British Airways 2018年大规模客户数据泄露未及时有效响应被ICO重罚案

【案件背景】
2018年6月至9月期间，英国航空公司（British Airways）的网站和移动App遭到黑客攻击，攻击者通过在其支付页面植入恶意JavaScript代码（Magecart攻击），拦截并窃取了约50万名客户的个人数据和支付卡信息，包括姓名、账单地址、邮箱、信用卡号、有效期和CVV码等。该事件是GDPR生效后英国首起重大数据泄露执法案件。

【违法事实】
英国信息专员办公室（ICO）调查认定：一是安全防护措施严重不足——BA使用的登录系统仅用单一用户名和密码保护，未启用多因素认证，攻击者通过简单的凭据猜测即可获得访问权限，且BA在事件发生前已使用存在已知漏洞的第三方JavaScript库但未及时更新或隔离；二是事件发现和响应严重滞后——攻击持续近三个月（2018年6月22日至9月5日）才被发现，期间约50万名客户的支付信息被持续窃取，BA没有有效的数据流量异常监测机制；三是事后通知迟延——虽然BA在发现后较短时间内向ICO报告并通知了受影响客户，但ICO认为事前预防措施的不足才是根本问题——GDPR要求的不仅是事后响应，更是事前的'通过设计和默认保护数据'。

【处罚决定】
ICO最初于2019年7月发出金额为1.83亿英镑的罚款意向通知（占BA全球营业额的1.5%），后于2020年10月最终确定罚款金额为2000万英镑（约合人民币1.78亿元）。处罚依据为GDPR第5(1)(f)条（完整性和机密性原则）和第32条（处理安全性）。BA同时面临消费者集体诉讼，支付了数亿英镑的和解金。

【典型意义】
BA案是全球GDPR执法的标志性案例，具有多重深远影响。一是确立了'预防优于响应'的执法导向——ICO指出BA的安全措施存在多个基础性缺陷，这些缺陷的存在本身即构成违法，无论泄露事件是否发生；二是大规模泄露的罚款计算有了参照——1.83亿英镑的初始意向通知虽然最终下调至2000万英镑，但ICO明确这是考虑到新冠疫情对航空业的冲击而作出的温和调整，而非认为违法行为不够严重；三是Magecart类攻击成为全球数据安全的核心威胁——供应链JavaScript安全审查和实时网页监控成为合规必备能力。