Meta Platforms, la société mère de Facebook, a été condamnée à une amende de 251 millions d’euros (264 millions de dollars) par la Commission irlandaise de protection des données (DPC) pour une violation de données survenue en 2018 qui a exposé des informations sensibles sur les utilisateurs.
La faille, qui exploitait une faille dans la fonctionnalité « Afficher en tant que » de Facebook, a touché 29 millions de comptes dans le monde, dont 3 millions au sein de l’Union européenne. Règlement sur la protection des données (RGPD).
Que s’est-il passé lors de la violation de 2018
La violation provient de la fonctionnalité « Afficher en tant que » de Facebook, un outil conçu pour permettre aux utilisateurs de prévisualiser la façon dont leurs profils apparaissent aux autres. Les attaquants ont combiné cette fonctionnalité avec un outil de téléchargement de vidéos, créant par inadvertance des jetons utilisateur, des clés numériques qui accordent un accès complet au compte d’un utilisateur.
Ces jetons activés accès non autorisé à des informations personnelles, notamment des noms, des numéros de téléphone, des adresses e-mail et des données sensibles telles que les croyances religieuses et les affiliations politiques.
En permettant à l’outil de mise en ligne de vidéos de générer des utilisateurs entièrement autorisés jetons, le système de Facebook a créé par inadvertance une vulnérabilité en cascade. Ces jetons, conçus comme des mécanismes d’authentification sécurisés, sont devenus la passerelle permettant aux attaquants d’accéder à des millions de profils.
Entre le 14 et le 28 septembre 2018, les attaquants ont exploité cette vulnérabilité et ont accédé à des millions de comptes d’utilisateurs. L’équipe de sécurité de Facebook a découvert le problème après avoir remarqué une activité inhabituelle de téléchargement de vidéos. La société a rapidement désactivé les fonctionnalités concernées, informé les régulateurs et contacté les utilisateurs dont les comptes étaient compromis.
Cette défaillance technique reflète des critiques plus larges à l’égard de l’approche de Meta en matière de conception du système. Les régulateurs ont constamment appelé les entreprises à donner la priorité à la confidentialité et à la sécurité dès le départ, plutôt que de résoudre les problèmes de manière réactive après que des violations se soient produites.
Connexe : LinkedIn, propriété de Microsoft, condamné à une amende de 310 millions d’euros pour violations de la vie privée dans l’UE.
Conclusions et sanctions du DPC
Après une enquête approfondie, le DPC a constaté que Meta enfreignait plusieurs articles du RGPD. Les amendes les plus élevées ont été infligées pour non-application de mesures adéquates de protection des données lors de la conception du système et des paramètres par défaut :
Article 25( 1) : 130 millions d’euros d’amende pour défaut d’intégration de garanties suffisantes dans l’architecture système de Facebook. Article 25, paragraphe 2 : 110 millions d’euros d’amende pour mesures insuffisantes garantissant un traitement minimal des données par défaut. Articles 33(3) et 33(5) : 11 millions d’euros supplémentaires pour notification de violation incomplète et inadéquate. documentation des mesures correctives.
Dans une déclaration, le sous-commissaire Graham Doyle a expliqué : « Cette mesure coercitive met en évidence comment le fait de ne pas intégrer d’exigences en matière de protection des données tout au long du cycle de conception et de développement peut exposer les individus à des risques et à des préjudices très graves, y compris un risque pour les droits fondamentaux. et les libertés des individus.
Les profils Facebook peuvent contenir, et contiennent souvent, des informations sur des sujets tels que les convictions religieuses ou politiques, la vie ou l’orientation sexuelle, et des sujets similaires qu’un utilisateur peut souhaiter divulguer uniquement dans des circonstances particulières. En permettant une exposition non autorisée des informations de profil, les vulnérabilités derrière cette violation ont entraîné un risque grave d’utilisation abusive de ce type de données.”
