La Commission irlandaise de la protection des données (DPC) a annoncé qu’elle avait ouvert une enquête pour déterminer si Facebook a violé les règles de protection des données, dans le cadre de la fuite qui aurait exposé les données personnelles d'environ 533 millions d'utilisateurs au début du mois. L'autorité irlandaise de protection de la vie privée estime que cette fuite pourrait constituer une violation du règlement général sur la protection des données (RGPD) de l'UE. Si le régulateur irlandais déclare Facebook coupable, la société pourrait se voir infliger une sanction financière pouvant aller jusqu'à 4 % de son chiffre d'affaires mondial.Le régulateur serait entré en contact avec Facebook Ireland et aurait soulevé des questions relatives à la conformité au RGPD. « La Commission estime qu'il convient de déterminer si Facebook Ireland a respecté ses obligations, en tant que responsable du traitement des données, en ce qui concerne le traitement des données à caractère personnel de ses utilisateurs au moyen des fonctionnalités Facebook Search, Facebook Messenger, Contact et Instagram », a déclaré le régulateur.
En effet, un membre d'un forum de piratage a publié le 3 avril les numéros de téléphone et les données personnelles de centaines de millions d'utilisateurs de Facebook. Les données exposées comprennent les informations personnelles de plus de 533 millions d'utilisateurs Facebook de 106 pays, dont plus de 32 millions d'enregistrements sur les utilisateurs aux États-Unis, 11 millions sur les utilisateurs au Royaume-Uni, 6 millions sur les utilisateurs en Allemagne et près de 20 millions sur les utilisateurs en France. Il comprend leurs numéros de téléphone, identifiants Facebook, noms complets, lieux de résidence, anciens lieux de résidence, dates de naissance, biographies, situation matrimoniale et, dans certains cas, adresses e-mail.
Pour vérifier l’authenticité de ces enregistrements, certains médias ont examiné un échantillon des données divulguées et vérifié plusieurs enregistrements en faisant correspondre les numéros de téléphone des utilisateurs Facebook connus avec les identifiants répertoriés dans l'ensemble de données. Ils ont également vérifié les enregistrements en testant les adresses e-mail à partir de l'ensemble de données de la fonction de réinitialisation du mot de passe de Facebook, qui peut être utilisée pour révéler partiellement le numéro de téléphone d'un utilisateur.
Un porte-parole de Facebook a déclaré que les données avaient été supprimées en raison d'une vulnérabilité corrigée par la société en 2019. Alors qu'elles datent de quelques années, les données divulguées pourraient fournir des informations précieuses aux cybercriminels qui utilisent les informations personnelles des gens pour se faire passer pour eux ou les escroquer selon Alon Gal, CTO de la société de renseignement sur la cybercriminalité Hudson Rock. « Une base de données de cette taille contenant les informations privées telles que les numéros de téléphone de nombreux utilisateurs de Facebook conduirait certainement à des cybercriminels profitant des données pour effectuer des attaques d'ingénierie sociale ou des tentatives de piratage », a déclaré Gal.
La fuite de données a permis de constater que Mark Zuckerberg, le PDG de Facebook, utilise l'application Signal. Le numéro de téléphone de Zuckerberg faisait partie des données divulguées. Outre son numéro de contact, des données telles que son nom, son emplacement, les détails de son mariage, sa date de naissance et son identifiant Facebook ont également été divulgués, selon un rapport en ligne. Dave Walker, un chercheur en sécurité, a révélé que Zuckerberg utilise Signal, information qu’il a obtenu grâce au numéro de téléphone du Zuckerberg qui figurait parmi les données divulguées. C'est le numéro associé à son compte de la récente fuite sur Facebook », a publié l'expert en sécurité sur Twitter avec une capture d'écran du numéro de téléphone de Zuckerberg qui disait : « Mark Zuckerberg est sur Signal. »
Dans le cadre de la fuite du 3 avril, Facebook n'a pas informé son principal organisme de surveillance des données de l'UE lorsqu'il a découvert et corrigé le problème. La Commission irlandaise de la protection des données (DPC) l’aurait appris par la presse, comme tout le monde. Facebook n'a pas non plus informé individuellement les plus de 533 millions et n'aurait pas actuellement l'intention de le faire, selon un porte-parole de l'entreprise. Au lieu de cela, Facebook dit que cette fuite est une vieille histoire, et dans un billet de blog, l’entreprise semble faire peser sur les utilisateurs la responsabilité de protéger les données que Facebook lui-même demandait aux utilisateurs de remettre au nom de la "sécurité".
« Nous pensons que les données en question proviennent des profils Facebook. Les cybercriminels ont utilisé notre importateur de contacts avant septembre 2019. Cette fonctionnalité a été conçue pour aider les gens à trouver facilement leurs amis avec lesquels se connecter sur nos services en utilisant leurs listes de contacts. Lorsque nous avons pris conscience de la façon dont les acteurs malveillants utilisaient cette fonctionnalité en 2019, nous avons apporté des modifications à l'importateur de contacts », a déclaré Facebook.
