Ett mejl till 18 personer, synligt för alla 18
Metropolitan Police Service (MPS) skickade ett mejl för att varna 18 personer med koppling till det brittiska parlamentet om ett ändrat borgensdatum för en misstänkt, och avslöjade därmed för var och en vilka de andra 17 var.
Mottagarna hade under 2024 och 2025 varit måltavlor för någon som använde WhatsApp-meddelanden för att samla in komprometterande material om dem, ett fall som Information Commissioner's Office (ICO), den brittiska dataskyddsmyndigheten, kallar "Honeytrap-fallet". En MPS-polis lade varje mejladress i fältet "Till" istället för ett dolt fält, så att alla kunde se namn och adress på alla andra. Själva mejltexten förklarade inte uttryckligen orsaken till kontakten, men enbart sammanhanget gjorde det möjligt att sluta sig till mycket känslig information om varje berörd person.
Den andra läckan var värre: en stalkingoffers nya adress
Ett andra misstag av MPS, utrett i samma ärende, satte återigen en stalkingoffer i fara inför personen hon hade flytt ifrån.
En polis som delgav handlingar i ett ärende om en Stalking Protection Order underlät att redigera bort konfidentiell information om tredje part innan handlingarna lämnades till den tilltalade. Handlingarna avslöjade offrets nya adress och telefonnummer, samt namn och kontaktuppgifter till tre vittnen. Offret hade bytt bådadera just på grund av den risk den tilltalade utgjorde. Han kontaktade henne senare på det nya numret och sa att han fått hennes nya uppgifter från MPS själv.
Inga enskilda misstag: vad ICO fann bakom
ICO:s utredning visade att båda läckorna hade samma bakomliggande orsak: svag efterlevnad av utbildningskrav, bristande kontroll och styrning, inte två olyckliga engångsmisstag.
Polisen som skickade massutskicket hade inte genomfört obligatorisk dataskyddsutbildning på över fyra år, och den chef som borde ha upptäckt misstaget hade nästan lika länge varit outbildad. MPS medgav själv att andelen som slutfört den obligatoriska Managing Information-utbildningen var för låg i hela styrkan. I stalkingfallet fann ICO också att de inblandade poliserna inte hade fått den specialistutbildning som krävs för handlingar om Stalking Protection Order, och att processen för att förbereda och granska dessa handlingar var otillräcklig.
Åtgärden vilket företag som helst kan kopiera idag
ICO beordrade MPS att åtgärda utbildning, kontroll och styrning inom tre och tolv månader, och den mest användbara lärdomen för vilken annan organisation som helst ligger i vad man inte gjorde: man accepterade inte ett policydokument som bevis på att problemet var löst.
MPS hade redan infört ett beteendevarningsverktyg som varnar personal när ett mejl är på väg att skickas till flera externa mottagare, exakt den typ av skyddsåtgärd som de flesta företags mejlplattformar redan erbjuder sina administratörer och som helt enkelt inte är påslagen. Alla företag som mejlar grupper av kunder, patienter eller ärendekontakter, inom hr, sjukvård, juridik eller professionella tjänster, bär exakt samma risk som MPS just visade: en person som glömmer att använda ett dolt fält, och en chef som aldrig kontrollerade det. En detalj är värd att lyfta för läsare i privat sektor, inte offentliga myndigheter: ICO utfärdade här en tillrättavisning och ett föreläggande, inte böter, i linje med sin uttalade hållning att sällan bötfälla offentliga myndigheter, eftersom böter bara flyttar pengar mellan delar av staten. Ett privat företag med samma misstag skulle inte få samma behandling. I Sverige tillämpar Integritetsskyddsmyndigheten samma konfidentialitetsprincip enligt artikel 5.1 f i dataskyddsförordningen, oavsett om den personuppgiftsansvariga är en myndighet eller ett företag.
Läs vidare: EU skriver om GDPR | Går Ditt Företag Omkull, Säljs Dina Mejl
