หน่วยงานกำกับดูแลด้านการคุ้มครองข้อมูลของสหราชอาณาจักรได้ออกคำตำหนิและประกาศแจ้งบังคับใช้ต่อหน่วยตำรวจมหานครกรุงลอนดอน (Metropolitan Police Service) คำตำหนิ ICO ต่อตำรวจมหานครกรุงลอนดอนกรณี Auror นี้เกิดขึ้นหลังจากความล้มเหลวด้านความเป็นส่วนตัวที่เกี่ยวข้องกับ Auror ซึ่งเป็นแพลตฟอร์มที่ใช้ในการรายงานอาชญากรรมด้านค้าปลีก นี่เป็นการตำหนิอย่างเป็นทางการต่อกองกำลังตำรวจที่ใหญ่ที่สุดของประเทศ และมันตั้งคำถามที่ใช้ได้กว้างไกลเกินกว่ากรุงลอนดอนว่า ข้อมูลส่วนบุคคลจะเกิดอะไรขึ้นเมื่อมันออกจากระบบของตำรวจและผ่านเครื่องมือของบุคคลที่สาม?
บทความนี้ครอบคลุมwhatที่มีการรายงาน เหตุใดแพลตฟอร์มของบุคคลที่สามจึงเป็นจุดอ่อนที่เกิดซ้ำ และคุณจะค้นพบว่าหน่วยงานภาครัฐถือข้อมูลอะไรเกี่ยวกับคุณได้อย่างไร
สิ่งที่ ICO พบในกรณีตำรวจมหานครและ Auror
ตามรายงานของ Infosecurity Magazine สำนักงานกรรมาธิการข้อมูล (ICO) ได้มอบทั้งคำตำหนิและประกาศแจ้งบังคับใช้ต่อตำรวจมหานครกรุงลอนดอนเกี่ยวกับความล้มเหลวด้านความเป็นส่วนตัวที่เชื่อมโยงกับแพลตฟอร์ม Auror ประกาศของ ICO เองอธิบายการดำเนินการนี้ว่าเกี่ยวข้องกับความล้มเหลวในการกำกับดูแลข้อมูลของกองกำลังตำรวจ
มาตรการทั้งสองนี้แตกต่างกัน คำตำหนิเป็นการตำหนิอย่างเป็นทางการที่บันทึกข้อค้นพบของหน่วยงานกำกับดูแล ส่วนประกาศแจ้งบังคับใช้ไปไกลกว่านั้น มันเป็นคำสั่งที่มีผลผูกพันทางกฎหมายซึ่งกำหนดให้องค์กรต้องดำเนินการตามขั้นตอนที่ระบุไว้เพื่อแก้ไขปัญหา การไม่ปฏิบัติตามอาจนำไปสู่การดำเนินการทางกฎระเบียบเพิ่มเติม
บทสรุปสั้น ๆ ที่มีอยู่จนถึงขณะนี้ยังไม่ได้ระบุรายละเอียดทั้งหมดของความล้มเหลว และเราได้หลีกเลี่ยงการคาดเดาเกี่ยวกับสิ่งเหล่านั้น ผู้อ่านที่ต้องการข้อค้นพบฉบับเต็มควรดูคำตำหนิและประกาศแจ้งบังคับใช้ที่ ICO เผยแพร่ เพื่อดูการละเมิดที่แน่ชัด บทบัญญัติทางกฎหมายที่อ้างถึง และขั้นตอนการแก้ไขที่ตำรวจมหานครต้องดำเนินการ
แพลตฟอร์มของบุคคลที่สามทำให้ข้อมูลที่ตำรวจถือครองมีความเสี่ยงอย่างไร
การประชาสัมพันธ์ของ Auror เองกล่าวว่าแพลตฟอร์มนี้ได้ถูกนำไปใช้ทั่วกรุงลอนดอนเพื่อช่วยจัดการกับผู้กระทำผิดซ้ำและอาชญากรรมด้านค้าปลีกที่มีการจัดองค์กร เครื่องมือเช่นนี้อยู่ระหว่างองค์กรเอกชน เช่น ผู้ค้าปลีก และตำรวจ ซึ่งมีประโยชน์ในการเชื่อมโยงรายงาน แต่ก็สร้างห่วงโซ่การครอบครองที่ควบคุมได้ยากขึ้น
เมื่อข้อมูลส่วนบุคคลเคลื่อนผ่านระบบของบุคคลที่สาม สิ่งต่าง ๆ หลายอย่างอาจผิดพลาดได้:
