Birleşik Krallık'ın veri koruma düzenleyicisi, Metropolitan Polis Teşkilatı'na bir kınama ve bir uygulama bildirimi gönderdi. ICO Met Police Auror kınaması, perakende suç bildiriminde kullanılan bir platform olan Auror ile bağlantılı gizlilik ihlallerinin ardından geldi. Bu, ülkenin en büyük polis teşkilatına yönelik resmi bir azardır ve Londra'nın çok ötesinde geçerli olan bir soruyu gündeme getiriyor: kişisel veriler bir polis sisteminden çıkıp üçüncü taraf bir araçtan geçtikten sonra ne olur?
Bu yazı, bildirilenleri, üçüncü taraf platformların neden tekrar eden bir zayıf nokta olduğunu ve kamu kurumlarının sizinle ilgili hangi verileri tuttuğunu nasıl öğrenebileceğinizi ele alıyor.
ICO'nun Met ve Auror davasında buldukları
Infosecurity Magazine'e göre, Bilgi Komiserliği Ofisi (ICO), Met'e Auror platformuyla bağlantılı gizlilik ihlalleri nedeniyle hem bir kınama hem de bir uygulama bildirimi verdi. ICO'nun kendi duyurusu, bu eylemi teşkilattaki bilgi yönetişimi başarısızlıklarıyla ilişkili olarak tanımlıyor.
İki önlem birbirinden farklıdır. Kınama, düzenleyicinin bulgularını kaydeden resmi bir azardır. Uygulama bildirimi daha ileri gider: kuruluşun sorunları düzeltmek için belirtilen adımları atmasını gerektiren yasal olarak bağlayıcı bir talimattır. Buna uyulmaması daha ileri düzenleyici işlemlere yol açabilir.
Şu ana kadar mevcut olan kısa özet, ihlallerin her ayrıntısını ortaya koymuyor ve biz de bunlar hakkında tahmin yürütmekten kaçındık. Tam bulguları görmek isteyen okuyucular, tam ihlaller, atıfta bulunulan yasal hükümler ve Met'in atması gereken düzeltici adımlar için ICO'nun yayımladığı kınama ve uygulama bildirimine bakmalıdır.
Üçüncü taraf platformlar polis tarafından tutulan verileri nasıl riske atıyor
Auror'un kendi tanıtımı, platformun mükerrer suçlular ve organize perakende suçlarıyla mücadeleye yardımcı olmak için Londra genelinde kullanıma sunulduğunu söylüyor. Bunun gibi araçlar, perakendeciler gibi özel kuruluşlar ile polis arasında yer alır. Bu, raporları birleştirmek için faydalıdır, ancak aynı zamanda kontrol edilmesi daha zor bir zimmet zinciri yaratır.
Kişisel veriler üçüncü taraf bir sistemden geçtiğinde birkaç şey ters gidebilir:
- Belirsiz sorumluluk. Bir perakendeci, bir satıcı ve bir polis teşkilatı aynı kayda dokunursa, bunun nasıl kullanılacağına, paylaşılacağına veya silineceğine kimin karar verdiğini söylemek zor olabilir.
- Amaçlanandan daha geniş erişim. Belirli bilgileri görmemesi gereken personel veya kullanıcılar, izinler gevşek ayarlanmışsa buna erişebilir.
- Satıcıların zayıf denetimi. Bir tedarikçi kişisel verileri işlese bile, bir kuruluş sorumlu olmaya devam eder.
Bu yalnızca polislik işine özgü değildir. Yoğunlaştırılmış veri ve geniş maruz kalma kalıbı, 500.000 gönüllünün verisinin satışa çıkarıldığı UK Biobank hack olayında da görülmektedir. Ortak nokta, merkezileştirilmiş verilerin ancak ona açılan en zayıf bağlantı kadar güvenli olduğudur.
Uygulama bildirimi veri haklarınız için ne anlama geliyor
Polis teşkilatları kişisel verileri, 2018 Veri Koruma Yasası'nın kolluk işlemlerini kapsayan belirli bir bölümü kapsamında işler. Bu, güvenlik, doğruluk ve verileri kimin görebileceğini sınırlama konusunda yükümlülükler getirir. Bir uygulama bildirimi, düzenleyicinin bu yükümlülüklerin yerine getirilmediğine inandığını ve sadece bir özür değil, doğrulanmış değişiklikler istediğini gösterir.
