I september 2018 indberettede British Airways et brud på personsikkerheden, hvorved op til 500.000 kunders kreditkortoplysninger var blevet opsnappet af hackere. Nu har den britiske udgave af Datatilsynet, ICO, offentliggjort et udkast til en bøde til British Airways, som lyder på 183 millioner britiske pund.

Sagen, som endnu mangler at blive afsluttet, giver allerede nu vigtige input til forståelsen af, hvorledes de nationale myndigheder vil sanktionere overtrædelser af persondataforordningen, og hvor høje bødeniveauer vi kan forvente.

Kreditkortoplysninger opsamlet via falske hjemmesider

Et af de opsigtsvækkende forhold ved sagen er, at luftfartsselskabet i første omgang var offer for et hackerangreb, hvor angriberne havde held til at infiltrere luftfartsselskabets hjemmeside og herved omdirigere selskabets kunder til falske hjemmesider, hvor kunderne i god tro oplyste deres kreditkortoplysninger. Denne tilstand blev først opdaget efter 3 måneder, og da var kortoplysninger på op til 500.000 kunder allerede havnet i forkerte hænder.

British Airways ansvarlig trods hackerangreb

Når British Airways bliver gjort ansvarlig for disse hackeres kriminelle gerninger, skyldes det, at sikkerheden omkring luftfartsselskabets hjemmeside og de tilknyttede betalingsløsninger var for ringe og ikke gav en tilstrækkelig beskyttelse af de fortrolige kortoplysninger. Sagen bringer endnu engang fokus på det forhold, at persondataforordningens krav til datasikkerhed bliver målt ud fra det meget brede kriterium ”passende foranstaltninger”, og at dette i praksis fører til meget strenge krav for de dataansvarlige.

Rekordhøjt bødeniveau

I henhold til persondataforordningen har de nationale myndigheder beføjelser til at udstede bøder på op til 20 millioner euro. Hvis der er tale om virksomheder, kan der udstedes bøder på op til 4% af omsætningen. Med det foreliggende forslag til bøde på 183 millioner britiske pund har man fra ICO’s side gjort brug af muligheden for at udmåle bøden på baggrund af British Airways’ omsætning og ikke blot stoppe ved de 20 millioner euro. Dette gør bøden til den højeste bøde udstedt til dato. Bøden udgør 1,5% af British Airways’ samlede omsætning.

Har der været skærpende omstændigheder?

Selvom det endnu ikke er offentliggjort, hvilke omstændigheder ICO har lagt vægt på i sin beslutning, er det oplagt at tro, at følgende omstændigheder har spillet skærpende ind:

  • Flyselskabets ringe IT-sikkerhed
  • Flyselskabets sparede udgift ved ikke at have investeret i et mere sikkert system
  • Antallet af mistede kortoplysninger
  • Sikkerhedsbristet foregik i tre måneder

Det fremgår af ICO’s pressemeddelelse, at British Airways har samarbejdet om opklaringen og efterfølgende har forbedret sin IT-sikkerhed betragteligt. Uden disse forhold havde bøden utvivlsomt været endnu større.

Har du spørgsmål vedrørende persondata, står HjulmandKaptains faggruppe for persondata altid klar til at hjælpe, så tøv ikke med at kontakte os.

Tak for din henvendelse

Vi har sendt dig en kvittering via mail og kontakter dig hurtigst muligt.

Har du en sag, hvor du mangler advokathjælp?

Vores advokater står klar til at hjælpe

Vil du vide mere, eller har du brug for hjælp, så udfyld felterne. Så kontakter vi dig hurtigst muligt.

Vi anbefaler, at du ikke indtaster nogle følsomme personoplysninger (f.eks. helbredsoplysninger) eller cpr. nr. i kontaktformularen.