Cảnh sát London bị cơ quan giám sát dữ liệu khiển trách vì dùng nền tảng chống trộm cắp trái phép

Văn phòng Ủy viên Thông tin (ICO) của Anh đã khiển trách Lực lượng Cảnh sát Metropolitan (MPS) của London và ban hành lệnh cưỡng chế sau khi các sĩ quan sử dụng một nền tảng chống tội phạm bán lẻ mà không có sự phê duyệt của lực lượng hay các kiểm tra bảo vệ dữ liệu bắt buộc.

Từ tháng 3 năm 2023 đến tháng 9 năm 2024, các sĩ quan MPS đã đăng ký khoảng 500 tài khoản miễn phí trên Auror — một nền tảng mà các nhà bán lẻ dùng để ghi nhận các tội phạm như trộm cắp tại cửa hàng. Lực lượng này chưa từng chính thức mua sắm dịch vụ hoặc hoàn thành các kiểm tra bảo vệ dữ liệu theo yêu cầu.

Auror là gì và được sử dụng như thế nào?

Auror Europe, đăng ký tại Anh và xứ Wales, là công ty con của Auror có trụ sở tại New Zealand. Nền tảng này cho phép các nhà bán lẻ chia sẻ báo cáo sự cố, hình ảnh và video từ camera giám sát (CCTV). Các nhà bán lẻ trả phí truy cập qua trình duyệt hoặc ứng dụng di động, trong khi các đối tác cảnh sát sử dụng miễn phí.

Các nhà bán lẻ như siêu thị đã khuyến khích các sĩ quan sử dụng Auror và hướng dẫn họ truy cập nền tảng để xem video CCTV.

Những vi phạm nghiêm trọng

Theo ICO, lực lượng cảnh sát đã không hoàn thành đánh giá tác động bảo vệ dữ liệu (DPIA) hoặc thiết lập các thỏa thuận chia sẻ dữ liệu với Auror Europe.

Từ tháng 8 đến tháng 9 năm 2024, hai báo cáo an ninh nội bộ riêng biệt đã được nộp liên quan đến việc sử dụng Auror của các sĩ quan. Báo cáo thứ nhất liên quan đến việc các sĩ quan tải lên tên của những nghi phạm mà họ nhận ra từ video CCTV. Báo cáo thứ hai liên quan đến việc các sĩ quan thu thập video CCTV từ nền tảng dù không có kiểm tra nào được thực hiện. Quyền truy cập vào Auror đã bị chặn kể từ ngày 26 tháng 9 năm 2024.

Cơ quan giám sát phát hiện các sĩ quan đã tải lên trái phép dữ liệu cá nhân liên quan đến 179 người, trong đó có ba trẻ em.

Cụ thể, với 128 người, dữ liệu chỉ gồm tên; với 49 người, gồm tên và ngày sinh; và với hai người, gồm tên, ngày sinh và địa chỉ nhà.

Thanh tra viên bảo vệ dữ liệu (DPO) của MPS đã thông báo cho ICO về việc lực lượng này sử dụng Auror vào tháng 12 năm 2024 trong một cuộc thảo luận về vấn đề khác. Cơ quan giám sát đã khởi động cuộc điều tra chính thức vào tháng 4 năm 2025.

Sự phụ thuộc vào biện pháp kiểm soát mềm

ICO cho biết MPS đã thất bại trong việc đảm bảo giám sát đầy đủ khi quyết định những nền tảng bên thứ ba nào mà các sĩ quan được phép sử dụng — những thất bại vẫn tiếp diễn đến nay.

Cơ quan này cáo buộc MPS phụ thuộc quá mức vào các biện pháp kiểm soát mềm để ngăn sĩ quan sử dụng phần mềm chưa được phê duyệt, chẳng hạn như nhắc nhở chính sách và đào tạo nhân viên — những biện pháp thường bị bỏ qua — thay vì các rào cản kỹ thuật.

ICO cũng cho biết lực lượng này đã không kiểm tra xem các biện pháp kiểm soát web của mình có hoạt động hay không: các sĩ quan đã sử dụng Auror hơn 18 tháng mà không kích hoạt bất kỳ cảnh báo nào.

Cơ quan quản lý mô tả đây là một thất bại lặp lại, chỉ ra việc các sĩ quan sử dụng Clearview AI vào năm 2021 mà không có giám sát phù hợp. ICO coi những thất bại này vẫn đang tiếp diễn vì lực lượng chưa chứng minh được rằng các biện pháp bảo vệ của mình có thể ngăn chặn các sự cố tương tự.