Bireyler için pratik anlamı iki yönlüdür. Birincisi, düzenleyiciler buradaki sonuç para cezası yerine bir kınama ve bir bildirim olsa bile kamu kurumlarını hesap verebilir tutar. İkincisi, bir düzenleyicinin harekete geçmesini beklemek zorunda değilsiniz. Bir kuruluşun sizinle ilgili hangi verileri tuttuğunu sorma hakkınız vardır.
ICO, polis veri işlemesini birkaç cephede incelemektedir. ICO'nun polis yüz tanıma denetimleri hakkındaki haberimiz aynı temayı gösteriyor: güçlü araçlar hızla benimseniyor ve denetim yetişmeye çalışıyor. Bu araçların pratikte ne kadar maliyetli ve belirsiz olabileceğine bir bakış için British Transport Police yüz tanıma pilotu hakkındaki raporumuza bakın.
Bir kamu kurumuna konu erişim talebi nasıl yapılır
Konu erişim talebi (SAR), bir kuruluşun sizinle ilgili tuttuğu kişisel verileri görme talebidir. Çoğu durumda ücretsizdir ve bir avukat gerektirmez.
- Doğru kişiyi bulun. Çoğu polis teşkilatı ve kamu kurumunun bir veri koruma veya bilgi hakları ekibi vardır. Web siteleri genellikle bir SAR formu veya e-posta adresi listeler.
- Spesifik olun. Kim olduğunuzu söyleyin, kimlik kanıtı ekleyin ve raporlar, olay kayıtları veya yazışmalar gibi istediğiniz kayıtları yaklaşık tarihlerle tanımlayın.
- Paylaşım hakkında sorun. Verilerinizin kimlerle paylaşıldığını da sorabilirsiniz; bu, dahil olan üçüncü taraf platformları ortaya çıkarabilir.
- Kayıt tutun. Talebi gönderdiğiniz tarihi not edin. Kuruluşların genellikle yanıt vermek için bir ayı vardır, ancak bu karmaşık talepler için uzatılabilir.
- Bazı sınırlamalar bekleyin. Polis, açıklanması bir soruşturmaya veya diğer polislik amaçlarına zarar verecekse bilgileri saklayabilir. Yine de mümkün olduğunda veri tutup tutmadıklarını size söylemelidirler.
- Gerekirse üst makama başvurun. Yanıt almazsanız veya tatmin edici olmayan bir yanıt alırsanız, ICO'ya şikâyette bulunabilirsiniz.
Bu Sizin İçin Ne Anlama Geliyor
ICO Met Police Auror kınaması, polise verilen verilerin tek bir yerde kalmadığının bir hatırlatıcısıdır. Bir suç bildirdiyseniz, tanık olduysanız veya bir raporda adınız geçtiyse, bilgileriniz dış tedarikçiler tarafından yönetilen sistemlerden geçebilir. Düzenleyicinin eylemi, bu sistemler etrafındaki güvencelerin daha yakın ilgiyi hak ettiğini gösteriyor.
Bir teşkilatın araçlarını nasıl yapılandırdığını kontrol edemezsiniz, ancak soru sorabilir ve haklarınızı kullanabilirsiniz.
Çıkarımlar
- Met'in ihlallerinin tam ayrıntısı için ICO'nun yayımladığı kınama ve uygulama bildirimini okuyun.
- Bir kınamanın bulguları kaydettiğini, bir uygulama bildiriminin ise yasal olarak bağlayıcı olduğunu unutmayın.
- Yerel polis teşkilatınıza veya sizinle ilgili veri tuttuğundan şüphelendiğiniz herhangi bir kamu kurumuna konu erişim talebi gönderin ve bunun kimlerle paylaşıldığını sorun.
- Talebinizin ve herhangi bir yanıtın kopyalarını saklayın ve memnun kalmazsanız ICO'ya şikâyette bulunun.
- Düzenleyicilerin polis veri işlemesini nasıl incelediğine dair daha geniş bağlam için ICO'nun polis yüz tanıma denetimleri hakkındaki yazımızı okuyun.
ICO Met Police Auror kınaması tek bir vakadır, ancak işaret ettiği hak herkes için mevcuttur. Tek bir konu erişim talebi, sizinle ilgili nelerin tutulduğunu öğrenmenin en basit yoludur.
