Meta（Facebook）2018-2019年数据泄露事件因安全措施不足导致第三方应用滥用数据案

【案件背景】
2018年至2019年间，Meta Platforms Ireland Limited（前身为Facebook Ireland）发生了一系列涉及用户个人数据的数据泄露事件。爱尔兰数据保护委员会（DPC）在调查中发现，Meta未能实施适当的技术和组织措施来保护用户数据免受第三方应用程序的未授权访问和滥用。该事件是GDPR下针对社交媒体平台的里程碑式执法行动的重要组成部分。

【违法事实】
爱尔兰DPC调查确认：一是未能确保'通过设计和默认保护数据'——Meta的API系统允许第三方应用在未经用户充分知情同意的情况下获取用户的个人数据及其好友的数据，系统架构设计本身未将数据保护作为默认设置，违反了GDPR第25条的基本要求；二是在发现数据泄露后未能及时有效地通知DPC——在多个特定数据泄露事件中，Meta的通知存在信息不完整、对事件严重性描述不准确、以及在某些情况下通知延迟的问题，违反了GDPR第33条的72小时通知要求；三是泄露事件的记录和管理存在系统性问题——DPC发现Meta在数据泄露的记录、分类、风险评估和通知决策等方面的内部流程不足以满足GDPR第33(5)条关于保留泄露事件记录的要求；四是Meta的安全措施未能防止第三方应用利用系统设计缺陷批量抓取用户数据——这不仅是单个事件的安全失败，更是数据治理架构的根本性缺陷。

【处罚决定】
爱尔兰DPC于2022年11月依据GDPR第25(1)、25(2)、33和34条，对Meta Platforms Ireland处以2.65亿欧元的行政罚款。该罚款是DPC就Meta GDPR合规问题开出的一系列罚单中的重要一笔。处罚决定要求Meta在规定期限内完成对数据处理方式和通知流程的根本性整改。此外，Meta因同一系列数据保护问题在多个欧盟成员国面临额外的执法行动。

【典型意义】
Meta案是社交媒体平台数据安全事件响应和'通过设计保护数据'要求的标志性案例。一是平台型企业不能以'这是第三方应用的行为'来推卸自身的安全设计责任——GDPR第25条要求控制者在系统架构层面确保数据保护，而非依赖下游应用的自律；二是2.65亿欧元的巨额罚款传递了明确的威慑信号——对于拥有海量用户的全球性平台，数据安全事件的影响不是孤立的，而是系统性的；三是数据泄露通知不能'简化为完成一项行政程序'——通知必须包含对事件性质、可能后果和已采取/拟采取的措施的充分描述；四是本案例与Meta面临的全球范围内多起数据保护执法行动共同构成了对大型平台的'监管围剿'——警示平台型企业必须将数据安全事件响应能力从'被动合规'提升为'主动治理'。