A május 19-én nyilvánosságra került biztonsági incidens ügyében a hatóságok is vizsgálódnak, és a légitársaság súlyos büntetésre számíthat, ha bebizonyosodik, hogy ők is felelősek az adatvesztésért – ám ezzel párhuzamosan egy polgári per is indult, melyben akár gigantikus összeget is követelhet egy ügyvédi iroda.
Mint ismeretes, a brit bázisú vállalat bejelentette, hogy illetéktelenek fértek hozzá utasaik/ügyfeleik adataihoz: összesen kb. kilencmillió utas/ügyfél személyes adatai, utazással kapcsolatos információi kerültek ki, de több mint 2000 esetben hitelkártya-adatok is. Az easyJet a részleteket messze mellőzve közölte, hogy megtették a szükséges feljelentéseket, kijavították a rendszerben a behatolást lehetővé tévő hibákat, és minden érintett ügyfelet értesítenek május 26-ig. Tájékoztatásuk szerint a „roppant kifinomult támadás” következtében jelszavak nem kerültek veszélybe, de figyelmeztetik az ügyfeleket, hogy legyenek nagyon óvatosak, ha gyanús e-maileket kapnának. Ugyanakkor megkeresésekre attól elzárkóztak, hogy kártérítést fizessenek.
A feljelentések alapján a két érintett hatóság (a National Cyber Security Centre – NCSC –, illetve az Information Commissioner’s Office – ICO), nyomoz, és az ő dolguk megállapítani, hogy az easyJet betartotta-e a GDPR előírásait. Amennyiben nem, bírságot szabhatnak ki. Ennek lehetséges mértékéről az mondhat el valamit, hogy hasonló ügyben tavaly a British Arways egy 2018-as eset miatt, amikor 500 ezer ügyfél adatai kompromittálódtak, 183,4 millió fontos (mintegy 70 milliárd forintos) bírságot kapott.
Talán ezt a korábbi esetet kívánja meglovagolni egy PGMBM nevű ügyvédi iroda, akik az incidens miatt csoportos pert indítottak, és kérik az érintetteket, hogy csatlakozzanak. A PGMBM – nyilván nem véletlenül – magas ügyfelenkénti kártérítést fogalmazott meg: 2000 fontot, azaz kb. 760 ezer forintot. Vagyis abban a valószínűtlen, elvi esetben, ha minden károsult csatlakozna a csoportos perhez, a követelés gigászi lenne, 18 milliárd font, azaz kb. 6800 milliárd(!) forint. A pert ők is a GDPR előírásainak megsértésére alapozzák: többek között az egyik fő érvük, hogy feltételezésük szerint az incidens még januárban történt, így az easyJet nem tartotta az előírt értesítési határidőt.
