Data Protection Commission (DPC) har utfärdat en sanktionsavgift på 251 miljoner euro mot Meta Platforms Ireland Limited för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att Meta i juli 2017 implementerat en så kallad ”View-as”-funktion på Facebook som gjorde det möjligt för användare att se sin egen Facebook-sida som den skulle se ut för en annan användare. Funktionen inkluderade en videouppladdningsfunktion som skapade så kallade användartokens. Användartokens är kodade identiteter som används för att verifiera användare och som kan kontrollera åtkomst till plattformsfunktioner och personuppgifter. Användare kunde därför använda dessa tokens för att få tillgång till andra konton.
Mellan den 14 och 18 september 2018 orsakade en tredje part ett stort dataintrång genom att använda tokens för att logga in som andras Facebook-konton. Dataintrånget påverkade cirka 29 miljoner Facebook-användare globalt, varav 3 miljoner var baserade i EU/EES. Meta-anställda blev medvetna om dataintrånget genom en ovanlig ökning av videouppladdningar och tog bort funktionen kort därefter.
DPC konstaterade att Meta brutit mot artikel 33.3 GDPR för att inte ha inkluderat nödvändig information i sin anmälan om personuppgiftsincident. För denna överträdelse utfärdade DPC en reprimand och fastställde en administrativ sanktionsavgift på 8 miljoner euro.
DPC konstaterade även en överträdelse av artikel 33.5 GDPR eftersom Meta underlåtit att på lämpligt sätt dokumentera fakta om överträdelsen och de korrigerande åtgärder som vidtagits. För att ha hindrat tillsynsmyndigheternas förmåga att kontrollera efterlevnaden utfärdade DPC en reprimand och fastställde en administrativ sanktionsavgift på 3 miljoner euro.
Vidare konstaterade DPC att Meta brutit mot artikel 25.1 GDPR för att inte ha införlivat dataskyddsprinciper i utformningen av funktionen. För detta utfärdade DPC en reprimand och fastställde en administrativ sanktionsavgift på 130 miljoner euro.
Dessutom konstaterade DPC att Meta brutit mot artikel 25.2 GDPR för att inte ha säkerställt att endast nödvändiga personuppgifter behandlades som standard. För detta utfärdade DPC en reprimand och fastställde en administrativ sanktionsavgift på 110 miljoner euro.