EU uzvraća udarac: Marku kazna od milijardu i pol eura?
Odbor za nadzor privatnosti Europske unije mogla bi kazniti Facebook s 1,63 milijardi dolara zbog otkrivanja podataka njegovih korisnika, objavljeno je u petak kad se saznalo da su hakeri iskoristili više od 50.000.000 korisničkih računa. Naravno, ukoliko se ustanovi da je tvrtka prekršila nove zakonske odredbe o privatnosti, piše Wall Street Journal.
Irska Komisija za zaštitu podataka, koja je vodeći regulator privatnosti podataka u Europi, objavili su u subotu da su tražili dodatne informacije iz Facebooka o prirodi i opsegu kršenja zakona, uključujući i one koji bi mogli utjecati na stanovnike EU.
U izvješću koje su odaslali e-mailom, izjavili su da su "zabrinuti zbog činjenice da je kršenje otkriveno u utorak, čime se utjecalo na milijune korisničkih računa, ali Facebook ovog trena ne može objasniti prirodu kršenja i rizik za korisnike".
Glasnogovornica Facebooka izjavila je u nedjelju da će tvrtka odgovoriti na pitanja koja su dobili iz irske Komisije za zaštitu podataka i da će ih informirati o daljnjem razvoju događaja. Izvršni direktor tvrtke Facebook Mark Zuckerberg izjavio je u petak kako je društvena mreža vrlo ozbiljno shvatila kršenje i da još uvijek pokušava odrediti mnoge detalje oko opsega i utjecaja incidenta.
Za Facebook, kršenje je značajan udarac njegovim nastojanjima da se ponovno poveća povjerenje nakon niza kršenja privatnosti i sigurnosnih napada na koje su upozorili korisnici i zakonodavci.
To je jedan od prvih velikih testova na koji će način regulatori primjenjivati odredbe novog europskog zakona o kršenju i sigurnosti podataka, nazvane Opća uredba o zaštiti podataka (General Data Protection Regulation ili GPDR), koja je stupila na snagu početkom ove godine. To bi također moglo biti znak da prijetnja masovnim novčanim kaznama u zakonu već mijenja način na koji tvrtke tretiraju ovakve prekršaje - prisiljavajući ih da brže otkrivaju ovakve povrede nego što su to radili prije.
Iako je bilo još nekih nedavnih kršenja u sklopu GDPR-a, poput slučaja s British Airwaysom početkom rujna, kad su hakeri dva tjedna presretali financijske podatke klijenata koji su izvršili rezervaciju - to je u odnosu na Facebook doista zanemarivo. Glavno pitanje koje zanima regulatore je da li je Facebook uložio dovoljno u sigurnost kako bi se spriječio ovakav prekršaj.
"Kada govorite o tvrtki kao što je Facebook koji ima ogromne resurse i veliku korisničku bazu, očekuje se da implementiraju vrlo veliku količinu resursa u sigurnost", kaže Andrew Dyson, partner u DLA Piper.
Pod GDPR-om, tvrtke koje ne rade dovoljno za zaštitu svojih podataka riskiraju maksimalnu novčanu kaznu od 20 milijuna eura (23 milijuna dolara) ili 4% globalnog godišnjeg prihoda tvrtke za prethodnu godinu, ovisno što je više. Maksimalna novčana kazna u Facebooku iznosila bi 1,63 milijarde - kad bi se u obzir uzeo ovakav izračun.
Zakon također zahtijeva od tvrtki da obavještavaju regulatore o kršenjima u roku od 72 sata, pod prijetnjom maksimalne novčane kazne od 2% prihoda širom svijeta.
Sam prekršaj nije dovoljan da bi se odredila novčana kazna. Iako novčane kazne za novu privatnost još trebaju biti testirane, regulatori EU-a često odbijaju izdati maksimalnu moguću novčanu kaznu u slučajevima u kojima je tvrtka surađivala.
Irski DPC izjavio je kako je Facebook obavijestio o kršenju u četvrtak navečer, pa izgleda da su to učinili unutar roka od 72 sata, no iako su 'nedostajali detalji', odvjetnici su u nedjelju rekli da je uobičajeno da tvrtka dostavi početnu obavijest, a zatim ažurira regulatore s novim, opširnijim podacima.
Svaka istraga EU-a o kršenju vjerojatno će se usredotočiti na to je li Facebook poduzeo odgovarajuće korake kako bi zaštitio svoje korisničke podatke prije hakiranja. No, s obzirom na novost GDPR-a, još se prikladne kazne trebaju definirati na sudovima.
Facebook, na primjer, može tvrditi da jako ulaže u sigurnost i tehnologiju te je u posljednje vrijeme podigao te troškove. Međutim, zakonodavstvo EU-a preporučuje tvrtkama da smanje rizik od kršenja smanjujući količinu korisničkih podataka koje prikupljaju i čuvaju. To znači da se svi poslovi koji se, poput Facebooka, jako oslanjaju na prikupljanje osobnih podataka, strože provjeravaju, kažu odvjetnici.
"Ako ste tvrtka koja obrađuje osobne podatke u velikoj mjeri, razina rizika će biti viša, pa će razina sigurnosti morati biti veća", rekla je Sarah Pearce koja je na čelu European data-privacy and cybersecurity prakse u odvjetničkoj tvrtki Paul Hastings, dodajući kako se njezini komentari ne odnose konkretno na Facebook.
U rujnu je glavni operativni direktor Facebooka Sheryl Sandberg pojavio se pred američkim zastupnicima kako bi odgovorio na pitanja o poslovanju kompanije i zaštiti privatnosti.
Posljednji tjedan, Europska komisija, izvršna ruka Europske unije, zatražila je da Facebook bolje upozori svoje korisnike kako se koriste njihovi osobni podaci ili će se suočiti sa sankcijama za zaštitu potrošača u nekoliko europskih zemalja.
Neovisno o tome, Facebook se našao na udaru aktivista koji su podnijeli žalbe na temelju GDPR-a u nekoliko zemalja, tvrdeći da Facebook mora tražiti od svojih korisnika da se slože s uvjetima pružanja usluga uključujući i prikupljanje njihovih osobnih podataka - kako bi se koristila društvenom mrežom.
Aktivisti za privatnost tvrde da korisnici ne daju dobrovoljno pristanak na uvjete. Facebook tvrdi da su podaci koje prikupljaju, potrebni kako bi ispunili svoju ugovornu obavezu o pružanju 'personaliziranog iskustva'. Irski regulator za zaštitu podataka kaže da istražuje taj problem.