Meta Platforms, Facebooks moderbolag, har bötfällts 251 miljoner euro (264 miljoner dollar) av Irlands dataskyddskommission (DPC) för ett dataintrång 2018 som avslöjade känslig användarinformation.
Intrånget, som utnyttjade ett fel i Facebooks”Visa som”-funktion, påverkade 29 miljoner konton över hela världen, inklusive 3 miljoner inom EU. Straffet visar den växande betydelsen av dataskyddsbestämmelser under EU:s allmänna regler Dataskyddsförordningen (GDPR).
Vad hände under 2018 års intrång
Intrånget härrörde från Facebooks”Visa som”-funktion, ett verktyg utformat för att låta användare förhandsgranska hur deras profiler såg ut för andra. Angripare kombinerade den här funktionen med ett videouppladdningsverktyg och skapade oavsiktligt användartokens – digitala nycklar som ger full åtkomst till en användares konto.
Dessa tokens aktiverade obehörig åtkomst till personlig information, inklusive namn, telefonnummer, e-postadresser och känsliga uppgifter som religiös övertygelse och politisk anknytningar.
Genom att låta videouppladdningsverktyget generera fullständigt behöriga användartokens, skapade Facebooks system av misstag en övergripande sårbarhet. Sådana tokens, avsedda som säkra autentiseringsmekanismer, blev porten för angripare att komma åt miljontals profiler.
Mellan 14 och 28 september 2018 utnyttjade angripare sårbarheten och fick åtkomst till miljontals användarkonton. Facebooks säkerhetsteam upptäckte problemet efter att ha märkt ovanlig videouppladdningsaktivitet. Företaget inaktiverade omedelbart de påverkade funktionerna, meddelade tillsynsmyndigheter och kontaktade användare vars konton hade äventyrats.
Det här tekniska felet återspeglar en bredare kritik av Metas syn på systemdesign. Tillsynsmyndigheter har konsekvent uppmanat företag att prioritera integritet och säkerhet från början, snarare än att ta itu med problem reaktivt efter att intrång har inträffat.
Relaterat: Microsoft-ägda LinkedIn bötfälldes med 310 miljoner euro för EU-integritetsbrott.
DPC:s iakttagelser och påföljder
Efter en grundlig undersökning fann DPC att Meta bröt mot av flera GDPR-artiklar. De största böterna utfärdades för att inte ha implementerat adekvata dataskyddsåtgärder under systemdesign och standardinställningar:
Artikel 25( 1): Böter på 130 miljoner euro för att ha misslyckats med att integrera tillräckliga skyddsåtgärder i Facebooks systemarkitektur. Artikel 25(2): Böter på 110 miljoner euro för otillräckliga åtgärder som garanterar minimal databehandling som standard. Artiklarna 33(3) och 33(5): Ytterligare 11 miljoner euro för att tillhandahålla ofullständiga intrångsmeddelanden och otillräckliga dokumentation av korrigerande åtgärder.
I ett uttalande förklarade vice kommissionär Graham Doyle:”Denna tillsynsåtgärd belyser hur underlåtenhet att bygga in dataskyddskrav under hela design-och utvecklingscykeln kan utsätta individer för mycket allvarliga risker och skador, inklusive en risk för de grundläggande rättigheterna och individers friheter.
Facebook-profiler kan, och innehåller ofta, information om frågor som religiös eller politisk övertygelse, sexuellt liv eller läggning och liknande saker som en användare bara vill avslöja under särskilda omständigheter. Genom att tillåta obehörig exponering av profilinformation orsakade sårbarheterna bakom detta intrång en allvarlig risk för missbruk av dessa typer av data.”
Relaterat: Österrikiska NOYB Group anklagar Microsoft för GDPR-brott in Education
Meta har tillkännagett sin avsikt att överklaga beslutet En talesperson för företaget sa:”Vi vidtog omedelbara åtgärder för att åtgärda problemet så snart det identifierades, och vi. proaktivt informerade både berörda användare och den irländska dataskyddskommissionen.”
Medan Meta betonar de åtgärder de vidtog som svar på intrånget, hävdar tillsynsmyndigheter att dessa åtgärder inte fritar företaget från systemiska brister i dess dataskydd praxis.
Metas historik över datasekretessfel och konkurrensbegränsande metoder
De 251 miljoner euro fin är en del av ett bredare mönster av regulatoriska åtgärder mot Meta. En av företagets mest ökända integritetsskandaler, Cambridge Analytica-fallet, involverade otillåten insamling av data från 87 miljoner Facebook-användare.
Datan användes för att påverka val, vilket ledde till en uppgörelse på 725 miljoner dollar i ett USA. grupptalan. Nedfallet från Cambridge Analytica förändrade permanent allmänhetens uppfattning om Facebooks engagemang för användarnas integritet.
Efterföljande GDPR-böter har ytterligare illustrerat Metas kamp för efterlevnad. Dessa inkluderar ett straff på 390 miljoner euro för felaktig hantering av barns Instagram-konton och rekordstora böter på 1,2 miljarder euro 2023 för felaktig dataöverföring mellan EU och USA. Tillsammans belyser dessa fall återkommande svagheter i Metas syn på integritet och säkerhet.
GDPR, antagen i 2018, har blivit ett globalt riktmärke för integritetslagstiftning, vilket påverkar lagar i jurisdiktioner som Kalifornien. Enligt GDPR kan företag få böter på upp till 4 % av sina globala intäkter för bristande efterlevnad. För Meta, som hittills har bötfällts med nästan 3 miljarder euro under GDPR-tillämpningen, har förordningen skapat betydande ekonomiska utmaningar och anseende.
Utöver EU sträcker sig Metas regulatoriska problem till andra regioner. I Australien betalade företaget 50 miljoner dollar för att visa bluffannonser med offentliga personer. I Storbritannien fick företaget böter på 50,5 miljoner pund för att ha brutit mot reglerna under sitt förvärv av Giphy. Dessa fall återspeglar en växande global fart för att hålla Big Tech ansvarig för integritets-och konkurrenskränkningar.
Relaterat: Google misslyckas med att häva 2,4 miljarder euro EU Antitrust-böter
Konsekvenser för den bredare tekniska industrin
Metas upprepade böter fungerar som en varning för teknikindustrin. I takt med att tillsynsmyndigheter över hela världen antar striktare dataskyddslagar, utsätts företagen för ökande press att prioritera användarnas integritet. GDPR:s tillsynsmekanismer kommer sannolikt att inspirera till liknande ramverk globalt, vilket tvingar teknikföretag att vidta proaktiva efterlevnadsåtgärder.
Men Metas återkommande förfall tyder på djupare styrningsfrågor som måste åtgärdas. Kritiker hävdar att företagets fokus på tillväxt och intäktsgenerering ofta sker på bekostnad av användarsäkerhet – en balans som tillsynsmyndigheter och konsumenter är allt mer ovilliga att acceptera.
Medan Meta har ansträngt sig för att förbättra sin säkerhetsinfrastruktur, historia av böter och skandaler väcker frågor om effektiviteten av dessa åtgärder.
