Meta condenada a pagar multa de 567 M de dólares por infracciones de seguridad infantil

Las autoridades reguladoras están apretando el tornillo contra los gigantes tecnológicos, ordenando a Meta que pague una multa millonaria de 942 millones de dólares por perjudicar a los niños, mientras que Grab se enfrenta a sanciones por prácticas de consumo descuidadas. Mientras tanto, las normas de privacidad de datos están haciendo mella en toda Europa y Nueva York, con multas contra Piaggio, empresas rumanas y una remesadera por seguridad y vigilancia deficientes.

Meta, condenada a pagar una multa de 567 millones de dólares por violaciones de la seguridad de los menores

Un juez de Nuevo México ordenó a Meta pagar una multa de 567 millones de dólares por acusaciones de que sus plataformas de redes sociales dañan y provocan adicción en usuarios jóvenes. Esta nueva multa se suma a la sanción de 375 millones de dólares impuesta en marzo, lo que eleva el total a 942 millones de dólares.

El dinero se destinará a un fondo creado para reducir el daño causado por las plataformas de Meta. El juez señaló que el fondo respaldará los esfuerzos para hacer frente a las «amplias repercusiones del daño». Se destinarán unos 420 millones de dólares a ayudar a las personas que ya se han visto afectadas por las plataformas de WeMeta. El dinero financiará programas de salud clínica y conductual, así como a profesionales que puedan brindar tratamiento. Otros fondos se destinarán a iniciativas de sensibilización y prevención, incluida la formación de docentes y profesionales sanitarios sobre cómo identificar y actuar ante los daños relacionados con las redes sociales que afectan a los niños.

El tribunal también ordenó a Meta que implementara cambios en sus plataformas dentro del estado. Los contadores de «me gusta» deben eliminarse para usuarios menores de 18 años, salvo que un padre o tutor los apruebe. Las notificaciones push para menores también deben pausarse de 22:00 a 07:00.

El fallo también limita a los usuarios menores a 90 horas de uso de la plataforma al mes, o unas tres horas al día.

El juez dijo que las plataformas de Meta han contribuido a problemas como la explotación sexual, la interrupción de la educación y el deterioro de la salud mental entre los jóvenes de Nuevo México. Calificó las acciones de la empresa como una grave «molestia pública». Meta declaró que planea recurrir la sentencia.

El organismo supervisor rumano impone una multa a una sociedad de responsabilidad limitada por violaciones de datos personales.

La Autoridad Nacional de Supervisión del Tratamiento de Datos Personales de Rumanía (ANSPDCP) ha multado a la sociedad de responsabilidad limitada Amato Bestseller SRL por múltiples infracciones de las normas de protección de datos personales y de comunicaciones electrónicas.

La investigación, que se llevó a cabo a raíz de las quejas de varios clientes, constató infracciones del artículo 32, apartado 4, el artículo 14 y el artículo 5, apartado 1, letra c), en relación con el artículo 9 del Reglamento (UE) 2016/679 (RGPD), así como del artículo 12, apartado 1, de la Ley n.º 506/2004 sobre el tratamiento de datos personales y la protección de la privacidad en el sector de las comunicaciones electrónicas.

Amato Bestseller SRL fue multada con un total de 285.395 lei (~54.503 €). La empresa recibió una multa de 78.465 lei (~15.000 €) por infringir el artículo 32, apartado 4, del RGPD; una multa de 52.310 lei, equivalente a 10.000 €, por infringir el artículo 14; y una multa de 104.620 lei, equivalente a 20.000 €, por infringir el artículo 5, apartado 1, letra c), en relación con el artículo 9. La empresa también fue sancionada con una multa de 50.000 lei (~9.550 €) por infringir el artículo 12, apartado 1, de la Ley n.º 506/2004.

La autoridad constató que la empresa no había formado adecuadamente a sus empleados ni establecido procedimientos para garantizar el tratamiento seguro de los datos personales. Los empleados y antiguos empleados tuvieron acceso no autorizado durante un periodo de tiempo a los datos personales de los clientes, incluidos nombres, números de teléfono, información familiar y marital, profesión, domicilio, ingresos, categoría social y datos de salud.

La investigación también reveló que la empresa no facilitaba a los clientes información correcta y completa, tal y como exige el artículo 14 del RGPD. Además, trataba cantidades excesivas de datos personales, incluidos datos sobre la salud, lo que infringe el principio de minimización de datos recogido en el artículo 5, apartado 1, letra c), en relación con el artículo 9 del RGPD.

La autoridad también determinó que Amato Bestseller SRL realizó llamadas comerciales utilizando sistemas automatizados de llamada y comunicación sin obtener el consentimiento expreso previo de las personas contactadas. Esto se consideró una infracción del artículo 12(1) de la Ley N.º 506/2004.

La autoridad también ordenó a la empresa que mejorara la gestión de los datos personales y los documentos. La empresa debe establecer reglas claras para el acceso de los empleados y ofrecer formación periódica sobre protección de datos. Asimismo, debe proporcionar a las personas información clara, completa y precisa sobre cómo se utilizan sus datos, tal como exigen los artículos 14 y 12 del RGPD. La empresa solo debe recopilar y utilizar los datos que necesite, de conformidad con el artículo 5(1)(c), y obtener un consentimiento claro antes de enviar mensajes de marketing no solicitados.

