British AirwaysにGDPR侵害で約250億円の制裁金 個人情報流出で

英航空大手British Airways（BA）から昨年9月に大量の個人情報が盗まれた件で、英情報保護当局が約250億円の制裁金を検討していると発表。欧州連合（EU）の一般データ保護規則（GDPR）侵害としている。BAは不服申し立てを検討していると発表した。

[佐藤由紀子，ITmedia]

　英情報保護当局の情報コミッショナー事務局（ICO）は7月8日（現地時間）、英航空大手British Airways（BA）に1億8339万ポンド（約250億円）の制裁金を科すことを検討していると発表した。昨年9月の大規模な顧客情報流出が欧州連合（EU）の一般データ保護規則（GDPR）を侵害しているとしている。

　GDPRでは、規則を侵害した企業に対し、世界での売上高の1.5％の制裁金を科すことになっており、1億8339万ポンドはBAの2017年12月31日に終了した会計年度における全世界での売上高から算出した。

　ICOが問題にしているのは、2018年8月21日〜2018年9月5日までの間に同社のWebサイト「ba.com」やアプリを使って予約したユーザーの個人情報と決済情報が何者かに盗まれた事件。BAは発表段階でこの事案は既に解決しているとしていた。

　ICOは、この事件で約50万人の個人データが漏えいしたとしているが、BAは7月8日の発表で、その後の調査の結果、影響を受けた顧客は24万4000人だったとしている。

　ICOは発表文で「組織が個人データを紛失、損傷、あるいは盗難からの保護に失敗した場合、それは不便以上のものだ。基本的なプライバシーの権利を保護するための適切な措置をとっているかどうかを確認するのがわれわれの調査の目的だ」と語った。ICOは最終決定を下す前に、BAに反論の機会を与えた。

　BAの親会社であるInternational Airlines Group（IAG）は発表文で、「われわれはICOの発表に驚き、失望している」と表明し、「提案された制裁金について、ICOに意見を表明する予定だ。不服申し立てを含め、我々の立場を積極的に守るためにあらゆる措置を執る所存だ」と語った。