Meta doit payer 567 millions de dollars pour des violations en matière de protection des enfants

Les régulateurs frappent les géants de la tech, condamnant Meta à une amende colossale de 942 millions de dollars pour atteinte à la sécurité des enfants, tandis que Grab est sanctionné pour pratiques commerciales négligentes. Parallèlement, les règles de protection des données commencent à peser en Europe et à New York, où Piaggio, des entreprises roumaines et un service de transfert d'argent sont sanctionnés pour laxisme en matière de sécurité et de surveillance.

Meta condamnée à payer une amende de 567 M$ pour violations de la sécurité des enfants

Un juge du Nouveau-Mexique a condamné Meta à verser une amende de 567 millions de dollars en raison d'allégations selon lesquelles ses plateformes de réseaux sociaux nuisent aux jeunes utilisateurs et créent une dépendance. Cette nouvelle amende vient s'ajouter à une sanction de 375 millions de dollars prononcée en mars, portant le total à 942 millions de dollars.

Les fonds seront affectés à un fonds créé pour réduire les préjudices causés par les plateformes de Meta. Le juge a indiqué que ce fonds soutiendrait les efforts visant à traiter les «effets étendus des préjudices». Environ 420 millions de dollars serviront à aider les personnes déjà affectées par les plateformes de Meta. L'argent financera des programmes de santé clinique et comportementale et les professionnels pouvant fournir des traitements. D'autres fonds soutiendront les initiatives de sensibilisation et de prévention, y compris la formation des enseignants et des professionnels de santé sur la façon d'identifier et de répondre aux préjudices liés aux réseaux sociaux affectant les enfants.

Le tribunal a également ordonné à Meta d’apporter des modifications à ses plateformes dans l’État. Les compteurs de likes doivent être supprimés pour les utilisateurs de moins de 18 ans, sauf si un parent ou un tuteur les approuve. Les notifications push destinées aux enfants doivent également être suspendues de 22 h à 7 h.

L'ordonnance limite également l'utilisation de la plateforme par les utilisateurs mineurs à 90 heures par mois, soit environ trois heures par jour.

Le juge a déclaré que les plateformes de Meta ont contribué à des problèmes, notamment l’exploitation sexuelle, la perturbation de l’éducation et la mauvaise santé mentale chez les jeunes du Nouveau-Mexique. Il a qualifié les agissements de l’entreprise de «nuisance publique» majeure. Meta a indiqué qu’elle prévoit de faire appel de cette décision.

L'autorité de contrôle roumaine sanctionne une société à responsabilité limitée pour des violations liées aux données personnelles

L’Autorité nationale de contrôle du traitement des données à caractère personnel (ANSPDCP) de Roumanie a infligé une amende à la société à responsabilité limitée Amato Bestseller SRL pour de multiples violations des règles relatives à la protection des données à caractère personnel et aux communications électroniques.

L’enquête, menée à la suite de plaintes déposées par plusieurs clients, a révélé des violations de l’article 32, paragraphe 4, de l’article 14 et de l’article 5, paragraphe 1, point c), en lien avec l’article 9 du règlement (UE) 2016/679 (GDPR), ainsi que de l’article 12, paragraphe 1, de la loi n° 506/2004 relative au traitement des données à caractère personnel et à la protection de la vie privée dans le secteur des communications électroniques.

Amato Bestseller SRL a reçu une amende totale de 285 395 lei (environ 54 503 €). La société a été sanctionnée d'une amende de 78 465 lei (environ 15 000 €) pour violation de l'article 32(4) du RGPD, d'une amende de 52 310 lei (soit 10 000 €) pour violation de l'article 14, et d'une amende de 104 620 lei (soit 20 000 €) pour violation de l'article 5(1)(c) en relation avec l'article 9. L'entreprise a également reçu une amende de 50 000 lei (environ 9 550 €) pour violation de l'article 12(1) de la loi n° 506/2004.

L’autorité a constaté que l’entreprise n’avait pas correctement formé ses employés ni mis en place de procédures garantissant un traitement sécurisé des données à caractère personnel. Des employés et d’anciens employés ont eu, pendant un certain temps, un accès non autorisé aux données à caractère personnel des clients, notamment leurs noms, numéros de téléphone, informations sur leur famille et leur situation matrimoniale, leur profession, leur lieu de résidence, leurs revenus, leur catégorie sociale et leurs données de santé.

L’enquête a également révélé que l’entreprise n’avait pas fourni à ses clients des informations correctes et complètes, comme l’exige l’article 14 du RGPD. De plus, elle avait traité des quantités excessives de données à caractère personnel, y compris des données de santé, ce qui enfreignait le principe de minimisation des données prévu à l’article 5, paragraphe 1, point c), en relation avec l’article 9 du RGPD.

L’autorité a également constaté qu’Amato Bestseller SRL avait effectué des appels commerciaux à l’aide de systèmes automatisés d’appel et de communication sans avoir obtenu le consentement exprès préalable des personnes contactées. Cela a été considéré comme une violation de l’article 12, paragraphe 1, de la loi n° 506/2004.

L’autorité a également ordonné à l’entreprise d’améliorer la manière dont elle traite les données à caractère personnel et les documents. L’entreprise doit établir des règles claires concernant l’accès des employés et dispenser régulièrement des formations sur la protection des données. Elle doit également fournir aux personnes concernées des informations claires, complètes et exactes sur la manière dont leurs données sont utilisées, conformément aux articles 14 et 12 du RGPD. L’entreprise ne doit collecter et utiliser que les données dont elle a besoin, conformément à l’article 5, paragraphe 1, point c), et doit obtenir un consentement explicite avant d’envoyer des messages marketing non sollicités.

