Η Επιτροπή Προστασίας Δεδομένων της Ιρλανδίας (DPC) επέβαλε πρόστιμο 251 εκατομμυρίων ευρώ στη Meta, για μια παραβίαση ασφάλειας του Facebook που επηρέασε εκατομμύρια χρήστες στην Ευρωπαϊκή Ένωση και αποκαλύφθηκε το Σεπτέμβριο του 2018. Η ποινή επιβλήθηκε την Τρίτη, με βάση τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR).
Η παραβίαση χρονολογείται από τον Ιούλιο του 2017, όταν το Facebook κυκλοφόρησε μια λειτουργία μεταφόρτωσης βίντεο, που περιελάμβανε μια λειτουργία “View as“. Αυτή η λειτουργία επέτρεπε στον χρήστη να δει τη δική του σελίδα στο Facebook όπως θα την έβλεπε ένας άλλος χρήστης.
Δείτε επίσης: Πώς έχει επηρεάσει το GDPR την ψηφιακή ασφάλεια
Ωστόσο, ένα σφάλμα στο σχεδιασμό επέτρεψε σε κακόβουλους χρήστες να χρησιμοποιήσουν τη λειτουργία σε συνδυασμό με το «Happy Birthday Composer» feature του Facebook για να δημιουργήσουν ένα user token, που τους παρείχε πλήρη πρόσβαση στο προφίλ του χρήστη στο Facebook. Στη συνέχεια, μπορούσαν να χρησιμοποιήσουν το token για να εκμεταλλευτούν τις ίδιες λειτουργίες σε άλλους λογαριασμούς, αποκτώντας μη εξουσιοδοτημένη πρόσβαση σε προφίλ και δεδομένα εκατομμυρίων χρηστών.
Ένας Τεράστιος Σταθμός Ηλιακής Ενέργειας στο Διάστημα;
Πρόστιμο στη Meta για σφάλμα στο Facebook
Η ιρλανδική επιτροπή λέει ότι, μεταξύ 14 και 28 Σεπτεμβρίου 2018, μη εξουσιοδοτημένα άτομα χρησιμοποίησαν scripts για να εκμεταλλευτούν αυτό το σφάλμα και να συνδεθούν σε περίπου 29 εκατομμύρια λογαριασμούς Facebook παγκοσμίως. Περίπου 3 εκατομμύρια είχαν την έδρα τους στην ΕΕ/Ευρωπαϊκό Οικονομικό Χώρο.
Τα προσωπικά δεδομένα που επηρεάστηκαν από την παραβίαση περιελάμβαναν τα πλήρη ονόματα των χρηστών του Facebook, διευθύνσεις email, αριθμούς τηλεφώνου, τοποθεσία, τόπους εργασίας, ημερομηνίες γέννησης, θρησκεία, φύλο, αναρτήσεις σε timelines, ομάδες στις οποίες ήταν μέλη και προσωπικά δεδομένα παιδιών.
Δείτε επίσης: Η Ιρλανδία επέβαλε πρόστιμο στο LinkedIn για παραβίαση του GDPR
Δύο εκτελεστικές αποφάσεις
Η ιρλανδική ρυθμιστική αρχή εξέδωσε τις τελικές της αποφάσεις για δύο έρευνες που είχε ανοίξει για την παραβίαση του Facebook το 2018.
Η μία απόφαση σχετίζεται με την ειδοποίηση περί παραβίασης, καθώς ο GDPR απαιτεί άμεση και ολοκληρωμένη αναφορά σημαντικών περιστατικών ασφαλείας. Η άλλη απόφαση αφορά κανόνες για την προστασία δεδομένων.
Και στις δύο περιπτώσεις, η DPC διαπίστωσε ότι η Meta παραβίαζε τον GDPR.
Συγκεκριμένα, η Meta έλαβε πρόστιμο ύψους 11 εκατομμυρίων ευρώ για την πρώτη απόφαση, αφού η ειδοποίηση παραβίασης της εταιρείας δεν περιελάμβανε όλες τις πληροφορίες που «θα μπορούσε και θα έπρεπε να έχει». Σημειώνει επίσης ότι η εταιρεία δεν τεκμηρίωσε πλήρως τα γεγονότα της παραβίασης και τα μέτρα που ελήφθησαν για να διορθωθεί το ζήτημα.
Δείτε επίσης: Clearview AI: Πρόστιμο από την Ολλανδία για παραβίαση του GDPR
Για τη δεύτερη απόφαση, η Meta έλαβε πρόστιμο 240 εκατομμυρίων ευρώ, λόγω της παραβίασης των αρχών του GDPR για την προστασία δεδομένων «by design». Το Facebook δεν είχε λάβει τα κατάλληλα μέτρα για την προστασία των δεδομένων των ανθρώπων.
Παραβίαση GDPR
Ο GDPR καθορίζει τις απαιτήσεις για τη συλλογή, την αποθήκευση και τη διαχείριση προσωπικών δεδομένων από επιχειρήσεις και οργανισμούς. Οι απαιτήσεις ισχύουν για οργανισμούς με έδρα την Ευρώπη που επεξεργάζονται προσωπικά δεδομένα ατόμων στην ΕΕ, αλλά και για οργανισμούς εκτός της ΕΕ οι οποίοι στοχεύουν Ευρωπαίους πολίτες.
Η μη τήρηση των κανόνων του GDPR μπορεί να οδηγήσει σε σημαντικό πρόστιμο, όπως συνέβη στην περίπτωση της Meta. Η Αρχή Προστασίας Δεδομένων μπορεί, επίσης, να επιβάλει συμπληρωματικά διορθωτικά μέτρα, π.χ. να διατάξει τη διακοπή της επεξεργασίας προσωπικών δεδομένων.
){kind=link}