British Airways kažnjen s 20 milijuna funti

Do povrede osobnih podataka je došlo kibernetičkim napadom u periodu od 22 lipnja do 5 rujna 2018, kada su korisnici BA dijelom preusmjeravani na lažnu stranicu gdje su ostavljali svoje osobne podatke. Zbog nedovoljnih tehničkih i organizacijskih mjera za osiguranje informacijske sigurnosti, razotkriveni su imena, email adrese, podaci sa kreditnih kartica i sl. više od 400.000 korisnika.

U obrazloženju odluke, ICO je, između ostalog utvrdio, da je BA trebala prepoznati nedostatke u svojoj sigurnosti i riješiti ih tada dostupnim mjerama koje bi spriječile kršenje podataka.

Prvotna namjera regulatora je bila novčana kazna u iznosu 183,39 milijuna funti, ali je konačni iznos novčane kazne 20 milijuna funti. U određivanju kazne ICO je istaknuo da je u određivanju iznosa uzeo u obzir negativni utjecaj COVID-19 pandemije na zrakoplovnu industriju.

Naime, GDPR zahtjeva da voditelj i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik obrade koji se provodi i to uzimajući u obzir najnovija dostignuća ali i troškove istog te prirodu, opseg, kontekst i svrhe obrade osobnih podataka. Za svaku organizaciju to znači da će poduzeti potrebne mjere u skladu sa svojim mogućnostima. Stoga da li će te mjere biti od većeg ili manjeg angažmana ovisiti će prije svega o samoj obradi i njezinim rizicima.

Kada govorimo o takvim mjerama Opća uredba određuje da će neke od njih svaka organizacija ipak moći poduzeti, neovisno o njezinim tehničkim, organizacijskim, financijskim i drugim mogućnostima.