Le régulateur de la vie privée en Union européenne a frappé fort en imposant une amende de 91 millions d’euros à Meta. L’entreprise, propriétaire du réseau social Facebook et Instagram, a été sanctionnée pour avoir stocké des mots de passe d’utilisateurs sans protection adéquate. Ce manquement soulève des interrogations sur la sécurité des données en ligne et marque un nouvel épisode dans les relations tendues entre les grandes entreprises de la tech et les régulateurs européens.
Amende de 91 millions d’euros : une sanction pour la gestion des mots de passe
Le régulateur européen de la protection des données a sanctionné Meta d’une amende de 91 millions d’euros. Cette décision a été prise suite à une enquête de plusieurs années, qui a révélé que la société avait stocké certains mots de passe d’utilisateurs en « texte clair ». En d’autres termes, ces données sensibles n’étaient pas protégées par des méthodes de cryptage, ce qui les rendait potentiellement accessibles à des personnes malintentionnées.
Selon la Commission irlandaise de protection des données (DPC), cette faille a été signalée par Meta elle-même il y a cinq ans, ce qui a déclenché l’ouverture de l’enquête. Bien que les mots de passe n’aient pas été rendus disponibles à des tiers, la négligence dans leur stockage a été jugée suffisamment grave pour entraîner cette amende.
On se souvient d’ailleurs d’une affaire de fuite de codes d’accès 2FA, chez un prestataire tiers utilisé par Facebook ainsi que de nombreux autres réseaux sociaux, qui avait fait couler beaucoup d’encre.
Meta reconnaît ses erreurs et corrige rapidement la faille
Dans un communiqué, Meta a reconnu l’erreur et indiqué avoir pris des mesures immédiates pour la corriger dès qu’elle a été découverte en 2019. L’entreprise a affirmé qu’aucune preuve n’indiquait que les mots de passe avaient été utilisés de manière abusive ou qu’ils avaient été consultés de façon inappropriée.
Un porte-parole de Meta a précisé que la société s’était engagée de manière constructive avec la DPC durant toute la durée de l’enquête. Ce geste de coopération n’a toutefois pas suffi à éviter la sanction financière infligée par l’autorité de régulation irlandaise.
La DPC, régulateur clé pour les géants de la tech en Europe
La DPC irlandaise joue un rôle central dans la régulation des grandes entreprises américaines du secteur technologique opérant en Europe. La majorité de ces entreprises, dont Meta, ont leurs activités basées en Irlande, faisant de la DPC le principal régulateur en matière de protection des données personnelles.
Depuis l’entrée en vigueur du RGPD en 2018, la DPC a infligé des amendes totalisant 2,5 milliards d’euros à Meta. Parmi ces sanctions, une amende record de 1,2 milliard d’euros a été prononcée en 2023, une décision contre laquelle Meta a fait appel. Des affaires qui soulignent l’importance de la régulation des données à l’échelle européenne.
Les risques du stockage de mots de passe en texte clair
Le stockage des mots de passe en texte clair est une pratique largement décriée en matière de cybersécurité. Cela expose les utilisateurs à des risques d’abus, notamment si des personnes non autorisées accèdent à ces données. Graham Doyle, commissaire adjoint de la DPC, a rappelé que cette pratique n’était pas acceptable, vu les risques que cela représente pour la protection des données des utilisateurs.
La décision de sanctionner Meta fait donc office de rappel pour toutes les entreprises technologiques opérant en Europe. Elles doivent se conformer aux règles strictes imposées par le RGPD, sous peine de lourdes sanctions financières.