Entre 50 y 90 millones de cuentas afectadas
El nuevo reglamento de privacidad de la UE es mucho más estricto, y este caso podría ser su primera gran aplicación
El pasado martes 25 de septiembre el equipo de ingenieros de seguridad de Facebook detectó un repentino pico de tráfico sospechoso en su plataforma. Alguien estaba intentando –con éxito– acceder a millones de perfiles y toda la información que contenían. Según la compañía, el fallo de seguridad utilizado por estos atacantes fue rápidamente subsanado.
Y con el alivio de los ingenieros de la compañía llegaban las preocupaciones a otro departamento de Facebook: el de sus abogados y expertos legales. Las consecuencias de una brecha de seguridad en la época “post-RGPD” iban a ser difíciles de evitar. Dos días más tarde, varios altos ejecutivos de Facebook ponían en conocimiento de la autoridad de privacidad de la República de Irlanda toda la información disponible hasta el momento. El RGPD les daba solo 72 horas para anunciar una brecha de tal magnitud, aunque es flexible con los detalles presentados en ese momento.
1.400 millones de euros, el 4% de la facturación anual, es el máximo establecido por el nuevo reglamento
Hasta aquí lo que sabemos que ha ocurrido. Cuando el polvo se asiente y el número de usuarios afectados sea firme –de momento 50 millones pero Facebook sospecha de otros 40 millones de perfiles más–, las autoridades europeas trabajarán para evaluar el nivel del desastre e iniciar los trámites fijados en el RGPD (o GDPR en inglés) en mayo de este año, en especial la multa monetaria.
Será grande lo más probable. La normativa indica que será aplicada esta penalización administrativa de un 4% de los ingresos totales del año fiscal anterior o 20 millones de euros, la que sea superior. En este caso, Facebook contó con aproximada 34.000 millones de euros así que la cifra podría ascender hasta los 1.400 millones de euros como máximo.
Facebook coopera con las autoridades y asegura haber solucionado el fallo
Serán los propios funcionarios encargados de la revisión del caso los que decidan con una decena de reglas y guías aún verdes, la cuantía final. La naturaleza propia de la infracción: cómo de dañino ha sido la brecha, el número de usuarios afectados o el tiempo que ha permanecido sin corregir, serán datos que importen a los burócratas europeos. Pero también la el nivel de cooperación, la velocidad de la mitigación del daño, las medidas preventivas establecidas o el historial pasado de la firma. En estos últimos aspectos, parece que Facebook cuenta con buenas cartas.
El tipo de información filtrada, según Facebook, es de carácter personal claro: potencialmente el 100% de los datos de todos estos perfiles e incluso de amigos y contactos asociados a la cuenta. Por suerte para la compañía, en esta brecha no se filtraron datos bancarios, contraseñas de acceso o registros médicos, que forman tres de los tipos de dato personal más problemáticos para los ciudadanos europeos.
Una nueva época de protecciones
La puesta en acción del RGPD el 25 de mayo de este año ha supuesto un antes y un después para cualquier compañía que opere a nivel mundial y gestione datos de los ciudadanos europeos. El contraste es amplio comparado con la multa de 565.000 euros que recibió por parte de la autoridad de privacidad de Reino Unido por el escándalo de Cambridge Analytica donde se filtraron 87 millones de cuentas de usuarios. La cifra, muy baja según algunos expertos, suponía los ingresos de apenas unos minutos de funcionamiento de Facebook, gracias a haber sucedido antes de la puesta en marcha del RGPD y que se aplicasen las tasas y reglamentos anteriores. Bajo el actual marco legal, la multa por la filtración de datos podría haber subido de nuevo a los 1.400 millones de euros.
El mismo escándalo está aún por resolverse en Estados Unidos, donde la Comisión del Comercio Federal, investiga desde marzo si supuso una violación del acuerdo que estableció en 2011 con Facebook. En caso afirmativo, Facebook podría enfrentarse a una multa potencialmente gigante de billones dólares, a razón de 40.000 dólares por usuario. Un hipotético caso que llevaría a la compañía a la bancarrota.
