Meta Platforms, morselskapet til Facebook, har blitt bøtelagt 251 millioner euro (264 millioner dollar) av Irlands databeskyttelseskommisjon (DPC) for et datainnbrudd i 2018 som avslørte sensitiv brukerinformasjon.
Bruket, som utnyttet en feil i Facebooks «Vis som»-funksjon, berørte 29 millioner kontoer over hele verden, inkludert 3 millioner innen EU. Straffen viser den økende betydningen av databeskyttelsesbestemmelser under EUs General Databeskyttelsesforordningen (GDPR).
Hva skjedde i bruddet i 2018
Bruket kom fra Facebooks”Se som”-funksjon, et verktøy designet for å la brukere forhåndsvise hvordan profilene deres så ut for andre. Angripere kombinerte denne funksjonen med et videoopplastingsverktøy, og skapte utilsiktet brukertokens – digitale nøkler som gir full tilgang til en brukers konto.
Disse tokenene er aktivert uautorisert tilgang til personlig informasjon, inkludert navn, telefonnumre, e-postadresser og sensitive data som religiøs tro og politisk tilknytninger.
Ved å la videoopplastingsverktøyet generere fullt tillatelse til brukertokens, skapte Facebooks system utilsiktet en gjennomgripende sårbarhet. Slike tokens, ment som sikre autentiseringsmekanismer, ble inngangsporten for angripere for å få tilgang til millioner av profiler.
Mellom 14. og 28. september 2018 utnyttet angripere sårbarheten og fikk tilgang til millioner av brukerkontoer. Facebooks sikkerhetsteam oppdaget problemet etter å ha lagt merke til uvanlig videoopplastingsaktivitet. Selskapet deaktiverte umiddelbart de berørte funksjonene, varslet regulatorer og kontaktet brukere hvis kontoer ble kompromittert.
Denne tekniske feilen reflekterer bredere kritikk av Metas tilnærming til systemdesign. Regulatorer har konsekvent bedt bedrifter om å prioritere personvern og sikkerhet fra begynnelsen, i stedet for å ta opp problemer reaktivt etter at brudd oppstår.
Relatert: Microsoft-eide LinkedIn bøtelagt €310 millioner for brudd på personvernet i EU
DPCs funn og straff
Etter en grundig undersøkelse fant DPC Meta i strid av flere GDPR-artikler. De største bøtene ble utstedt for ikke å implementere tilstrekkelige databeskyttelsestiltak under systemdesign og standardinnstillinger:
Artikkel 25( 1): En bot på €130 millioner for ikke å integrere tilstrekkelige sikkerhetstiltak i Facebooks systemarkitektur. Artikkel 25(2): En bot på 110 millioner euro for utilstrekkelige tiltak som sikrer minimal databehandling som standard. Artikkel 33(3) og 33(5): Ytterligere €11 millioner for å gi ufullstendige bruddvarsler og utilstrekkelig dokumentasjon av utbedringstiltak.
I en uttalelse forklarte visekommissær Graham Doyle:”Denne håndhevingshandlingen fremhever hvordan manglende innbygging av databeskyttelseskrav gjennom design-og utviklingssyklusen kan utsette enkeltpersoner for svært alvorlige risikoer og skader, inkludert en risiko for de grunnleggende rettighetene og individers friheter.
Facebook-profiler kan, og inneholder ofte, informasjon om saker som religiøs eller politisk overbevisning, seksuelt liv eller legning, og lignende saker som en bruker kan ønske å avsløre bare under spesielle omstendigheter. Ved å tillate uautorisert eksponering av profilinformasjon, forårsaket sårbarhetene bak dette bruddet en alvorlig risiko for misbruk av denne typen data.”
Relatert: Østerrikske NOYB Group anklager Microsoft for brudd på GDPR in Education
Meta har kunngjort sin intensjon om å anke avgjørelsen En talsperson for selskapet uttalte: «Vi tok umiddelbare tiltak for å fikse problemet så snart det ble identifisert, og vi. informerte proaktivt både berørte brukere og den irske databeskyttelseskommisjonen.”
Mens Meta understreker tiltakene de tok som svar på bruddet, hevder regulatorer at disse handlingene ikke fritar selskapet for systemiske feil i databeskyttelsen. praksis.
Metas historie om datavernssvikt og konkurransebegrensende praksis
251 millioner euro fine er en del av et bredere mønster av regulatoriske handlinger mot Meta. En av selskapets mest beryktede personvernskandaler, Cambridge Analytica-saken, involverte uautorisert innsamling av data fra 87 millioner Facebook-brukere.
Dataene ble brukt til å påvirke valg, noe som førte til et oppgjør på 725 millioner dollar i et USA. gruppesøksmål. Nedfallet fra Cambridge Analytica endret permanent den offentlige oppfatningen av Facebooks forpliktelse til brukernes personvern.
Påfølgende GDPR-bøter har ytterligere illustrert Metas kamp om etterlevelse. Disse inkluderer en straff på 390 millioner euro for feilhåndtering av barns Instagram-kontoer og en rekordhøy bot på 1,2 milliarder euro i 2023 for upassende dataoverføringer mellom EU og USA. Til sammen fremhever disse sakene tilbakevendende svakheter i Metas tilnærming til personvern og sikkerhet.
GDPR, vedtatt i 2018, har blitt en global målestokk for personvernlovgivning, og har påvirket lover i jurisdiksjoner som California. I henhold til GDPR kan selskaper få bøter på opptil 4 % av sine globale inntekter for manglende overholdelse. For Meta, som så langt har blitt bøtelagt med nesten 3 milliarder euro under GDPR-håndhevelse, har forordningen skapt betydelige økonomiske og omdømmemessige utfordringer.
Utenfor EU strekker Metas regulatoriske problemer seg til andre regioner. I Australia betalte selskapet 50 millioner dollar for å publisere svindelannonser med offentlige personer. I Storbritannia sto det overfor en bot på 50,5 millioner pund for brudd på regler under oppkjøpet av Giphy. Disse sakene gjenspeiler et økende globalt momentum for å holde Big Tech ansvarlig for brudd på personvern og konkurranse.
Relatert: Google klarer ikke å omstøte 2,4 milliarder euro i EU Antitrust-bot
Implikasjoner for den bredere tekniske industrien
Metas gjentatte bøter tjener som en advarsel for teknologiindustrien. Ettersom regulatorer over hele verden vedtar strengere databeskyttelseslover, er selskaper under økende press for å prioritere brukernes personvern. GDPRs håndhevingsmekanismer vil sannsynligvis inspirere til lignende rammeverk globalt, og tvinge teknologibedrifter til å ta i bruk proaktive overholdelsestiltak.
Men Metas tilbakevendende bortfall antyder dypere styringsproblemer som må løses. Kritikere hevder at selskapets fokus på vekst og inntektsgenerering ofte går på bekostning av brukersikkerhet – en balanse som regulatorer og forbrukere i økende grad ikke er villige til å akseptere.
Mens Meta har gjort en innsats for å forbedre sin sikkerhetsinfrastruktur, historie med bøter og skandaler reiser spørsmål om effektiviteten av disse tiltakene.