- ความรับผิดชอบที่ไม่ชัดเจน หากผู้ค้าปลีก ผู้จำหน่าย และกองกำลังตำรวจต่างแตะต้องบันทึกเดียวกัน อาจเป็นเรื่องยากที่จะบอกว่าใครเป็นผู้ตัดสินใจว่าข้อมูลจะถูกใช้ แบ่งปัน หรือลบอย่างไร
- การเข้าถึงที่กว้างเกินความตั้งใจ เจ้าหน้าที่หรือผู้ใช้ที่ไม่ควรเห็นข้อมูลบางอย่างอาจสามารถเข้าถึงได้หากการตั้งค่าสิทธิ์หลวมเกินไป
- การกำกับดูแลผู้จำหน่ายที่อ่อนแอ องค์กรยังคงต้องรับผิดชอบต่อข้อมูลส่วนบุคคลแม้ว่าซัพพลายเออร์จะเป็นผู้จัดการก็ตาม
สิ่งนี้ไม่ใช่เรื่องเฉพาะกับการรักษากฎหมายเท่านั้น รูปแบบเดียวกันของข้อมูลที่รวมศูนย์และการเปิดเผยในวงกว้างปรากฏให้เห็นในการแฮ็ก UK Biobank ซึ่งข้อมูลของอาสาสมัคร 500,000 คนถูกนำออกขาย จุดร่วมคือข้อมูลที่รวมศูนย์จะปลอดภัยเท่ากับจุดเชื่อมต่อที่อ่อนแอที่สุดเท่านั้น
ประกาศแจ้งบังคับใช้หมายความอย่างไรต่อสิทธิด้านข้อมูลของคุณ
กองกำลังตำรวจประมวลผลข้อมูลส่วนบุคคลภายใต้ส่วนเฉพาะของพระราชบัญญัติคุ้มครองข้อมูล ค.ศ. 2018 (Data Protection Act 2018) ซึ่งครอบคลุมการประมวลผลเพื่อการบังคับใช้กฎหมาย มันมีพันธะเกี่ยวกับความปลอดภัย ความถูกต้อง และการจำกัดผู้ที่สามารถเห็นข้อมูลได้ ประกาศแจ้งบังคับใช้เป็นสัญญาณว่าหน่วยงานกำกับดูแลเชื่อว่าพันธะเหล่านั้นไม่ได้รับการปฏิบัติตาม และต้องการการเปลี่ยนแปลงที่ได้รับการยืนยัน ไม่ใช่แค่คำขอโทษ
สำหรับบุคคลทั่วไป ความหมายในทางปฏิบัติมีสองประการ ประการแรก หน่วยงานกำกับดูแลยึดหน่วยงานภาครัฐให้รับผิดชอบจริง แม้ว่าผลลัพธ์ในที่นี้จะเป็นคำตำหนิและประกาศแจ้งบังคับใช้มากกว่าค่าปรับ ประการที่สอง คุณไม่จำเป็นต้องรอให้หน่วยงานกำกับดูแลดำเนินการ คุณมีสิทธิ์ที่จะถามว่าองค์กรถือข้อมูลอะไรเกี่ยวกับคุณ
ICO ได้ตรวจสอบการจัดการข้อมูลของตำรวจในหลายด้าน บทความของเราเกี่ยวกับการตรวจสอบการจดจำใบหน้าของตำรวจโดย ICO แสดงให้เห็นธีมเดียวกัน นั่นคือเครื่องมือที่ทรงพลังกำลังถูกนำมาใช้อย่างรวดเร็ว และการกำกับดูแลกำลังตามมา หากต้องการดูว่าเครื่องมือเหล่านั้นมีค่าใช้จ่ายสูงและไม่แน่นอนเพียงใดในทางปฏิบัติ โปรดดูรายงานของเราเกี่ยวกับโครงการนำร่องการจดจำใบหน้าของตำรวจขนส่งอังกฤษ
วิธีส่งคำขอเข้าถึงข้อมูลส่วนบุคคลต่อหน่วยงานภาครัฐ
คำขอเข้าถึงข้อมูลส่วนบุคคล (SAR) คือคำขอเพื่อดูข้อมูลส่วนบุคคลที่องค์กรถือเกี่ยวกับคุณ การส่งคำขอโดยทั่วไปไม่มีค่าใช้จ่ายและไม่จำเป็นต้องมีทนายความ
