De Schotse gezondheidsdienst NHS Highland heeft door een fout bij het versturen van een e-mail de gegevens van tientallen hiv-patiënten gelekt. De Britse privacytoezichthouder ICO heeft echter besloten om geen boete op te leggen. De fout deed zich voor toen NHS Highland een e-mail wilde versturen naar 37 mensen die van hiv-zorg gebruik kunnen maken. In plaats van de bcc-optie werd de cc-optie gebruikt, waardoor ontvangers de e-mailadressen van andere geadresseerden konden zien.

De Britse privacytoezichthouder had een boete van omgerekend 40.000 euro op kunnen leggen, maar besloot dit niet te doen. Sinds vorig jaar hanteert de ICO een apart beleid voor de publieke sector. Volgens de toezichthouder zijn hoge boetes namelijk geen effectief afschrikmiddel voor deze sector. Daarnaast zorgen hoge boetes voor lagere budgetten voor belangrijke diensten. Slachtoffers van het datalek, die vaak van deze diensten gebruikmaken, worden zo twee keer gedupeerd.

Wel heeft de ICO de Schotse gezondheidsdienst een berisping gegeven. Uit gegevens van de Britse privacytoezichthouder blijkt dat het verkeerd gebruik van de bcc-optie al sinds 2019 in de top 10 van oorzaken van datalekken staat. De afgelopen drie jaar leidde dit zo'n duizend keer tot een datalek dat bij de ICO werd gerapporteerd.