L'autorité britannique de protection des données, l'Information Commissioner's Office (ICO), a obtenu gain de cause devant la Cour d'appel dans une affaire l'opposant à DSG Retail Limited concernant l'interprétation de l'obligation de sécurité des données personnelles.

L'affaire trouve son origine dans une amende de 500 000 £ (environ 590 000 €) infligée par l'ICO à DSG en 2020, suite à une cyberattaque ayant affecté les données d'au moins 14 millions de personnes. Après des recours de l'entreprise devant le tribunal de première instance et le tribunal supérieur, l'ICO a saisi la Cour d'appel en 2024. La décision de la Cour rétablit une interprétation claire de la responsabilité légale des organisations, confirmant que DSG était tenue de prendre des mesures de sécurité appropriées pour protéger les données personnelles contre tout accès non autorisé, et ce, indépendamment du fait que les personnes puissent être identifiées à partir des seules données exfiltrées par les attaquants.

Bien que ce cas soit fondé sur la loi sur la protection des données de 1998, l'interprétation juridique de l'obligation de sécurité par la Cour d'appel offre un guide important pour les exigences similaires du régime de protection des données actuel. L'affaire sera maintenant renvoyée devant le tribunal de première instance afin que cette interprétation soit appliquée aux faits de la cyberattaque subie par DSG.