Komisi Perlindungan Data (DPC) di Irlandia telah mendenda Meta Platforms Ireland Limited (MPIL) €91 juta ($100 juta) karena menyimpan kata sandi teks biasa dari ratusan juta pengguna.
Insiden tersebut terjadi pada tahun 2019. Saat itu, Meta mengungkapkannya secara publik dan memberi tahu DPC, yang memulai penyelidikan terhadap praktik raksasa teknologi tersebut dalam menyimpan data sensitif pengguna.
“Pada bulan Maret 2019, MPIL memberi tahu DPC bahwa mereka secara tidak sengaja telah menyimpan kata sandi tertentu dari pengguna media sosial dalam ‘teks biasa’ pada sistem internalnya (yaitu tanpa perlindungan kriptografi atau enkripsi),” membaca pengumuman DPC.
Dalam pengungkapan tahun 2019, kata Meta bahwa mereka telah menemukan “beberapa kata sandi pengguna” yang disimpan di sistemnya dalam format yang dapat dibaca selama tinjauan keamanan rutin di awal tahun.
Meskipun perusahaan tidak mengatakan berapa banyak pengguna yang terkena dampaknya, diperkirakan mereka akan memberi tahu “ratusan juta pengguna Facebook Lite, puluhan juta pengguna Facebook lainnya” dan jutaan pengguna Instagram.
Perlu dicatat bahwa kata sandi tersedia untuk pihak eksternal dan peninjauan tidak menemukan bukti penyalahgunaan atau akses yang tidak patut.
Menyimpan kata sandi akun pengguna tanpa perlindungan yang tepat, seperti enkripsi dan kontrol akses merupakan pelanggaran terhadap beberapa pasal Peraturan Perlindungan Data Umum (GDPR) terkait dengan tindakan yang diterapkan pengontrol data untuk menjamin keamanan data masyarakat:
- Pasal 33(1) – Pemberitahuan Pelanggaran Data Pribadi: Meta gagal memberi tahu DPC secara tepat waktu bahwa mereka telah menyimpan kata sandi pengguna dalam teks biasa, yang merupakan pelanggaran data pribadi.
- Pasal 33(5) – Dokumentasi Pelanggaran Data Pribadi: Meta tidak mendokumentasikan dengan benar pelanggaran data pribadi terkait dengan penyimpanan kata sandi pengguna dalam teks biasa, sehingga gagal menyimpan catatan yang memadai tentang insiden tersebut.
- Pasal 5(1)(f) – Integritas dan Kerahasiaan: Meta tidak menerapkan langkah-langkah keamanan yang memadai untuk memastikan perlindungan kata sandi pengguna, karena kata sandi tersebut disimpan dalam teks biasa, tidak memiliki enkripsi atau perlindungan kriptografi.
- Pasal 32(1) – Keamanan Pemrosesan: Meta gagal menerapkan langkah-langkah teknis dan organisasi yang tepat untuk melindungi kata sandi, seperti enkripsi, yang akan menjaga kerahasiaan data dan mengurangi risiko akses tidak sah.
Untuk pelanggaran di atas, dan dengan mempertimbangkan bahwa Meta memberi tahu otoritas perlindungan data Irlandia secara sukarela, DPC mengenakan teguran resmi dan denda administratif sebesar €91 Juta.
DPC akan mempublikasikan keputusan dan informasi lengkapnya di kemudian hari terkait insiden tersebut, kata badan tersebut.
