L'autorité britannique, le Bureau du Commissaire à l'information (ICO), a publié une décision de sanction à l'encontre de la police écossaise, comprenant le prononcé d'une amende de 66 000 livres sterling (environ 77 220 €), pour des manquements graves liés à la gestion d'informations personnelles sensibles. Cette affaire fait suite à l'extraction par la police du contenu intégral du téléphone portable d'une personne ayant signalé une infraction présumée.

L’enquête menée par l’autorité a permis de constater :

* Obligation de minimisation des données (équivalent de l'article 5 du RGPD) : La police écossaise a extrait l'intégralité du contenu du téléphone mobile d'une personne, collectant ainsi un volume important d'informations très sensibles sans rapport avec l'enquête. Par la suite, ce contenu complet et non expurgé a été inclus dans un dossier de divulgation pour une procédure disciplinaire et partagé avec un tiers non autorisé.

* Obligation de sécurité des données (équivalent de l'article 32 du RGPD): L'autorité a constaté l'absence de mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. Il a été relevé que les procédures de vérification, d'expurgation et de sécurité étaient inadéquates, et que le personnel ne disposait ni de directives claires ni de contrôles organisationnels efficaces pour la manipulation d'informations sensibles.

* Obligation de notification des violations de données (équivalent de l'article 33 du RGPD): La violation de données à caractère personnel résultant de la divulgation illicite n'a pas été notifiée à l'autorité de contrôle dans le délai légal de 72 heures.

En conséquence, l’autorité a imposé une amende de 66 000 livres sterling (environ 77 220 €) à la police écossaise. Ce montant a été réduit pour tenir compte de son statut d'organisme public et éviter un impact disproportionné sur les services publics.
En outre, l’autorité a prononcé un blâme à son encontre.