Cơ quan quản lý bảo vệ dữ liệu của Vương quốc Anh đã đưa ra một lời khiển trách và một thông báo thực thi đối với Sở Cảnh sát Metropolitan. Lời khiển trách của ICO đối với Cảnh sát Met về Auror diễn ra sau những thất bại về quyền riêng tư liên quan đến Auror, một nền tảng được sử dụng trong báo cáo tội phạm bán lẻ. Đây là một lời quở trách chính thức đối với lực lượng cảnh sát lớn nhất cả nước, và nó đặt ra một câu hỏi vượt xa phạm vi London: điều gì xảy ra với dữ liệu cá nhân sau khi nó rời khỏi hệ thống của cảnh sát và đi qua một công cụ của bên thứ ba?
Bài viết này đề cập đến những gì đã được báo cáo, tại sao các nền tảng của bên thứ ba là một điểm yếu thường xuyên, và cách bạn có thể tìm hiểu những gì các cơ quan công quyền lưu giữ về bạn.
Những gì ICO phát hiện trong vụ việc của Met và Auror
Theo Infosecurity Magazine, Văn phòng Ủy viên Thông tin (ICO) đã trao cho Met cả một lời khiển trách và một thông báo thực thi về những thất bại liên quan đến quyền riêng tư gắn với nền tảng Auror. Thông báo của chính ICO mô tả hành động này liên quan đến những thất bại trong quản trị thông tin tại lực lượng này.
Hai biện pháp này khác nhau. Một lời khiển trách là một sự quở trách chính thức ghi lại những phát hiện của cơ quan quản lý. Một thông báo thực thi đi xa hơn: đó là một chỉ thị có tính ràng buộc pháp lý yêu cầu tổ chức thực hiện các bước cụ thể để khắc phục vấn đề. Việc không tuân thủ một thông báo như vậy có thể dẫn đến hành động quản lý tiếp theo.
Bản tóm tắt ngắn gọn hiện có không nêu rõ mọi chi tiết của những thất bại, và chúng tôi đã tránh suy đoán về chúng. Những độc giả muốn có đầy đủ các phát hiện nên xem lời khiển trách và thông báo thực thi đã được ICO công bố để biết chính xác các vi phạm, các quy định pháp luật được viện dẫn và các bước khắc phục mà Met phải thực hiện.
Cách các nền tảng bên thứ ba đặt dữ liệu do cảnh sát nắm giữ vào tình thế rủi ro
Thông tin quảng bá của chính Auror cho biết nền tảng này đã được triển khai trên khắp London để giúp giải quyết những người tái phạm và tội phạm bán lẻ có tổ chức. Những công cụ như thế này nằm giữa các tổ chức tư nhân, chẳng hạn như các nhà bán lẻ, và cảnh sát. Điều đó hữu ích cho việc kết nối các báo cáo, nhưng nó cũng tạo ra một chuỗi giám sát khó kiểm soát hơn.
Khi dữ liệu cá nhân di chuyển qua một hệ thống của bên thứ ba, một số điều có thể sai:
- Trách nhiệm không rõ ràng. Nếu một nhà bán lẻ, một nhà cung cấp và một lực lượng cảnh sát đều chạm vào cùng một hồ sơ, có thể khó nói ai là người quyết định cách nó được sử dụng, chia sẻ hoặc xóa.
- Quyền truy cập rộng hơn dự định. Nhân viên hoặc người dùng không nên xem một số thông tin nhất định có thể truy cập được nếu quyền được thiết lập lỏng lẻo.
- Giám sát yếu đối với nhà cung cấp. Một tổ chức vẫn phải chịu trách nhiệm về dữ liệu cá nhân ngay cả khi nhà cung cấp xử lý dữ liệu đó.
Điều này không chỉ riêng trong lĩnh vực cảnh sát. Cùng một mô thức về dữ liệu tập trung và phạm vi tiếp xúc rộng cũng có thể thấy trong vụ hack UK Biobank, nơi dữ liệu của 500.000 tình nguyện viên bị rao bán. Điểm chung là dữ liệu tập trung chỉ an toàn bằng mắt xích yếu nhất dẫn vào nó.
Thông báo thực thi có ý nghĩa gì đối với quyền dữ liệu của bạn
Các lực lượng cảnh sát xử lý dữ liệu cá nhân theo một phần cụ thể của Đạo luật Bảo vệ Dữ liệu 2018, phần bao quát việc xử lý trong thực thi pháp luật. Phần này mang theo các nghĩa vụ về an ninh, tính chính xác và giới hạn ai có thể xem dữ liệu. Một thông báo thực thi cho thấy cơ quan quản lý tin rằng những nghĩa vụ đó đã không được đáp ứng và muốn có những thay đổi được xác minh, chứ không chỉ là một lời xin lỗi.
