Resumo

  • A plataforma voltou em janeiro de 2026 com salvaguardas próprias, mas a ICO ainda exige controles por toda a corporação policial.
  • Outra medida de agosto tratou de divulgação e treinamento; não há registro público de descumprimento daquela notificação.

A Information Commissioner’s Office (ICO) anunciou em 14 de outubro uma reprimenda e uma notificação de cumprimento contra o Metropolitan Police Service (MPS). O motivo foi o uso, por policiais e funcionários, de uma plataforma externa de inteligência sobre furtos no varejo que não havia sido aprovada formalmente pela corporação. A notificação está datada de 23 de setembro. A questão de governança vai além de um sistema: salvaguardas específicas foram incluídas antes da volta da plataforma, mas o regulador ainda quer comprovação de que os controles sobre tecnologia de terceiros funcionam em toda a força.

O MPS usou a plataforma de março de 2023 a setembro de 2024 sem aprovação formal. Cerca de 500 contas foram criadas e 375 tiveram uso ativo em atividades policiais. De janeiro a setembro de 2024, foram carregados dados relativos a 179 pessoas, incluindo três menores de 18 anos. Os registros continham nomes e datas de nascimento e, em poucos casos, endereços residenciais. Os números mostram que o canal ganhou escala operacional; não significam que todas as contas enviaram dados ou que todas as pessoas foram acusadas.

Segundo a ICO, a corporação suspendeu o uso em setembro de 2024 e adotou governança mais forte, treinamento adicional, controles contratuais formais e uma avaliação de impacto antes de reintroduzir a plataforma em janeiro de 2026. Mesmo assim, a agência apontou falhas mais amplas para garantir que apenas serviços externos aprovados processem informações pessoais. A notificação exige melhores rotinas para identificar, avaliar e aprovar serviços, revisão dos controles existentes, mais conscientização da equipe, testes regulares de eficácia e informes periódicos à agência.

Os documentos citados não revelam o nome do fornecedor nem impõem uma proibição geral.

Os achados envolvem três deveres diferentes na Data Protection Act 2018. A seção 35(1) exige tratamento lícito e justo para fins de aplicação da lei; a seção 40 exige medidas técnicas ou organizacionais apropriadas de segurança; e a seção 64(1) exige avaliação prévia quando o processamento provavelmente traz alto risco aos direitos das pessoas. A ICO afirma que faltaram consentimento e necessidade para a atividade policial e que não havia avaliação de impacto antes do tratamento de alto risco. Uma análise ou cláusula contratual posterior não dá base retroativa ao que já ocorreu.

Em agosto, a ICO publicou outra medida, em caso separado, contra o MPS: um documento relacionado a uma ordem de proteção foi enviado sem ocultar contatos de uma vítima, e um e-mail em massa expôs identidades ligadas a uma investigação sensível. A agência apontou problemas de treinamento, monitoramento e governança. Os fluxos eram diferentes; os registros públicos não dizem que o MPS descumpriu a primeira notificação. Ainda assim, os dois casos tornam relevante saber se a correção de uma ferramenta ou rotina se espalha pelo conjunto das operações.

O MPS também defendeu o ganho operacional de tecnologia para registrar furtos. Em uma nota de agosto, informou que 29,4% dos casos comunicados por meio de nova tecnologia tiveram um desfecho positivo, ante uma média anterior da força de 7,3%. São números divulgados pela própria polícia; a página não demonstra causalidade nem confirma que se trate da plataforma investigada pela ICO. Uma resposta à London Assembly diz que a decisão de implantação cabe ao MPS e que o Mayor’s Office for Policing and Crime se reúne regularmente com a liderança de crimes no varejo. O texto não detalha quais registros de aprovação são revistos nem como sua eficácia é testada.

O teste regulatório agora é concreto: quando alguém recebe acesso, o MPS consegue mostrar que o serviço foi aprovado, que finalidade e base legal estão definidas, que o alto risco foi avaliado antes do uso e que as salvaguardas continuam funcionando? A medida da ICO não desfez o retorno da plataforma em janeiro; ela deslocou a fiscalização para a estrutura que decide quais ferramentas os funcionários podem usar.

Fontes