Lệnh cưỡng chế và phản hồi

Hành động cưỡng chế buộc MPS phải tăng cường các biện pháp bảo vệ chống lại việc sử dụng không đúng các công cụ bên thứ ba và cung cấp cho ICO các báo cáo tiến độ định kỳ.

David Doodson, trưởng bộ phận điều tra tại ICO, cho biết:

"Hành động này nên gửi thông điệp tới toàn bộ ngành cảnh sát và xa hơn nữa: Nếu bạn đang sử dụng công nghệ mới để xử lý thông tin của người dân, bạn phải làm điều đó một cách hợp pháp, minh bạch và có quản trị phù hợp ngay từ đầu."

Ông nói thêm: "Khi các tổ chức thất bại trong việc bảo vệ thông tin của người dân, chúng tôi sẽ hành động. Vai trò của chúng tôi không chỉ là buộc các tổ chức phải chịu trách nhiệm, mà còn thúc đẩy cải thiện và quảng bá các tiêu chuẩn mà người dân có quyền mong đợi."

Cảnh sát tiếp tục sử dụng Auror

MPS cho biết sau khi triển khai các biện pháp kiểm soát chặt chẽ hơn và một chương trình thí điểm, các sĩ quan tại 14 quận của London đang sử dụng lại Auror.

Người phát ngôn của Met cho biết: "Sau khi được phê duyệt chính thức và thí điểm, nền tảng này hiện được sử dụng tại 14 quận của London. Nó giúp các sĩ quan nhận diện kẻ trộm cắp nhanh chóng hơn, cho phép các nhà bán lẻ chia sẻ trực tiếp bằng chứng và video CCTV ngay tại thời điểm báo cáo, và đã tăng gấp bốn lần kết quả tích cực đối với tội trộm cắp."

Trong một thông báo tháng 8 năm 2026, MPS cho biết công nghệ này — mà họ không nêu tên — sẽ được triển khai ra ngoài 14 quận và đã được triển khai tại các cửa hàng như Tesco, Boots, Greggs và M&S. Họ tuyên bố rằng các vụ trộm cắp được báo cáo qua nền tảng này dẫn đến kết quả tích cực trong 29,4% trường hợp.

Về các phát hiện của ICO, người phát ngôn cho biết: "Chúng tôi chấp nhận các phát hiện của ICO rằng các thỏa thuận bảo vệ dữ liệu của chúng tôi vào thời điểm đó là không đầy đủ liên quan đến việc các sĩ quan cá nhân sử dụng nền tảng Auror."

"Trong khi các sĩ quan sử dụng nền tảng này với thiện ý để nhận diện và bắt giữ kẻ trộm cắp, chúng tôi thừa nhận rằng chúng tôi chưa hoàn thành công việc an ninh và bảo vệ dữ liệu liên quan để nền tảng này được sử dụng. Ngay khi nhận thức được vấn đề này, chúng tôi đã ngay lập tức đình chỉ quyền truy cập vào nền tảng và tiến hành đánh giá đầy đủ. Sau đó, chúng tôi đã hoàn thành các kiểm tra pháp lý, an ninh, thương mại và bảo vệ dữ liệu cần thiết trước khi phê duyệt nền tảng này để sử dụng."

Bối cảnh rộng hơn

Lời khiển trách và hành động cưỡng chế này diễn ra sau một lời chỉ trích riêng biệt khác từ ICO vào tháng 8, liên quan đến hai vụ việc nhạy cảm. Trong một vụ, một sĩ quan Met đã gửi các tài liệu pháp lý không được che thông tin cho đối tượng của lệnh bảo vệ chống quấy rối, làm lộ địa chỉ nhà mới và thông tin liên hệ của nạn nhân. Vụ còn lại chứng kiến một sĩ quan mắc lỗi CC-thay-vì-BCC, làm lộ địa chỉ email của 18 người liên quan đến Quốc hội bị nhắm mục tiêu trong một chiêu trò lừa đảo tình ái.

Sự việc này là lời nhắc nhở quan trọng về tầm quan trọng của quản trị dữ liệu và bảo mật khi các cơ quan thực thi pháp luật ngày càng áp dụng công nghệ mới. Đối với các tổ chức tại Việt Nam đang số hóa quy trình và tích hợp nền tảng bên thứ ba, bài học về đánh giá tác động bảo vệ dữ liệu, thỏa thuận chia sẻ dữ liệu và kiểm soát kỹ thuật thay vì chỉ dựa vào chính sách — là vô cùng thiết thực trong bối cảnh Nghị định 13 về bảo vệ dữ liệu cá nhân đang được siết chặt.