L'autorité britannique de protection des données, le Bureau du Commissaire à l'Information (ICO), a publié une décision de sanction à l'encontre des sociétés Capita plc et Capita Pension Solutions Limited, comprenant le prononcé d'une amende globale de 14 000 000 £ (environ 16 500 000 €), pour des manquements liés à la sécurité des données personnelles ayant conduit à une violation de données.
Cette affaire fait suite à la réception par l'autorité d'au moins 93 plaintes relatives à une cyberattaque survenue en mars 2023.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'enquête a révélé que Capita n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données. L'attaquant a pu exploiter l'absence d'un modèle de hiérarchisation pour les comptes administratifs afin d'élever ses privilèges et de se déplacer latéralement sur le réseau, une vulnérabilité pourtant signalée à trois reprises. De plus, le temps de réponse à l'alerte de sécurité initiale a été de 58 heures, bien au-delà de l'objectif d'une heure, en raison d'un Centre des Opérations de Sécurité en sous-effectif. Enfin, les systèmes traitant des millions de dossiers n'étaient soumis à des tests d'intrusion qu'à leur mise en service, et les conclusions de ces tests n'étaient pas partagées entre les différentes unités commerciales pour une remédiation globale des risques.

En conséquence, l’autorité a imposé une amende de 14 000 000 £ (environ 16 500 000 €) à Capita.