Irlanda multa a Meta con 91 millones de euros por almacenar contraseñas de usuarios sin estar cifradas

La compañía liderada por Mark Zuckerberg, propietaria de redes sociales como Instagram, Facebook y WhatsApp, notificó en marzo del año 2019 al organismo DPC de Irlanda un incidente por el que había almacenado inadvertidamente algunas contraseñas de usuarios en «texto simple». Es decir, contraseñas sin protección criptográfica ni cifrado, lo que las pone en riesgo a la hora de una filtración de datos.

Aunque estas contraseñas no llegaron a manos de terceros, la DPC comenzó una investigación en abril de ese mismo año, en la que llevó a cabo un análisis del cumplimiento del Reglamento General de Protección de Datos (RGPD) por parte de Meta.

Concretamente, tal y como ha explicado la Comisión en un comunicado en su web, durante la investigación se evaluó si la tecnológica disponía de medidas de seguridad apropiadas para el procesamiento de contraseñas y si cumplió con sus obligaciones de advertir a los usuarios implicados sobre las violaciones de sus datos personales, de acuerdo con las exigencias del RGPD.

En concreto, este reglamento detalla que los responsables del tratamiento de datos -en este caso, Meta- deben disponer de medidas de seguridad adecuadas para los tratamientos de datos personales. Así, para mantener la seguridad, es importante que la compañía "evalúe los riesgos inherentes al tratamiento e implementar medidas para mitigarlos", tal y como ha puntualizado la DPC.

Teniendo todo ello en cuenta, tras concluir la investigación, la DPC ha comunicado este viernes la sanción interpuesta a Meta por el incorrecto tratamiento de los datos personales de los usuarios en sus servicios, y por no disponer de las medidas de seguridad necesarias para el procesamiento de información sensible, como es el caso de las contraseñas.

Asimismo, también se ha concluido que la tecnológica no documentó las violaciones de datos personales relativas al almacenamiento de contraseñas de usuarios. Como resultado, Meta deberá cubrir una multa de 91 millones de euros.

"Es ampliamente aceptado que las contraseñas de los usuarios no deben almacenarse en texto plano, considerando los riesgos de abuso que surgen cuando las personas acceden a dichos datos. Debe tenerse en cuenta que las contraseñas que se examinan en este caso son particularmente sensibles, ya que permitirían el acceso a las cuentas de redes sociales de los usuarios", ha concluido el Comisionado Adjunto de la DPC, Graham Doyle.