De Ierse Data Protection Commission (DPC) heeft een ontwerpbesluit over haar onderzoek naar Instagram ingediend bij andere betrokken toezichthouders in de EU. Het ontwerpbesluit op grond van artikel 60 GDPR is op 3 december ingediend.
De DPC opende zijn onderzoek in september 2020 om de verwerking van data van kinderen door Meta Ierland via het sociale netwerk Instagram te onderzoeken. De DPC is de leidende toezichthoudende autoriteit voor Facebook en Instagram. De andere betrokken toezichthoudende autoriteiten hebben een maand de tijd om hun bezwaren naar de DPC te sturen.
De Data Protection Commissior (DPC) van Ierland, de belangrijkste Europese privacywaakhond, besloot twee afzonderlijke onderzoeken te starten na klachten dat Instagram de e-mailadressen en telefoonnummers van gebruikers onder de 18 jaar openbaar had gemaakt. Als blijkt dat het platform de privacywetten heeft overtreden, heeft de Ierse toezichthouder de macht om een boete van miljarden euro's op te leggen.
Gegevens ruim vijf miljoen kinderen openbaar
David Stier, een Amerikaanse datawetenschapper, schat dat de gegevens van maar liefst vijf miljoen kinderen openbaar zijn geworden toen ze overschakelden van een persoonlijke naar een zakelijke omgeving om statistieken te ontvangen over hoe populair hun foto's en video's waren. Er is geen bewijs vereist dat de gebruiker daadwerkelijk een bedrijf runt. Omschakelen naar een bedrijfsprofiel betekent dat persoonlijke contactgegevens zoals telefoonnummers en e-mailadressen openbaar werden weergegeven op het profiel, zodat iedereen buiten de app contact met de kinderen kon opnemen.
Bovendien was de informatie tot vorig jaar ook opgenomen in de onderliggende code bij het gebruik van Instagram in een webbrowser, waardoor iedereen automatisch en masse de contactgegevens kon 'scrapen', aldus het rapport. Hoewel de minimumleeftijd van Instagram voor een account 13 jaar is, controleert het platform de leeftijd niet strikt, en volgens Ofcom gebruikt meer dan een op de vijf kinderen tussen 8 en 12 in het Verenigd Koninkrijk Instagram.
De Ierse waakhond startte eind september 2020 met zijn onderzoek en kee allereerst of de app de nodige waarborgen biedt om de data van gebruikers veilig te verwerken, met name wat betreft kinderen. Vervolgens heeft het onderzocht of Instagram de relevante regels voor gegevensbescherming volgt voor zijn profiel- en accountinstellingen.
Ierland is de thuisbasis van het Europese hoofdkantoor van verschillende Amerikaanse technologiebedrijven, met de DPC momenteel als leidende toezichthouder van de EU onder de 'One Stop Shop' voor algemene gegevensbeschermingsverordening die in 2018 is ingevoerd. Als gevolg hiervan hebben regulatoren de bevoegdheid om boetes op te leggen tot tot 4 procent van de wereldwijde omzet van een bedrijf, ongeveer EUR 5,7 miljard in het geval van Meta.