« Nous l'avons mis à jour pour empêcher les cybercriminels d'utiliser un logiciel pour imiter notre application et télécharger un grand ensemble de numéros de téléphone pour voir lesquels correspondent aux utilisateurs de Facebook. Grâce à la fonctionnalité précédente, ils étaient en mesure d'interroger un ensemble de profils d'utilisateurs et d'obtenir un ensemble limité d'informations sur ces utilisateurs inclus dans leurs profils publics », a ajouté l’entreprise.
Pour certains internautes, la présence du PDG de Facebook sur Signal application rivale à WhatsApp indique que « Mark Zuckerberg respecte également sa propre vie privée, en utilisant une application de chat dotée d'un chiffrement de bout en bout et n'appartenant pas à Facebook. Il s'agit du numéro associé à son compte issu de la récente fuite Facebook ». La nouvelle arrive à un moment où de nombreux utilisateurs indignés par la nouvelle politique de confidentialité de WhatsApp, propriété de Facebook, se tournent vers des alternatives apparemment plus fiables comme Signal. La politique de confidentialité mise à jour change la façon dont Facebook peut accéder aux discussions des utilisateurs avec des comptes professionnels. Les nouvelles conditions de service controversées de WhatsApp devraient entrer en vigueur le 15 mai 2021.
Le commissaire à la protection des données et à la liberté d'information de Hambourg a d’ailleurs ouvert une procédure d'urgence contre Facebook dans le cadre de ces nouvelles conditions d'utilisation de WhatsApp, l'intérêt étant de parvenir à une décision avant le 15 mai, date à laquelle les utilisateurs doivent accepter la nouvelle politique de confidentialité ou cesser d'utiliser WhatsApp. « Le commissaire à la protection des données et à la liberté d'information de Hambourg (HMBBFDI) a ouvert une procédure contre Facebook Ireland, dans le but d'émettre une ordonnance immédiatement exécutoire, dont le contenu est de ne pas collecter les données des utilisateurs de WhatsApp et de les traiter à ses propres fins. Facebook aura d'abord l'occasion de faire des commentaires lors d'une audience », a déclaré l’organisation sur son site web le 13 avril.
« Il est important de comprendre que des acteurs malveillants ont obtenu ces données non pas en piratant nos systèmes, mais en les raclant de notre plateforme avant septembre 2019 », a écrit Clark. Gal, qui a signalé la première fois la divulgation des données personnelles, a déclaré : « premièrement, j'aimerais que Facebook reconnaisse la fuite et l'importance de celle-ci. Deuxièmement, ils devraient alerter tous les utilisateurs que cela s'est produit et que les utilisateurs soient attentifs aux attaques imminentes d'ingénierie sociale et de piratage. Enfin, je pense que Facebook devrait faire changer les identifiants Facebook pour empêcher les mauvais acteurs de relier les numéros de téléphone aux profils Facebook par le biais de la fuite comme cela peut être fait actuellement, ce n'est qu'un petit pas, mais un pas crucial ».
La commissaire irlandaise à la protection des données, Helen Dixon et le commissaire à la justice, Didier Reynders ont tous deux exhorté Facebook à coopérer rapidement et à partager les informations nécessaires. « Il est crucial de faire la lumière sur cette fuite qui a touché des millions de citoyens européens ». « Il appartient à l'autorité irlandaise de protection des données d'évaluer ce cas. La Commission reste disponible si un soutien est nécessaire. La situation devra également faire l'objet d'une analyse plus approfondie pour l'avenir. Des leçons doivent être tirées », a ajouté Dixon.
Facebook n'aurait jamais fait l'objet d'une sanction réglementaire au titre du GDPR
Les experts en matière de protection de la vie privée n'ont pas tardé à souligner que l'entreprise n'a toujours pas fait l'objet d'une sanction réglementaire au titre du RGPD. Un certain nombre d'enquêtes sont en cours sur diverses activités et pratiques de Facebook et aucune décision n'a encore été rendue dans ces affaires par la Commission irlandaise de la protection des données.
Le mois dernier, le Parlement européen a adopté une résolution sur la mise en œuvre du RGPD qui exprimait une « grande préoccupation » quant au fonctionnement du mécanisme – soulevant une inquiétude particulière concernant l'autorité irlandaise de protection des données en écrivant qu'elle « clôture généralement la plupart des cas par un règlement au lieu d'une sanction et que les cas soumis à l'Irlande en 2018 n'ont même pas atteint le stade d'un projet de décision conformément à l'article 60 ».
Le dernier scandale lié aux données de Facebook accentue encore la pression sur la Commission irlandaise de la protection des données. Ce qui donne du grain à moudre aux détracteurs du GDPR qui affirment que le règlement est inapplicable dans le cadre de la structure d'application actuelle qui traîne les pieds, étant donné les goulots d'étranglement majeurs en Irlande (et au Luxembourg) où de nombreux géants de la technologie choisissent d'installer leur siège régional. Le commissaire à la justice, Didier Reynders, a fait part de son inquiétude concernant la réponse de l'Irlande à la fuite de données de Facebook, en indiquant sur Twitter que la Commission avait été en contact avec la Commission irlandaise de protection des données.
