セキュリティ
警察官が必要なプライバシー審査や組織の承認を経ずに、179人の個人情報をAurorへ違法にアップロード
英国の情報コミッショナー事務局（ICO）は、ロンドン警視庁（MPS）に対して戒告処分を下し、執行通知を発出しました。警察官らが、組織の承認も必要なデータ保護審査もないまま、小売犯罪対策プラットフォームを利用していたためです。
2023年3月から2024年9月にかけて、MPSの警察官は約500件の無料アカウントを「Auror」に登録しました。Aurorは、小売業者が万引きなどの犯罪を記録するために使うプラットフォームです。MPSはこのサービスを正式に調達しておらず、必要なデータ保護審査も完了していませんでした。
スーパーマーケットなどの小売業者は、警察官にAurorの利用を促し、防犯カメラ映像にアクセスするために同プラットフォームへ誘導していました。
イングランドとウェールズで登録されているAuror Europeは、ニュージーランドに本社を置くAurorの子会社です。
このプラットフォームでは、小売業者がインシデント報告、画像、防犯カメラ映像を共有できます。小売業者はブラウザまたはモバイルアプリ経由のアクセスに料金を支払いますが、警察の提携先は無料で利用できます。
ICOによると、MPSはデータ保護影響評価（DPIA）を実施しておらず、Auror Europeとのデータ共有契約も結んでいませんでした。
2024年8月から9月にかけて、警察官によるAurorの利用について、別々の内部セキュリティ報告が2件提出されました。
1件目は、警察官が防犯カメラ映像で見覚えのある容疑者の氏名をアップロードしていたというものです。2件目は、警察官がプラットフォームから防犯カメラ映像を取得していたにもかかわらず、その映像に対する確認が行われていなかったというものです。
Aurorへのアクセスは、2024年9月26日付で遮断されました。
MPSのデータ保護責任者（DPO）は、2024年12月に別件の協議の中で、MPSによるAurorの利用をICOに報告しました。監督当局は2025年4月に正式な調査を開始しました。
ICOの調査により、警察官が子ども3人を含む179人の個人データをAurorへ違法にアップロードしていたことが判明しました。このうち128人は氏名のみ、49人は氏名と生年月日、2人は氏名、生年月日、自宅住所でした。
ICOは、警察官にどのサードパーティ製プラットフォームの利用を認めるかを決定する際、MPSが適切な監督体制を確保できていなかったと指摘しました。この不備は現在も続いているとしています。
また、MPSは未承認ソフトウェアの利用を防ぐ手段として、技術的な遮断ではなく、ポリシーの周知やスタッフ研修といった「ソフトな統制」に過度に依存していると述べました。こうした措置は見過ごされがちです。
ICOはさらに、MPSがウェブ統制が機能しているかどうかを検証していなかったとも指摘しました。警察官は18か月以上にわたってAurorを利用していましたが、アラートは一度も作動しませんでした。
規制当局はこれを再発事案だと位置づけ、2021年にも警察官が適切な監督なしにClearview AIを利用していた事例を挙げました。
MPSが同様の事案を防げる保護措置を備えていると示せていないため、ICOはこれらの不備が現在も続いていると見ています。
この執行措置により、MPSはサードパーティ製ツールの不適切な利用に対する保護措置の強化と、ICOへの定期的な進捗報告を義務付けられます。
ICOの調査部門責任者であるDavid Doodson氏は、次のように述べています。「今回の措置は、警察分野だけでなく、その外にも向けたメッセージです。新しい技術を使って人々の情報を処理するのであれば、最初から合法的かつ透明性のある形で、適切なガバナンスのもとで行わなければなりません」
「組織が人々の情報を保護できなければ、私たちは措置を講じます。私たちの役割は、組織の責任を問うことだけではありません。改善を促し、人々が当然期待できる水準を引き上げることでもあります」
MPSはThe Registerに対し、より厳格な統制の導入と試験運用を経て、ロンドン市内の14区の警察官が再びAurorを利用していると説明しました。
MPSの広報担当者は次のように述べています。「正式な承認と試験運用を経て、このプラットフォームは現在ロンドンの14区で使われています。警察官が万引き犯をより迅速に特定でき、小売業者は通報時に証拠や防犯カメラ映像を直接共有できます。これにより、万引き事件で成果を上げた件数は4倍になりました」
MPSは2026年8月の発表で、名称は明かさなかったものの、この技術を14区以外にも展開する方針を示しました。すでにTesco、Boots、Greggs、M&Sなどの店舗で導入されているとしています。
同プラットフォーム経由で通報された万引き事件のうち、29.4パーセントで成果が得られているといいます。
ICOの調査結果について、広報担当者は次のように述べました。「当時のデータ保護体制が、警察官個人によるAurorの利用に対して不十分だったとするICOの認定を受け入れます」
「警察官は万引き犯を特定し逮捕するため、善意でこのプラットフォームを使っていました。しかし、利用に必要なセキュリティおよびデータ保護の作業を完了していなかったことは認識しています」
「この問題を把握した時点で、直ちにプラットフォームへのアクセスを停止し、全面的な見直しを実施しました。その後、法務、セキュリティ、商務、データ保護の必要な審査をすべて完了したうえで、利用を承認しました」
今回の戒告と執行措置は、8月にICOが下した別の叱責に続くものです。この叱責は、2件の機微な事案に関するものでした。
1件目では、MPSの警察官がストーカー保護命令の対象者に未編集の法的文書を送付し、被害者の新しい自宅住所と連絡先が漏えいしました。もう1件では、警察官がCCとBCCを取り違えるという初歩的なミスを犯し、おとり捜査の標的となった議会関係者18人のメールアドレスを流出させました。®
