- Telefon: 0850 302 2882
- E-Posta: [email protected]
GDPR ilk zorluğuyla karşılaşır:Facebook
Facebook'un tekrarlanan veri ihlalleri, tam olarak Genel Veri Koruma Yönetmeliği'nin ihlalleri bildirme konusundaki açık yönergeleriyle ele almaya çalıştığı şeydir. Facebook'un gelişigüzel tepkisi, 1.6 milyar doların üzerinde para cezasıyla karşı karşıya kaldı.
Facebook, gizlilik mevzuatını oldukça iyi öğreniyor. İngiltere'nin 1998 tarihli eski Veri Koruma Yasası kapsamında izin verilen maksimum miktar olan Cambridge Analytica skandalına karıştığı için şimdiden 500.000 £ para cezasına çarptırıldı . Artık GDPR yürürlükte olduğuna göre Facebook, Geçtiğimiz mali yıldaki performansına bağlı olarak yıllık küresel ciro 1.63 milyar $'a ulaşabilir.
Bu beliren ceza, Facebook'un geçen yılın Eylül ayında keşfettiği veri ihlaline dayanıyor. Bilgisayar korsanları, üç ayrı hatadan dolayı, "Farklı Görüntüle" özelliğindeki bir güvenlik açığından yararlanabildiler ve yaklaşık 50 milyon kullanıcı için erişim belirteçlerini çaldılar. Bu erişim belirteçleri, bilgisayar korsanlarının kullanıcıların hesaplarını ele geçirmesine izin verdi.
Burada Facebook, tamamen açıklanmayarak hatalarını birleştirdi. GDPR, şirketlerin ilgili veri koruma kurumunu, bu durumda İrlanda Veri Koruma Komisyonu'nu (IDPC) 72 saat içinde "mümkün olduğunda" bilgilendirmesini gerektirir. Bu güvenlik açığı 26 Eylül'de keşfedildi ve Facebook bunu üç günlük sınır içinde bildirdi . Ancak Facebook tüm ilgili ayrıntıları paylaşmadı ve bu da IDPC'nin 30 Eylül'de " güvenlik ihlalinin acil ayrıntılarını " hâlâ beklediklerini tweet atmasına neden oldu.
Facebook'un sorunu , sosyal ağın Aralık ayında , ilgisiz başka bir hatanın 6.8 milyon kullanıcının özel fotoğraflarını yaklaşık iki hafta boyunca 1.500'e kadar farklı uygulamaya maruz bıraktığını bildirmesiyle devam etti. Bu hata 25 Eylül'de keşfedildi ve düzeltildi, ancak Facebook neredeyse üç aydır etkilenen kullanıcıları, halkı veya yetkilileri uyarmadı.
Bir açıklama istendiğinde, bir Facebook sözcüsü Forbes'a şunları söyledi: “Kurduğumuz anda IDPC'yi GDPR kapsamında bildirilebilir bir ihlal olarak kabul edildiğini bildirdik. Bu sonuca varmak için araştırmamız gerekiyordu. Ve bunu yaptıktan sonra, düzenleyicimize 72 saatlik zaman çerçevesinde haber verdik. "
Facebook, GDPR'nin amacından kaçınmak için farklı stratejiler denedi. İlk durumda, GDPR tarafından belirlenen zaman çizelgesine uydu ancak önemli ayrıntıları dışarıda bıraktı. İkinci durumda Facebook, GDPR'yi bir şirketin bir ihlali araştırmak için sınırsız süreye sahip olduğunu söyleyecek şekilde yorumladı. Soruşturma tamamlandıktan ve şirket ihlalin "rapor edilebilir" olduğuna karar verdikten sonra, üç günlük süre sınırı devreye girer.
Aynı Forbes makalesinde, IDPC'nin İletişim Başkanı en son Facebook ihlali hakkında yorum yaptı: “Irish DPC, 25 Mayıs 2018'de GDPR'nin tanıtılmasından bu yana Facebook'tan bir dizi ihlal bildirimi aldı. Bu veri ihlallerine atıfta bulunarak söz konusu ihlal de dahil olmak üzere, bu hafta Facebook'un ilgili GDPR hükümlerine uygunluğunu inceleyen yasal bir soruşturma başlattık. " Bununla birlikte, IDPC, Facebook'un veri ihlallerinin nasıl bildirilmesi gerektiğine dair ifade edilen mantığını çürütmekten vazgeçti. Bu konuyla nasıl ilgileneceklerine dair daha fazla açıklama veya rehberlik de sunmamışlardır.
İlk erişim belirteci ihlalinden sonra, çoğu veri güvenliği uzmanı Facebook'un hafifçe çıkmasını bekliyordu. Gelen bir Guardian hikaye geçen yılın Ekim-Rowenna Fielding, Protecture Limited üst düzey veri koruma kurşun söyledi: “Ben Facebook olasılıkla olmaktır sanmıyorum İrlandalı regülatör gerçekten sağlam icra bir sicili yok verebilecekleri cezalar konusunda endişeli. "
Facebook'un tekrarlanan ihlalleri baskıyı artırdı. IDPC ve Facebook arasındaki bu hesaplaşma, düzenlemenin dişleri olup olmadığını veya sayfadaki boş sözcükler olup olmadığını gösteren GDPR'nin erken tanımlayıcı bir anı olabilir.