TL;DR
- 01何が起きたか
英国の情報コミッショナー事務局（ICO）は 2026 年 10 月 14 日、ロンドン警視庁（MPS）に譴責と執行通知を出したと公表した。警官と職員は 2023 年 3 月から 2024 年 9 月まで、警視庁が承認していない小売犯罪の情報共有基盤 Auror を使い、約 500 のアカウントを作った。2024 年に、万引きの容疑者 179 人分の個人情報が載せられ、うち 3 人は 18 歳未満だった。
- 02どう広がったか
警官は小売店に勧められ、運営会社から届いた QR コードで、警視庁のメールアドレスを使って自分でアカウントを作った。元警官の説明をきっかけに使い始めた警官もいた。警視庁の説明では、サイトには警視庁のロゴと、警視庁が顧客だとする記載があった。URL フィルタもこのサイトを専門サービスに分類して止めていなかった（ICO）。
- 03欠けていた層
警視庁は社内の報告で気づいて遮断したが、そのときには 179 人分がすでに載せられていた。効かなかったのは、外部の基盤が承認済みかを、アカウントを作り、情報を載せる時点で照合する層である。
何が起きたか
- 当事者
- ロンドン警視庁（MPS）。処分したのは ICO で、法律は 2018 年データ保護法の第 3 部（法執行のための個人情報の扱い）。
- Auror の位置づけ
- 警視庁は Auror を組織として調達・承認・採用しておらず、契約も情報共有の取り決めも無かった（ICO）。2023 年 6 月 27 日の承認会議はモバイルアプリだけを審査し、条件付きで承認したが、アプリは警視庁の IT の管理で使えなかった。実際に使われたブラウザ版は、どの承認の手続きも通っていなかった（ICO）。
- 承認の手続き
- 承認会議にデータ保護チームは出席していなかった。影響評価（DPIA）が要るかは申請した本人が決め、要らないと書き、問い直されなかった。会議は、ブラウザでもう使われているという元警官の説明を承認済みと受け取り、確認しなかった（ICO）。
- アカウント
- 2023 年 3 月から 2024 年 9 月に約 500。うち 375 が使われていた。個人ごとに登録したため、組織の側に利用の記録が無かった。警視庁が把握する最初の利用は 2024 年 1 月だが、ICO は 2023 年 3 月からの利用も「ありうる」としている。
- 載せられた情報
- 小売店の防犯カメラの画像に写った容疑者を、警官が見覚えから特定して載せた。179 人のうち、氏名だけが 128 人、氏名と生年月日が 49 人、さらに住所も含むのが 2 人。少数の例では顔認識の利用に触れていた。59 人は、Auror 上で特定された結果として、逮捕・起訴・有罪、または指名手配に至った（警視庁の社内の分析を ICO が引用）。
- ICO の判断
- 氏名で足りたのに生年月日と住所まで共有したのは必要の無い処理で、違法だった。適切な技術的・組織的な措置が無く、リスクの高い処理の前に影響評価をしていなかった。承認済みの技術だけが使われるようにする措置は、今も足りないとして執行通知を出した（ICO）。
- 届け出と通知
- 個人データの侵害としての報告は出されなかった。警視庁は、本人への通知が要る高いリスクは無いと判断した（ICO）。
用語メモ
ICO — 英国の情報コミッショナー事務局。個人情報の保護を監督する機関。
Auror — 小売店が万引きなどの犯罪を記録し、警察と共有するためのクラウドの基盤。英国では Auror Europe Limited（ニュージーランドの Auror の子会社）が運営する。警察のアカウントは無料。
影響評価（DPIA） — 個人情報を扱う新しい仕組みを入れる前に、リスクと対策を評価する手続き。リスクの高い処理では法律で求められる。
譴責と執行通知 — 譴責は、過去の違反を正式にとがめる処分。執行通知は、続いている不備について、期限を付けて対応を命じる処分。
止めどころは ② と ③。組織のメールで外部の基盤に登録するときと、個人情報を載せるときに、その基盤が承認済みかを照合していれば、承認の無い基盤では止まる。
警視庁の説明では、サイトに警視庁のロゴがあった。
約 500。「承認済み」と誤って伝わっていた。
2024 年に 179 人分。
2024 年 8 月 29 日。
2024 年 9 月 26 日。
時系列 — 公表と対応
- Auror が警官に使える状態になる（日付は不明）。ICO は、この時点からの利用は、ありうるが立証されていないとしている。
- 承認会議が Auror のモバイルアプリを審査する。データ保護チームは出席していなかった。
- 警視庁が把握する最初の利用。ICO の発表では、179 人分の情報は 1 月から 9 月に載せられた。
- 警官が、見覚えのある容疑者の氏名を載せたとして、最初のセキュリティ事故の報告が出る。
- 2 件目の報告が「サイバーセキュリティの承認を得ていない」と指摘し、同じ日にアクセスが遮断される。
- 職員に使用をやめるよう指示が出る。
- ICO が、別の件で警視庁のデータ保護責任者と話した際に知る。
- ICO が正式な調査を始める。
- 警視庁が Auror と正式に契約する。
- 影響評価を経て、利用を再開する。
- ICO が譴責と執行通知を出す。
- ICO が公表する。
事実は、ICO の譴責と執行通知の書面（47 ページ）と ICO の発表（いずれも一次）に拠る。アカウントが作られた期間と情報が載せられた期間の終わりは、ICO の発表では 9 月、書面の一部では 10 月とされている。警視庁と Auror の、処分についての声明は見つけられなかった。Auror の側で、載せられた情報が消されたかは書面に記載が無い。