Por otra parte, la autoridad de supervisión multó a la empresa minorista rumana Homelux con un total de 108.570 lei (15.000 € más 30.000 lei) tras un incidente de seguridad que afectó al sitio web de la empresa. La investigación reveló que la empresa contaba con medidas de seguridad inadecuadas, entre ellas software obsoleto y contraseñas débiles, lo que expuso datos personales como nombres, direcciones, correos electrónicos y contraseñas. La autoridad también constató que la empresa utilizaba cookies no esenciales sin obtener el consentimiento de los usuarios.

El regulador italiano multa a Piaggio con 460 000 € por la vigilancia del correo electrónico de sus empleados

La autoridad italiana de protección de datos, Garante, ha multado al fabricante de vehículos de motor Piaggio con 460 000 € por supervisar y almacenar de forma indebida los correos electrónicos corporativos de sus empleados.

La decisión siguió a las quejas de dos ex empleados. El Garante constató que Piaggio había accedido a más de 100 correos electrónicos durante su empleo mientras investigaba una presunta conducta indebida. Algunos de los correos tenían casi dos años de antigüedad.

Según Garante, Piaggio realizaba copias de seguridad de los correos electrónicos de los empleados durante todo su empleo y los conservaba hasta cinco años después de que dejaran la empresa. Los registros de correo también se almacenaban durante seis meses. El regulador señaló que estas prácticas violaban el Reglamento General de Protección de Datos (RGPD) de la UE y la legislación laboral italiana.

Posteriormente, Piaggio redujo su periodo de retención de correos electrónicos a tres meses tras la salida de un empleado. Sin embargo, el Garante señaló que el tratamiento de los datos de los denunciantes por parte de la empresa seguía siendo ilegal. El regulador también ordenó a Piaggio que no accediera al contenido de los correos electrónicos almacenados y recopilados a través de sus sistemas corporativos.

En otro caso, la autoridad de protección de datos impuso una multa de 280 000 € a Altroconsumo, la mayor organización sin ánimo de lucro de defensa del consumidor de Italia, por el uso ilícito de datos personales con fines de marketing y por no responder oportunamente a las solicitudes de protección de datos. La entidad envió correos electrónicos promocionales a personas que no habían completado el registro ni habían aceptado la relación contractual.

La Ciudad Metropolitana de Sassari también fue multada tras un sistema informático mal configurado que permitió a empleados no autorizados acceder a documentos que contenían datos personales. El Garante detectó infracciones de los principios del RGPD en materia de confidencialidad, seguridad, responsabilidad y protección de datos por diseño y por defecto.

NYDFS multa de 250.000 dólares a un remesero por fallos de ciberseguridad

El Departamento de Servicios Financieros del Estado de Nueva York (NYDFS) ha impuesto una multa de 250.000 dólares a la empresa de servicios monetarios Order Express por violar la normativa de ciberseguridad de Nueva York.

La investigación, iniciada después de que la empresa reportó un ataque de ransomware, detectó debilidades en las protecciones de ciberseguridad de Order Express, incluidas políticas inadecuadas para las actualizaciones del sistema y evaluaciones de riesgos de ciberseguridad débiles. Order Express ha corregido desde entonces los problemas detectados por la investigación del NYDFS.

La empresa está exenta de muchos requisitos bajo la normativa estatal de ciberseguridad debido a sus ingresos limitados. Sin embargo, la NYDFS afirmó que la empresa aún no cumplía ciertos requisitos aplicables de ciberseguridad.

La normativa de ciberseguridad de Nueva York, conocida como 23 NYCRR Parte 500, entró en vigor en marzo de 2017. En noviembre de 2023 entró en vigor una versión actualizada, con requisitos más estrictos destinados a mejorar la gobernanza de la ciberseguridad, reducir los riesgos y proteger a las empresas y a los consumidores frente a las amenazas cibernéticas.

Vietnam multa a Grab con 1.360 millones de VND por violaciones a la protección del consumidor

La Comisión Nacional de Competencia de Vietnam ha multado a la aplicación de transporte compartido Grab con 1.360 millones de VND (unos 44.000 €) por infringir la normativa de protección del consumidor.

La comisión señaló que Grab no proporcionaba a los consumidores una opción clara sobre si su información personal podía compartirse con terceros. También detectó problemas en los términos generales de transacción de Grab, incluidos disposiciones prohibidas y la falta de indicación clara de cuándo entrarían en vigor dichos términos.

El organismo regulador señaló además que Grab no revelaba adecuadamente los patrocinios que involucraban a influencers, no mostraba de forma completa y precisa las opiniones y valoraciones de los clientes, y no hacía públicas determinadas políticas destinadas a los consumidores vulnerables.

Se ordenó a Grab que pusiera fin a las infracciones y que revisara y actualizara sus políticas para cumplir con la ley.

Próximos pasos:

• Solicite una demostración gratuita o información sobre precios
• Regístrese en nuestros webinars y formaciones de productos
• Lea nuestro blog semanal de Investigaciones sobre ciberdelincuencia
• Síguenos en LinkedIn, X, Telegram y WhatsApp
• Suscríbase a nuestro boletín.
• Únase a nuestro Partner Program