Comme on pouvait le penser en début de semaine, la Commission de la protection des données (IDPC) a ouvert une enquête sur la cyberattaque menée contre Facebook. Dans un communiqué officiel (et non plus un tweet comme ce week-end), elle indique qu’elle examinera le respect du RGPD, notamment de son obligation de mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité et la sauvegarde des données à caractère personnel qu'elle traite.
Elle précise également avoir été informée par le réseau, de la poursuite d’investigations internes (et de la prise de mesures correctives pour atténuer les risques pour les utilisateurs). Facebook a toutefois choisi la solution la plus sûre (et la seule prévue par les textes d’ailleurs) en révélant publiquement vendredi l’existence de cet incident. Mais il convient de rappeler qu’elle était obligée de le faire dans les 72 heures suivant la découverte des faits. A défaut, elle risquait d’importantes amendes distinctes. Pour autant, plusieurs experts estiment qu’à ce stade, les enquêteurs n’ont pas disposé de suffisamment de temps et de recul pour déterminer l’impact de la violation.
Rappelons que toute infraction peut entraîner une lourde sanction financière si des citoyens de l’UE étaient touchés (ce qui apparemment est le cas). Selon les textes, cette dernière peut être évaluée de deux façons, soit un pourcentage (4%) du chiffre d’affaires annuel de l’année précédente, soit un forfait pouvant aller jusqu’à 20 millions d’euros (la sanction retenue étant la plus importante des deux sommes).
Rappelons qu’il s’agit là d’une sanction administrative, indépendante de toute demande de dommages et intérêts accordés aux utilisateurs victimes. Ces derniers devront faire l'objet de démarches séparées -par exemple un recours collectif- prouvant un dommage moral ou matériel.
L’IDPC a déclaré, mardi, que le réseau social l’avait informée que leur propre enquête interne se poursuivait et qu’il continuait à prendre des mesures correctives pour atténuer le risque potentiel pour les utilisateurs. De son côté, le VP of Product Manager de Facebook, Guy Rosen, s’est voulu rassurant, précisant qu’il n’existait aucune preuve que les pirates aient accédé à des applications tierces via Facebook.