公表後の対応
- 警視庁: 暫定の判断を受け入れ、当時の統治の仕組みは不十分だったと認めた。司令官級の対策会議を置き、Auror に警視庁のロゴを消させ（2024 年 11 月 5 日に確認）、共有された情報を出すよう求めた。小売店が、その情報で出入り禁止や民事の手続き、さらなる共有をした例は無かったとしている（ICO）。
- 再開後の使い方: 警官は閲覧だけができ、情報を載せることや自由記述はできない。利用の前に研修が要り、警視庁が利用を監査できる（ICO）。
- 執行通知が求めること: 3 か月以内に（以後少なくとも年 1 回）、使われている未承認の外部の基盤を洗い出し、承認の手続きを見直す。6 か月以内に、それぞれを評価して承認するか技術的に遮断し、外部と共有するときの標準の管理を整え、研修を見直す。12 か月以内に、措置が効いているかを試す。警視庁は ICO に定期的に報告する（ICO）。
なぜ止まらなかったか
この事案の失敗は、規程が無かったことではない。外部の基盤が承認済みかは、アカウントを作るときにも、個人情報を載せるときにも問われなかった。
組織のメールで登録できたことは、組織が承認したことを意味しなかった。その違いは、アカウントを作るときにも、情報を載せるときにも問われなかった。
ここでいう証明は、外部の基盤に登録し、個人情報を載せる前に「この基盤は組織が承認したものか」を照合し、記録に残すこと。検出は、載せられた後に社内の報告で気づくこと。
載せられた
社内の報告は働き、警視庁はアクセスを遮断したが、気づいたのは情報が載せられた後で、遮断までにも約 1 か月あった（ICO は、その理由の説明が無かったとしている）。「警視庁のメールで登録できた」と「警視庁が承認した基盤である」は別々の事実で、ICO の書面からは、前者を後者と照合する層は見えない。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、阿波銀行（使ってよいかが確認し直されないまま、顧客データの残る環境が別の用途に使われ続けた）にも現れている。
対策するには
職員が外部の基盤にアカウントを作るときと、個人情報を載せるときに、その基盤が組織に承認されたものかを照合する。そうすれば、便利な外部のサービスが現場で広まっても、承認の無い基盤には情報が出ない。検出の代わりではなく、検出の手前に置く層である。
注意したい業界・業務
- 業界自治体・公共
- 現場で便利な外部のサービスを、職員が自分で使い始めやすい警察や自治体。ICO は、2021 年に警視庁を譴責した顔認識の Clearview AI の件と、同じ型の事案の繰り返しだと指摘した。
- 業界サービス・小売
- 警察や行政と犯罪の情報を共有する小売店と、共有の基盤を運営する会社。今回は運営会社が警官に登録の QR コードを送っていた。
- 業務情報の開示・提供
- 個人情報を外部の基盤に載せること。ICO は、氏名で足りたのに生年月日と住所まで共有したことを違法とした。
- 業務承認・決裁
- 新しいツールの承認。影響評価が要るかを申請者だけが決め、データ保護の担当が会議にいなかった。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 規程 | 一部 | ICO は規程そのものは適切だったとした。ただ、技術的な措置や研修で支えられていなかった。 |
| URL フィルタ | 効かない | 警視庁の説明では、サイトは専門サービスに分類され、止まらなかった。 |
| 承認会議 | 一部 | モバイルアプリだけを審査し、使われたブラウザ版は手続きを通らなかった。 |
| 社内の事故報告 | 一部 | 気づいたのは載せた後で、遮断まで約 1 か月あった。 |
- 組織のメールアドレスでの外部の登録を、承認済みのサービスに限る。承認の一覧に無いサービスへの登録は、本人の判断で通さない。
- 個人情報を外部に載せる前に、その基盤が承認済みかと、その目的に要る項目かを照合して通す。今回、生年月日と住所は要らなかったと ICO は判断した。
- 何を、どの基盤へ、どの承認に基づいて出したかを、組織の側に残す。今回は個人ごとの登録で記録が無く、使い始めの時期も確認できなかった。後から照合できる形、つまり証明として残す。
外部のサービスの利用について、組織で確認する 3 項目
- 組織のメールアドレスで、外部のサービスに誰でも自分でアカウントを作れる状態になっていないか。
- 新しいツールの承認で、影響評価が要るかを申請した本人だけが決めていないか。
- 承認していないサービスへの通信を、技術的に止められているか。
注：承認済みの基盤の中で、目的の外に使ったり、要らない項目まで載せたりする場合は、この照合だけでは止まらない。私物の端末や個人のアカウントで使われれば、組織の照合を通らない。
Sources
- 一次・譴責と執行通知の書面ICO “Metropolitan Police Service – Reprimand and Enforcement Notice”
- 一次・発表ICO “ICO takes action against Metropolitan Police Service”
- 一次・処分の一覧ICO “Metropolitan Police Service”（譴責と執行通知、2026-09）
- 一次・運営会社の発表、背景Auror “Auror rolls out across London to take on repeat offenders and organised retail crime”