2.51 亿欧元， Meta再遭重罚！

当地时间12月17日，爱尔兰数据保护委员会（Data Protection Commission，简称DPC）公布了对Meta爱尔兰公司的调查结果及最终决定。DPC决定对Meta公司处以2.51亿欧元的行政罚款，原因是该公司在2018年发生的数据泄露事件未能遵守欧盟《通用数据保护条例》（GDPR）相关规定。

根据DPC的调查结果，Meta公司2018年发生的数据泄露事件影响了全球约2900万个Facebook账户，其中约300万个账户位于欧盟/欧洲经济区（EEA），泄露的信息包括用户的姓名、电子邮件地址、电话号码等个人敏感数据。

DPC表示，Meta在数据泄露事件发生后未能充分履行其作为数据控制者的责任，未能采取足够有效的措施保护用户数据，违反了GDPR关于数据保护的基本要求，导致了大量用户个人信息的泄露和潜在风险，因此决定对其处以创纪录的罚款金额。

此外，DPC强调，虽然Meta在事件发生后已采取一定的整改措施，但考虑到此次事件的严重性及其对欧盟用户的广泛影响，该罚款旨在对该公司发出警示，强调数据保护合规性的重要性，并敦促其他企业在未来更加谨慎地处理用户数据。

Meta对裁决迅速做出回应并表示，数据泄露事件发生后公司立即采取安全修复措施，并通知了受影响的人以及相关监管机构，后续将行使上诉权。

一、Meta连续遭欧盟重罚

近年来，Meta在欧盟屡次遭到DPC的严厉处罚。2023年1月，DPC对Meta旗下的两大社交平台——Facebook和Instagram，分别处以巨额罚款。监管机构认定，Meta在获取用户同意的过程中，采取了违反GDPR相关规定的做法，强迫用户接受个性化广告，并未充分保障用户的自愿同意权。

根据欧盟的规定，用户的同意必须是自愿的、明确的、知情的且不受任何强迫。而Meta的做法则将广告个性化作为用户使用平台的必要条件，导致用户的选择并非基于自愿原则。基于这一调查结果，DPC对Facebook处以2.1亿欧元的罚款，Instagram则被罚款1.8亿欧元，两者合计罚款金额达到3.9亿欧元。值得一提的是，DPC除了对Meta施加罚款外，还要求其在三个月内调整数据处理方式，确保其广告个性化及数据收集行为符合GDPR的相关规定。

这一裁决可能对Meta的广告业务策略产生深远影响，尤其是在如何平衡用户隐私保护与广告收入之间的关系。Meta可能需要重新设计广告投放机制，确保不再以强制同意为前提，避免未来类似违规行为的发生。

除了因个性化广告问题遭罚，Meta还因在数据保护方面的严重疏漏面临进一步的罚款。2023年，DPC对Meta处以9100万欧元（约合1.01亿美元，人民币7亿多元）的罚款，原因是Meta在其内部系统中以纯文本形式存储了数亿个用户密码。这一问题最早于2019年被Meta发现并公开，但直到五年后的调查中，欧盟监管机构才揭示出该做法存在重大安全隐患。

尽管Meta声明这些密码仅限公司内部使用，并未发现滥用行为，但DPC认为Meta未能采取行业标准的加密措施保护用户密码，同时未能及时报告数据泄露事件。这一行为被认为严重违反了GDPR中关于数据安全的条款。

根据GDPR要求，所有企业在存储用户密码时必须采用标准的加密技术，以确保密码在存储过程中的安全性。DPC指出，Meta未能有效防护这些敏感数据，增加了数据泄露的风险，可能导致未经授权的账户访问，进而影响用户社交媒体账户的安全性。DPC副专员格雷厄姆·道尔强调：“本案中涉及的密码尤其敏感，因为它们能够访问用户的社交媒体账户，泄露这些密码可能导致严重的安全问题。”

对此，Meta承认了其在存储用户密码时的失误，表示在一定时间内，部分Facebook用户的密码以可读格式记录。公司进一步解释称，问题发生后已采取紧急措施进行修复，并主动向爱尔兰数据保护委员会报告。然而，尽管采取了补救措施，DPC仍认为Meta未能充分遵守GDPR的相关规定，因而作出严厉的处罚决定。

此前，Meta旗下的Instagram因未妥善处理青少年数据而被罚款4.05亿欧元，WhatsApp因数据隐私问题遭罚550万欧元。此外，Meta还曾因跨大西洋数据传输问题被罚款12亿欧元。这些处罚凸显了欧盟对企业在数据保护方面的零容忍态度，表明GDPR的执行力度正在不断加大。

二、日益严峻的监管压力

随着GDPR的逐步完善和实施，欧盟对大公司在数据隐私保护领域的监管也日益严格。此次一系列罚款不仅对Meta构成重大财务压力，同时也对全球科技行业发出了强烈的警示信号，提醒企业必须加强数据保护合规性，避免引发法律风险和财务损失。

Meta连续遭遇欧盟监管机构的重罚反映了欧盟在数据隐私和安全领域的审查力度日益加强，也表明企业合规的压力不断增加。面对日益严格的法规要求，Meta及其他科技公司必须更加重视用户数据保护，采取透明的操作方式，遵守相关法规，以维持公众信任并避免进一步的法律后果。

总之，一系列合规处罚案例表明，数据隐私保护已成为全球企业合规的核心议题之一。未来，科技公司将需要更加审慎地审视其数据处理和隐私保护策略，确保不再因疏忽或违规行为而遭遇类似的严厉处罚。

参考来源 | euronews、互联网公开资源

赛博研究院简介

上海赛博网络安全产业创新研究院（简称赛博研究院），是上海市级民办非企业机构，成立至今，赛博研究院秉持战略、管理和技术的综合服务模式、致力于成为面向数字经济时代的战略科技智库、服务数据要素市场的专业咨询机构和汇聚数智安全技术的协同创新平台。

赛博研究院立足上海服务全国，是包括上海市委网信办、上海市通管局、上海市经信委、上海市数据局等单位的专业支撑机构，同时承担上海人工智能产业安全专家委员会秘书长单位、上海“浦江护航”数据安全工作委员会秘书长单位、上海数据安全协同创新实验室发起单位等重要功能，并组织“浦江护航”数据安全上海论坛、世界人工智能大会安全高端对话等一系列重要专业会议。

欢迎联络咨询：

邮件：[email protected]；

电话：021-61432693。