Nouveau jour, nouveau problème de confidentialité chez Facebook. La société a annoncé vendredi matin qu’un bogue de l’API photo aurait pu avoir pour conséquence que des millions de personnes voient leurs photos privées devenir accessibles par plus de 1 500 applications pendant une période de 12 jours en septembre 2018.Comme le décrit Facebook dans un article de blog de Tomer Bar, membre du personnel de l'entreprise :
Envoyé par Tomer Bar,
Notre équipe interne a découvert un bogue dans l'API photo pouvant affecter les utilisateurs de Facebook Login et autorisé des applications tierces à accéder à leurs photos. Nous avons résolu le problème, mais, en raison de ce bogue, certaines applications tierces peuvent avoir eu accès à un ensemble de photos plus large que d'habitude pendant 12 jours entre le 13 et le 25 septembre 2018.
Lorsqu'une personne autorise une application à accéder à ses photos sur Facebook, nous ne lui accordons généralement accès qu'aux photos que les utilisateurs partagent sur leur timeline. Dans ce cas, le bogue donnait potentiellement aux développeurs l’accès à d’autres photos, telles que celles partagées sur Marketplace ou Stories Facebook. Le bogue a également eu un impact sur les photos que les gens ont téléchargées sur Facebook, mais ont choisi de ne pas poster. Par exemple, si une personne télécharge une photo sur Facebook, mais décide au final de ne pas la publier (peut-être parce qu'elle a perdu sa connexion à Internet ou qu’elle est allée en salle de réunion), nous conservons une copie de cette photo pendant trois jours afin que la personne puisse compléter son message et publier sa photo à son retour.
Actuellement, nous pensons que cela pourrait avoir affecté jusqu'à 6,8 millions d'utilisateurs et jusqu'à 1 500 applications développées par 876 développeurs. Les seules applications concernées par ce bogue étaient celles que Facebook avait approuvées pour accéder à l'API photo et que des personnes avaient autorisées à accéder à leurs photos.
Nous sommes désolés que ce soit arrivé. Au début de la semaine prochaine, nous proposerons aux développeurs d'applications des outils leur permettant de déterminer les utilisateurs de leur application susceptibles d'être affectés par ce bogue. Nous travaillerons avec ces développeurs pour supprimer les photos des utilisateurs concernés.
Nous informerons également les personnes potentiellement concernées par ce bogue via une alerte sur Facebook. La notification les dirigera vers un lien du centre d'aide où ils pourront voir s'ils ont utilisé des applications affectées par le bogue.
Lorsqu'une personne autorise une application à accéder à ses photos sur Facebook, nous ne lui accordons généralement accès qu'aux photos que les utilisateurs partagent sur leur timeline. Dans ce cas, le bogue donnait potentiellement aux développeurs l’accès à d’autres photos, telles que celles partagées sur Marketplace ou Stories Facebook. Le bogue a également eu un impact sur les photos que les gens ont téléchargées sur Facebook, mais ont choisi de ne pas poster. Par exemple, si une personne télécharge une photo sur Facebook, mais décide au final de ne pas la publier (peut-être parce qu'elle a perdu sa connexion à Internet ou qu’elle est allée en salle de réunion), nous conservons une copie de cette photo pendant trois jours afin que la personne puisse compléter son message et publier sa photo à son retour.
Actuellement, nous pensons que cela pourrait avoir affecté jusqu'à 6,8 millions d'utilisateurs et jusqu'à 1 500 applications développées par 876 développeurs. Les seules applications concernées par ce bogue étaient celles que Facebook avait approuvées pour accéder à l'API photo et que des personnes avaient autorisées à accéder à leurs photos.
Nous sommes désolés que ce soit arrivé. Au début de la semaine prochaine, nous proposerons aux développeurs d'applications des outils leur permettant de déterminer les utilisateurs de leur application susceptibles d'être affectés par ce bogue. Nous travaillerons avec ces développeurs pour supprimer les photos des utilisateurs concernés.
