Centralkriminalpolisen (CKP) har i sin verksamhet upptäckt en eventuell informationssäkerhetsincident riktad mot personuppgifter och har upprättat en redogörelse till Polisstyrelsen. Den misstänkta it-incidenten gäller en situation där personuppgifter har behandlats i en tjänst, vars datasäkerhet eller överensstämmelse med datasskyddslagstiftningen eventuellt inte hade kontrollerats i förväg i tillräckligt stor omfattning.
Saken upptäcktes på CKP torsdagen den 8 april och enligt ämbetsverkets preliminära redogörelse beslutade Polisstyrelsen anmäla saken till Dataombudsmannens byrå. Anmälan lämnades till dataombudsmannen fredagen den 9 april.
Incidenten i början av år 2020 hänför sig till en testanvändning av ansiktsigenkänningsteknologi vid en enhet som koncentrerar sig på bekämpning av sexuellt utnyttjande av barn. Till enhetens uppgifter hör bland annat att göra en förhandssållning av material som visar sexuellt utnyttjande av barn som enheten får från sina internationella samarbetspartner.
Enligt lagen har polisen rätt att hantera bland annat biometriska ansiktsbilder då förutsättningar som föreskrivs i lagen är uppfyllda, om det är nödvändigt för att polisen ska kunna sköta sina lagstadgade uppgifter.
– Enheten testade det amerikanska verktyget Clearview AI som är avsett för identifiering av eventuella offer för sexuellt utnyttjande för att kunna hantera enhetens ökande arbetsbörda bland annat genom att utnyttja de möjligheter som artificiell intelligens och automatik erbjuder. I enhetens arbete har identifiering av offer som förekommer på bilder eller videofilmer en nyckelroll för att offrens rättigheter ska kunna tryggas och eventuellt pågående brott ska kunna avbrytas eller för att kunna avslöja brott som har begåtts, berättar chefen för polisens centrum mot cyberbrottslighet, kriminalinspektör Mikko Rauhamaa vid Centralkriminalpolisen, som har utrett saken.
Under testperioden gjordes omkring 120 sökningar i programmet som utnyttjar bilder på personer som finns i de sociala mediernas tjänster. Enheten hade bearbetat de bilder som matades in i programmet så att de endast visade ansiktet på de personer som skulle identifieras. Testningen ledde till en så kallad träff som ledde till samarbete med de sociala myndigheterna. Varken en förundersökning eller någon annan egentlig polisaktivitet inleddes utgående från träffen.
Programmet användes av enheten under en testperiod och efter den konstaterades att Clearview AI för detta ändamål inte lämpade sig för myndighetsarbete i Finland.
– En av Centralkriminalpolisens lagstadgade uppgifter är att utveckla metoder för polisens brottsbekämpning. Enheten letar efter lämpliga verktyg för att förminska arbetsbördan som hänför sig till anmälningarna och för att effektivera polisens processer så att ett eventuellt pågående utnyttjande omedelbart ska kunna åtgärdas. I detta fall lämpade sig programmet inte för polisbruk, säger Rauhamaa.
Centralkriminalpolisen fortsätter utreda saken.
