La Comisión de Protección de Datos de Irlanda (DPC) ha impuesto a Meta Platforms Ireland Limited (MPIL) una multa de 251 millones de euros tras concluir dos investigaciones relacionadas con violaciones al Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
La sanción se centra en una masiva filtración de datos que afectó a 29 millones de cuentas de Facebook en todo el mundo, incluidas tres millones de usuarios ubicados en la Unión Europea y el Espacio Económico Europeo.
El caso se remonta a 2018 por una vulnerabilidad en la función 'Ver como'
El caso tiene su origen en 2018, cuando Meta notificó a la DPC una vulnerabilidad en su sistema que permitió a terceros no autorizados acceder a información personal de millones de usuarios. Este fallo estuvo relacionado con la función "Ver como", implementada en julio de 2017 y desactivada tras descubrirse la brecha de seguridad.
La herramienta permitía a los usuarios visualizar su perfil desde la perspectiva de otros, pero también generaba tokens de usuario que, al ser explotados, otorgaban acceso total a las cuentas. Entre los datos expuestos se incluían nombres completos, correos electrónicos, números de teléfono, fechas de nacimiento, género y religión, poniendo en riesgo la privacidad de los afectados.
Según el regulador irlandés, la falta de medidas preventivas expuso a los usuarios a riesgos significativos de privacidad. Graham Doyle, comisionado adjunto de la DPC, asegura que este caso pone de manifiesto la importancia de incorporar requisitos de protección de datos desde las etapas iniciales del diseño y desarrollo de sistemas tecnológicos.
Meta, por su parte, había remediado la vulnerabilidad poco después de detectarla, aunque no es suficiente para evitar la sanción.
La sanción
La multa impuesta por la DPC refleja varios aspectos de las violaciones cometidas. Por un lado, 130 millones de euros por no garantizar la protección de datos desde el diseño de los sistemas, tal como exige el artículo 25 del RGPD; por otro lado, 110 millones de euros por incumplir la obligación de limitar el tratamiento de datos personales a fines específicos; y finalmente, 11 millones de euros adicionales por no proporcionar información completa y adecuada al notificar la infracción, incumpliendo el artículo 33 del RGPD.
Si (
No(
