Újabb vizsgálat a Facebook ellen a kiszivárgott adatok miatt

Az írországi Adatvédelmi Bizottság (Data Protection Commission – DPC) által indított vizsgálat célja, hogy kiderítse: megszegte-e a közösségi oldal üzemeltetője a 2018-ban bevezetett uniós adatvédelmi szabályokat azzal, hogy nem értesítette felhasználóit az adatlopásról. Ahogy arról beszámoltunk, hasonló

vizsgálatot kezdeményezett korábban az amerikai Szövetségi Kereskedelmi Tanács (Federal Trade Commission – FTC) is a szolgáltatóval szemben.

A felügyelet ugyanis még 2012-ben állapodott meg a Facebookkal arról, hogy a hasonló incidensekről haladéktalanul jelentést kap, ám a hírek szerint az FTC is csak a sajtóból értesült a személyes adatok kiszivárgásáról. Így az felügyeletnek jelen állás szerint arról sincs információja, hogy a hónap elején egy internetes fórumra feltöltött adatokat egy, vagy több támadás során lopták-e el.

Világszerte mintegy 533 millió Facebook-felhasználó személyes adataival élhetnek vissza azok, akik hozzáfértek az egyik internetes fórumra kiszivárogtatott információkhoz.

Nyilvánossá vált több mint félmilliárd felhasználó neve, születési dátuma, tartózkodási helye, telefonszáma valamint emailcíme is.

Ezekről az adatokról a Facebook azt állította, sok esetben rég elavultak, hiszen azokhoz a hackerek még 2017 júniusa és 2018 áprilisa között juthattak hozzá, egy biztonsági rést kihasználva.

A DCP szerint azonban a kiszivárgott adatok között ennél jóval frissebbek is lehetnek, ami nem lenne meglepő, hiszen a közösségi oldal üzemeltetője csak 2019 szeptemberében azonosította, illetve javította ki a rendszerében meglévő, az adatlopást lehetővé tevő hibákat. Az adatszivárgás feltételezett időpontja azért fontos, mert az Európai Unió Általános Adatvédelmi Szabályozása, a GDPR csak 2018 májusában lépett életbe, és az ír felügyelet erre hivatkozva állítaná most falhoz a Facebookot. A Reuters által idézett közleményükben azt írták:

a Facebook megszeghette és/vagy jelenleg is megszegheti a GDPR, illetve a 2018-as Adatvédelmi Törvény egy vagy több rendelkezését felhasználói személyes adataival kapcsolatban.

A DPC szerint a Facebooknak értesítenie kellett volna felhasználóit az őket ért kárról, amit a közösségi oldal üzemeltetője épp arra hivatkozva nem tett meg, hogy az adatlopás még épp a GDPR 2018 májusi életbe lépése előtt történt, ezért nem is tartozik a szabályozás hatálya alá. A Facebook ellen azért épp az ír felügyelet indított vizsgálatot, mert az amerikai cég európai székhelyét Írországba helyezte, az ottani kedvező adózási feltételek miatt.

Ha kiderül, hogy a Facebook hibázott,

éves forgalma 4 százalékára, illetve 20 millió euróra büntethetik Európában,

míg az Egyesült Államokban minden megkárosított felhasználó után 2500 dolláros bírságot kellene fizetnie.