Reynders aurait des raisons de s'inquiéter personnellement. En début de semaine dernière, Politico a rapporté que les données de Reynders figuraient parmi les données divulguées, ainsi que ceux du Premier ministre luxembourgeois Xavier Bettel et de « dizaines de fonctionnaires européens ». Cependant, le problème de la faible application du GDPR affecte tout le monde à travers l'Union européenne. Quelque 446 millions de personnes dont les droits ne sont pas uniformément et vigoureusement défendus. « Une application stricte du RGPD est d'une importance capitale », a également fait remarquer Reynders sur Twitter, invitant Facebook à « coopérer pleinement avec les autorités irlandaises ».
La semaine dernière, la commission italienne de protection des données aurait également demandé à Facebook de proposer immédiatement un service permettant aux utilisateurs italiens de vérifier s'ils ont été affectés par la violation. Mais Facebook n'aurait pas répondu publiquement à cette demande. Selon certains analystes, le mécanisme de guichet unique prévu par le RGPD, donne droit au géant technologique de limiter son exposition à la réglementation en ne traitant directement qu'avec le principal contrôleur des données de l'UE, en Irlande. L'examen du fonctionnement du régime de protection des données auquel la Commission a procédé pendant deux ans, et qui a fait l'objet d'un rapport l'été dernier, a déjà attiré l'attention sur des problèmes d'application inégale.
La question de l'application de la réglementation est donc très urgente, car les législateurs européens se demandent comment les nouvelles règles numériques pourront être appliquées si les règles existantes continuent d'être foulées aux pieds. Et pendant ce temps, les fuites de données continuent : Motherboard a fait état d'une autre fuite alarmante de données Facebook, qu'il a trouvée accessible via un bot sur la plateforme de messagerie Telegram, qui donne les noms et numéros de téléphone des utilisateurs qui ont aimé une page Facebook (en échange d'une rémunération, si la page a eu moins de 100 likes).
La publication indique que ces données semblent être distinctes de l'ensemble de données de plus de 533 millions d'utilisateurs, après avoir effectué des vérifications par rapport à l'ensemble de données plus important via le site de conseils sur les violations, haveibeenpwned. Elle a également demandé à Alon Gal, la personne qui a découvert la fuite de données Facebook susmentionnée proposée au téléchargement gratuit en ligne, de comparer les données obtenues via le robot et il n'a trouvé aucune correspondance.
Déclaration de la Commission irlandaise de la protection des données
« La Commission irlandaise de la protection des données a lancé aujourd'hui une enquête d'autovolonté conformément à l'article 110 de la loi sur la protection des données de 2018 en relation avec de multiples rapports de médias internationaux, qui ont souligné qu'un ensemble de données personnelles d'utilisateurs de Facebook avait été mis à disposition sur Internet. Cet ensemble de données contiendrait des données personnelles relatives à environ 533 millions d'utilisateurs de Facebook dans le monde. La Commission irlandaise de la protection des données s'est entretenue avec Facebook Ireland au sujet de ce problème signalé, soulevant des questions relatives à la conformité au RGPD auxquelles Facebook Ireland a fourni un certain nombre de réponses.
« La Commission irlandaise de la protection des données, après avoir examiné les informations fournies par Facebook Ireland concernant cette affaire, est d'avis qu'une ou plusieurs dispositions du RGPD et/ou de la loi sur la protection des données de 2018 ont pu être, et/ou sont, violées en ce qui concerne les données à caractère personnel des utilisateurs de Facebook. Par conséquent, la Commission estime qu'il convient de déterminer si Facebook Ireland a respecté ses obligations, en tant que responsable du traitement des données, en ce qui concerne le traitement des données à caractère personnel de ses utilisateurs au moyen des fonctionnalités Facebook Search, Facebook Messenger Contact Importer et Instagram Contact Importer, ou si une ou plusieurs dispositions du RGPD et/ou de la loi sur la protection des données de 2018 ont été, et/ou sont, enfreintes par Facebook à cet égard ».
Et vous ?
Quel est votre avis sur cette fuite de données ? Que pensez-vous de l'attitude de Facebook ? Quels commentaires faites-vous de l'application du RGPD en Europe ? Pensez-vous que pour cette fois, Facebook sera reconnue coupable de violation des règles de protection de données ?Voir aussi :
Facebook ne prévoit pas d'informer le demi-milliard d'utilisateurs touchés par la fuite des données, ce serait de votre faute si des pirates ont obtenu votre numéro de téléphone Une procédure d'urgence a été ouverte contre Facebook dans le cadre des nouvelles conditions d'utilisation de WhatsApp, l'intérêt est de parvenir à une décision avant le 15 mai Le numéro de téléphone de Mark Zuckerberg indique qu'il est sur Signal, le patron de Facebook fait partie des 533 millions d'utilisateurs Facebook dont les données ont été divulguées 533 millions de numéros de téléphone et de données personnelles d'utilisateurs de Facebook ont été divulgués en ligne, 20 millions appartiennent à des utilisateurs en France 
Envoyé par tanaka59
)
Euh au fait quels services cela rendrait au juste 
).