El 24 de juliol de 2019 la FTC va anunciar un acord pel qual Facebook pagarà 5.000 milions de dòlars i acceptarà nous controls de privacitat; amb la SEC, uns altres 100 milions. Què exigeix i què ensenya a les empreses.
El 24 de juliol de 2019, la Comissió Federal de Comerç dels Estats Units (FTC) va anunciar un acord amb Facebook pel qual la companyia pagarà 5.000 milions de dòlars i acceptarà noves obligacions de privacitat durant 20 anys. La FTC el presenta com la sanció més gran imposada a una empresa per violar la privacitat dels consumidors, gairebé vint vegades superior a la major penalització per privacitat o seguretat de dades imposada fins aleshores al món. El mateix dia, la Comissió de Borsa i Valors dels EUA (SEC) va anunciar un acord separat per 100 milions.
Què se li retreia
La FTC sosté que Facebook va incomplir l’ordre que havia acceptat el 2012. Segons l’agència, la xarxa social va compartir dades dels amics dels seus usuaris amb aplicacions de tercers fins i tot quan aquests usuaris havien triat ajustos de privacitat més restrictius, va continuar fent-ho almenys fins al juny del 2018 tot i haver anunciat el 2014 que ho deixaria, i no va vigilar de manera adequada els desenvolupadors. També li atribueix pràctiques enganyoses: va fer servir per a publicitat els números de telèfon que els usuaris facilitaven per a funcions de seguretat i els va induir a error sobre el control del reconeixement facial.
Quines obligacions noves
L’ordre, de 20 anys, crea un comitè de privacitat dins del consell, format per membres independents que només poden ser cessats per una supermajoria del consell. Facebook ha de designar responsables de compliment aprovats per aquest comitè, i Mark Zuckerberg i aquests responsables hauran de certificar cada trimestre, i una vegada a l’any de manera global, que es compleix el programa de privacitat; una certificació falsa comporta sancions civils i penals a títol personal.
Un avaluador independent revisarà el programa cada dos anys i en rendirà comptes al comitè. Els productes nous o modificats hauran de passar una revisió de privacitat abans de llançar-se, i qualsevol incident que afecti dades de 500 o més usuaris s’haurà de documentar i comunicar a la FTC en un termini de 30 dies. L’ordre exigeix també més control de les aplicacions de tercers, prohibeix fer servir amb finalitats publicitàries els telèfons facilitats per seguretat i requereix consentiment exprés per a nous usos del reconeixement facial que excedeixin el que s’ha informat.
La SEC, per la seva banda, acusa Facebook d’haver presentat durant més de dos anys com una possibilitat hipotètica el risc que es fes un ús indegut de les dades dels seus usuaris, quan la companyia sabia des del 2015 que un desenvolupador les havia utilitzat de manera indeguda. Facebook va acceptar pagar 100 milions sense admetre ni negar els fets.
Com continua i què ensenya
El Departament de Justícia presentarà la demanda i l’ordre en un tribunal federal de Washington, i l’acord no tindrà efecte legal fins que un jutge l’aprovi. La FTC va votar 3 a 2 per remetre’l: els comissionats Rohit Chopra i Rebecca Kelly Slaughter van votar en contra.
Per a les empreses europees i espanyoles, el cas deixa tres ensenyaments. El primer, que la privacitat es vigila des del consell i no només des del departament tècnic, fins al punt que les certificacions de compliment poden comprometre personalment els directius. El segon, que incomplir un compromís ja assumit davant d’una autoritat agreuja la sanció: aquí la multa neix de violar una ordre del 2012. El tercer, que el que es diu a inversors i finançadors sobre els riscos ha de coincidir amb el que l’empresa sap.
A la Unió Europea, el Reglament general de protecció de dades, aplicable des del maig del 2018, permet multes de fins al 4 % de la facturació mundial anual o 20 milions d’euros, si aquesta xifra és més gran, i les autoritats nacionals, com l’Agència Espanyola de Protecció de Dades, les poden imposar. Convé revisar amb quins tercers es comparteixen dades, què s’informa els usuaris de l’ús real de cada dada i qui en respon internament. Consulti amb el seu assessor com aplicar-ho al seu cas.
La privacitat ja no és un afer tècnic: és una responsabilitat del consell.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
