă nu sunteți mulțumit.
- Pentru un context mai larg despre modul în care autoritățile de reglementare examinează gestionarea datelor de către poliție, citiți articolul nostru despre auditurile ICO privind recunoașterea facială în poliție.
Reprimanda ICO Met Police Auror este un singur caz, dar dreptul la care indică este disponibil pentru toată lumea. O singură cerere de acces la datele personale este cea mai simplă modalitate de a afla ce se deține despre tine.
