FACUA denuncia a Facebook por la filtración de datos de 50 millones de usuarios

Hace unos días Facebook anunció que había sufrido un nuevo hackeo que había comprometido los datos de unos 50 millones de usuarios por una vulnerabilidad en la función Ver como, que permite que los usuarios puedan comprobar cómo ven su perfil el resto de usuarios. Entonces, y como medida de seguridad, la red social reinició las credenciales de esas 50 millones de cuentas y de varios decenas de millones más, además de deshabilitar la función afectada. Y pasados unos días, y tras comprobar la envergadura del incidente, FACUA ha denunciado a Facebook ante la Agencia Española de Protección de Datos (AEPD) por esta filtración.

En su denuncia, la asociación solicita que se abra un expediente sancionador a la empresa por esta brecha de seguridad, ya que FACUA entiende que los autores de este ataque pueden haber sustraído datos personales de terceros que haya recogido Facebook. De haberse dado esta sustracción, los atacantes habrían tenido acceso a la información de millones de personas. La asociación considera que, si esto se confirma, se habría dado «una falta de diligencia por parte de los responsables de la custodia y vigilancia de los ficheros de datos personales de usuarios de Facebook«.

Por lo tanto, en el escrito de la denuncia, FACUA incide en que «el posible acceso ilícito a datos personales recogidos de Facebook, entre los que podrían encontrarse datos especialmente protegidos por la propia actividad que los usuarios desarrollan en esta red social (publicación de fotografías, difusión de mensajes…), implica poder conocer información relevante sobre la ideología, afiliación sindical, religión, vida sexual y creencias de los afectados«.

La asociación se basa también para su denuncia en el segundo apartado del artículo 7 de la Ley Orgánica 15/1999, que señala que «sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias«.

Por esto, FACUA, que considera que Facebook debe ser multada, y que el incidente es de gran envergadura, recuerda que, según el artículo 83, apartado segundo, letra a del reglamento 2016/679 de la Unión Europea, se establece que para decidir la cuantía de la multa hay que tener en cuenta «la naturaleza, gravedad, duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido«.

Por el momento, Facebook no ha recomendado el cambio de contraseñas de esta vulnerabilidad, que permitía el robo de un identificador único (token)  generado cada vez que se accedía a una cuenta. Algo que sí ha hecho la Oficina de Seguridad del Internauta (OSI), que recomienda su cambio tanto si la cuenta se ha visto afectada por la vulnerabilidad (las que han visto reiniciadas sus credenciales), como si no está afectada.