- ค้นหาช่องทางติดต่อที่ถูกต้อง กองกำลังตำรวจและหน่วยงานภาครัฐส่วนใหญ่มีทีมคุ้มครองข้อมูลหรือสิทธิด้านข้อมูล เว็บไซต์ของพวกเขามักจะมีแบบฟอร์ม SAR หรือที่อยู่อีเมล
- ระบุให้ชัดเจน บอกว่าคุณเป็นใคร แนบหลักฐานยืนยันตัวตน และอธิบายบันทึกที่คุณต้องการ เช่น รายงาน บันทึกเหตุการณ์ หรือจดหมายโต้ตอบ พร้อมวันที่โดยประมาณ
- ถามเกี่ยวกับการแบ่งปัน คุณยังสามารถถามได้ว่าข้อมูลของคุณถูกแบ่งปันให้ใคร ซึ่งอาจเปิดเผยแพลตฟอร์มของบุคคลที่สามที่เกี่ยวข้อง
- เก็บบันทึกไว้ จดวันที่ที่คุณส่งคำขอ องค์กรโดยทั่วไปมีเวลาหนึ่งเดือนในการตอบกลับ แม้ว่าอาจขยายได้สำหรับคำขอที่ซับซ้อน
- คาดหวังข้อจำกัดบางอย่าง ตำรวจอาจระงับข้อมูลหากการเปิดเผยจะกระทบต่อการสืบสวนหรือวัตถุประสงค์อื่นในการรักษากฎหมาย พวกเขายังควรบอกคุณว่าพวกเขาถือข้อมูลอยู่หรือไม่ในกรณีที่ทำได้
- ยกระดับหากจำเป็น หากคุณไม่ได้รับการตอบกลับหรือได้รับการตอบกลับที่ไม่น่าพอใจ คุณสามารถร้องเรียนต่อ ICO ได้
สิ่งนี้หมายความอะไรสำหรับคุณ
คำตำหนิ ICO ต่อตำรวจมหานครกรุงลอนดอนกรณี Auror เป็นเครื่องเตือนใจว่าข้อมูลที่ส่งให้ตำรวจไม่ได้อยู่ที่เดียว หากคุณเคยรายงานอาชญากรรม เป็นพยาน หรือถูกระบุชื่อในรายงาน รายละเอียดของคุณอาจผ่านระบบที่ดำเนินการโดยซัพพลายเออร์ภายนอก การดำเนินการของหน่วยงานกำกับดูแลบ่งชี้ว่ามาตรการป้องกันรอบระบบเหล่านั้นสมควรได้รับความสนใจอย่างใกล้ชิดยิ่งขึ้น
คุณไม่สามารถควบคุมได้ว่ากองกำลังตำรวจกำหนดค่าเครื่องมือของตนอย่างไร แต่คุณสามารถถามคำถามและใช้สิทธิ์ของคุณได้
ประเด็นสำคัญ
- อ่านคำตำหนิและประกาศแจ้งบังคับใช้ที่ ICO เผยแพร่เพื่อดูรายละเอียดทั้งหมดของความล้มเหลวของตำรวจมหานคร
- จำไว้ว่าคำตำหนิบันทึกข้อค้นพบ ขณะที่ประกาศแจ้งบังคับใช้มีผลผูกพันทางกฎหมาย
- ส่งคำขอเข้าถึงข้อมูลส่วนบุคคลต่อกองกำลังตำรวจท้องถิ่นของคุณหรือหน่วยงานภาครัฐใด ๆ ที่คุณสงสัยว่าถือข้อมูลเกี่ยวกับคุณ และถามว่าข้อมูลถูกแบ่งปันให้ใคร
- เก็บสำเนาคำขอและการตอบกลับใด ๆ ไว้ และร้องเรียนต่อ ICO หากคุณไม่พอใจ
- สำหรับบริบทที่กว้างขึ้นเกี่ยวกับวิธีที่หน่วยงานกำกับดูแลตรวจสอบการจัดการข้อมูลของตำรวจ โปรดอ่านบทความของเราเกี่ยวกับการตรวจสอบการจดจำใบหน้าของตำรวจโดย ICO
คำตำหนิ ICO ต่อตำรวจมหานครกรุงลอนดอนกรณี Auror เป็นเพียงกรณีเดียว แต่สิทธิ์ที่มันชี้ให้เห็นนั้นมีให้สำหรับทุกคน คำขอเข้าถึงข้อมูลส่วนบุคคลเพียงครั้งเดียวคือวิธีที่ง่ายที่สุดในการค้นพบว่ามีข้อมูลอะไรถูกถือเกี่ยวกับคุณ
