L'Irlande ouvre une enquête RGPD sur Facebook, suite à la fuite de données qui a exposé 533 millions de contacts,

Elle encourt une sanction financière allant jusqu'à 4 % de son chiffre d'affaires

La Commission irlandaise de la protection des données (DPC) a annoncé qu’elle avait ouvert une enquête pour déterminer si Facebook a violé les règles de protection des données, dans le cadre de la fuite qui aurait exposé les données personnelles d'environ 533 millions d'utilisateurs au début du mois. L'autorité irlandaise de protection de la vie privée estime que cette fuite pourrait constituer une violation du règlement général sur la protection des données (RGPD) de l'UE. Si le régulateur irlandais déclare Facebook coupable, la société pourrait se voir infliger une sanction financière pouvant aller jusqu'à 4 % de son chiffre d'affaires mondial.

Le régulateur serait entré en contact avec Facebook Ireland et aurait soulevé des questions relatives à la conformité au RGPD. « La Commission estime qu'il convient de déterminer si Facebook Ireland a respecté ses obligations, en tant que responsable du traitement des données, en ce qui concerne le traitement des données à caractère personnel de ses utilisateurs au moyen des fonctionnalités Facebook Search, Facebook Messenger, Contact et Instagram », a déclaré le régulateur.


En effet, un membre d'un forum de piratage a publié le 3 avril les numéros de téléphone et les données personnelles de centaines de millions d'utilisateurs de Facebook. Les données exposées comprennent les informations personnelles de plus de 533 millions d'utilisateurs Facebook de 106 pays, dont plus de 32 millions d'enregistrements sur les utilisateurs aux États-Unis, 11 millions sur les utilisateurs au Royaume-Uni, 6 millions sur les utilisateurs en Allemagne et près de 20 millions sur les utilisateurs en France. Il comprend leurs numéros de téléphone, identifiants Facebook, noms complets, lieux de résidence, anciens lieux de résidence, dates de naissance, biographies, situation matrimoniale et, dans certains cas, adresses e-mail.

Pour vérifier l’authenticité de ces enregistrements, certains médias ont examiné un échantillon des données divulguées et vérifié plusieurs enregistrements en faisant correspondre les numéros de téléphone des utilisateurs Facebook connus avec les identifiants répertoriés dans l'ensemble de données. Ils ont également vérifié les enregistrements en testant les adresses e-mail à partir de l'ensemble de données de la fonction de réinitialisation du mot de passe de Facebook, qui peut être utilisée pour révéler partiellement le numéro de téléphone d'un utilisateur.

Un porte-parole de Facebook a déclaré que les données avaient été supprimées en raison d'une vulnérabilité corrigée par la société en 2019. Alors qu'elles datent de quelques années, les données divulguées pourraient fournir des informations précieuses aux cybercriminels qui utilisent les informations personnelles des gens pour se faire passer pour eux ou les escroquer selon Alon Gal, CTO de la société de renseignement sur la cybercriminalité Hudson Rock. « Une base de données de cette taille contenant les informations privées telles que les numéros de téléphone de nombreux utilisateurs de Facebook conduirait certainement à des cybercriminels profitant des données pour effectuer des attaques d'ingénierie sociale ou des tentatives de piratage », a déclaré Gal.

La fuite de données a permis de constater que Mark Zuckerberg, le PDG de Facebook, utilise l'application Signal. Le numéro de téléphone de Zuckerberg faisait partie des données divulguées. Outre son numéro de contact, des données telles que son nom, son emplacement, les détails de son mariage, sa date de naissance et son identifiant Facebook ont également été divulgués, selon un rapport en ligne. Dave Walker, un chercheur en sécurité, a révélé que Zuckerberg utilise Signal, information qu’il a obtenu grâce au numéro de téléphone du Zuckerberg qui figurait parmi les données divulguées. C'est le numéro associé à son compte de la récente fuite sur Facebook », a publié l'expert en sécurité sur Twitter avec une capture d'écran du numéro de téléphone de Zuckerberg qui disait : « Mark Zuckerberg est sur Signal. »

Dans le cadre de la fuite du 3 avril, Facebook n'a pas informé son principal organisme de surveillance des données de l'UE lorsqu'il a découvert et corrigé le problème. La Commission irlandaise de la protection des données (DPC) l’aurait appris par la presse, comme tout le monde. Facebook n'a pas non plus informé individuellement les plus de 533 millions et n'aurait pas actuellement l'intention de le faire, selon un porte-parole de l'entreprise. Au lieu de cela, Facebook dit que cette fuite est une vieille histoire, et dans un billet de blog, l’entreprise semble faire peser sur les utilisateurs la responsabilité de protéger les données que Facebook lui-même demandait aux utilisateurs de remettre au nom de la "sécurité".

« Nous pensons que les données en question proviennent des profils Facebook. Les cybercriminels ont utilisé notre importateur de contacts avant septembre 2019. Cette fonctionnalité a été conçue pour aider les gens à trouver facilement leurs amis avec lesquels se connecter sur nos services en utilisant leurs listes de contacts. Lorsque nous avons pris conscience de la façon dont les acteurs malveillants utilisaient cette fonctionnalité en 2019, nous avons apporté des modifications à l'importateur de contacts », a déclaré Facebook.

« Nous l'avons mis à jour pour empêcher les cybercriminels d'utiliser un logiciel pour imiter notre application et télécharger un grand ensemble de numéros de téléphone pour voir lesquels correspondent aux utilisateurs de Facebook. Grâce à la fonctionnalité précédente, ils étaient en mesure d'interroger un ensemble de profils d'utilisateurs et d'obtenir un ensemble limité d'informations sur ces utilisateurs inclus dans leurs profils publics », a ajouté l’entreprise.

Pour certains internautes, la présence du PDG de Facebook sur Signal application rivale à WhatsApp indique que « Mark Zuckerberg respecte également sa propre vie privée, en utilisant une application de chat dotée d'un chiffrement de bout en bout et n'appartenant pas à Facebook. Il s'agit du numéro associé à son compte issu de la récente fuite Facebook ». La nouvelle arrive à un moment où de nombreux utilisateurs indignés par la nouvelle politique de confidentialité de WhatsApp, propriété de Facebook, se tournent vers des alternatives apparemment plus fiables comme Signal. La politique de confidentialité mise à jour change la façon dont Facebook peut accéder aux discussions des utilisateurs avec des comptes...