Instagram es multada por 405 millones de euros por violar la privacidad de menores de edad

La Comi­sión Irlan­desa de Protec­ción de Datos impuso una millo­na­ria multa a Insta­gram por no prote­ger los datos perso­na­les de usua­rios meno­res de edad. La empresa no hizo nada por evitar que la infor­ma­ción se filtrara por meses.

Insta­gram ha sido multada por viola­ci­o­nes al Regla­mento Gene­ral de Protec­ción de Datos (GDPR). De acuerdo con Polí­tico, la Comi­sión Irlan­desa de Protec­ción de Datos (DPC) impuso una multa de 405 millo­nes de euros a la red social tras descu­brir que mostraba los datos perso­na­les de meno­res de edad. La sanción es la tercera que recibe Meta y una de las más altas otor­ga­das por el regu­la­dor irlan­dés.

La multa a Insta­gram llega tras una inves­ti­ga­ción de casi dos años efec­tu­ada por la DPC. En octu­bre de 2020, el órgano de control irlan­dés abrió dos inves­ti­ga­ci­o­nes contra la red social tras ente­rarse que que Insta­gram dejó al descu­bi­erto datos de contacto de millo­nes de meno­res. David Stier, cien­tí­fico de datos, publicó los resul­ta­dos de un análi­sis que realizó a más de 200.000 cuen­tas en diver­sos países, inclui­dos aque­llos que se rigen por el GDPR.

Stier fue capaz de extraer infor­ma­ción perso­nal de meno­res de edad, como telé­fo­nos o direc­ci­o­nes de correo. El cien­tí­fico apro­ve­chó una vulne­ra­bi­li­dad de Insta­gram que expone la infor­ma­ción perso­nal cuando una cuenta cambia de perfil perso­nal a profe­si­onal. Tras anun­ci­arse que la red social deja­ría de mostrar los likes, los usua­rios cambi­a­ban a la cuenta profe­si­o­nal para acce­der a las herra­mi­en­tas de analí­ti­cas.

Insta­gram filtró los datos de meno­res por meses y no hizo nada para evitarlo

El experto indicó que los datos se filtra­ron durante meses y reportó el inci­dente a Insta­gram. Pese a la grave­dad de la situ­a­ción, la empresa no tomó acci­o­nes para evitarlo y solo se limitó a elimi­nar la infor­ma­ción de contacto del código HTML de la página de perfil.

Desde mi informe a fines de febrero, Insta­gram aún no ha tomado ninguna medida para dejar de mostrar la infor­ma­ción de contacto de estos niños dentro de la apli­ca­ción. De hecho, afir­ma­ron espe­cí­fi­ca­mente que mostrar esta infor­ma­ción de contacto a simple vista dentro de la apli­ca­ción era una carac­te­rís­tica que no tenían la inten­ción de cambiar, inde­pen­di­en­te­mente de si el correo elec­tró­nico perso­nal y los núme­ros de telé­fono de los meno­res esta­ban visi­bles.

Tras los hallaz­gos, Stier presentó una queja ante la DPC argu­men­tando que Insta­gram podría haber expu­esto los datos perso­na­les de más de 5 millo­nes de usua­rios meno­res de edad . Según el artí­culo 8 del GDPR, el trata­mi­ento de datos perso­na­les se consi­dera lícito a partir de los 16 años, mien­tras que los meno­res nece­si­tan la auto­ri­za­ción de sus padres o tuto­res. El mínimo de edad para tener una cuenta de Insta­gram es de 13 años.