要約

  • 2026年1月に専用の保護策を加えて再導入されたが、ICOは組織全体の第三者技術統制を求めている。
  • 8月の別件は情報開示と研修を扱った。MPSが先の命令に違反したとの公的記録はない。

英国のInformation Commissioner’s Office（ICO）は10月14日、Metropolitan Police Service（MPS）が正式承認していない小売犯罪情報共有プラットフォームを職員が使っていたとして、譴責と執行通知を公表した。通知の日付は9月23日。問われているのは個別サービスの修正だけではない。再導入前にそのサービス向けの保護策は整えられたが、規制当局は外部技術を承認する組織全体の統制が機能する証拠をなお求めている。

ICOによれば、MPSは2023年3月から2024年9月まで、正式承認のない状態でこのプラットフォームを使用した。約500件のアカウントが作成され、375件が警察業務で実際に使われた。2024年1月から9月には179人分の情報がアップロードされ、そのうち3人は18歳未満だった。氏名と生年月日が含まれ、少数のケースでは住所も含まれていた。数字は運用上の広がりを示すが、すべてのアカウントが情報を送ったことや、対象者全員が起訴されたことを示すものではない。

MPSは2024年9月に利用を停止し、ガバナンスの強化、職員研修、正式な契約上の管理、データ保護影響評価を整えた後、2026年1月に再導入したとICOは説明する。それでも、承認済みの第三者技術だけを使わせるための組織全体の措置が足りないと判断した。通知は、外部サービスの把握・評価・承認の手順、既存統制の見直し、職員の認識向上、対策の定期的な有効性検証、規制当局への進捗報告を求める。公開資料はベンダー名を示しておらず、プラットフォームを全面禁止したとも述べていない。

問題となったのは、Data Protection Act 2018の三つの別々の義務だ。第35条1項は法執行目的の処理に適法性と公正さを求め、第40条は適切な技術的・組織的安全措置を課し、第64条1項は権利への高リスクが見込まれる処理に事前の影響評価を求める。ICOは今回、本人の同意がなく、法執行上も必要でない処理が行われたとし、高リスク処理の開始前に評価もなかったと発表した。後から契約や評価書を加えても、過去の処理に欠けていた根拠をさかのぼって補うことはできない。

ICOがMPSに介入したのは今回が初めてではない。8月には別の案件で、保護命令に関する書類の黒塗り漏れと、一斉メールによる機微情報の開示を問題にした。そこで規制当局は研修の受講状況、監視、ガバナンスの弱さを指摘した。処理業務は異なるため、公開記録だけから8月の命令への違反を導くことはできない。ただ、個別の手直しが別の業務にも及ぶ統制につながったかが、より大きな検証点になる。

MPSは小売犯罪のデジタル報告に運用上の利点があるとも説明している。8月の発表では、新技術経由の通報で29.4％に何らかの肯定的な処理結果があり、従来の警察全体の平均7.3％を上回ったとした。これはMPS自身が公表した数字で、因果関係やICO案件のプラットフォームとの同一性を示すものではない。London Assemblyへの回答は、導入はMPSの業務上の判断であり、Mayor’s Office for Policing and Crimeが担当責任者と定期的に会うと説明するが、承認台帳をどう確認するかまでは記していない。

次の確認点は現場の権限付与にある。職員がアクセスを得る時点で、承認、利用目的と法的根拠、高リスク評価、継続中の安全対策をMPSが立証できるか。今回の措置は1月の再導入を取り消さず、職員が使える外部技術を決める警察全体の仕組みに規制の焦点を移した。

出典