英国ICO对Capita集团勒索软件攻击未分级保护数据致660万人信息泄露罚款1400万英镑案

【案件背景】
2025年，英国信息专员办公室（ICO）对Capita集团旗下两家实体合计处以1400万英镑罚款。Capita是英国最大的业务流程外包和IT服务公司之一，为英国政府、国民保健署（NHS）、国防部等关键公共部门提供核心IT基础设施和数据处理服务。2023年，该公司遭遇勒索软件攻击，导致660万人的个人信息被泄露，涉及的数据范围包括姓名、地址、出生日期、国民保险号码（National Insurance Number）以及部分银行账户信息——涵盖了从一般信息到高敏感金融标识符的完整数据谱系。

【违法事实】
ICO调查认定Capita在以下方面违反了英国GDPR的安全义务：一是未根据数据类型和敏感级别实施差异化的安全保护——国民保险号码（相当于中国的身份证号+社保号的合体）与普通姓名地址信息存储在同一系统中，采用相同的保护级别，导致攻击者一次突破即可获取全量数据；二是未实施适当的安全措施以预防勒索软件攻击——作为为政府核心部门提供服务的供应商，其安全投入与所处理数据的规模和社会重要性严重不匹配；三是事件响应不够及时——在发现攻击后未能在合理时间内控制影响范围和通知受影响方；四是作为处理数量庞大的公共部门数据的供应商，未能建立与数据规模和社会风险等级相称的安全治理框架。

【处罚决定】
ICO对Capita两家关联实体合计处以1400万英镑罚款，这是2025年英国最大的一笔数据保护罚款之一。ICO同时要求其实施全面的安全整改计划，包括建立数据分级保护架构。

【典型意义】
本案揭示了公共部门IT外包中的数据安全风险传导机制。一是'政府供应商'的特殊安全责任——当私人企业作为政府数据处理的外包方时，其安全标准应当不低于政府部门自身的标准，因为数据泄露的社会影响是成倍放大的。二是'数据谱系'的概念——本案的泄露数据涵盖了从一般个人信息到金融标识符的完整数据谱系，这本身就是分类分级缺失的直接证据。一个完善的分类分级体系应当根据数据敏感级别在存储层面就实施隔离。三是勒索软件攻击不是'不可抗力'——ICO的立场明确：企业有义务预防和缓解勒索软件攻击，包括实施数据分级备份、网络分段隔离和端点检测等基本安全措施。