La Agencia Española de Protección de Datos (AEPD) colaborará con su homólogo irlandés para identificar si existe algún perfil español entre los afectados por la brecha de seguridad que Facebook sufrió la semana pasada. La red social dijo el viernes que al menos 50 millones de cuentas habían sido hackeadas y que otros 40 millones de perfiles estaban en cuarentena porque podrían haber corrido la misma suerte.
“La AEPD va a colaborar con la Autoridad irlandesa para ver si hubieran podido verse afectados datos de ciudadanos españoles”, explica el regulador a eldiario.es. Este domingo, The Wall Street Journal anunciaba que Facebook podría enfrentarse a una multa de hasta 1.630 millones de dólares por parte de la Comisión de Protección de Datos de Irlanda.
En Europa, será el regulador irlandés quien actúe como autoridad de control principal sobre el robo de datos. No obstante, la AEPD puede presentar reclamaciones o notificar posibles infracciones en el Reglamento General de Protección de Datos (RGPD) cometidas por Facebook sobre perfiles de ciudadanos españoles, como el resto de agencias de protección de datos de otros países europeos.
Según la AEPD, España podrá emitir “una objeción pertinente y motivada acerca del proyecto de decisión en un plazo de cuatro semanas a partir de la consulta” en cuyo caso, Irlanda estimará el asunto. El regulador irlandés tuiteó que estaba esperando “detalles urgentes sobre la brecha de seguridad que impactó sobre 50 millones de usuarios, incluyendo detalles sobre los europeos afectados”. La Comisión de Protección de Datos de Irlanda concluyó diciendo que, de esta forma, “podremos estimar apropiadamente la naturaleza de la brecha y los riesgos para los usuarios”.
Aún faltan meses para saber el castigo
El nuevo RGPD obliga a que todas las empresas que no traten correctamente los datos de sus clientes o usuarios se enfrenten a una multa de hasta 23 millones de euros. También pueden sufrir una penalización de hasta el 4% de su facturación anual. En el caso de Facebook, este número ascendería hasta los 1.623 millones de euros.
El RGPD también obliga a las empresas a notificar la brecha de seguridad en menos de 72 horas desde que se produce (tres días). El regulador irlandés considera que Facebook notificó la sanción el jueves por la tarde y que por tanto llegó fuera de plazo, ya que el hackeo ocurrió el martes. Sin embargo, habrá que esperar meses para saber la decisión final sobre la multa y el resto de sanciones.