La ville de Seattle a accidentellement fourni 32 M d’e-mails pour 40 dollars (2018)

• L’auteur, Matt Chapman, a demandé à la ville de Seattle les métadonnées d’e-mails dans le cadre d’un projet plus vaste visant à cartographier les communications à l’échelle des États-Unis.
• Au départ, la ville a estimé le coût de la demande à 33 millions de dollars, en se basant sur le temps nécessaire pour examiner chaque e-mail.
• Plus tard, la ville a révisé son estimation et a demandé 1,25 dollar pour deux jours d’archives.
• La ville a fourni à l’auteur les métadonnées d’environ 32 millions d’e-mails, mais y a accidentellement inclus les 256 premiers caractères de chaque e-mail.
• Les données incluses contenaient des informations sensibles, telles que des noms d’utilisateur, des mots de passe, des numéros de carte bancaire, des numéros de sécurité sociale, ainsi que des détails sur des enquêtes policières et du FBI en cours.
• L’auteur a signalé la fuite de données à la ville et on lui a demandé de supprimer tous les fichiers. La ville a également proposé d’engager une entreprise pour analyser le disque dur de l’auteur afin de vérifier la suppression.
• L’auteur a supprimé les fichiers et fourni une attestation sur l’honneur confirmant leur suppression.
• Par la suite, la ville a commencé à envoyer les métadonnées d’e-mails demandées, en excluant les données du service de police et du département des services sociaux.
• L’auteur utilise ces données pour créer un modèle du réseau de communication de la ville.
• L’auteur mentionne également une tentative législative dans l’État de Washington visant à supprimer l’obligation de divulgation de nombreux documents, y compris les échanges d’e-mails. Ce projet de loi a été rejeté par le gouverneur.

[GN⁺]

Commentaires sur Hacker News

• La ville de Seattle a accidentellement divulgué à l’auteur plus d’informations sensibles que prévu.
• L’auteur aurait pu utiliser ces données comme bon lui semblait s’il n’avait pas signalé l’erreur à la ville.
• Comme pour la jurisprudence concernant les biens matériels ou l’argent remis par erreur, il existe une question juridique quant au droit de l’auteur à conserver ces données.
• L’auteur a accepté de coopérer avec la demande de la ville de ne pas conserver les données, malgré le fait que l’erreur vienne de celle-ci.
• L’informatique gouvernementale est souvent coûteuse et problématique, avec des soucis comme des formats de date incohérents dans les formulaires web et une fonction de réinitialisation de mot de passe qui ne marche pas.
• La demande initiale de données de l’auteur a été mal interprétée, et la ville a exporté des en-têtes d’e-mail tronqués à partir de valeurs codées en dur.
• La ville n’a commencé à le prendre au sérieux qu’après qu’il a signalé leur erreur.
• Certains organismes publics sont connus pour menacer les personnes qui demandent des données publiques ou pour facturer des frais excessifs pour l’accès aux archives.
• Il a été rapporté à l’auteur que Seattle envisageait de porter contre lui des accusations au titre du Computer Fraud and Abuse Act (CFAA) concernant les informations qu’ils lui avaient envoyées.
• En Europe, le stockage ou le traitement d’informations relatives à des personnes, comme qui a contacté qui et quand, n’est autorisé qu’en cas de nécessité.
• La demande de l’auteur visant tous les e-mails envoyés ou reçus par des adresses appartenant à Seattle en 2017 pourrait exposer des informations personnelles sur les agents publics et les personnes avec lesquelles ils interagissent.
• Le blog de l’auteur n’ayant pas été mis à jour depuis un certain temps, cela soulève la question de savoir s’il travaille encore sur les demandes FOIA.