ICO、第三者プラットフォーム経由のデータ漏えいで英ロンドン警視庁に戒告

英国のデータ保護規制当局は、首都ロンドンの警察組織に対し、第三者プラットフォームの利用をめぐる一連のガバナンス上の不備を理由に、戒告と執行通知を出しました。

英情報コミッショナー事務局（ICO）の調査は、ロンドン警視庁（MPS）が万引き対策の強化で利用した、小売犯罪の情報共有プラットフォーム「Auror」の使用状況に焦点を当てたものです。

ICOによると、MPSの警察官や職員は2023年3月から2024年9月にかけて、正式な承認を得ないままこのプラットフォームを使用していました。作成されたMPSのアカウントは約500件で、そのうち375件が稼働していたと、ICOは事案の報告書で明らかにしています。

Aurorは、事案の概要を高いレベルでまとめる機能や、ケース管理、データの可視化、レポート作成の機能に加え、画像照合と手動での提案によって事件と個人の関連を割り出す「Connect the Dots」モジュールを備えています。ロンドンでは、検挙された万引き犯の数を4倍に増やしたと称賛されてきました。

しかしICOは、2024年1月から9月にかけて、179人分の個人情報が、審査を受けていないこのプラットフォームにアップロードされたと指摘しています。内訳には氏名、生年月日、自宅住所が含まれ、うち3人は18歳未満でした。

MPSのプライバシー問題に関する関連記事：ICO Reprimands Metropolitan Police for Data Snafu

当時、内部では2件の「セキュリティインシデント報告」が提出されていました。1件目は、小売業者から共有された防犯カメラ映像に映る容疑者について、警察官が把握していた氏名をフルネームでアップロードしたものです。2件目は、MPSのサイバーセキュリティチームがAurorを承認していないにもかかわらず、警察官が小売業者から防犯カメラ映像を収集するために同プラットフォームを使っていたと指摘されたものです。

ICOは4件の違反を認定しました。MPSについて、次の点を指摘しています。

• 本人の同意なく、また法執行目的で共有する必要がない場面で、個人情報を違法に処理した
• 個人情報を保護するための「適切な技術的・組織的措置」を講じておらず、第三者技術に対する適切な評価・承認プロセスも踏まなかった
• リスクの高い処理を行う前に、データ保護影響評価（DPIA）を完了しなかった
• 個人情報の処理に承認済みの第三者技術のみを使用するための適切な措置を、いまだに講じていない

ICOの調査部門責任者であるデビッド・ドゥードソン（David Doodson）氏は、警察組織は取り扱う大量の機微な個人情報を守るため、強固な保護策を整えなければならないと述べました。

同氏は「組織は、イノベーションがデータ保護の責任を追い越すことを許してはなりません。新しいシステムやプラットフォームを導入する前に、リスクを適切に評価し、相応の保護策を講じ、実効性のある監督体制を確保する必要があります」と話しています。

さらに「今回の措置は、警察分野をはじめ、あらゆる組織へのメッセージとなるはずです。新しい技術で人々の情報を処理するのであれば、当初から適法かつ透明性のある形で、適切なガバナンスのもとで行わなければなりません」と付け加えました。