Komisja Ochrony Danych (DPC – Data Protection Commission) zakończyła niedawno dwa dochodzenia dotyczące operacji przetwarzania danych przez Meta Platforms Ireland Limited (wcześniej znaną jako Facebook Ireland Limited). Firma została ukarana grzywną w łącznej wysokości 390 mln euro za naruszenia GDPR w odniesieniu do swoich usług na Facebooku i Instagramie.
DPC nakazała również Meta Ireland doprowadzenie swoich operacji przetwarzania danych do zgodności z przepisami w ciągu trzech miesięcy.
Skargi, które doprowadziły do tej decyzji, zostały złożone 25 maja 2018 r., w dniu wejścia w życie GDPR. Stwierdzano w nich, że Meta Ireland nadal opierała się na zgodzie jako podstawie prawnej przetwarzania danych użytkowników na potrzeby spersonalizowanych usług i reklamy behawioralnej, a nie na podstawie prawnej „umowy”, jak twierdziła firma.
DPC stwierdził, że Meta Ireland naruszyła kilka przepisów GDPR. W szczególności DPC ustaliła, że Meta Ireland nie udzieliła użytkownikom jasnych i zwięzłych informacji na temat podstawy prawnej przetwarzania ich danych osobowych oraz celu ich przetwarzania. Ponadto DPC stwierdził, że firma nie uzyskała od użytkowników ważnej zgody na przetwarzanie ich danych na potrzeby spersonalizowanych usług i reklamy behawioralnej. DPC orzekło również, że Meta Ireland nie wdrożyła odpowiednich środków w celu weryfikacji wieku użytkowników.
Oprócz grzywien i dyrektywy dotyczącej dostosowania swoich operacji przetwarzania danych, do wymogów, Meta Ireland otrzymała również nakaz wdrożenia środków mających na celu zapewnienie zgodności z GDPR w przyszłości. Obejmuje to wdrożenie odpowiednich środków technicznych i organizacyjnych w celu ochrony danych osobowych użytkowników oraz ustanowienie skutecznych procedur powiadamiania o naruszeniach danych osobowych.
