En journalist hittade sitt eget passnummer
Hofer, journalist, gick igenom en polisiär övervakningspanel och fann sig själv i den. Posten innehöll ett fotografi taget av kinesiska immigrationstjänstemän vid gränsen, ett passnummer och det mobilnummer som använts i landet. Det var ingen läcka i vanlig mening, och ingen behövde bryta upp något för att se den. Panelen var nåbar och osäkrad.
Systemet hade byggts för byrån för allmän säkerhet i Zhangjiakou, en stad i provinsen Hebei inte långt från Peking. Det är en föga uppseendeväckande plats för en heltäckande plattform som spårar utlänningar, och just det gör saken värd en timmes uppmärksamhet. Inget med Zhangjiakou antyder att staden valdes som skyltfönster.
Vad panelen faktiskt innehöll
Plattformen bar nästan 12 000 poster totalt, som täckte efterlysta, personer från Hongkong och Taiwan, över 700 utländska invånare i staden och fler än 300 utländska journalister. Varje person var indelad efter nationalitet och bar en strukturerad profil: födelsedatum, kön, civilstånd, adress, yrke och i vissa fall religion.
Till dessa profiler hörde observationer. Enskilda personer förekom i kamerabilder vid korsningar, på marknader, i köpcentrum och i minst ett fall vid en moské. Den skillnad som är värd att hålla fast vid går mellan en lista och en akt. En lista noterar att någon är närvarande. Det systemet frambringade var ett fortlöpande uppdaterat livsmönster, sammansatt av identitetshandlingar och offentliga kameror och sammanfört till en enda bild av en namngiven person.
Leverantören är fyndet, inte staden
En enda stad med ett ovanligt grundligt system vore en kuriositet. Granskningen spårade kopplingar mellan plattformen och Origin Dynamic, ett företag i Peking som förser polismyndigheter med robotik, övervakningstjänster och utrustning. Samma företag lämnade 2023 in en patentansökan på ett jämförbart system, beskrivet som ett informationsgränssnitt för icke-kinesiska medborgare.
Läs de två uppgifterna tillsammans och sakens form ändras. En patentansökan är vad en leverantör lämnar in när den avser att sälja något upprepade gånger och vill ha konstruktionen skyddad under tiden. Det handlar om en produktifierad förmåga med namngiven leverantör och rättigheter bakom sig, så det rimliga planeringsantagandet är inte att Zhangjiakou är ovanlig. Det är att Zhangjiakou är en installation, och installationer har syskon.
Två risker, och nästan ingen policy namnger den andra
Varje kompetent rese- och utstationeringspolicy förutsätter redan statlig insamling. Företag informerar om rena enheter, om vad man ska ta med och vad man ska säga, och räknar med att en främmande myndighet kan hålla en post. Den risken är gammal, förstådd och till stor del hanterad. Det är inte det nya här.
Det nya är åtkomstkontrollen, eller snarare frånvaron av den. En sammanförd akt om din anställde, liggande i ett system som var och en som lyckades hitta det kunde läsa, är exponerad för en långt vidare krets än den myndighet som byggde det: vanliga brottslingar, kommersiella datamäklare och var och en som bedriver konkurrentunderrättelse mot dig. En profil som förenar passnummer, hemadress, arbetsgivare, förflyttningar och religion är precis råvaran för riktat bedrägeri, påtryckning eller ett försök till identitetskapning mot din ekonomifunktion. Staten var den avsedda läsaren. Säkerhetsbristen innebär att den inte var den enda möjliga.
Tre förändringar värda att göra detta kvartal
Informera de berörda, och gör det korrekt. Den som utstationeras till eller reser i Kina bör få veta att en strukturerad profil sätts samman, att den kommer att innehålla immigrationsfotografi och förflyttningsdata, och att den enligt detta fall kanske inte förvaras säkert. Just den sista satsen förändrar beteenden, eftersom den omvandlar en abstrakt politisk risk till en vanlig risk för dataexponering som människor redan vet hur de ska tänka kring.
Minska sedan det du själv lägger till högen. Behåll i din lokala enhet det minimum av personuppgifter om utstationerade som lokal lag kräver, och sluta lämna mer av egen drift. Gör slutligen dokumentationen ärlig: om anställdas personuppgifter förutsebart kan hamna i ett främmande statligt system hör det hemma i ditt register över behandlingar och i din riskbedömning av överföringar, inte i ett oskrivet antagande. Europeiska arbetsgivare har skyldigheter mot sin personal om vad som händer med deras uppgifter, och en dokumenterad bedömning väger tyngre än en informell överenskommelse den dag någon frågar.
Läs vidare: Att blockera roboten publicerade era samtal | Skattefilerna försvann via supportkön
