Расследование CBC выявило массовую утечку наводок Crime Stoppers, и его последствия поднимают неудобный вопрос. Когда организация обещает анонимность, а затем не может её защитить, кто несёт ответственность за эту неудачу? История об утечке данных Crime Stoppers и конфиденциальности приняла тревожный оборот после того, как федеральные и провинциальные надзорные органы по защите конфиденциальности дали понять, что связаны по рукам.

Что выявила утечка Crime Stoppers

Расследование CBC обнаружило масштабную утечку наводок, поданных в Crime Stoppers. Юрист, процитированный в репортаже, заявил, что это может быть «одной из худших утечек в канадской истории». Это сильное заявление, и оно отражает характер затронутых данных: наводки от людей, которым говорили, что они могут говорить, не раскрывая своей личности.

Другие материалы по этой истории приводили цифры, такие как более 1,5 миллиона наводок, поданных за последние 25 лет, а некоторые отчёты упоминают о приостановке линии наводок Toronto Crime Stoppers. Цифры различаются между изданиями, поэтому мы не рассматриваем какую-либо отдельную цифру как окончательную. Отчёт CBC — лучшее место для проверки конкретных данных по мере их развития.

Для читателей важно то, какой тип информации находится под угрозой. Линии наводок могут содержать сведения о соседях, родственниках, местах работы, а иногда и о собственных обстоятельствах информатора. Даже когда сообщение не содержит имени, его содержание может указывать на то, кто его написал.

Почему канадские надзорные органы по защите конфиденциальности говорят, что связаны по рукам

Согласно резюме CBC своего репортажа, как федеральные, так и провинциальные надзорные органы по защите конфиденциальности дали понять, что их возможности действовать ограничены. Проще говоря, ведомства, от которых канадцы обычно ожидают расследования и реагирования на крупные утечки данных, сигнализируют о том, что, возможно, не смогут привлечь Crime Stoppers к ответственности.

Мы не будем строить предположения о точных юридических основаниях, поскольку детали принадлежат полному репортажу CBC. Однако общий смысл легко понять. Регуляторы конфиденциальности могут действовать только в пределах полномочий, которые дают им их законы. Когда организация попадает в пробел в этих законах, серьёзная утечка может произойти без чёткого пути к принудительному исполнению.

Этот пробел не уникален для данного случая. Мы освещали похожие проблемы в материале об утечке данных избирателей Альберты, где раскрытие личной информации примерно трёх миллионов избирателей показало, как политические партии находятся в мутном углу защиты конфиденциальности. Разные организации, одна и та же закономерность: конфиденциальные данные хранятся у групп, ответственность которых неясна.

Что это значит для анонимных информаторов

Для всех, кто пользовался линией наводок или может воспользоваться ею в будущем, практические выводы отрезвляют, но остаются управляемыми.

Анонимность — это обещание, а не гарантия. Линия наводок может искренне намереваться защитить вашу личность и при этом хранить вашу информацию в системе, которая будет взломана. Обещание сильно ровно настолько, насколько сильна стоящая за ним безопасность и правовые последствия за его невыполнение.

Средства правовой защиты могут быть ограничены. Если регуляторы заявляют, что не могут действовать, у людей, затронутых утечкой, остаётся меньше очевидных мест, куда можно обратиться. Это снижает давление на организации в вопросах инвестирования в безопасность и оставляет риск на плечах частных лиц.

Детали могут идентифицировать вас даже без имени. Стиль письма, время, конкретные события и личные отсылки — всё это может сузить круг тех, кто подал наводку. Если база данных раскрыта, эти детали становятся слабым местом.

Ничто из этого не означает, что линии наводок бесполезны или что людям следует перестать сообщать о серьёзных преступлениях. Это означает, что вам следует исходить из реалистичного представления о том, насколько сильную защиту вы на самом деле имеете, и подумать о том, что вы включаете в своё сообщение.

Что это значит для вас

Большинство читателей никогда не подадут наводку в Crime Stoppers, но лежащий в основе урок применим широко. Организации, которые обещают анонимность или конфиденциальность — от линий наводок до платформ опросов и правозащитных групп, — хранят данные, которые могут быть взломаны, как и любые другие. Сможет ли регулятор вмешаться afterwards, зависит от законов, которые вы, вероятно, не читали.

Та же проблема проявляется и в политических дебатах в других местах. Наш материал о законопроекте Оттавы об онлайн-безопасности и проверках возраста отражает похожее напряжение: системы, собирающие больше личной информации, создают больше того, что нужно защищать, и критики сомневаются, достаточно ли сильны меры защиты.

Как ограничить собственное воздействие данных

Вы не можете контролировать, как организация защищает свои серверы, но вы можете контролировать то, что вы передаёте.

  • Делитесь минимумом. Прежде чем подавать любой отчёт, форму или наводку, спросите, необходима ли каждая деталь. Опускайте информацию, которая может указать на вас, если она не является существенной.
  • Отделяйте свою личность от сообщения. Избегайте использования личных учётных записей электронной почты, рабочих устройств или рабочих сетей для конфиденциальных отчётов. VPN может скрыть ваш IP-адрес от принимающего сервиса, но он не защищает содержание, которое вы отправляете, после того как оно сохранено.
  • Читайте условия конфиденциальности. Ищите, как долго хранятся данные, кто имеет к ним доступ и заявляет ли организация, что она подпадает под действие законов о конфиденциальности. Расплывчатые ответы — сигнал быть более осторожным.
  • Рассмотрите альтернативные каналы. Для серьёзных вопросов подумайте, подходит ли для вашей ситуации лучше, чем анонимная веб-форма, адвокат, доверенный специалист или прямой отчёт соответствующему органу.
  • Следите за официальными уведомлениями. Если вы пользовались сервисом, названным в связи с утечкой, следите за обновлениями от организации и от новостных изданий, таких как CBC, о том, что было раскрыто.

Главный вывод

Дебаты об утечке данных Crime Stoppers и конфиденциальности напоминают, что обещание анонимности сильно ровно настолько, насколько сильны стоящие за ним меры защиты и законы. Поскольку канадские регуляторы дают понять, что связаны по рукам, бремя смещается в сторону частных лиц, которым нужно тщательно думать о том, чем они делятся. Найдите несколько минут на этой неделе, чтобы проверить, какие организации хранят конфиденциальную информацию о вас и что они обещали взамен. Ещё один пример пробелов в канадской защите данных читайте в нашем отчёте об утечке данных избирателей Альберты.