Par ailleurs, l’autorité de surveillance a infligé à la société roumaine de vente au détail Homelux une amende totale de 108 570 lei (15 000 € plus 30 000 lei) à la suite d’un incident de sécurité ayant affecté le site web de la société. L’enquête a révélé que l’entreprise disposait de mesures de sécurité insuffisantes, notamment des logiciels obsolètes et des mots de passe faibles, ce qui a exposé des données à caractère personnel telles que les noms, adresses, e-mails et mots de passe. L’autorité a également constaté que l’entreprise utilisait des cookies non essentiels sans avoir obtenu le consentement des utilisateurs.

L'autorité de régulation italienne inflige une amende de 460 000 € à Piaggio pour la surveillance des e-mails de ses employés

L’autorité italienne de protection des données, le Garante, a imposé une amende de 460 000 € au constructeur automobile Piaggio pour surveillance et conservation inappropriées des e-mails professionnels de ses employés.

Cette décision fait suite à des plaintes de deux anciens employés. Le Garante a constaté que Piaggio avait accédé à plus de 100 e-mails pendant leur période d'emploi, dans le cadre d'une enquête sur des fautes présumées. Certains de ces e-mails dataient de près de deux ans.

Selon le Garante, Piaggio effectuait des sauvegardes des e-mails de ses employés pendant toute la durée de leur emploi et les conservait jusqu'à cinq ans après leur départ de l'entreprise. Les journaux de messagerie étaient également conservés pendant six mois. L'autorité a indiqué que ces pratiques violaient le Règlement général sur la protection des données (RGPD) de l'UE et le droit du travail italien.

Piaggio a ensuite raccourci la durée de conservation des e-mails à trois mois après le départ d'un salarié. Cependant, le Garante a estimé que le traitement des données des plaignants par l'entreprise restait illicite. L'autorité a également ordonné à Piaggio de ne pas accéder au contenu des e-mails stockés collectés via ses systèmes de l'entreprise.

Dans une affaire distincte, l'autorité de protection des données a infligé une amende de 280 000 € à Altroconsumo, la plus grande organisation italienne à but non lucratif de protection des consommateurs, pour usage illicite de données personnelles à des fins marketing et pour ne pas avoir répondu dans les délais aux demandes de protection des données. L'organisation avait envoyé des e-mails promotionnels à des personnes qui n'avaient pas terminé leur inscription et n'avaient pas accepté la relation contractuelle.

La métropole de Sassari a également été amendée après qu’un système informatique mal configuré ait permis à des employés non autorisés d’accéder à des documents contenant des données à caractère personnel. Le Garante a constaté des violations des principes du RGPD relatifs à la confidentialité, à la sécurité, à la responsabilité et à la protection des données dès la conception et par défaut.

Le NYDFS inflige 250 000 $ d'amende à un transmetteur de fonds pour défaillances en cybersécurité

Le Département des services financiers de l’État de New York (NYDFS) a infligé à la société de services monétaires Order Express une amende de 250 000 dollars pour violations de la réglementation new-yorkaise en matière de cybersécurité.

L’enquête, lancée après que l’entreprise a signalé une attaque par ransomware, a révélé des faiblesses dans les protections de cybersécurité d’Order Express, notamment des politiques inadéquates en matière de mises à jour système et des évaluations des risques de cybersécurité insuffisantes. Order Express a depuis corrigé les problèmes identifiés par l’enquête du NYDFS.

L’entreprise est exemptée de nombreuses exigences prévues par la réglementation de l’État en matière de cybersécurité en raison de son chiffre d’affaires limité. Toutefois, le NYDFS a déclaré que l’entreprise ne respectait toujours pas certaines exigences applicables en matière de cybersécurité.

La réglementation new-yorkaise en matière de cybersécurité, connue sous le nom de 23 NYCRR Part 500, est entrée en vigueur en mars 2017. Une version mise à jour est entrée en vigueur en novembre 2023, avec des exigences plus strictes visant à améliorer la gouvernance en matière de cybersécurité, à réduire les risques et à protéger les entreprises et les consommateurs contre les cybermenaces.

Le Vietnam inflige à Grab une amende de 1,36 milliard de VND pour des violations de la protection des consommateurs

La Commission nationale de la concurrence du Vietnam a infligé une amende de 1,36 milliard de dongs vietnamiens (environ 44 000 €) à l’application de VTC Grab pour avoir enfreint la réglementation en matière de protection des consommateurs.

La commission a déclaré que Grab n'avait pas donné aux consommateurs un choix clair quant au partage de leurs données personnelles avec des tiers. Elle a également relevé des problèmes dans les conditions générales des transactions de Grab, notamment des dispositions interdites et l'absence de mention claire de la date d'entrée en vigueur de ces conditions.

L'autorité de surveillance a également indiqué que Grab n'avait pas correctement divulgué les partenariats avec des influenceurs, n'avait pas affiché de manière exhaustive et précise les avis et notes des clients, et n'avait pas rendu publiques certaines politiques destinées aux consommateurs vulnérables.

On a ordonné à Grab de cesser les violations et de revoir et mettre à jour ses politiques afin de se conformer à la loi.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat