Розслідування CBC виявило масштабний витік інформації від Crime Stoppers, і його наслідки порушують незручне питання. Коли організація обіцяє анонімність, а потім не може її захистити, хто відповідає за цю невдачу? Історія про порушення приватності в результаті витоку даних Crime Stoppers набула тривожного повороту після того, як і федеральні, і провінційні наглядові органи з питань приватності заявили, що їхні руки зв'язані.

Що виявив витік Crime Stoppers

Розслідування CBC виявило масштабний витік інформації, поданої до Crime Stoppers. Юридичний експерт, процитований у репортажі, сказав, що це може бути "одним із найгірших порушень в історії Канади". Це сильна заява, і вона відображає характер даних, про які йдеться: інформація від людей, яким сказали, що вони можуть говорити, не розкриваючи своєї особи.

Інші матеріали про цю історію наводили цифри, як-от понад 1,5 мільйона повідомлень, поданих за останні 25 років, а деякі репортажі згадують про призупинення гарячої лінії Toronto Crime Stoppers. Цифри різняться між виданнями, тому ми не вважаємо якусь одну цифру остаточною. Репортаж CBC — найкраще місце, щоб перевірити конкретні деталі в міру їх розвитку.

Для читачів важливий тип інформації, що опинилася під загрозою. Гарячі лінії можуть містити деталі про сусідів, родичів, місця роботи, а іноді й про обставини самого інформатора. Навіть якщо повідомлення не містить імені, його зміст може вказувати на того, хто його написав.

Чому канадські наглядові органи з питань приватності кажуть, що їхні руки зв'язані

Згідно з підсумком CBC щодо його розслідування, і федеральні, і провінційні наглядові органи з питань приватності заявили, що мають обмежені можливості діяти. Простими словами, установи, від яких канадці зазвичай очікують розслідування та реагування на великі витоки даних, сигналізують, що можуть бути неспроможні притягнути Crime Stoppers до відповідальності.

Ми не будемо робити припущень щодо точного юридичного обґрунтування, оскільки деталі належать повному репортажу CBC. Однак ширший момент легко зрозуміти. Регулятори приватності можуть діяти лише в межах повноважень, наданих їм законами. Коли організація потрапляє в прогалину в цих законах, серйозний витік може статися без чіткого шляху до примусового забезпечення.

Ця прогалина не є унікальною для цієї справи. Ми висвітлювали подібні проблеми у витоку даних виборців Альберти, де розкриття персональної інформації близько трьох мільйонів виборців підкреслило, як політичні партії опиняються в неясному куточку захисту приватності. Різні організації, той самий патерн: чутливі дані, що зберігаються групами, чия підзвітність неясна.

Що це означає для анонімних інформаторів

Для кожного, хто користувався гарячою лінією або може скористатися нею в майбутньому, практичні висновки тверезі, але цілком керовані.

Анонімність — це обіцянка, а не гарантія. Гаряча лінія може щиро мати намір захистити вашу особу і все одно зберігати вашу інформацію в системі, яку зламають. Обіцянка настільки сильна, наскільки сильний захист за нею та юридичні наслідки за її невиконання.

Засоби правового захисту можуть бути обмеженими. Якщо регулятори кажуть, що не можуть діяти, люди, постраждалі від витоку, мають менше очевидних місць, куди звернутися. Це зменшує тиск на організації щодо інвестування в безпеку і залишає ризик на індивідах.

Деталі можуть ідентифікувати вас навіть без імені. Стиль письма, час, конкретні події та особисті посилання — усе це може звузити коло тих, хто подав повідомлення. Якщо база даних розкрита, ці деталі стають слабким місцем.

Ніщо з цього не означає, що гарячі лінії марні або що люди повинні припинити повідомляти про серйозні злочини. Це означає, що вам слід підходити до цього з реалістичним уявленням про те, наскільки сильний захист ви насправді маєте, і подумати про те, що ви включаєте у своє повідомлення.

Що це означає для вас

Більшість читачів ніколи не подадуть повідомлення до Crime Stoppers, але основний урок стосується широкого загалу. Організації, які обіцяють анонімність або конфіденційність — від гарячих ліній до платформ опитувань і правозахисних груп — зберігають дані, які можуть бути зламані, як і будь-які інші. Чи зможе регулятор втрутитися згодом, залежить від законів, які ви, ймовірно, не читали.

Така сама проблема з'являється в політичних дебатах в інших країнах. Наш матеріал про законопроєкт Оттави про онлайн-безпеку та перевірку віку відображає подібну напругу: системи, які збирають більше особистої інформації, створюють більше того, що потрібно захищати, а критики ставлять під сумнів, чи достатньо сильні засоби захисту.

Як обмежити власний вплив даних

Ви не можете контролювати, як організація захищає свої сервери, але ви можете контролювати, що ви їй передаєте.

  • Діліться мінімумом. Перш ніж подавати будь-який звіт, форму чи повідомлення, запитайте, чи кожна деталь є необхідною. Оминайте інформацію, яка може вказати на вас, якщо вона не є суттєвою.
  • Відокремте свою особу від повідомлення. Уникайте використання особистих облікових записів електронної пошти, робочих пристроїв або робочих мереж для чутливих звітів. VPN може приховати вашу IP-адресу від сервісу, що приймає повідомлення, але він не захищає зміст, який ви подаєте, після його збереження.
  • Читайте умови конфіденційності. Зверніть увагу на те, як довго зберігаються дані, хто має до них доступ і чи заявляє організація, що на неї поширюється закон про приватність. Розпливчасті відповіді — це сигнал бути обережнішим.
  • Розгляньте альтернативні канали. Для серйозних питань подумайте, чи адвокат, довірений фахівець або прямий звіт відповідному органу краще підходить для вашої ситуації, ніж анонімна вебформа.
  • Стежте за офіційними повідомленнями. Якщо ви користувалися послугою, названою у витоку, слідкуйте за оновленнями від організації та від новинних видань, як-от CBC, щодо того, що було розкрито.

Головний висновок

Дебати про приватність у зв'язку з витоком даних Crime Stoppers нагадують, що обіцянка анонімності настільки сильна, наскільки сильні засоби захисту та закони за нею. Оскільки канадські регулятори заявляють, що їхні руки зв'язані, тягар зміщується на індивідів, які повинні ретельно думати про те, чим вони діляться. Витратьте кілька хвилин цього тижня, щоб переглянути, які організації зберігають чутливу інформацію про вас і що вони обіцяли натомість. Щоб побачити ще один приклад прогалин у канадському захисті даних, прочитайте наш звіт про витік даних виборців Альберти.