Die Untersuchung wurde im April 2019 eingeleitet, nachdem Meta (NASDAQ:META) die irische Behörde darüber informiert hatte, dass es versehentlich bestimmte Passwörter von Social-Media-Nutzern im Klartext – also unverschlüsselt (sogenannter „plaintext“) – auf internen Systemen gespeichert worden waren.
Die irische Datenschutzbehörde gab die Strafe in der Höhe von 91 Millionen Euro bekannt.
Laut der EU-Datenschutzgrundverordnung (DGSVO) sind Unternehmen dazu verpflichtet, bei der Verarbeitung personenbezogener Daten angemessene Sicherheitsmaßnahmen zu ergreifen.
"Es ist weithin anerkannt, dass Benutzerpasswörter nicht im Plaintext gespeichert werden sollten, wenn man die Risiken des Missbrauchs bedenkt, die sich aus dem Zugriff von Personen auf solche Daten ergeben. Es ist zu bedenken, dass die Passwörter, um die es in diesem Fall geht, besonders sensibel sind, da sie den Zugang zu den Konten der Nutzer in den sozialen Medien ermöglichen", erklärte Graham (NYSE:GHC) Doyle, stellvertretender Kommissar der irischen Datenschutzbehörde, in einer Stellungnahme.
Im Juni 2024 legte die irische Behörde den anderen Datenschutzaufsichtsbehörden der EU einen Entscheidungsentwurf vor, wie es die DSGVO vorschreibt. Es wurden keine Einwände gegen die Höhe der Strafe erhoben.
Es ist nicht die erste DSGVO-Strafe für Meta. Erst 2023 wurde das Unternehmen von der irischen Aufsichtsbehörde mit einer Rekordstrafe in Höhe von 1,2 Milliarden Euro belegt, nachdem es personenbezogene Daten von Nutzern aus dem Europäischen Wirtschaftsraum weiterhin in die USA übermittelt hatte. Dies geschah, nachdem der Europäische Gerichtshof ein Datenabkommen zwischen der EU und den USA wegen Bedenken hinsichtlich der Überwachung für ungültig erklärt hatte.
Im Jahr 2022 wurde Meta zu einer Geldstrafe von 265 Mio. EUR verurteilt, nachdem Daten von mehr als 533 Millionen Nutzern im Internet gefunden worden waren.