De Britse overheid heeft toegestaan dat allerlei gokbedrijven hebben geprofiteerd van de nationale leerlingendatabase, die gegevens van 28 miljoen kinderen bevat. Volgens de Britse privacytoezichthouder ICO is een boete van tien miljoen pond gerechtvaardigd, maar heeft het weinig zin om die op te leggen. Het ministerie van Onderwijs had een screeningsbedrijf, dat controleert of mensen die een online gokaccount openen wel 18 jaar of ouder zijn, toegang tot de database gegeven.

De learning records service database (LRS) bevat de persoonlijke informatie van 28 miljoen kinderen en jongeren vanaf de leeftijd van 14 jaar. Het gaat om volledige naam, geboortedatum en geslacht, en optioneel ook e-mailadres en nationaliteit. Verder bevat de database ook informatie over de leerprestaties. De gegevens worden 66 jaar lang bewaard.

Het ministerie van Onderwijs had, op het moment data het datalek werd ontdekt, bijna dertienduizend organisaties toegang tot de database gegeven. Het gaat dan om scholen, hogeronderwijsinstellingen en onderwijsaanbieders. Die kunnen zo kijken of potentiële studenten bijvoorbeeld voor een beurs in aanmerking komen. Een bedrijf dat leeftijdscontroles voor gokbedrijven uitvoert had echter ook toegang tot de database gekregen.

Van september 2018 tot en met januari 2020 voerde het bedrijf 22.000 leeftijdscontroles via de database uit. Daarmee werd de verzamelde informatie niet voor het oorspronkelijke doel gebruikt, wat een overtreding van de Britse databeschermingswetgeving is. Door het screeningsbedrijf toegang tot de database te geven heeft het ministerie de verplichtingen verzaakt om ervoor te zorgen dat de data van kinderen eerlijk, rechtmatig en transparant wordt gebruikt. Ook heeft het ongeautoriseerde toegang tot kinderdata niet voorkomen, was er geen adequaat toezicht en werd het gebruik voor andere doeleinden niet gestopt.

Gezien de ernst van de overtreding had de Britse privacytoezichthouder een boete van tien miljoen pond willen opleggen. Eerder dit jaar kwam de ICO met een nieuwe aanpak van de publieke sector, om die in het geval van overtredingen niet zo snel meer een boete op te leggen. "Dit was een ernstige wetsovertreding, en één die in dit geval een boete van tien miljoen pond rechtvaardigde. Ik heb besloten deze boete niet op te leggen, aangezien elke betaalde boete weer terugkomt bij de overheid, en de impact dus minimaal zou zijn", zegt Informatiecommissaris John Edwards.