GDPR-ul în acțiune împotriva giganților tech, dar cât de mult schimbă acest lucru?
Compania Meta (cunoscută anterior ca Facebook) a primit o amendă de 102 milioane de dolari (91 milioane de euro) de la Comisia pentru Protecția Datelor din Irlanda (DPC) pentru o breșă de securitate descoperită în 2019, când s-a constatat că parolele utilizatorilor erau stocate în format plain text — adică fără nicio criptare. Deși Meta și-a prezentat inițial situația ca fiind o simplă greșeală, investigațiile au arătat că problema era mult mai gravă decât sugera declarația inițială.
Ce s-a întâmplat exact?
Conform DPC, Meta a avut milioane de parole de utilizator care erau ușor accesibile pe serverele companiei, stocate în acest mod vulnerabil încă din 2012. Încă și mai alarmant, parolele erau vizibile pentru aproximativ 20.000 de angajați ai companiei, fără nicio măsură suplimentară de securitate. Totuși, în decizia sa, DPC a specificat că parolele nu au fost accesibile unor terțe părți din afara companiei — lucru care, cel puțin, reduce riscurile pentru utilizatori, dar nu scuză această neglijență.
Chiar dacă Meta nu a specificat numărul exact al conturilor afectate, un angajat senior a declarat pentru Krebs on Security la vremea respectivă că până la 600 de milioane de parole ar fi putut fi expuse. Dacă ne gândim puțin, asta înseamnă că o parte semnificativă a bazei de utilizatori globali ai Meta a avut conturile expuse unei potențiale breșe interne.
Ce spune DPC?
DPC a constatat că Meta a încălcat mai multe reguli din Regulamentul General pentru Protecția Datelor (GDPR), și anume:
- Nu a notificat DPC în timp util despre această breșă de securitate.
- Nu a documentat corespunzător incidentul, ceea ce a îngreunat procesul de investigare și analiza riscurilor.
- Nu a utilizat măsuri tehnice adecvate pentru a asigura securitatea parolelor împotriva procesării neautorizate.
Graham Doyle, adjunctul Comisarului pentru Protecția Datelor din Irlanda, a subliniat într-o declarație că „este larg acceptat că parolele utilizatorilor nu ar trebui să fie stocate în format text simplu, având în vedere riscurile de abuz care decurg din accesarea unor astfel de date. Trebuie reținut că parolele sunt deosebit de sensibile, deoarece permit accesul la conturile de social media ale utilizatorilor.”
Dezamăgire sau lecție de învățat?
Aici vine și partea mai personală — sincer, este dezamăgitor să vedem că în 2024 astfel de greșeli încă mai apar, mai ales la companii de talia Meta. Regulile de bază de securitate, precum criptarea parolelor, sunt practici standard în industrie. O companie care gestionează sute de milioane de conturi ar trebui să fie lider în acest domeniu, nu să primească sancțiuni pentru nerespectarea unor principii elementare.
Și nu este prima dată când un gigant tech cade victimă propriilor neglijențe. Întrebarea care se pune aici este dacă astfel de amenzi chiar schimbă ceva la nivel structural. Da, 102 milioane de dolari sunt o sumă mare, dar pentru o companie de dimensiunile Meta, această sancțiune este mai degrabă un avertisment decât o lovitură reală.
Ca utilizator, mă face să mă gândesc mai bine de două ori înainte de a alege ce fel de date să împărtășesc pe aceste platforme. Dacă o simplă criptare a parolelor nu a fost o prioritate ani la rând pentru Meta, oare cât de bine protejate sunt restul datelor noastre?
Ce urmează?
DPC a emis și un avertisment formal către Meta, dar rămâne de văzut dacă acest lucru va avea un impact pe termen lung asupra modului în care își gestionează securitatea. Poate că este un pas în direcția corectă, dar cât de eficiente sunt aceste măsuri? Vom afla mai multe detalii după publicarea deciziei finale a DPC.
Până atunci, rămâne să ne întrebăm: cât de multe greșeli trebuie să facă giganții tech înainte să învețe că securitatea nu este un „nice-to-have”, ci o obligație față de utilizatori?