Een Schotse liefdadigheidsinstelling die zich inzet voor hiv-patiënten heeft door een e-mailfout de e-mailadressen van 105 mensen gelekt. Van 65 mensen was de volledige naam in het e-mailadres zichtbaar. Door de gelekte data kunnen er aannames worden gedaan over de hiv-status of het risico hierop van de personen in kwestie, aldus de Britse privacytoezichthouder ICO. Die legde HIV Scotland een boete van 10.000 pond op.

Vorig jaar februari verstuurde de liefdadigheidsinstelling vanuit Microsoft Outlook een e-mail over een aankomend evenement. In plaats van de bcc-optie te gebruiken werd de cc-optie gebruikt. Daardoor was het e-mailadres van alle 105 geadresseerden voor alle ontvangers zichtbaar. 65 van de ontvangers waren door de naam in hun e-mailadres te identificeren, aldus de ICO.

Na ontdekking van de fout probeerde HIV Scotland de e-mail terug te roepen, maar het is onbekend hoe succesvol de terugroepactie was. De liefdadigheidsinstelling maakte excuses aan de ontvangers en vroeg hen om de e-mail te verwijderen. Tevens werd er een verklaring op de website geplaatst. Om herhaling te voorkomen maakt de organisatie nu gebruik van Mailchimp voor het versturen van bulkmail.

Volgens de ICO had HIV Scotland meer rekening moeten houden met de veiligheid bij het verwerken van persoonsgegevens. De organisatie had Mailchimp al in juli 2019 aangeschaft, maar de betreffende mailinglist nog niet overgezet. Daarnaast was het personeel onvoldoende getraind en schoot ook het databeveiligingsbeleid tekort.

De Britse privacytoezichthouder stelt dat organisaties onder de AVG verplicht zijn om gepaste technische en organisatorische maatregelen te nemen om persoonlijk data te beschermen. Iets dat HIV Scotland had nagelaten en een boete van 10.000 pond rechtvaardigt, aldus de ICO. Die roept organisaties op om te kijken naar de manier waarop ze bulkmail versturen.