Đối với cá nhân, ý nghĩa thực tế gồm hai mặt. Thứ nhất, các cơ quan quản lý thực sự buộc các cơ quan công quyền phải chịu trách nhiệm, ngay cả khi kết quả ở đây là một lời khiển trách và một thông báo thay vì một khoản tiền phạt. Thứ hai, bạn không phải chờ cơ quan quản lý hành động. Bạn có quyền hỏi một tổ chức đang lưu giữ những gì về bạn.
ICO đã và đang xem xét việc xử lý dữ liệu của cảnh sát trên nhiều phương diện. Bài viết của chúng tôi về các cuộc kiểm toán nhận diện khuôn mặt của cảnh sát do ICO thực hiện cho thấy cùng một chủ đề: những công cụ mạnh mẽ đang được áp dụng nhanh chóng, và hoạt động giám sát đang bắt kịp. Để xem xét những công cụ đó có thể tốn kém và bất định như thế nào trong thực tế, hãy xem báo cáo của chúng tôi về thử nghiệm nhận diện khuôn mặt của Cảnh sát Giao thông Anh.
Cách gửi yêu cầu truy cập chủ thể đối với một cơ quan công quyền
Yêu cầu truy cập chủ thể (SAR) là một yêu cầu được xem dữ liệu cá nhân mà một tổ chức đang lưu giữ về bạn. Trong hầu hết các trường hợp, việc thực hiện là miễn phí và không cần luật sư.
- Tìm đúng đầu mối liên hệ. Hầu hết các lực lượng cảnh sát và cơ quan công quyền đều có một nhóm phụ trách bảo vệ dữ liệu hoặc quyền thông tin. Trang web của họ thường liệt kê một mẫu SAR hoặc địa chỉ email.
- Nêu cụ thể. Cho biết bạn là ai, kèm theo bằng chứng nhận diện, và mô tả những hồ sơ bạn muốn, chẳng hạn như báo cáo, nhật ký sự cố hoặc thư từ trao đổi, cùng ngày tháng ước chừng.
- Hỏi về việc chia sẻ. Bạn cũng có thể hỏi dữ liệu của mình đã được chia sẻ với ai, điều này có thể tiết lộ các nền tảng bên thứ ba có liên quan.
- Lưu lại hồ sơ. Ghi lại ngày bạn gửi yêu cầu. Các tổ chức thường có một tháng để phản hồi, mặc dù thời hạn này có thể được gia hạn đối với các yêu cầu phức tạp.
- Hãy dự kiến một số giới hạn. Cảnh sát có thể giữ lại thông tin nếu việc công bố nó sẽ gây phương hại cho một cuộc điều tra hoặc các mục đích thực thi pháp luật khác. Khi có thể, họ vẫn nên cho bạn biết liệu họ có đang lưu giữ dữ liệu hay không.
- Khiếu nại nếu cần. Nếu bạn không nhận được phản hồi hoặc nhận được phản hồi không thỏa đáng, bạn có thể khiếu nại lên ICO.
Điều Này Có Ý Nghĩa Gì Đối Với Bạn
Lời khiển trách của ICO đối với Cảnh sát Met về Auror là một lời nhắc nhở rằng dữ liệu được giao cho cảnh sát không ở yên một chỗ. Nếu bạn từng báo cáo một tội phạm, từng là nhân chứng, hoặc từng được nêu tên trong một báo cáo, thông tin chi tiết của bạn có thể đi qua các hệ thống do các nhà cung cấp bên ngoài vận hành. Hành động của cơ quan quản lý cho thấy rằng các biện pháp bảo vệ xung quanh những hệ thống đó đáng được chú ý hơn.
Bạn không thể kiểm soát cách một lực lượng cấu hình các công cụ của họ, nhưng bạn có thể đặt câu hỏi và thực thi các quyền của mình.
Những Điểm Chính
- Đọc lời khiển trách và thông báo thực thi đã được ICO công bố để biết đầy đủ chi tiết về những thất bại của Met.
- Hãy nhớ rằng một lời khiển trách ghi lại các phát hiện, trong khi một thông báo thực thi có tính ràng buộc pháp lý.
- Gửi yêu cầu truy cập chủ thể đến lực lượng cảnh sát địa phương của bạn hoặc bất kỳ cơ quan công quyền nào mà bạn nghi ngờ đang lưu giữ dữ liệu về bạn, và hỏi xem dữ liệu đó đã được chia sẻ với ai.
- Giữ bản sao yêu cầu của bạn và mọi phản hồi, và khiếu nại lên ICO nếu bạn không hài lòng.
- Để có bối cảnh rộng hơn về cách các cơ quan quản lý xem xét việc xử lý dữ liệu của cảnh sát, hãy đọc bài viết của chúng tôi về các cuộc kiểm toán nhận diện khuôn mặt của cảnh sát do ICO thực hiện.
Lời khiển trách của ICO đối với Cảnh sát Met về Auror chỉ là một trường hợp, nhưng quyền mà nó chỉ ra thì dành cho tất cả mọi người. Một yêu cầu truy cập chủ thể duy nhất là cách đơn giản nhất để tìm hiểu những gì đang được lưu giữ về bạn.
