Non ci sono solo i classici "data breach" che possono portare a sanzioni per violazione del GDPR. Ora lo sperimenta British Airways, che sta probabilmente per ricevere una megamulta da circa 184 milioni di sterline per un furto di dati personali eseguito in maniera molto diversa. Al cambio attuale la sanzione è pari a circa 204 milioni di euro.

La multa sarà comminata dal Information Commissioner's Office (ICO), l'Authority britannica che si occupa anche dell'applicazione del GDPR. ICO, si sottolinea, ha agito anche in rappresentanza delle altre Authority europee coinvolte. L'incidente infatti non ha riguardato solo consumatori britannici.

Il caso risale all'anno scorso, ma le indagini del ICO si sono concluse solo da poco. Lo scorso settembre British Airways aveva notificato un incidente che comprendeva, tra l'altro, la creazione di un finto sito BA. Il traffico verso il sito lecito della compagnia aerea era stato rediretto verso questo sito ingannevole, si pensa dallo scorso giugno in poi.


Attraverso le finte pagine BA, criminali hanno raccolto dati personali di circa 500 mila clienti di British Airways. Tra i dati sottratti ci sono credenziali di login, nomi, indirizzi, numeri di carte di credito, dettagli dei viaggi prenotati. Questa sottrazione di informazioni è stata possibile, per ICO, a causa di misure di cyber sicurezza insufficienti.

British Airways ha collaborato alle indagini e ha migliorato la sua infrastruttura di sicurezza. Questo la pone in buona luce per ICO, tanto che ha ora l'opportunità di commentare la sanzione prevista dall'Authority. In base ai fatti presentati da BA, tale sanzione potrebbe essere anche ridotta. ICO lo deciderà insieme alle altre Authority interessate.

La Information Commissioner Elizabeth Denham ha spiegato in poche parola il senso della sanzione e di tutto il GDPR. "I dati personali - ha commentato - sono appunto quello: personali. Quando un'azienda non riesce a proteggerli da perdite, danneggiamenti o furti è più che un fastidio. Ecco perché la legge è chiara: quando vi vengono affidate informazioni personali, dovete averne estrema cura."