La empresa Meta fue multada con una cantidad de 91 millones de euros por la Comisión de Protección de Datos (CPD) de Irlanda. La decisión se tomó tras una investigación sobre un incidente de seguridad ocurrido en marzo de 2019.
Almacenamiento inadecuado de contraseñas
Meta reveló que había almacenado por error las contraseñas de los usuarios sin cifrado alguno en sus sistemas. La CPD determinó que la empresa incumplió cuatro apartados distintos del Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
Incumplimiento de normas específicas
Meta no notificó sin dilación indebida al CPD la violación de seguridad de los datos según el Artículo 33, apartado 1. Además, no documentó las violaciones de seguridad de los datos personales que supone el almacenamiento de contraseñas en texto claro según el Artículo 33, apartado 5.
Medidas técnicas insuficientes
Meta no utilizó medidas técnicas u organizativas adecuadas para garantizar la seguridad apropiada de las contraseñas de los usuarios contra el tratamiento no autorizado según el Artículo 5, apartado 1, letra f). También no aplicó medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo según el Artículo 32, apartado 1.
Exposición de contraseñas
Meta reveló que la transgresión de la privacidad dio lugar a la exposición de un subconjunto de las contraseñas de Facebook de los usuarios en texto claro. Según el blog Krebs on Security, algunas de estas contraseñas datan de 2012.
Acceso interno no confirmado
No había pruebas de que se hubiera accedido indebidamente a ellas o se hubiera abusado de ellas internamente. Un empleado sénior anónimo afirmó que «Unos 2.000 ingenieros y desarrolladores realizaron aproximadamente nueve millones de consultas a datos que contienen contraseñas de usuarios en texto claro».
Notificación a los afectados
Meta reconoció haber almacenado contraseñas de millones de usuarios de Instagram de manera similar y notificó a los usuarios afectados. Graham Doyle, comisionado adjunto de la CPD, declaró que las contraseñas de los usuarios no deben almacenarse en texto claro debido a los riesgos de abuso.