La autoridad irlandesa de protección de datos (“Data Protection Commission” o “DPC”, por sus siglas en inglés) ha publicado recientemente una nota informativa en la que resume la decisión adoptada en un proceso de investigación incoado por Meta Platforms Ireland Limited (“Meta Irlanda”).
En particular, la citada entidad puso en conocimiento de la DPC que había almacenado contraseñas de algunos usuarios de redes sociales de su propiedad en sus propios sistemas, sin adoptar ninguna medida criptográfica o de encriptación.
De acuerdo con la DPC, las entidades no deben almacenar las contraseñas de sus usuarios sin adoptar ninguna medida de protección puesto que existe un alto riesgo de acceso no autorizado por terceras personas. Además, debe tenerse en cuenta que las contraseñas constituyen información sensible en la medida en que otorgan acceso a las cuentas personales de los usuarios en sus redes sociales.
En relación con los principios en materia de protección de datos que se han visto vulnerados, la DPC destaca el principio de integridad y confidencialidad. Así, conforme al RGPD, el responsable del tratamiento deberá adoptar medidas de seguridad adecuadas si pretende el tratamiento de datos personales. A su vez, el responsable de tratamiento está obligado a la evaluación de los riesgos inherentes al tratamiento de datos personas y, en consecuencia, adoptar medidas específicas que mitiguen tales riesgos.
Tras el análisis del caso, la DPC concluye que Meta Ireland infringió diferentes artículos del RGPD referidos a la notificación de brechas de seguridad, así como principios básicos en materia de protección de datos, entre los que destacaremos:
- Artículo 33.1 RGPD. Meta Irlanda no notificó a la brecha de seguridad consistente en el almacenamiento de contraseñas de usuarios sin medidas de protección.
- Artículo 5.1.f) RGPD. Meta Irlanda no adoptó medidas de seguridad adecuadas.
Puede consultar la noticia completa haciendo clic aquí.
- Nuevas medidas del Gobierno para frenar estafas telefónicas en España
- La CNIL multa a Orange con 50 millones de euros
- Italia exige explicaciones a DeepkSeek
- Sanción de 30.000 euros por acceso indebido a la historia clínica de pacientes
- Aprobado el Anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad en España
- El carding como nuevo tipo de estafa informática
Comentarios recientes