Meta Platforms, la società madre di Facebook, è stata multata di 251 milioni di euro (264 milioni di dollari) dalla Commissione irlandese per la protezione dei dati (DPC) per una violazione dei dati del 2018 che ha esposto informazioni sensibili degli utenti.
La violazione, che sfruttava un difetto nella funzione”Visualizza come”di Facebook, ha colpito 29 milioni di account in tutto il mondo, di cui 3 milioni all’interno dell’Unione Europea. La sanzione dimostra la crescente importanza delle norme sulla protezione dei dati ai sensi del Regolamento generale dell’UE Regolamento sulla protezione dei dati (GDPR).
Cosa è successo nella violazione del 2018
La violazione ha avuto origine dalla funzione”Visualizza come”di Facebook, uno strumento progettato per consentire agli utenti di visualizzare in anteprima come i loro profili apparivano agli altri. Gli aggressori hanno combinato questa funzionalità con uno strumento di caricamento video, creando inavvertitamente token utente, chiavi digitali che garantiscono l’accesso completo all’account di un utente.
Questi token sono abilitati accesso non autorizzato a informazioni personali, inclusi nomi, numeri di telefono, indirizzi e-mail e dati sensibili come credenze religiose e affiliazioni politiche.
Consentendo allo strumento di caricamento video di generare token utente con autorizzazioni complete, Il sistema di Facebook ha inavvertitamente creato una vulnerabilità a cascata. Tali token, intesi come meccanismi di autenticazione sicuri, sono diventati il gateway attraverso il quale gli aggressori hanno potuto accedere a milioni di profili.
Tra il 14 e il 28 settembre 2018, gli aggressori hanno sfruttato la vulnerabilità, accedendo a milioni di account utente. Il team di sicurezza di Facebook ha scoperto il problema dopo aver notato un’attività insolita di caricamento di video. L’azienda ha prontamente disattivato le funzionalità interessate, ha informato le autorità di regolamentazione e ha contattato gli utenti i cui account erano stati compromessi.
Questo guasto tecnico riflette critiche più ampie all’approccio di Meta alla progettazione del sistema. Le autorità di regolamentazione hanno costantemente chiesto alle aziende di dare priorità alla privacy e alla sicurezza fin dall’inizio, piuttosto che affrontare i problemi in modo reattivo dopo che si sono verificate le violazioni.
Correlato: LinkedIn, di proprietà di Microsoft, multato di 310 milioni di euro per violazioni della privacy nell’UE
Risultati e sanzioni del DPC
Dopo un’indagine approfondita, il DPC ha ritenuto Meta in violazione di diversi articoli GDPR. Le sanzioni più elevate sono state comminate per non aver implementato adeguate misure di protezione dei dati durante la progettazione del sistema e le impostazioni predefinite:
Articolo 25( 1): Una multa di 130 milioni di euro per non aver integrato garanzie sufficienti nell’architettura di sistema di Facebook. Articolo 25, paragrafo 2: una multa di 110 milioni di euro per misure insufficienti a garantire un trattamento minimo dei dati per impostazione predefinita. Articoli 33, paragrafi 3 e 5,: ulteriori 11 milioni di euro per aver fornito notifiche di violazione incomplete e documentazione delle azioni correttive.
In una dichiarazione, il vice commissario Graham Doyle ha spiegato:”Questa misura di applicazione evidenzia come la mancata integrazione dei requisiti di protezione dei dati durante tutto il ciclo di progettazione e sviluppo può esporre gli individui a rischi e danni molto gravi, compreso un rischio per i diritti fondamentali e le libertà degli individui.
I profili Facebook possono, e spesso lo fanno, contenere informazioni su argomenti quali convinzioni religiose o politiche, vita o orientamento sessuale e questioni simili che un utente potrebbe voler divulgare solo in circostanze particolari. Consentendo l’esposizione non autorizzata delle informazioni del profilo, le vulnerabilità alla base di questa violazione hanno causato un grave rischio di uso improprio di questi tipi di dati.”
