Ce mardi 17 décembre, la Data Protection Commission, chargée de contrôler le respect par les opérateurs de la législation au nom de l’Union européenne, a rendu deux décisions dans l’affaire des comptes Facebook piratés en 2018.

Au moment des faits, les cybercriminels avaient exploité une faille sur le réseau social, ce qui leur a permis de récupérer les données d’environ 29 millions d’utilisateurs, dont 3 millions d’Européens. Les vols de données s’étendent de l’adresse électronique au lieu de travail, en passant, entre autres, par les données personnelles relatives aux mineurs ou encore l’appartenance religieuse.

Selon le régulateur, Meta a corrigé les bugs permettant ces vols de données au bout de 14 jours. Cependant, le régulateur a tout de même estimé que Meta Irlande n’avait pas pris les mesures adéquates pour protéger les données de ses utilisateurs, ni pour mettre un terme à ces failles.

En effet, Meta n’aurait pas respecté les obligations prévues à l’article 60 du Règlement général sur la protection des données (RGPD), prévoyant la coopération entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées.

Également, l’article 33 de ce même règlement prévoit qu’ « en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente ».

L’autorité de régulation a alors sanctionné la maison-mère de Facebook pour non-respect des dispositions du RGPD, notamment en ses articles 25, 33 et 60. Ce n’est pourtant pas la première fois que Meta est mis en cause pour non-respect du RGPD. En mai 2023, le géant américain avait écopé d’une amende de 1,2 milliard d’euros pour des manquements dans le traitement des données personnelles.

Retrouvez le communiqué de la Data Protection Commission ici.