ＢＡが顧客情報流出で罰金　ＧＤＰＲ違反で過去最高額

個人情報保護を監督する英国の独立公益法人ＩＣＯは８日、昨年にハッキング攻撃により英航空大手ブリティッシュ・エアウェイズ（ＢＡ）の顧客データが流出した問題を巡り、同社に対して１億8,339万ポンドの罰金を科す方針を発表した。欧州連合（ＥＵ）で昨年５月に施行された「一般データ保護規則（ＧＤＰＲ）」違反としては過去最高額の罰金で、ＩＣＯがＧＤＰＲ違反を適用するのは初となる。

ＢＡは当初、昨年８月末から９月初めにかけてのおよそ２週間で約38万件の顧客情報が盗まれたと発表していたが、後に情報流出が始まった時期はそれよりも前だったとして、さらに18万5,000件の顧客の個人情報が影響を受けていたと明らかにした。

ＩＣＯの調査により、情報流出はＢＡのずさんな情報セキュリティー管理によるもので、顧客の氏名と住所、ログイン情報、支払いカードの情報、予約状況の詳細が盗まれたことが判明した。ＩＣＯによると、ＢＡは調査に協力し、問題発覚後はセキュリティー管理を改善したという。ＢＡはＩＣＯの方針に異議を唱える機会が与えられており、異議があればこれを慎重に検討した上で最終的な判断を下すことになる。

罰金額はＢＡの2017年の世界売上高の1.5％に当たる。同社のアレックス・クルーズ会長兼最高経営責任者（ＣＥＯ）は、「ＩＣＯの所見には驚くとともに失望している」とコメント。ＢＡは顧客の情報流出に迅速に対応したほか、流出した情報が詐欺行為などに使われた証拠は見つかっていないと説明している。