或为GDPR最高罚款！|英国ICO拟因用户数据泄露对英国航空开出1.83亿英镑罚单

编者按
2019年7月8日，ICO在官网发布声明确认，因英国航空泄露约50万用户信息，ICO拟依据GDPR对英国航空（British Airways）处以1.83亿英镑的罚单。
英国信息专员办公室（Information Commissioner’s Office, ICO）拟进行的此项处罚与英国航空于2018年9月向ICO报告的网络事故有关。该事故始于2018年6月，英国航空网站的用户流量被劫持到欺诈网站，攻击者通过欺诈网站截获了用户详细信息。大约500,000名用户的个人数据在此事故中受到了侵害。[i]
英国航空母公司IAG（International Airlines Group）于2019年7月8日在伦敦证券交易所披露ICO已通知英国航空ICO计划向其发出罚款通知，罚款金额为1.83亿英镑（约为英国航空2017年营业额的1.5%）。[ii]
同时，根据该声明，英国航空主席兼首席执行官Alex Cruz对 ICO的初步调查结果感到惊讶和失望，他认为，英国航空迅速应对了本次窃取用户数据的犯罪行为，且目前未发现证据表明存在针对任何受影响账户进行的欺诈活动。
同日，作为回应，ICO在官网发布声明确认ICO拟依据GDPR就英国航空数据违规对英国航空处以18.3亿英镑罚款。ICO表示经调查发现英国航空薄弱的数据安全保护措施导致了多种信息被侵害，包括用户姓名、地址、旅行订单细节、支付卡、登录。对此，ICO信息专员Elizabeth Denham说：“个人信息是非常私人的。一个组织未能保护个人数据免受损失、损坏或被盗时给人们带来的不仅仅是不便。因此，法律很明确——当个人数据被托付给你时，你必须照管好它。未能管理好个人数据的组织将面临我们办公室的审查，以确定他们是否采取了合适的措施来保护基本隐私权利。”
目前，最终的罚款决定还未作出，英国航空仍有机会就此项罚款向ICO作出陈述意见。IAG的首席执行官Willie Walsh表示，英国航空将就此次罚款对ICO做出陈述，并打算采取一切适当措施维护航空公司的立场，包括提出任何必要的上诉。
此次ICO拟对英国航空处以的罚款金额一举成为GDPR实施以来最高罚款金额，超过了ICO因剑桥分析事件对Facebook开出的50万英镑罚单，也超过了此前法国数据保护监管机构CNIL向谷歌开出的5000万欧元罚单。此次事件也向公众宣示了GDPR并不仅与谷歌、Facebook这些科技巨头有关，所有持有用户数据的企业都应谨慎应对GDPR的数据监管要求。
[i] ICO官网，“Intention to fine British Airways £183.39m under GDPR for data breach”，https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/07/statement-ico-announces-intention-to-fine-british-airways/，2019年7月9日最后一次访问
[ii] 伦敦证券交易所，“THEFT OF CUSTOMER DATA AT BRITISH AIRWAYS – UPDATE”， https://www.londonstockexchange.com/exchange/news/market-news/market-news-detail/IAG/14139234.html，2019年7月9日最后一次访问