Nous informerons également les personnes potentiellement concernées par ce bogue via une alerte sur Facebook. La notification les dirigera vers un lien du centre d'aide où ils pourront voir s'ils ont utilisé des applications affectées par le bogue.
Ce dernier incident intervient après un incident survenu en septembre 2018 au cours duquel la société a annoncé que 50 millions de comptes pourraient avoir été affectés par une attaque.
Facebook pourrait être condamné à une amende de l’ordre du milliard d'euros pour violation de données
Facebook pourrait être condamné à une amende de l'ordre du milliard d'euros après qu'un organisme européen de réglementation a annoncé vendredi l'ouverture d'une enquête sur la société pour violation de la protection de la vie privée des utilisateurs.
La Commission irlandaise de protection des données, qui surveille la conformité de Facebook avec la législation européenne, a confirmé vendredi à CNN qu'elle avait lancé une « enquête statutaire » sur Facebook après avoir reçu plusieurs rapports de violations de données affectant la société.
Cette annonce intervient après celle de Facebook concernant son API photo.
Il faut noter qu’en raison du RGPD, qui est entré en vigueur en mai, le régulateur irlandais des données, ainsi que ceux des autres pays membres, dispose d’un pouvoir supplémentaire dans sa manche. Le siège européen de Facebook étant à Dublin, le réseau social doit, sous le RGPD, tenir informé le régulateur irlandais des données dans les 72 heures suivant la découverte d'une violation.
Le bogue, qui impliquait l'exposition de millions de photos d'utilisateurs de Facebook et s'est produit sur une période de 12 jours, a été découvert en septembre. Pourtant, Facebook n’a signalé l'infraction à son régulateur européen deux mois plus tard, le 22 novembre, selon l’entreprise.
Facebook a déclaré avoir rempli un rapport dès lors qu'il était « établi que l’incident était considéré comme une infraction à signaler »
Graham Doyle, responsable des communications du régulateur, a déclaré que la commission irlandaise des données avait lancé une enquête cette semaine à la suite de plusieurs notifications d'infractions reçues de Facebook.
Lorsque Facebook a annoncé la plus grande violation de son histoire en septembre, la Commission irlandaise de protection des données s'est alors déclarée préoccupée par le manque d'informations qu'elle aurait reçues de la part de la société. « Nous sommes en contact étroit avec la Commission irlandaise de protection des données et sommes heureux de répondre à toutes leurs questions », a déclaré un porte-parole de Facebook à CNN.
Les entreprises reconnues coupables d'avoir enfreint le RPGD pourraient être passibles d'une amende maximale de 20 millions d’euros ou de 4% de leur chiffre d'affaires mondial annuel, selon le montant le plus élevé.
Dans le cas de Facebook, l'entreprise avait un chiffre d'affaires de près de 40 milliards de dollars en 2017, ce qui signifie que l'entreprise pourrait faire face à une amende pouvant aller jusqu'à 1,6 milliard de dollars (1,41 milliard d'euros) si ses revenus pour 2018 restaient à peu près identiques.
Sources : Facebook, CNN
Voir aussi :
UE : le Parlement voudrait-il déléguer la censure du Web européen à Facebook et Google ? Oui, selon la Quadrature du Net qui évoque un texte adopté Google est accusé de ne pas respecter le RGPD en pistant les utilisateurs, des groupes de défense des consommateurs de 7 pays déposent une plainte RGPD : la CNIL a enregistré une augmentation de 34 % des plaintes en 2018, les Français sont-ils devenus plus sensibles à la protection des données ? RGPD : le réseau social allemand Knuddels.de condamné à payer une amende de 20 000 €, pour avoir stocké des mots de passe en clair Pays-Bas : la collecte de données de Microsoft Office pourrait enfreindre le RGPD et lui valoir une amende, d'après un rapport 
