Регулятор захисту даних Великої Британії виніс догану та припис про усунення порушень Службі столичної поліції. Догана ICO Met Police Auror стала наслідком порушень приватності, пов'язаних з Auror — платформою, що використовується для звітування про злочини в роздрібній торгівлі. Це офіційне осудження найбільшої поліцейської сили країни, і воно порушує питання, яке виходить далеко за межі Лондона: що відбувається з персональними даними після того, як вони залишають поліцейську систему та проходять через сторонній інструмент?

У цій статті розглядається те, про що повідомлялося, чому сторонні платформи є постійною слабкою ланкою, і як ви можете дізнатися, які дані про вас зберігають державні органи.

Що ICO виявив у справі Met та Auror

За даними Infosecurity Magazine, Управління Інформаційного Комісара (ICO) винесло Met як догану, так і припис про усунення порушень через порушення приватності, пов'язані з платформою Auror. У власній заяві ICO цю дію описано як таку, що стосується недоліків в управлінні інформацією в поліцейській службі.

Ці два заходи відрізняються. Догана — це офіційне осудження, яке фіксує висновки регулятора. Припис про усунення порушень іде далі: це юридично обов'язкова вказівка, яка вимагає від організації вжити визначених заходів для виправлення проблем. Невиконання припису може призвести до подальших регуляторних дій.

Короткий виклад, доступний наразі, не містить усіх деталей недоліків, і ми утрималися від здогадок щодо них. Читачам, які хочуть отримати повні висновки, слід звернутися до опублікованих ICO догани та припису про усунення порушень, щоб дізнатися точні порушення, цитовані правові положення та коригувальні заходи, які Met має вжити.

Як сторонні платформи наражають дані, що зберігаються поліцією, на ризик

У власних рекламних матеріалах Auror зазначається, що платформу було розгорнуто по всьому Лондону, щоб допомогти боротися з рецидивістами та організованою злочинністю в роздрібній торгівлі. Такі інструменти розташовуються між приватними організаціями, наприклад роздрібними продавцями, та поліцією. Це корисно для об'єднання звітів, але це також створює ланцюг зберігання, який важче контролювати.

Коли персональні дані проходять через сторонню систему, може піти не так кілька речей:

  • Нечітка відповідальність. Якщо роздрібний продавець, постачальник і поліцейська служба всі торкаються одного й того самого запису, може бути важко сказати, хто вирішує, як він використовується, передається чи видаляється.
  • Ширший доступ, ніж задумано. Співробітники або користувачі, які не повинні бачити певну інформацію, можуть отримати до неї доступ, якщо дозволи налаштовані недостатньо суворо.
  • Слабкий нагляд за постачальниками. Організація залишається відповідальною за персональні дані, навіть коли їх обробляє постачальник.

Це не є унікальним для поліції. Та сама модель концентрованих даних і широкого розкриття спостерігається в UK Biobank hack, де дані про 500 000 добровольців були виставлені на продаж. Спільна риса полягає в тому, що централізовані дані є настільки безпечними, наскільки безпечною є найслабша ланка доступу до них.

Що припис про усунення порушень означає для ваших прав на дані

Поліцейські сили обробляють персональні дані відповідно до конкретної частини Закону про захист даних 2018 року, яка охоплює обробку даних правоохоронними органами. Вона передбачає зобов'язання щодо безпеки, точності та обмеження кола осіб, які можуть бачити дані. Припис про усунення порушень сигналізує, що регулятор вважає ці зобов'язання невиконаними та хоче підтверджених змін, а не просто вибачень.

Для окремих осіб практичне значення є подвійним. По-перше, регулятори справді притягують державні органи до відповідальності, навіть якщо результатом тут є догана та припис, а не штраф. По-друге, ви не повинні чекати, поки регулятор вживе заходів. Ви маєте право запитати, які дані про вас зберігає організація.

ICO пильно вивчає обробку поліцейських даних у кількох напрямках. Наше висвітлення перевірок ICO щодо розпізнавання облич поліцією демонструє ту саму тему: потужні інструменти впроваджуються швидко, а нагляд наздоганяє їх. Щоб дізнатися, наскільки дорогими та невизначеними можуть бути ці інструменти на практиці, дивіться наш звіт про пілотний проєкт розпізнавання облич Британської транспортної поліції.

Як подати запит на доступ до суб'єктних даних до державного органу

Запит на доступ до суб'єктних даних (SAR) — це запит на перегляд персональних даних, які організація зберігає про вас. Його подання у більшості випадків є безкоштовним і не потребує адвоката.

  1. Знайдіть правильний контакт. Більшість поліцейських сил і державних органів мають команду із захисту даних або інформаційних прав. На їхньому вебсайті зазвичай вказано форму SAR або адресу електронної пошти.
  2. Будьте конкретними. Вкажіть, хто ви, додайте підтвердження особи та опишіть записи, які хочете отримати, наприклад звіти, журнали інцидентів або листування, із приблизними датами.
  3. Запитайте про передачу. Ви також можете запитати, кому були передані ваші дані, що може виявити задіяні сторонні платформи.
  4. Збережіть запис. Занотуйте дату надсилання запиту. Організації зазвичай мають один місяць на відповідь, хоча для складних запитів цей строк може бути продовжено.
  5. Очікуйте на певні обмеження. Поліція може утримати інформацію, якщо її розкриття зашкодить розслідуванню або іншим поліцейським цілям. Вони все одно повинні повідомити вам, чи зберігають дані, де це можливо.
  6. Оскаржте за потреби. Якщо ви не отримали відповіді або отримали незадовільну відповідь, ви можете поскаржитися до ICO.

Що це означає для вас

Догана ICO Met Police Auror — це нагадування про те, що дані, передані поліції, не залишаються в одному місці. Якщо ви повідомляли про злочин, були свідком або були названі у звіті, ваші дані можуть пройти через системи, якими керують зовнішні постачальники. Дія регулятора свідчить про те, що заходи захисту навколо цих систем заслуговують на пильнішу увагу.

Ви не можете контролювати, як поліцейська служба налаштовує свої інструменти, але ви можете ставити запитання та реалізовувати свої права.

Ключові висновки

  • Прочитайте опубліковані ICO догану та припис про усунення порушень, щоб дізнатися повні деталі недоліків Met.
  • Пам'ятайте, що догана фіксує висновки, тоді як припис про усунення порушень є юридично обов'язковим.
  • Подайте запит на доступ до суб'єктних даних до вашої місцевої поліцейської сили або будь-якого державного органу, який, на вашу думку, зберігає дані про вас, і запитайте, кому вони були передані.
  • Зберігайте копії вашого запиту та будь-якої відповіді, і скаржтеся до ICO, якщо ви незадоволені.
  • Для ширшого контексту про те, як регулятори перевіряють обробку поліцейських даних, читайте нашу статтю про перевірки ICO щодо розпізнавання облич поліцією.

Догана ICO Met Police Auror — це один випадок, але право, на яке вона вказує, доступне кожному. Один запит на доступ до суб'єктних даних — це найпростіший спосіб дізнатися, які дані про вас зберігаються.