Connexe : Le groupe autrichien NOYB accuse Microsoft de violations du RGPD in Education
Meta a annoncé son intention de faire appel de la décision. Un porte-parole de l’entreprise a déclaré: « Nous avons pris des mesures immédiates pour résoudre le problème dès qu’il a été identifié, et nous avons informé de manière proactive les utilisateurs concernés et les Irlandais. Protection des données Commission.”
Alors que Meta souligne les mesures qu’elle a prises en réponse à la violation, les régulateurs affirment que ces actions n’absoutent pas l’entreprise des failles systémiques dans ses pratiques de protection des données.
Historique des violations de la confidentialité des données et des pratiques anticoncurrentielles de Meta
L’amende de 251 millions d’euros fait partie d’un ensemble plus large d’actions réglementaires contre Meta. L’un des scandales de confidentialité les plus célèbres de l’entreprise, l’affaire Cambridge Analytica, impliquait la collecte non autorisée de données auprès de 87 millions d’utilisateurs de Facebook.
Les données ont été utilisées pour influencer les élections, ce qui a conduit à un règlement de 725 millions de dollars aux États-Unis. recours collectif. Les conséquences de Cambridge Analytica ont modifié de façon permanente la perception du public quant à l’engagement de Facebook en matière de confidentialité des utilisateurs.
Les amendes ultérieures imposées par le RGPD ont encore illustré les difficultés de Meta en matière de conformité. Il s’agit notamment d’une amende de 390 millions d’euros pour mauvaise gestion des comptes Instagram d’enfants et d’une amende record de 1,2 milliard d’euros en 2023 pour transferts inappropriés de données entre l’UE et les États-Unis. Collectivement, ces cas mettent en évidence les faiblesses récurrentes de l’approche de Meta en matière de confidentialité et de sécurité.
Le RGPD, promulgué en 2018, est devenu une référence mondiale en matière de législation sur la protection de la vie privée, influençant les lois de juridictions telles que la Californie. En vertu du RGPD, les entreprises peuvent se voir infliger des amendes pouvant aller jusqu’à 4 % de leur chiffre d’affaires mondial en cas de non-conformité. Pour Meta, qui a jusqu’à présent été condamnée à une amende de près de 3 milliards d’euros en vertu du RGPD, le règlement a créé d’importants problèmes financiers et de réputation.
Au-delà de l’UE, les problèmes réglementaires de Meta s’étendent à d’autres régions. En Australie, l’entreprise a payé 50 millions de dollars pour avoir diffusé des publicités frauduleuses mettant en vedette des personnalités publiques. Au Royaume-Uni, elle a été condamnée à une amende de 50,5 millions de livres sterling pour avoir enfreint les règles lors de l’acquisition de Giphy. Ces affaires reflètent une dynamique mondiale croissante visant à tenir les grandes entreprises technologiques pour responsables des violations de la vie privée et de la concurrence.
Connexe : Google ne parvient pas à annuler l’amende antitrust de l’UE de 2,4 milliards d’euros
Implications pour l’ensemble de l’industrie technologique
Les amendes répétées de Meta servent de mise en garde pour l’industrie technologique. Alors que les régulateurs du monde entier adoptent des lois plus strictes sur la protection des données, les entreprises subissent une pression croissante pour donner la priorité à la confidentialité des utilisateurs. Les mécanismes d’application du RGPD sont susceptibles d’inspirer des cadres similaires à l’échelle mondiale, obligeant les entreprises technologiques à adopter des mesures de conformité proactives.
Cependant, les défaillances récurrentes de Meta suggèrent des problèmes de gouvernance plus profonds qui doivent être résolus. Les critiques affirment que l’accent mis par l’entreprise sur la croissance et la monétisation se fait souvent au détriment de la sécurité des utilisateurs, un équilibre que les régulateurs et les consommateurs sont de moins en moins disposés à accepter.
Même si Meta a déployé des efforts pour améliorer son infrastructure de sécurité, son L’histoire des amendes et des scandales soulève des questions sur l’efficacité de ces mesures.
