英国のデータ保護機関である英国情報コミッショナーオフィス（ICO）は、電通のデータ漏えいに関する告発を受理したと明らかにした。同局はこの告発を「標準的プロセスに沿って検討し、必要な調査を行う」としている。
電通は漏えいの規模がICOへの報告義務基準を超えていたため、すでに届け出を済ませていた。
Campaignが確認したところ、多くの元社員が集団訴訟を検討しており、彼らが立ち上げたワッツアップのグループには既に150名以上が参加。また、法律事務所と直接的につながる「Join the Claim」のページも開設されている。
「特定のファイルが盗まれた可能性」
電通が被害者の元社員に送った最初の通知（10月27日付）によると、同社の調査でマークル（電通のCXエージェンシー）のネットワークから特定ファイルが持ち去られたことが判明したという。また、そのファイルには以下の情報が含まれていた可能性がある。
- 銀行口座情報および給与支払い情報
- 給与額
- 国民保険番号（National Insurance number）
- 個人の連絡先情報
さらに、電通はすでに「警察当局へ連絡し、サイバーセキュリティ企業とともに調査を開始した」「漏えいの影響を受けた人々は、金融取引明細を注意深く監視し続けるように」「被害者には（信用情報とダークウェブ監視サービスを提供する）Experian Identity Plusを1年間提供する」などとも記されていた。
元社員たちの不信感
Campaignが個別に話を聞いた元社員らからは、失望の声が相次いでいる。彼らの多くは初回の通知以降、電通から一切追加の連絡はなく、「自分のどういう情報が漏えいしたのか具体的にわからない」。
さらに、退職後10年以上経っている元社員の個人データを保持し続けていたことへの疑問の声も多い。英国歳入関税庁（HMRC）の標準的な記録保持期間は7年（または「6年＋当該年度」）。英国の一般データ保護規則（GDPR）および2018年のデータ保護法では、HMRCが処理する個人データは「法的目的に必要な期間を超えて保持してはならない」とされている。
電通の広報担当者はCampaignに次のようにコメント。「該当するファイルを精査した結果、一部クライアントやサプライヤー、そして現・元社員に関する情報が含まれていることが判明した」
勧告・罰金の可能性も
今回の告発で、ICOは電通に対し情報管理体制の改善勧告を行うかもしれない。事態が重大な場合、最大1,140万ドル（870万ポンド）、またはグローバル売上高の2%の制裁金が課されることもあり得る。これは、被害者への賠償金とは別に課される行政罰だ。
ウィザーズ法律事務所パートナーで、データおよび情報関連専門のジョー・サンダース氏は以下のように述べる。
「現時点では結果を断定できませんが、電通は不正利用監視の強化など、適切な対応策はしていたようです。すべてのデータ漏えいが必ずしも安全基準の欠如を意味するわけではありません。どれほど適切に管理されたシステムでも、悪意ある攻撃の対象になり得ますので。個人情報が漏えいした従業員が補償請求できるのは、適切なセキュリティ維持の義務に違反していた場合に限られます。漏えいへの不安が補償請求につながることは理論上あり得ますが、根拠のない推測だけでは認められません」
今回の漏えい事件では、イギリスの鉄道会社LNERの顧客データも影響を受けた。LNERは顧客に対し、「第三者サプライヤーが管理するファイルへの不正アクセスがあり、顧客の連絡先情報および過去の乗車記録の一部が影響を受けた」と通知。
LNER広報担当者はCampaignに対し、「銀行口座やクレジットカードの情報、パスワードは漏れていない。今は徹底した調査を進めている」とコメント。
今回の漏えい事件は、電通が海外におけるクリエイティブとメディア事業の売却に向け、銀行を通して買い手を探しているという憶測が囁かれる中、発生した。
