セキュリティ
ロンドン警視庁、防げたはずの2件のデータ漏洩を受け安全対策の改善を命じられる
英国のデータ保護規制当局は、ロンドン警視庁(MPS)の職員がストーカー加害者に対し、被害者の新しい電話番号や自宅住所などの情報を渡していたとして、同庁を批判しました。
情報コミッショナー事務局(ICO)は本日、2024年に発生した2件の事案について、MPSに対し是正命令[PDF]と譴責処分を下しました。
是正命令には、英国のデータ保護法に基づく義務を果たすために違反組織が取るべき具体的な措置が盛り込まれます。一方、譴責処分はデータ保護法違反に関する公式な警告として機能します。
ICOはMPSの不備に起因する2件の重大な事案の概要を示すとともに、これらは孤立した事例ではなく「機密性の高い個人情報の取り扱いに関するMPSの方針、手続き、および保証体制における広範な弱点を反映したもの」だと付け加えました。
最初の事案は、暫定的なストーカー防止命令(SPO)の対象となっていた男性に関するものです。このSPOは、彼が被害者に接触することを禁じていました。
MPSのある警視は2024年1月、嫌がらせおよび悪意ある通信の容疑で前年に逮捕されていた男性に関する暫定SPOの申請を承認しました。
この男性は当時、被害者およびその友人・家族への接触を禁じる保釈条件にも従う立場にありました。
この男性の行為の結果、匿名とされている被害者は電話番号と自宅住所を変更せざるを得なくなりました。
被告人に渡す写しからはすべての個人情報を編集(マスキング)するよう警告されていたにもかかわらず、警察官らは編集されていない証人陳述書やその他の文書を含めてしまいました。
これにより、被害者本人だけでなく、その友人や家族の新しい住所と電話番号までもが露呈しました。
その数日後、男性は保釈条件に違反して英国から逃亡しましたが、被害者はMPSに対し、被告人が新しい電話番号を使って自分に接触してきたと通報しました。
2024年5月に正式なSPOが発令され、ストーカー加害者は7月に英国へ再入国したところを逮捕されました。その後、ストーカー行為の容疑で起訴され、有罪を認めたことにより収監されました。
2件目の事案は、典型的なCCとBCCの取り違えによるメール送信ミスで、「悪意ある行為者」によるハニートラップ工作の標的となった英国議会関係者18人の住所が流出しました。
MPSは、このハニートラップ工作の被害を受けた関係者に対し、容疑者が保釈条件への対応を求められる期限を知らせるためにメールを送信しましたが、その際にBCC機能を使い忘れ、対象者同士のメールアドレスが互いに露呈してしまいました。
MPSはこの漏洩を当日中に報告し、3件のアカウントは最近無効化されていたものの、受信者が互いのメールアドレスから相手の身元を推測できる可能性があることを認めました。
MPSは情報コミッショナーに対し、この漏洩による「実害の報告はない」とし、正式な苦情も寄せられていないと説明しましたが、一部の対象者が氏名を共有されたことに「不快感」を示していたことは把握していたとしています。
ある下院議員は、この問題を庶民院で取り上げました。
ICOによると、ハニートラップ工作に関しては、当該メールを送信した職員は4年以上にわたりデータ保護研修を修了しておらず、その直属の上司もほぼ4年間、研修を修了していなかったとのことです。
ICOは、データ保護研修の修了率が同庁全体で低いことを確認しており、MPSはこの改善に取り組むことを約束しています。
ICOの民事・サイバー捜査部門グループマネージャーであるジョー・ストーンズ氏は、次のように述べています。「人々は、自らの最も機密性の高い個人情報を、それも脆弱な立場や危険にさらされている時にこそ、警察に託します。その情報が安全に取り扱われることを期待する権利が彼らにはあります。
「今回のケースでは、ロンドン警視庁は人々の個人情報を保護するために必要な安全対策を講じていませんでした。ある漏洩では、ストーカー被害者が保護を必要としていた相手に、彼女の新しい連絡先情報が露呈してしまいました。また別の漏洩では、極めて機密性の高い捜査に関係する人々の身元が明らかになりました。
「これらの事案は予見可能であり、防止できたはずのものです。私たちの措置は、特に機密性の高い法執行情報を扱う公共部門の組織において、効果的な研修、監視、保証の体制を整えなければならないことを明確に示しています。方針や注意喚起があっても、それが遵守され、確認され、徹底されなければ意味がありません」
ロンドン警視庁は今後12カ月以内に、データ保護研修要件の遵守状況を改善し、修了率100%を目指すとともに、期限に間に合わなかった職員へのフォローアップを行う必要があります。
また、3カ月ごとに、職員が複数の受信者にメールを送信する際の運用を見直し、より安全な代替手段を検討したうえで、研修の修了状況についてICOに進捗を報告しなければなりません。
ICOは今年これに先立ち、情報公開法に基づく義務の不履行を理由に、ロンドン警視総監に対して別の是正命令を下しています。これは2年前に出された前回の命令に続くもので、MPSはその命令には従っていました。®
