L'Information Commissioner's Office (ICO) ha sanzionato il Metropolitan Police Service (MPS) di Londra per gravi inadeguatezze nella gestione della piattaforma Auror. Nuove informazioni emergono riguardo alle violazioni della privacy e alla mancanza di controlli adeguati.
L'Information Commissioner's Office (ICO), l'autorità di regolamentazione britannica per la protezione dei dati, ha formalmente rimproverato il Metropolitan Police Service (MPS) di Londra, emettendo un avvertimento e un'ordinanza di applicazione a seguito di una serie di gravi inadeguatezze nella governance relative all'adozione di una piattaforma di terze parti. L'indagine dell'ICO si è concentrata sull'utilizzo da parte dell'MPS della piattaforma Auror, uno strumento progettato per la condivisione di informazioni sulla criminalità nel settore della vendita al dettaglio, impiegato nell'ambito di un'operazione di contrasto ai furti nei negozi.
Secondo quanto emerso dall'indagine iniziale, tra marzo 2023 e settembre 2024, agenti e personale dell'MPS hanno utilizzato la piattaforma Auror senza che questa avesse ricevuto un'approvazione formale. Sono stati creati circa 500 account per l'MPS, di cui 375 risultavano attivi. La piattaforma Auror offre funzionalità avanzate, tra cui riepiloghi dettagliati degli incidenti, gestione dei casi, visualizzazione e reportistica dei dati, oltre a un modulo chiamato "Connect the Dots" che, attraverso l'analisi di immagini e suggerimenti manuali, mira a identificare collegamenti tra eventi e individui. La piattaforma era stata accreditata per aver quadruplicato il numero di taccheggiatori portati davanti alla giustizia nella capitale britannica.
Nuove rivelazioni sulle violazioni dei dati
Le nuove fonti confermano e amplificano le preoccupazioni sollevate dall'ICO. È emerso che, nel periodo compreso tra gennaio e settembre 2024, sono state caricate sulla piattaforma non verificata informazioni personali relative a ben 179 persone. Questi dati includevano nomi, date di nascita e indirizzi di residenza, con un dato particolarmente allarmante: tre dei soggetti interessati erano minorenni. Durante questo stesso arco temporale, sono stati registrati internamente due "rapporti di incidente di sicurezza". Il primo riguardava il caricamento da parte di un agente dei nomi completi di sospetti identificati tramite immagini CCTV fornite da un rivenditore. Il secondo segnalava l'uso della piattaforma da parte di agenti per raccogliere immagini CCTV da rivenditori, nonostante Auror non fosse ancora stata approvata dal team di cybersecurity dell'MPS.
Le quattro violazioni contestate dall'ICO
L'ICO ha identificato quattro specifiche violazioni da parte dell'MPS, confermate dalle nuove informazioni emerse:
L'importanza della governance e della supervisione
David Doodson, capo delle indagini dell'ICO, ha sottolineato l'importanza per le forze di polizia di disporre di salvaguardie robuste per proteggere le grandi quantità di dati personali sensibili che gestiscono. "Le organizzazioni non possono permettere che l'innovazione superi le loro responsabilità in materia di protezione dei dati", ha dichiarato Doodson. "Prima di introdurre nuovi sistemi o piattaforme, devono valutare adeguatamente i rischi, implementare le necessarie salvaguardie e garantire un'efficace supervisione".
L'azione intrapresa dall'ICO mira a inviare un messaggio chiaro all'intero settore della polizia e oltre: "Se si utilizzano nuove tecnologie per elaborare le informazioni delle persone, ciò deve avvenire in modo legale, trasparente e con una governance appropriata fin dall'inizio". Questo caso evidenzia la necessità critica per le organizzazioni, specialmente quelle che gestiscono dati sensibili, di aderire rigorosamente ai protocolli di valutazione, approvazione e sicurezza prima di adottare nuove soluzioni tecnologiche, in particolare quelle fornite da terze parti. L'episodio sottolinea come l'entusiasmo per nuove tecnologie, come quelle offerte da provider di VPN che promettono maggiore privacy online attraverso connessioni crittografate e strumenti anti-malware (come nel caso delle promozioni di NordVPN), debba sempre essere bilanciato da una rigorosa valutazione dei rischi e dalla conformità normativa, soprattutto quando si trattano dati personali di cittadini.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
