De Britse privacytoezichthouder ICO heeft de Britse tak van Yahoo een boete van omgerekend ruim 280.000 euro opgelegd voor een omvangrijk datalek in 2014 waarbij de gegevens van 500 miljoen Yahoo-gebruikers werden gestolen. Volgens de ICO heeft Yahoo UK geen gepaste technische en organisatorische maatregelen genomen om de gegevens van gebruikers te beschermen.

Verder stelt de toezichthouder dat Yahoo als dataverwerker niet aan de Britse databeschermingswetgeving voldeed en waren de tekortkomingen lange tijd aanwezig voordat ze werden ontdekt en verholpen. Yahoo werd in 2014 het doelwit van een hack. De aanvallers kregen toegang tot namen, e-mailadressen, telefoonnummers, geboortedata, gehashte wachtwoorden en versleutelde en onversleutelde veiligheidsvragen en -antwoorden van zo'n 500 miljoen gebruikers, waaronder 8,2 miljoen gebruikers met een Brits adres.

Yahoo UK was de datacontroller voor mensen die in Groot-Brittannië diensten van Sky/Yahoo afnamen. 515.000 klanten van Sky/Yahoo waren het slachtoffer van de Yahoo-hack in 2014. Op het moment van de hack bevonden de gegevens van deze Britse klanten zich op Amerikaanse servers en was Yahoo in de Verenigde Staten de dataverwerker voor Yahoo UK.

Volgens de ICO heeft Yahoo UK geen gepaste technische en organisatorische maatregelen getroffen om de data van de 515.000 Sky/Yahoo-klanten te beschermen, waarmee het in overtreding van de Britse privacywetgeving is. Ook had Yahoo UK geen voldoende maatregelen getroffen om ervoor te zorgen dat Yahoo in de Verenigde Staten aan de Britse standaarden voor gegevensverwerking voldeed. Aangezien het incident zich in 2014 voordeed is het onderzoek onder de privacywetgeving van 1998 uitgevoerd. Onder deze wetgeving mag de ICO een boete van maximaal 560.000 euro opleggen.