L'autorité britannique, le Bureau du commissaire à l'information (ICO), a publié une décision de sanction à l'encontre de South Staffordshire Plc et South Staffordshire Water Plc, comprenant le prononcé d'une amende de 963 900 livres sterling (environ 1 137 402 €), pour des manquements de sécurité ayant conduit à une cyberattaque et à la publication des données de 633 887 personnes sur le web profond. Cette affaire fait suite à la notification par l'entreprise d'une violation de données personnelles, après qu'une enquête interne, déclenchée par des problèmes de performance informatique, a révélé l'incident.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (équivalent de l'article 32 du RGPD) : L'enquête a révélé de graves défaillances dans la mise en œuvre des mesures de sécurité. Des contrôles d'accès limités ont permis à un attaquant d'élever ses privilèges au niveau administrateur, tandis qu'une surveillance et une journalisation inadéquates, ne couvrant que 5 % de l'environnement informatique, ont empêché la détection de l'activité malveillante pendant 20 mois. De plus, l'entreprise utilisait des logiciels obsolètes et non pris en charge, comme Windows Server 2003, et sa gestion des vulnérabilités était insuffisante, avec des systèmes critiques non corrigés et une absence de scans de sécurité réguliers.

En conséquence, l’autorité a imposé une amende de 963 900 livres sterling (environ 1 137 402 €) aux deux sociétés. Ce montant final tient compte d'une réduction de 40 % accordée en raison de la reconnaissance précoce de la responsabilité par l'entreprise et de sa coopération durant l'enquête.