ICO הטיל קנס על משטרת המטרופולין בגין שימוש בלתי חוקי בפלטפורמת גניבת חנויות של Auror

מסקנות ICO לגבי השימוש ב-Auror

משרד נציב המידע (ICO) הטיל קנס על משטרת המטרופולין של לונדון והוציא הודעת אכיפה לאחר שקצינים השתמשו בפלטפורמת Auror ללא הרשאה רשמית וללא הבדיקות הנדרשות להגנת מידע. ממרץ 2023 עד ספטמבר 2024 קצינים רשמו כ-500 חשבונות חינמיים בפלטפורמת גניבת החנויות.

גנבי חנויות קיבלו גישה והזמינו קצינים להשתמש ב-Auror, כולל הפנייה לפלטפורמה עבור הקלטות CCTV. Auror Europe, הרשומה באנגליה ובוויילס, היא חברת בת של Auror שנוסדה בניו זילנד. המשרד לא השלים הערכת השפעה על הגנת מידע (DPIA) ולא נקבעו הסכמי שיתוף מידע עם Auror Europe.

רשומות שהועלו ואמצעי אכיפה

לפי ה-ICO, קצינים העלו באופן בלתי חוקי נתונים אישיים של 179 בני אדם, בהם שלושה ילדים. ב-128 מקרים הנתונים כללו רק שמות, ב-49 מקרים שמות ותאריכי לידה, ובשני מקרים שמות, תאריכי לידה וכתובות מגורים.

בין אוגוסט לספטמבר 2024 נוצרו שני דיווחי אבטחה פנימיים. אחד נגע לכך שקצינים העלו שמות חשודים שזוהו מהקלטות CCTV, והשני לכך שקצינים לקחו הקלטות CCTV מהפלטפורמה ללא בדיקה. הגישה ל-Auror נחסמה החל מה-26 בספטמבר 2024. ה-ICO ציין כי ה-MPS הסתמך יתר על המידה על אמצעי בקרה רכים, כגון תזכורות מדיניות והדרכה, במקום חסימות טכניות, ולא בדק אם בקרת הרשת פעלה במשך יותר מ-18 חודשי שימוש.

אכיפה ועדכון השימוש

קצין הגנת המידע של ה-MPS זומן על ידי משרד ה-ICO בדצמבר 2024 לשיחה נפרדת בנוגע לשימוש ב-Auror, והרגולטור פתח חקירה רשמית באפריל 2025. ה-ICO קשר את המקרה לפגמים חוזרים הקשורים ל-Clearview AI בשנת 2021, וציין כי הליקויים נמשכו מכיוון שהמשרד לא הבטיח שאמצעי האכיפה יוכלו למנוע מקרים דומים.

הודעת האכיפה דורשת אמצעי אכיפה מחמירים יותר נגד שימוש בלתי מורשה בכלים של צד שלישי ודוחות התקדמות תקופתיים ל-ICO. משטרת המטרופולין מסרה כי בקרה מחמירה יותר ותוכנית פיילוט אפשרו ל-14 קצינים ברחבי לונדון להשתמש שוב ב-Auror, וכי הפלטפורמה הכפילה פי ארבע את התוצאות החיוביות בגניבת חנויות. היא גם מסרה כי דיווחי גניבת חנויות דרך הפלטפורמה הסתיימו בתוצאה חיובית ב-29.4 אחוז מהמקרים.

מקורות: The Register