Correlato: Il gruppo austriaco NOYB accusa Microsoft di violazioni del GDPR in Education
Meta ha annunciato l’intenzione di presentare ricorso contro la decisione. Un portavoce dell’azienda ha dichiarato:”Abbiamo intrapreso azioni immediate per risolvere il problema non appena è stato identificato e abbiamo informato in modo proattivo sia gli utenti interessati che gli irlandesi. Commissione per la protezione dei dati.”
Mentre Meta sottolinea le misure adottate in risposta alla violazione, le autorità di regolamentazione sostengono che queste azioni non assolvono l’azienda da difetti sistemici nelle sue pratiche di protezione dei dati.
Storia della privacy dei dati di Meta Fallimenti e pratiche anticoncorrenziali
La multa di 251 milioni di euro fa parte di un modello più ampio di azioni normative contro Meta. Uno dei più famigerati scandali sulla privacy dell’azienda, il caso Cambridge Analytica, ha coinvolto la raccolta non autorizzata di dati da 87 milioni di utenti Facebook.
I dati sono stati utilizzati per influenzare le elezioni, portando a un accordo da 725 milioni di dollari in un accordo statunitense. azione legale collettiva. Le conseguenze di Cambridge Analytica hanno cambiato permanentemente la percezione pubblica dell’impegno di Facebook nei confronti della privacy degli utenti.
Le successive multe GDPR hanno ulteriormente illustrato le difficoltà di conformità di Meta. Queste includono una sanzione di 390 milioni di euro per la cattiva gestione degli account Instagram dei bambini e una multa record di 1,2 miliardi di euro nel 2023 per trasferimenti impropri di dati tra l’UE e gli Stati Uniti. Nel complesso, questi casi evidenziano debolezze ricorrenti nell’approccio di Meta alla privacy e alla sicurezza.
Il GDPR, emanato nel 2018, è diventato un punto di riferimento globale per la legislazione sulla privacy, influenzando le leggi in giurisdizioni come la California. Secondo il GDPR, le aziende possono incorrere in sanzioni fino al 4% delle loro entrate globali in caso di mancata conformità. Per Meta, che finora è stata multata di quasi 3 miliardi di euro a causa dell’applicazione del GDPR, il regolamento ha creato notevoli sfide finanziarie e reputazionali.
Al di là dell’UE, i problemi normativi di Meta si estendono ad altre regioni. In Australia, la società ha pagato 50 milioni di dollari per aver pubblicato annunci truffa con personaggi pubblici. Nel Regno Unito, ha dovuto affrontare una multa di 50,5 milioni di sterline per aver violato le regole durante l’acquisizione di Giphy. Questi casi riflettono la crescente spinta globale a ritenere le Big Tech responsabili delle violazioni della privacy e della concorrenza.
Correlato: Google non riesce a ribaltare la sanzione antitrust dell’UE da 2,4 miliardi di euro
Implicazioni per il settore tecnologico in generale
Le ripetute multe di Meta servono da ammonimento per il settore tecnologico. Mentre le autorità di regolamentazione di tutto il mondo adottano leggi sulla protezione dei dati più severe, le aziende sono sempre più sotto pressione per dare priorità alla privacy degli utenti. È probabile che i meccanismi di applicazione del GDPR ispirino quadri simili a livello globale, costringendo le aziende tecnologiche ad adottare misure di conformità proattive.
Tuttavia, gli errori ricorrenti di Meta suggeriscono problemi di governance più profondi che devono essere affrontati. I critici sostengono che l’attenzione dell’azienda alla crescita e alla monetizzazione spesso va a scapito della sicurezza degli utenti, un equilibrio che le autorità di regolamentazione e i consumatori sono sempre più riluttanti ad accettare.
Sebbene Meta abbia compiuto sforzi per migliorare la propria infrastruttura di sicurezza, la sua la storia di multe e scandali solleva dubbi sull’efficacia di queste misure.
