Mail do 18 osób, widoczny dla wszystkich 18
Metropolitan Police Service (MPS) wysłała mail, aby ostrzec 18 osób powiązanych z brytyjskim parlamentem o zmianie terminu zwolnienia za kaucją podejrzanego, i tym samym ujawniła każdej z nich, kim jest pozostałych 17.
Odbiorcy byli w latach 2024 i 2025 celem osoby, która za pomocą wiadomości WhatsApp zbierała kompromitujący materiał na ich temat, sprawę tę Information Commissioner's Office (ICO), brytyjski organ ochrony danych, nazywa "sprawą Honeytrap". Funkcjonariusz MPS wpisał każdy adres email w pole "Do" zamiast w pole ukryte, dzięki czemu każda osoba widziała imię i adres wszystkich pozostałych. Treść maila nie tłumaczyła wprost powodu kontaktu, ale sam kontekst pozwalał wywnioskować bardzo wrażliwe informacje o każdej z zainteresowanych osób.
Drugi wyciek był gorszy: nowy adres ofiary stalkingu
Drugie uchybienie MPS, badane w tej samej sprawie, ponownie naraziło ofiarę stalkingu na niebezpieczeństwo ze strony osoby, przed którą uciekła.
Funkcjonariusz doręczający dokumenty w sprawie dotyczącej Stalking Protection Order nie ocenzurował poufnych informacji o osobach trzecich przed przekazaniem ich oskarżonemu. Dokumenty ujawniały nowy adres i numer telefonu ofiary, a także nazwiska i dane kontaktowe trzech świadków. Ofiara zmieniła oba te dane właśnie z powodu zagrożenia ze strony oskarżonego. Ten skontaktował się z nią później pod nowym numerem i powiedział, że nowe dane otrzymał od samej MPS.
Nie pojedyncze błędy: co ICO znalazło pod spodem
Dochodzenie ICO wykazało, że oba wycieki miały tę samą przyczynę: słabe wskaźniki ukończenia szkoleń, niedostateczny nadzór i zarządzanie, a nie dwa niefortunne, odosobnione błędy.
Funkcjonariusz, który wysłał masowego maila, nie ukończył obowiązkowego szkolenia z ochrony danych od ponad czterech lat, a przełożony, który powinien był zauważyć błąd, był nieprzeszkolony niemal tak samo długo. Sama MPS przyznała, że wskaźniki ukończenia obowiązkowego szkolenia Managing Information były w całej formacji zbyt niskie. W sprawie stalkingu ICO ustaliło również, że zaangażowani funkcjonariusze nie odbyli wymaganego specjalistycznego szkolenia w zakresie dokumentów Stalking Protection Order, a proces przygotowania i weryfikacji tych dokumentów był niewystarczający.
Poprawka, którą każda firma może wdrożyć już dziś
ICO nakazało MPS poprawę szkoleń, nadzoru i zarządzania w ciągu trzech i dwunastu miesięcy, a najbardziej przydatna lekcja dla każdej innej organizacji tkwi w tym, czego ICO nie zrobiło: nie uznało dokumentu polityki za dowód, że problem został rozwiązany.
MPS wprowadziła już narzędzie ostrzegające pracowników, gdy mail ma zostać wysłany do wielu odbiorców zewnętrznych, dokładnie ten rodzaj zabezpieczenia, jaki większość firmowych platform pocztowych już oferuje swoim administratorom i po prostu nie jest włączony. Każda firma, która wysyła maile grupowe do klientów, pacjentów lub kontaktów w sprawie, w dziale kadr, ochronie zdrowia, obsłudze prawnej czy usługach profesjonalnych, ponosi dokładnie takie samo ryzyko, jakie właśnie pokazała MPS: jedna osoba zapominająca użyć ukrytego pola i przełożony, który nigdy tego nie sprawdził. Warto zaznaczyć jeden szczegół dla czytelników z sektora prywatnego, a nie instytucji publicznych: ICO wydało tu upomnienie i nakaz, a nie karę finansową, co jest zgodne z jego deklarowanym podejściem rzadkiego nakładania kar finansowych na instytucje publiczne, ponieważ kara finansowa jedynie przesuwa pieniądze między częściami państwa. Prywatna firma z tym samym błędem nie otrzymałaby takiego samego traktowania. W Polsce Urząd Ochrony Danych Osobowych egzekwuje tę samą zasadę poufności z artykułu 5 ustęp 1 litera f RODO, niezależnie od tego, czy administratorem jest instytucja publiczna czy firma prywatna.
Czytaj dalej: UE pisze RODO na nowo | Gdy Twoja Firma Upada, Twoje Maile Trafiają Na Sprzedaż
