Регулятор Великобритании по защите данных вынес выговор и предписание Службе полиции Метрополии. Выговор ICO полиции Метрополии по делу Auror последовал за нарушениями конфиденциальности, связанными с Auror — платформой, используемой для сообщений о преступлениях в розничной торговле. Это официальное порицание крупнейшей полицейской службы страны, и оно поднимает вопрос, актуальный далеко за пределами Лондона: что происходит с персональными данными после того, как они покидают полицейскую систему и проходят через сторонний инструмент?

В этом материале рассказывается о том, что было сообщено, почему сторонние платформы являются повторяющейся слабой точкой и как вы можете узнать, какие данные о вас хранят государственные органы.

Что ICO обнаружила в деле полиции Метрополии и Auror

Согласно Infosecurity Magazine, Управление комиссара по информации (ICO) вынесло полиции Метрополии как выговор, так и предписание в связи с нарушениями конфиденциальности, связанными с платформой Auror. В собственном заявлении ICO это действие описывается как связанное с failures в управлении информацией в службе.

Эти две меры различаются. Выговор — это официальное порицание, фиксирующее выводы регулятора. Предписание идёт дальше: это юридически обязательное указание, требующее от организации предпринять определённые шаги для устранения проблем. Невыполнение предписания может привести к дальнейшим регуляторным действиям.

Краткое резюме, доступное на данный момент, не излагает всех деталей нарушений, и мы воздержались от догадок о них. Читателям, желающим ознакомиться с полными выводами, следует обратиться к опубликованным ICO выговору и предписанию, чтобы узнать точные нарушения, цитируемые правовые положения и корректирующие меры, которые должна предпринять полиция Метрополии.

Как сторонние платформы ставят под угрозу данные, хранящиеся у полиции

В собственной рекламе Auror говорится, что платформа была развёрнута по всему Лондону для помощи в борьбе с рецидивистами и организованной преступностью в розничной торговле. Подобные инструменты находятся между частными организациями, такими как розничные продавцы, и полицией. Это полезно для объединения сообщений, но также создаёт цепочку ответственности, которую труднее контролировать.

Когда персональные данные проходят через стороннюю систему, может пойти не так несколько вещей:

  • Неясная ответственность. Если розничный продавец, поставщик и полицейская служба все касаются одной и той же записи, может быть трудно сказать, кто решает, как она используется, передаётся или удаляется.
  • Более широкий доступ, чем предполагалось. Сотрудники или пользователи, которым не следует видеть определённую информацию, могут получить к ней доступ, если права настроены нестрого.
  • Слабый надзор за поставщиками. Организация остаётся ответственной за персональные данные, даже когда их обрабатывает поставщик.

Это не уникально для полиции. Та же модель концентрированных данных и широкого раскрытия видна в взломе UK Biobank, где данные о 500 000 добровольцев были выставлены на продажу. Общая нить в том, что централизованные данные настолько безопасны, насколько слабо самое уязвимое звено, ведущее к ним.

Что предписание означает для ваших прав на данные

Полицейские службы обрабатывают персональные данные в соответствии с определённой частью Закона о защите данных 2018 года, которая охватывает обработку в правоохранительных целях. Она налагает обязательства в отношении безопасности, точности и ограничения круга лиц, которые могут видеть данные. Предписание сигнализирует, что регулятор считает эти обязательства невыполненными и хочет проверенных изменений, а не просто извинений.

Для отдельных лиц практическое значение двояко. Во-первых, регуляторы действительно привлекают государственные органы к ответственности, даже если результатом здесь является выговор и предписание, а не штраф. Во-вторых, вам не нужно ждать, пока регулятор предпримет действия. У вас есть право спросить, какие данные о вас хранит организация.

ICO scrutinised обработку полицейских данных по нескольким направлениям. Наш материал об аудитах полицейского распознавания лиц ICO показывает ту же тему: мощные инструменты внедряются быстро, а надзор догоняет. Чтобы увидеть, насколько дорогостоящими и неопределёнными могут быть эти инструменты на практике, ознакомьтесь с нашим отчётом о пилоте распознавания лиц Британской транспортной полиции.

Как подать запрос на доступ к субъектным данным в государственный орган

Запрос на доступ к субъектным данным (SAR) — это запрос на ознакомление с персональными данными, которые организация хранит о вас. Подать его в большинстве случаев бесплатно, и для этого не нужен юрист.

  1. Найдите правильный контакт. У большинства полицейских служб и государственных органов есть команда по защите данных или информационным правам. На их сайте обычно указана форма SAR или адрес электронной почты.
  2. Будьте конкретны. Укажите, кто вы, приложите подтверждение личности и опишите записи, которые хотите получить, например отчёты, журналы происшествий или переписку, с примерными датами.
  3. Спросите о передаче. Вы также можете спросить, кому были переданы ваши данные, что может выявить involvement сторонних платформ.
  4. Сохраните запись. Запишите дату отправки запроса. У организаций обычно есть один месяц на ответ, хотя для сложных запросов он может быть продлён.
  5. Ожидайте некоторых ограничений. Полиция может withhold информацию, если её раскрытие нанесёт ущерб расследованию или другим правоохранительным целям. Они всё равно должны сообщить вам, хранят ли они данные, где это возможно.
  6. Обжалуйте при необходимости. Если вы не получили ответа или получили неудовлетворительный ответ, вы можете пожаловаться в ICO.

Что это значит для вас

Выговор ICO полиции Метрополии по делу Auror — напоминание о том, что данные, переданные полиции, не остаются в одном месте. Если вы сообщали о преступлении, были свидетелем или были названы в сообщении, ваши данные могут пройти через системы, управляемые внешними поставщиками. Действие регулятора говорит о том, что защитные меры вокруг этих систем заслуживают более пристального внимания.

Вы не можете контролировать, как служба настраивает свои инструменты, но вы можете задавать вопросы и осуществлять свои права.

Ключевые выводы

  • Ознакомьтесь с опубликованными ICO выговором и предписанием, чтобы узнать полные детали нарушений полиции Метрополии.
  • Помните, что выговор фиксирует выводы, а предписание является юридически обязательным.
  • Подайте запрос на доступ к субъектным данным в местную полицейскую службу или любой государственный орган, который, по вашему мнению, хранит данные о вас, и спросите, кому они были переданы.
  • Сохраняйте копии вашего запроса и любого ответа и жалуйтесь в ICO, если вы не удовлетворены.
  • Для более широкого контекста о том, как регуляторы scrutinise обработку полицейских данных, прочитайте наш материал об аудитах полицейского распознавания лиц ICO.

Выговор ICO полиции Метрополии по делу Auror — это один случай, но право, на которое он указывает, доступно каждому. Единственный запрос на доступ к субъектным данным — самый простой способ узнать, какие данные о вас хранятся.