Key takeaways
- De Ierse Data Protection Commission (DPC) heeft Meta Platforms een boete van 251 miljoen euro opgelegd voor een datalek in 2018 waarbij ongeveer 29 miljoen Facebook-accounts zijn getroffen.
- Door de kwetsbaarheid in de functie “Weergeven als” van Facebook konden onbevoegden gebruikmaken van gebruikerstokens en toegang krijgen tot gevoelige gegevens, waaronder namen, e-mailadressen, telefoonnummers, geslachten, locaties en persoonlijke gegevens over kinderen van gebruikers.
- Meta werd bekritiseerd omdat ze er niet voor hadden gezorgd dat de juiste omgang met gegevens was geïntegreerd in de ontwerpfase van hun platformen.
De Ierse Data Protection Commission (DPC) legde een boete van 251 miljoen euro op aan Meta Platforms, het moederbedrijf van Facebook, vanwege een datalek in 2018 waarbij gebruikersgegevens in gevaar kwamen. De inbreuk betrof ongeveer 29 miljoen Facebook-accounts wereldwijd, waarvan ongeveer 3 miljoen in de Europese Unie en de Europese Economische Ruimte.
Oorzaken en gevolgen
De kwetsbaarheid was het gevolg van zwakke plekken in de functie “Weergeven als” van Facebook, waardoor onbevoegden gebruik konden maken van gebruikerstokens en toegang kregen tot gevoelige gegevens. Gecompromitteerde informatie omvatte namen, e-mailadressen, telefoonnummers, geslachten, locaties en zelfs persoonlijke gegevens van kinderen van gebruikers. Meta schatte aanvankelijk dat 50 miljoen accounts waren getroffen, maar uit het onderzoek van de DPC bleek dat dit aantal dichter bij de 29 miljoen lag, waarbij onbevoegde toegang plaatsvond tussen 14 en 28 september 2018.
Onderzoek en bevindingen
Het onderzoek bracht meerdere schendingen van de Algemene Verordening Gegevensbescherming (General Data Protection Regulation, GDPR) door Meta aan het licht. De DPC noemde zaken als onvolledige informatie die werd verstrekt tijdens het meldingsproces voor de inbreuk en ontoereikende documentatie met betrekking tot het ontstaan van de inbreuk en de mitigatie-inspanningen. Meta werd met name bekritiseerd omdat het er niet voor had gezorgd dat de juiste gegevensverwerkingspraktijken werden geïntegreerd in de ontwerpfase.
Het onderzoek bracht meerdere overtredingen van de GDPR door Meta aan het licht. De DPC noemde zaken als onvolledige informatie tijdens de melding van de inbreuk en onvoldoende documentatie over het ontstaan van de inbreuk en de inspanningen om deze te beperken. Meta werd met name bekritiseerd omdat het er niet voor had gezorgd dat de juiste gegevensverwerkingspraktijken werden geïntegreerd in de ontwerpfase.
Regulerend toezicht
Graham Doyle, de Deputy Commissioner van de DPC, benadrukte de ernst van het blootstellen van persoonlijke informatie en benadrukte hoe het verwaarlozen van gegevensbeschermingsvereisten tijdens de ontwikkeling kan leiden tot ernstige risico’s en schade. Na de inbreuk beweerde Meta het probleem onmiddellijk te hebben aangepakt door de kwetsbaarheid te verhelpen en de getroffen gebruikers en de Irish Data Protection Commission proactief op de hoogte te stellen. Meta heeft ook toegezegd de maatregelen voor gegevensbescherming op al hun platforms te zullen verbeteren.
Deze boete is de zoveelste in de geschiedenis van Meta die te maken krijgt met regelgevend onderzoek naar schendingen van de gegevensbescherming. Eerder dit jaar legde de DPC Meta een boete op van 91 miljoen euro voor tekortkomingen op het gebied van wachtwoordbeveiliging, waarmee het totaal aan GDPR-gerelateerde boetes op bijna 3 miljard euro kwam.
Mening van experts
Experts stellen dat deze uitspraak dient als een belangrijke herinnering voor alle bedrijven die actief zijn binnen de EU over het belang van GDPR-compliance. Ze benadrukken de noodzaak van proactieve maatregelen en transparantie met betrekking tot gegevensbescherming en dringen er bij organisaties op aan om verder te gaan dan de minimumvereisten en gegevensbescherming te integreren in hun kernactiviteiten en -strategieën.
De DPC is van plan om binnenkort gedetailleerde informatie over het besluit en de redenering achter de boete te publiceren, met als doel andere organisaties meer duidelijkheid te verschaffen over hun GDPR-verplichtingen. Meta heeft beroep aangetekend tegen de boete, waarmee het bedrijf laat zien dat het nalevingsproblemen wil aanpakken en zijn verbeterde strategieën voor gegevensbescherming wil verdedigen. Deze zaak onderstreept echter de ernst waarmee Europese toezichthouders schendingen van gegevensbeschermingsnormen bekijken.
Invloed en relevantie
Deze aanzienlijke straf en Meta’s eerdere staat van dienst benadrukken het voortdurende debat rondom gegevensprivacy. Het dient niet alleen als katalysator voor hervormingen in de regelgeving, maar motiveert consumenten ook om meer verantwoording en transparantie te eisen van technologiereuzen.
Wil je toegang tot alle artikelen, geniet tijdelijk van onze promo en abonneer je hier!