Początkowo kara miała być o wiele wyższa. Ale i tak jest najwyższą w historii nałożonych przez ICO. W lipcu przewoźnik odpisał na ten cel 22 mln euro.
Chodzi o incydent z 2018 roku, kiedy na skutek niedostatecznej ochrony danych w wyniku hakerskiego ataku wyciekły informacje dotyczące transakcji dokonanych kartami kredytowymi przez ok. 400 tys. pasażerów brytyjskiego przewoźnika. ICO uznało, że BA przetwarzały znaczącą liczbę danych dotyczących swoich pasażerów bez zapewnienia odpowiedniej ich ochrony.
„Takie postępowanie jest nie do zaakceptowania i dotyczyło setek tysięcy osób, co spowodowało niepotrzebny stres i niepokój” — czytamy w uzasadnieniu wyroku ICO. Komitetowi wtóruje Elisabeth Denham odpowiedzialna za ochronę danych w Wielkiej Brytanii. Ze swojej strony wydała oświadczenie, w którym podkreśla, że w sytuacji, kiedy firmy podejmują niewłaściwe decyzje dotyczące danych swoich klientów, może się okazać, że spowoduje to niekorzystny wpływ na ich życie.
Ostateczna wysokość kary jest znacząco niższa od tej, jaką ICO chciało nałożyć na przewoźnika i wynosiła ona wówczas 183,4 mln funtów. British Airways ze swojej strony przyznały, że w wyniku nieprzestrzegania zasad ochrony danych osobowych wyciekły informacje dotyczące transakcji dokonywanych kartami kredytowymi przez przynajmniej 380 tys. osób. Zaleciły wówczas swoim klientom, aby jak najszybciej zastrzegli swoje dane u emitentów. Hakerzy nie byli jednak w stanie włamać się do systemów, w których znajdowały się dane personalne pasażerów BA oraz numery ich paszportów.
Jednocześnie przewoźnik poinformował, że ICO uznał za bardzo pozytywne jego wysiłki w celu uszczelnienia systemu ochrony danych oraz jego pełną otwartość i współpracę w czasie prowadzonego dochodzenia. Dochodzenie ICO zostało przeprowadzone jeszcze w czasie. gdy W. Brytania była członkiem Unii Europejskiej, a we Wspólnocie za takie wykroczenie grozi kara nawet w wysokości 4 proc. wartości rocznej sprzedaży. Jak na razie najwyższą karą za niewystarczającą ochronę danych w UE wymierzyli Francuzi Google. Amerykanie musieli wtedy zapłacić 50 mln euro.
