Stichting SOMI heeft aangekondigd dat het een collectief onderzoek naar 533 miljoen gelekte Facebook-accounts start en laat consumenten controleren of hun persoonsgegevens zijn buitgemaakt. Daartoe maakt Stichting SOMI het voor alle Europese consumenten mogelijk om via de SOMI-app te controleren of zij slachtoffer zijn geworden van het Facebook-lek van april van dit jaar. Ook kan er worden gezien welke persoonsgegevens van hen op het dark web circuleren. Stichting SOMI kreeg in juli groen licht om een massaclaim tegen Facebook in te dienen.
In totaal zijn in april gegevens van ruim 533 miljoen Facebook-accounts gelekt, waaronder die van 5,4 miljoen Nederlandse accounts. Na de controle van de eigen gegevens kunnen consumenten meedoen aan het juridische onderzoek van de stichting en de mogelijke collectieve claim tegen Facebook, waarvoor bewijsverzameling van het overtreden van de AVG uit het datalek nodig is. De stichting heeft daarom middels een persbericht kenbaar gemaakt in totaal EUR 10.000 uit te loven aan iedereen die met zijn persoonlijke data kan bewijzen dat Facebook de AVG heeft overtreden.
Het Facebook-lek van april dit jaar bevat data van 533 miljoen accounts van over de hele wereld, waaronder 96,7 miljoen accounts uit Europa en 5,4 miljoen uit Nederland. De buitgemaakte persoonsgegevens gaan nu op het dark web rond. Vrijwel alle gelekte accounts bevatten een telefoonnummer, maar van ruim 2,5 miljoen accounts werd ook het e-mailadres gelekt.
Hoewel Facebook het lek heeft erkend, heeft het getroffen gebruikers hier niet van op de hoogte gesteld. Volgens Facebook ging het om een oud lek. Het achterliggende probleem is volgens Facebook in augustus van 2019 gevonden en opgelost.
Schending AVG
Volgens stichting SOMI heeft Facebook de Algemene Verordening Gegevensbescherming (AVG) mogelijk geschonden door zijn gebruikers niet tijdig en adequaat in te lichten over het lek. Hoewel de meeste data verzameld is via ‘scraping’, waarbij data van openbare profielen is gehaald, lijkt dat niet voor alle data te gelden. Om hierover zekerheid te krijgen start de stichting nu een onderzoek. Want volgens de AVG was Facebook verplicht eventuele lekken binnen 72 uur aan de Irish Data Protection Commission (DPC) te melden, de toezichthouder van het land waar Facebook zijn Europese hoofdkantoor heeft gevestigd. Sowieso had Facebook volgens de stichting meer actie moeten ondernemen om scraping tegen te gaan.
Collectief onderzoek
Met het collectieve onderzoek – ook wel crowdsourcing genoemd – roept SOMI deelnemers op om deel te nemen aan het juridisch voorbereidend onderzoek van de stichting. Via de SOMI-app kunnen consumenten controleren of hun telefoonnummer in het lek voor komt. Is dat het geval, dan kan – na identiteitsverificatie – ook gezien worden om welke persoonsgegevens het precies gaat. Daarna is het aan de deelnemer om aan te tonen wanneer deze persoonsgegevens voor het eerst bij Facebook bekend zijn geworden en vervolgens zijn gelekt in deze dataset.
