Metropolitan Police, l’ICO sanziona l’uso non autorizzato della piattaforma Auror

• L'ICO rimprovera la Metropolitan Police ed emette un enforcement notice per l'uso non autorizzato di Auror
• Caricati illecitamente i dati di 179 persone, tre minorenni; circa 500 account gratuiti tra 2023 e 2024
• Mancavano DPIA, accordi di condivisione dati e blocchi tecnici; l'ICO cita il precedente Clearview AI
• L'MPS deve rafforzare i controlli e inviare aggiornamenti periodici all'ICO

L’Information Commissioner’s Office (ICO), l’autorità britannica per la protezione dei dati, ha formalmente rimproverato la Metropolitan Police Service (MPS) di Londra e ha emesso un enforcement notice. Il motivo: alcuni agenti hanno usato una piattaforma per la lotta ai furti nei negozi senza l’approvazione della forza di polizia e senza i controlli di data protection richiesti.

I fatti

Tra marzo 2023 e settembre 2024 gli agenti dell’MPS hanno registrato circa 500 account gratuiti su Auror, piattaforma con cui i rivenditori segnalano reati come i furti. Il servizio non era stato acquisito in modo formale e non erano stati completati i controlli necessari. Alcuni supermercati avevano incoraggiato gli agenti a usarla, in particolare per accedere alle immagini delle telecamere a circuito chiuso (CCTV).

Auror Europe, registrata in Inghilterra e Galles, è controllata dalla neozelandese Auror. La piattaforma consente di condividere segnalazioni, immagini e filmati. I rivenditori pagano per l’accesso, le forze di polizia lo ottengono gratuitamente.

Secondo l’ICO l’MPS non aveva svolto una valutazione d’impatto sulla protezione dei dati (DPIA) né stipulato accordi di condivisione dei dati con Auror Europe.

Le segnalazioni e l’indagine

Tra agosto e settembre 2024 sono state aperte due segnalazioni interne di sicurezza. La prima riguardava agenti che caricavano i nomi di sospettati riconosciuti nei filmati. La seconda riguardava la raccolta di filmati dalla piattaforma senza alcuna verifica. L’accesso è stato bloccato il 26 settembre 2024.

Il responsabile della protezione dei dati dell’MPS ha informato l’ICO nel dicembre 2024, durante il confronto su un altro caso. L’indagine formale è partita nell’aprile 2025.

L’ICO ha accertato che sono stati caricati illecitamente dati personali di 179 persone, tre delle quali minorenni:

• 128 persone: solo il nome;
• 49 persone: nome e data di nascita;
• 2 persone: nome, data di nascita e indirizzo di casa.

Le carenze contestate

Secondo l’autorità, l’MPS non garantisce una supervisione adeguata sulle piattaforme di terze parti che gli agenti possono usare, e la criticità persiste. La forza si affiderebbe troppo a controlli «morbidi», come promemoria e formazione, spesso ignorati, anziché a blocchi tecnici. Inoltre non aveva verificato che i controlli web funzionassero: per oltre 18 mesi nessun alert è scattato.

L’ICO parla di un fallimento ripetuto, richiamando l’uso di Clearview AI da parte degli agenti nel 2021, anche allora senza adeguata supervisione. Il provvedimento obbliga l’MPS a rafforzare le tutele contro l’uso improprio di strumenti di terzi e a inviare aggiornamenti periodici.

David Doodson, responsabile delle indagini dell’ICO, ha detto che l’azione deve essere un messaggio per tutto il settore: chi usa nuove tecnologie per trattare dati personali deve farlo in modo lecito, trasparente e con una governance adeguata fin dall’inizio.

La posizione dell’MPS

L’MPS accetta le conclusioni dell’ICO. Afferma che gli agenti agivano in buona fede e che l’accesso è stato sospeso subito, seguito da una revisione completa. Dopo i controlli legali, di sicurezza, commerciali e di protezione dei dati e una fase pilota, la piattaforma è stata approvata ed è ora usata in 14 distretti londinesi. Secondo un portavoce ha quadruplicato gli esiti positivi sui furti nei negozi. Un annuncio di agosto 2026 indicava un tasso di esito positivo del 29,4% e una diffusione in catene come Tesco, Boots, Greggs e M&S.

Il provvedimento segue un altro richiamo dell’ICO ad agosto. Riguardava un agente che aveva inviato documenti legali non oscurati al destinatario di un ordine di protezione contro lo stalking, esponendo il nuovo indirizzo della vittima. Nell’altro caso un agente aveva esposto, per un errore di copia in chiaro (CC al posto di CCN), gli indirizzi email di 18 persone legate al Parlamento.

Fonte: theregister · Foto: theregister