Le Bureau du commissaire à l'information (ICO) a publié une décision de réprimande à l'encontre de Post Office Limited pour des manquements en lien avec la divulgation non autorisée d'informations personnelles appartenant à des centaines de victimes du scandale informatique Horizon.
Cette affaire débute par la découverte d'une violation de données, signalée par un cabinet d'avocats externe, concernant la publication par erreur sur le site internet institutionnel de Post Office Limited d'une version non expurgée d'un document de règlement judiciaire.

L’enquête menée par l’autorité a permis de constater :

* Obligation de sécurité du traitement (équivalent de l'article 32 du RPGD) : Post Office Limited n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour protéger les informations. L'enquête a révélé une absence de politiques documentées et de processus d'assurance qualité pour la publication de documents sur son site internet institutionnel. De plus, la formation du personnel était insuffisante, sans directives spécifiques sur la sensibilité des informations ou les pratiques de publication. Le document litigieux, contenant les noms, adresses personnelles et statuts de 502 personnes, est resté accessible publiquement du 25 avril au 19 juin 2024.

En conséquence, la structure s'est vue notifier une réprimande. L'autorité avait initialement envisagé une amende pouvant aller jusqu'à 1 094 000 £, mais a estimé que les manquements n'étaient pas suffisamment graves au regard de sa politique d'intervention dans le secteur public.