Storbritanniens dataskyddsmyndighet har utfärdat en tillrättavisning och ett verkställighetsbeslut till Metropolitan Police Service. ICO:s tillrättavisning av Met Police gällande Auror följer på integritetsbrister kopplade till Auror, en plattform som används vid rapportering av butiksbrott. Det är en formell tillrättavisning till landets största polisstyrka, och den väcker en fråga som gäller långt utanför London: vad händer med personuppgifter när de lämnar ett polissystem och passerar genom ett tredjepartsverktyg?

Det här inlägget täcker vad som har rapporterats, varför tredjepartsplattformar är en återkommande svag punkt, och hur du kan ta reda på vad offentliga organ har om dig.

Vad ICO fann i fallet Met och Auror

Enligt Infosecurity Magazine har Information Commissioner's Office (ICO) gett Met både en tillrättavisning och ett verkställighetsbeslut på grund av integritetsbrister kopplade till Auror-plattformen. ICO:s eget tillkännagivande beskriver åtgärden som relaterad till brister i informationsstyrningen hos polisstyrkan.

De två åtgärderna är olika. En tillrättavisning är en formell censur som dokumenterar tillsynsmyndighetens slutsatser. Ett verkställighetsbeslut går längre: det är en juridiskt bindande instruktion som kräver att organisationen vidtar angivna åtgärder för att åtgärda problemen. Underlåtenhet att följa ett sådant kan leda till ytterligare tillsynsåtgärder.

Den korta sammanfattning som hittills finns tillgänglig redogör inte för alla detaljer i bristerna, och vi har undvikit att gissa oss till dem. Läsare som vill ta del av de fullständiga slutsatserna bör vända sig till ICO:s publicerade tillrättavisning och verkställighetsbeslut för de exakta överträdelserna, de rättsliga bestämmelser som åberopas och de korrigerande åtgärder som Met måste vidta.

Hur tredjepartsplattformar utsätter polisdata för risk

Aurors egen marknadsföring säger att plattformen har rullats ut över hela London för att hjälpa till att hantera återfallsförbrytare och organiserad butiksbrottslighet. Verktyg som detta befinner sig mellan privata organisationer, såsom detaljhandlare, och polisen. Det är användbart för att sammanföra rapporter, men det skapar också en kedja av ansvar som är svårare att kontrollera.

När personuppgifter rör sig genom ett tredjepartssystem kan flera saker gå fel:

  • Oklart ansvar. Om en detaljhandlare, en leverantör och en polisstyrka alla hanterar samma post kan det vara svårt att avgöra vem som bestämmer hur den används, delas eller raderas.
  • Bredare åtkomst än avsett. Personal eller användare som inte borde se viss information kan kunna nå den om behörigheterna är löst satta.
  • Svag tillsyn över leverantörer. En organisation förblir ansvarig för personuppgifter även när en leverantör hanterar dem.

Detta är inte unikt för polisverksamhet. Samma mönster av koncentrerad data och bred exponering syns i UK Biobank-hackningen, där data om 500 000 frivilliga lades ut till försäljning. Den gemensamma nämnaren är att centraliserad data bara är så säker som den svagaste kopplingen in till den.

Vad verkställighetsbeslutet innebär för dina datarättigheter

Polisstyrkor behandlar personuppgifter enligt en specifik del av Data Protection Act 2018, som täcker brottsbekämpande behandling. Den medför skyldigheter kring säkerhet, riktighet och begränsning av vem som kan se uppgifter. Ett verkställighetsbeslut signalerar att tillsynsmyndigheten anser att dessa skyldigheter inte uppfylldes och vill se verifierade förändringar, inte bara en ursäkt.

För enskilda är den praktiska innebörden tvåfaldig. För det första håller tillsynsmyndigheter faktiskt offentliga organ ansvariga, även om resultatet här är en tillrättavisning och ett beslut snarare än en böter. För det andra behöver du inte vänta på att en tillsynsmyndighet agerar. Du har rätt att fråga vad en organisation har om dig.

ICO har granskat polisens datahantering ur flera perspektiv. Vår bevakning av ICO:s granskningar av polisens ansiktsigenkänning visar samma tema: kraftfulla verktyg införs snabbt och tillsynen hinner ikapp. För en inblick i hur kostsamma och osäkra dessa verktyg kan vara i praktiken, se vår rapport om British Transport Polices pilotprojekt för ansiktsigenkänning.

Hur du begär registerutdrag från ett offentligt organ

En begäran om registerutdrag (subject access request, SAR) är en begäran om att få se de personuppgifter en organisation har om dig. Att göra en är gratis i de flesta fall och kräver ingen jurist.

  1. Hitta rätt kontakt. De flesta polisstyrkor och offentliga organ har ett dataskydds- eller informationsrättsteam. Deras webbplats listar vanligtvis ett SAR-formulär eller en e-postadress.
  2. Var specifik. Ange vem du är, inkludera identitetsbevis och beskriv de uppgifter du vill ha, såsom rapporter, incidentloggar eller korrespondens, med ungefärliga datum.
  3. Fråga om delning. Du kan också fråga vem dina uppgifter har delats med, vilket kan avslöja inblandade tredjepartsplattformar.
  4. För register. Notera datumet du skickade begäran. Organisationer har i allmänhet en månad på sig att svara, även om detta kan förlängas för komplexa begäranden.
  5. Räkna med vissa begränsningar. Polisen kan hålla inne information om ett utlämnande skulle skada en utredning eller andra polisiära ändamål. De bör ändå meddela dig huruvida de har uppgifter där de kan.
  6. Överklaga vid behov. Om du inte får något svar eller ett otillfredsställande svar kan du klaga till ICO.

Vad detta innebär för dig

ICO:s tillrättavisning av Met Police gällande Auror är en påminnelse om att uppgifter som lämnas till polisen inte stannar på ett ställe. Om du har anmält ett brott, varit vittne eller nämnts i en rapport kan dina uppgifter passera genom system som drivs av externa leverantörer. Tillsynsmyndighetens åtgärd tyder på att skyddet kring dessa system förtjänar större uppmärksamhet.

Du kan inte styra hur en polisstyrka konfigurerar sina verktyg, men du kan ställa frågor och utöva dina rättigheter.

Slutsatser

  • Läs ICO:s publicerade tillrättavisning och verkställighetsbeslut för fullständiga detaljer om Met:s brister.
  • Kom ihåg att en tillrättavisning dokumenterar slutsatser, medan ett verkställighetsbeslut är juridiskt bindande.
  • Skicka en begäran om registerutdrag till din lokala polisstyrka eller något offentligt organ som du misstänker har uppgifter om dig, och fråga vem de har delats med.
  • Spara kopior av din begäran och eventuella svar, och klaga till ICO om du inte är nöjd.
  • För bredare kontext om hur tillsynsmyndigheter granskar polisens datahantering, läs vår artikel om ICO:s granskningar av polisens ansiktsigenkänning.

ICO:s tillrättavisning av Met Police gällande Auror är ett enskilt fall, men rättigheten den pekar på är tillgänglig för alla. En enda begäran om registerutdrag är det enklaste sättet att ta reda på vad som finns registrerat om dig.