Zusammenfassung

  • Die Plattform kehrte im Januar 2026 mit eigenen Schutzmaßnahmen zurück; das ICO verlangt dennoch Kontrollen für den gesamten Polizeidienst.
  • Eine getrennte Augustmaßnahme betraf Offenlegungen und Schulungen; ein Verstoß gegen diese frühere Anordnung ist öffentlich nicht belegt.

Das Information Commissioner’s Office (ICO) teilte am 14. Oktober mit, dass es den Metropolitan Police Service (MPS) gerügt und eine Durchsetzungsanordnung erlassen hat. Anlass war der Einsatz einer externen Plattform für Informationen zu Ladendiebstählen, die der Polizeidienst nicht formell freigegeben hatte. Die Anordnung trägt das Datum 23. September. Im Kern geht es um eine Lücke, die über ein einzelnes Produkt hinausreicht: Vor der Wiederaufnahme wurden plattformspezifische Schutzmaßnahmen ergänzt, doch die Aufsicht verlangt weiterhin Belege für wirksame Freigabekontrollen im gesamten Dienst.

Nach Angaben des ICO nutzte der MPS die Plattform von März 2023 bis September 2024 ohne formelle Genehmigung. Rund 500 Konten wurden angelegt, 375 davon aktiv für Polizeiaufgaben genutzt. Zwischen Januar und September 2024 wurden Angaben zu 179 Personen hochgeladen, darunter drei Minderjährige. Erfasst waren Namen und Geburtsdaten, in wenigen Fällen auch Wohnadressen. Die Zahlen zeigen, dass der Zugang operative Reichweite gewann. Sie belegen weder, dass jedes Konto Daten übermittelte, noch dass alle Betroffenen angeklagt wurden.

Der MPS setzte die Nutzung im September 2024 aus und führte vor der Wiederaufnahme im Januar 2026 laut ICO stärkere Governance, zusätzliche Schulungen, formelle Vertragskontrollen und eine Datenschutz-Folgenabschätzung ein. Trotzdem sah die Behörde weiterhin keine ausreichenden Vorkehrungen, damit ausschließlich genehmigte Drittanbieter verarbeitet werden. Die Anordnung verlangt bessere Verfahren zur Erfassung, Bewertung und Freigabe externer Dienste, eine Überprüfung vorhandener Kontrollen, mehr Mitarbeiterbewusstsein, regelmäßige Wirksamkeitstests und wiederkehrende Berichte an die Aufsicht.

Die veröffentlichten Unterlagen nennen keinen Anbieter und sprechen kein pauschales Verbot aus.

Die Feststellungen betreffen drei unterschiedliche Pflichten aus dem Data Protection Act 2018. Abschnitt 35(1) verlangt eine rechtmäßige und faire Verarbeitung zu Strafverfolgungszwecken. Abschnitt 40 fordert angemessene technische oder organisatorische Sicherheitsmaßnahmen. Abschnitt 64(1) schreibt eine vorherige Folgenabschätzung vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten birgt. Das ICO sagt, im konkreten Fall hätten Einwilligung und Notwendigkeit für Strafverfolgungszwecke gefehlt; außerdem lag vor der risikoreichen Verarbeitung keine Folgenabschätzung vor. Ein späterer Vertrag oder eine nachträgliche Bewertung kann die frühere Verarbeitung nicht rückwirkend legitimieren.

Bereits im August hatte das ICO in einem separaten Fall gegen den MPS eingegriffen: Ein Dokument zu einer Schutzanordnung war nicht ausreichend geschwärzt worden, und eine Rundmail legte sensible Identitäten offen. Die Behörde beanstandete dabei Schulungsquote, Überwachung und Governance. Es handelt sich um andere Arbeitsabläufe; aus den öffentlichen Unterlagen folgt nicht, dass der MPS die August-Anordnung missachtet hat. Zusammen machen die Fälle jedoch die Frage relevant, ob Verbesserungen zwischen verschiedenen Prozessen greifen und geprüft werden.

Der MPS verweist zugleich auf den operativen Nutzen digitaler Meldungen. In einer Mitteilung im August nannte er eine positive Erledigungsquote von 29,4 Prozent bei über neue Technik gemeldeten Ladendiebstählen gegenüber zuvor durchschnittlich 7,3 Prozent. Das sind eigene Angaben der Polizei; die Seite belegt weder einen Kausalzusammenhang noch die Identität mit der vom ICO behandelten Plattform. Eine Antwort an die London Assembly ordnet die Einführung als operative Entscheidung des MPS ein und nennt regelmäßige Treffen des Mayor’s Office for Policing and Crime mit der zuständigen Leitung für Ladendiebstahl. Welche Freigabeunterlagen dort geprüft oder wie Kontrollen getestet werden, steht nicht darin.

Die nächste Prüfung ist damit praktisch: Kann der MPS bei der Vergabe eines Zugangs nachweisen, dass der Dienst freigegeben ist, Zweck und Rechtsgrundlage feststehen, ein hohes Risiko vorab bewertet wurde und Schutzmaßnahmen weiterhin funktionieren? Die ICO-Maßnahme nimmt die Wiederaufnahme im Januar nicht zurück. Sie richtet die Kontrolle vielmehr auf das organisationsweite System, das bestimmt, welche Werkzeuge Beschäftigte verwenden dürfen.

Quellen