ICO призовава за преглед на използването на лични профили заради рискове за поверителността, целостта и достъпността на обменяните данни
На 11 юли 2022 г. Службата на комисаря по информацията (ICO) призова за правителствен преглед на системните рискове и областите за подобрение около използването на частни канали за кореспонденция – включително личен имейл, WhatsApp и други подобни приложения за съобщения.
В своя доклад от 57 страници британския надзорен орган описва подробно едногодишно разследване, стартирано през 2021 г. от комисар Елизабет Денхам, за използването на тези канали от министри и служители в Министерството на здравеопазването и социални грижи (DHSC) по време на пандемията.
Разследването установява, че липсата на ясни контроли и бързото увеличаване на използването на приложения и технологии за съобщения – като WhatsApp – имат потенциала да доведат до загуба на важна информация, свързана с правителствени мерки по време на пандемията. Например информация, намираща се в лични профили извън официалните системи на DHSC. Съхранявана на външни сървъри информация се свърза с определени рискове, смята ICO. Експертите смятат, че това са рискове за прозрачността и отчетността в правителството и това налага преглед на практиките, както и предприемане на действия, за да се гарантира, че са направени подобрения във връзка с начина, по който длъжностни лица и министри използват частни канали за кореспонденция в бъдеще.
Джон Едуардс, британски комисар по информацията, казва, че разбира стойността на незабавната комуникация, която може да донесе нещо като WhatsApp, особено по време на пандемията, когато служителите бяха принудени да вземат бързи решения и да работят, за да отговорят на различни изисквания. Въпреки това цената на използването на тези методи, въпреки че не е в противоречие със закона, не трябва да води до липса на прозрачност и неадекватна сигурност на данните.
Държавните служители трябва да могат да покажат своята работа, както за целите на воденето на записи, така и за поддържане на общественото доверие. Така се осигурява доверие в тези решения и се извличат поуки за бъдещето.
Аналогът на закона за достъп до обществена информация трябва да „работи, за да гарантира, че публичните органи остават отговорни към хората, на които служат. Разбирането на променящата се роля на технологиите е част от тази картина. Ще изложа повече подробности за това как офисът ми ще подходи по различен начин към закона по-късно тази седмица, когато стартирам ICO25 – новият тригодишен план на ICO,“ казва Едуардс.
Констатациите на ICO са, че широко са се използвали канали за частна кореспонденция от министри и персонал, нает от DHSC. Доказателствата, които са по-широко достъпни в публичното пространство, също предполагат, че тази практика е често срещана в голяма част от останалата част от правителството и предхожда пандемията.
Въпреки че има ясни доказателства, че министрите редовно копират информация в правителствени сметки, за да поддържат запис на събитията, съществува риск тези договорености да не се спазват винаги от всички министри и трябва да бъдат подобрени.
DHSC не разполага с подходящ организационен или технически контрол, за да гарантира ефективна сигурност и управление на риска на използваните канали за частна кореспонденция. Например, отделът не разполагаше с информация за това къде са хоствани лични данни в акаунти на трети страни, тъй като DHSC не управлява сървъри на трети страни.
Политиките и процедурите на DHSC бяха несъвместими с политиката на Кабинета за използване на личен имейл (юни 2013 г.) и имаха някои значителни пропуски въз основа на това как ключови лица работят на практика. Това представляваше риск за ефективното обработване на исканията за информация в съответствие със съответните кодекси на практика съгласно свободата на информация.
Използването на такива канали по този начин също представлява риск за поверителността, целостта и достъпността на обменяните данни.
Признаваме, че използването на частни канали донесе някои реални оперативни ползи във време, в което Обединеното кралство беше изправено пред изключителен натиск по време на пандемията от COVID-19. Въпреки това е повод за безпокойство, че подобни практики продължиха като BAU без какъвто и да е преглед на тяхната целесъобразност или рисковете, които представляват, и ние отправихме препоръки за подобряване на DHSC.
ICO вече е издал на DHSC препоръка да подобри управлението на исканията за свобода на информацията и да се справи с несъответствията в съществуващите насоки за свобода на информацията. Това ще гарантира, че исканията за свобода на информация се управляват по-добре, особено във връзка с всякакви материали, създадени или съдържащи се в лични акаунти.
Издадено е и порицание съгласно Общия регламент за защита на данните на Обединеното кралство (UKGDPR), изисквайки от DHSC да подобри своите процеси и процедури относно обработката на лична информация чрез частни канали за кореспонденция и да гарантира, че информацията се пази в безопасност. Дадени са и съответните препоръки.
ICO също призовава правителството да създаде отделен преглед на използването на тези канали и как ползите от новите технологии, включително услугите за лични съобщения, могат да бъдат реализирани, като същевременно се гарантира защита на данните и прозрачност изискванията са изпълнени. Това ще помогне за справяне със значителните несъответствия в подхода, които изглежда се срещат в правителството, и ще помогне да се гарантира, че рисковете се управляват по-добре.
ICO вече публикува насоки за това как Законът за свобода на информацията се прилага към официалната информация, съхранявана в частни канали за кореспонденция . Ръководството обяснява, че всеки официален бизнес трябва да се извършва чрез корпоративни комуникационни канали, като имейл акаунти на отдели, когато е възможно, и че официалната информация, обменена чрез частни канали, трябва да бъде прехвърлена към официалните системи възможно най-бързо.