摘要

  • 平台于 2026 年 1 月在补充专属保障后恢复使用，但 ICO 仍要求全警队完善第三方技术控制。
  • 8 月的另一项执法行动涉及信息披露和培训；公开资料没有证明 MPS 违反了此前的通知。

英国信息专员办公室（Information Commissioner’s Office，ICO）10 月 14 日公布，对 Metropolitan Police Service（MPS，伦敦警察厅）作出谴责并发出执法通知，原因是警员使用了未经警队正式批准的第三方零售犯罪情报平台。通知日期为 9 月 23 日。此案的治理问题已超出一款工具：平台恢复前虽补上了专属保障，监管机构仍要求警队证明其全机构第三方技术审批控制有效。

ICO 称，MPS 在 2023 年 3 月至 2024 年 9 月间使用该平台，而该平台并未获得正式批准。警队约创建了 500 个账户，其中 375 个用于警务活动。2024 年 1 月至 9 月，平台上传了涉及 179 人的个人信息，其中 3 人未满 18 岁；信息包括姓名和出生日期，少数情况下还包括住址。这些数字说明相关渠道已进入实际运行，但不能据此认定每个账户都上传过数据，也不能说所有相关人员都被起诉。

ICO 表示，MPS 于 2024 年 9 月暂停使用该平台，之后强化治理、培训员工、加入正式合同控制并完成数据保护影响评估，随后在 2026 年 1 月重新启用。但这些平台层面的整改没有消除更广泛的问题：警队仍缺少足够措施，确保员工只使用获批的第三方技术。执法通知要求 MPS 改进服务识别、评估和审批流程，复核既有控制，加强员工意识，定期测试措施是否有效，并向监管机构提交阶段性进展。公开文件没有披露供应商名称，也没有全面禁止该平台。

监管认定涉及《Data Protection Act 2018》的三项不同义务：第 35(1) 条要求执法目的下的数据处理合法且公平；第 40 条要求采取适当的技术或组织安全措施；第 64(1) 条规定，可能给个人权利带来高风险的处理必须事先进行影响评估。ICO 说，该案中的处理既没有个人同意，也不是执法工作所必需，而且高风险处理开始前没有完成影响评估。事后补签合同或补做评估，不能追溯性地补齐此前缺失的处理依据。

这并非 ICO 最近对 MPS 的唯一干预。8 月，监管机构就另一宗单独案件采取行动：一份保护令相关文件未遮盖受害人的联系信息，另一次群发邮件暴露了敏感调查相关人员身份。ICO 在该案中指出培训、监督和治理存在弱点。两起案件的业务流程不同；公开资料没有证明 MPS 违反了 8 月的通知。但把它们放在一起看，警队能否跨流程验证控制，比修好单个平台更值得观察。

MPS 也曾公开强调零售犯罪技术的运营收益。该警队在 8 月通报称，通过新技术报案的案件中，29.4% 出现了积极处置结果，高于此前警队平均值 7.3%。这是警队发布的数据；该网页没有证明因果关系，也没有确认这套系统就是 ICO 案件中的平台。伦敦议会的一份答复称，零售犯罪技术的部署属于 MPS 的运营决定，Mayor’s Office for Policing and Crime 的官员会定期与警队零售犯罪负责人会面；答复没有说明会议核查哪些审批记录或如何测试控制。

眼下的监管考题很具体：员工获得系统权限时，MPS 能否证明服务已获批准、用途和合法依据已确定、高风险处理已事先评估，而且保护措施仍然有效？ICO 的行动并未撤回平台 1 月的重新启用，而是把审视重点移向决定警员可以使用哪些工具的全警队治理体系。

来源