爱尔兰数据保护委员会（DPC）对 Meta 处以新的 罚款，此次是因为一起影响全球 2900 万 Facebook 账户的 个人数据违规事件，其中 300 万个账户位于欧盟和/或欧洲经济区。
这笔高达 2.51 亿欧元 的罚款是 2018 年启动的一项自愿调查的结果，当时 Meta 报告称发生了 Facebook 个人资料泄露事件。
脆弱性的原因
导致大规模数据泄露的 漏洞根源 是 Facebook 于 2017 年 7 月 实施了“以他人身份查看”功能。该功能允许用户像其他用户一样查看自己的 Facebook 页面，并提供使用视频上传工具的选择。
然而，视频上传器 生成了具有所有必要权限的用户令牌，从而可以完全访问 Facebook 个人资料，因此某人只需使用该令牌即可在其他账户中利用相同的功能组合进行攻击，并访问这些账户及其数据。而这正是所发生的情况。
在 2018 年 9 月 14 日至 18 日 期间，未经授权的人员利用了这一安全漏洞，访问了全球 2900 万个 Facebook 账户，其中约 300 万个 属于 欧盟和/或欧洲经济区的用户。
正如 DPC 所指出的，泄露的个人数据类别 包括敏感信息，如：用户的完整姓名、电子邮件地址、电话号码、位置、工作地点、出生日期、宗教、性别、时间线上的帖子、用户所属的群组以及儿童的个人数据。
一旦 Meta Platforms Ireland Limited（MPIL），即该科技公司在爱尔兰的子公司，意识到这个问题，便 向 DPC 报告。此外，该公司在发现漏洞后不久便 修复了安全漏洞。
- 爱尔兰对Meta处以9100万欧元罚款，因其以无密码保护及加密方式存储用户密码
最终决定与处罚
最终，数据保护专员 Des Hogan 博士和 Dale Sunderland 公布了调查结束后做出的决定。这些决定包括“一系列谴责”，以及命令支付 四笔行政罚款，总价值为 2.51 亿欧元。
调查期间发现的违规行为及其相应处罚如下：
- 《通用数据保护条例》第 33(3) 条 GDPR：在通知违规行为时，Meta 未包含本应包含的所有信息。因此，它被处以 800 万欧元 的行政罚款。
- 《通用数据保护条例》第 33(5) 条：Meta 未记录与每次违规行为相关的事实及采取的措施，以便监管机构验证其合规性。由于违反此规定，Meta 被处以 300 万欧元 的罚款。
- 《通用数据保护条例》第25条第1款：Meta因被认定未在设计数据处理系统时保障数据保护原则而违反该规定，因此被处以价值1.3亿欧元的行政罚款。
- 《通用数据保护条例》第25条第2款：Meta未履行作为数据处理者的义务，本应确保仅处理实现特定目的所必需的个人数据；其已被处以高达1.1亿欧元的行政罚款。
Graham Doyle，DPC副专员，表示：“这项合规措施凸显了在设计和开发周期中未纳入数据保护要求可能使人们面临非常严重的风险和损害，包括对个人基本权利和自由构成风险。
Facebook个人资料可能包含、且经常包含关于宗教信仰或政治观点、生活或性取向以及类似问题的信息，用户可能希望仅在特定情况下披露这些信息。允许未经授权地公开个人资料信息，此次违规背后的漏洞导致此类数据被滥用的严重风险。”