Facebook heeft een schikking van vijf miljard dollar met de Amerikaanse handelswaakhond FTC getroffen. Die heeft betrekking op meerdere privacyschendingen door het sociale netwerk. Facebook moet van de FTC ook grote veranderingen in de bedrijfsstructuur doorvoeren.
De boete is de hoogste die de FTC tot nu toe heeft uitgedeeld. "Ondanks de beloftes aan miljarden gebruikers dat zij de controle hadden over hoe hun persoonlijke data wordt gedeeld, heeft Facebook die keuzes jaren ondermijnd", schrijft FTC-voorzitter Joe Simons in een uitleg bij het vonnis. Facebook moet naast de boete betalen, ook nieuwe privacyregels invoeren. Die gelden niet alleen voor Facebook zelf, maar ook voor andere apps van het bedrijf, zoals WhatsApp en Instagram.
De boete komt na een onderzoek van meer dan een jaar. De FTC startte het onderzoek naar aanleiding van het Cambridge Analytica-schandaal, al breidde het onderzoek al snel uit naar andere privacyschendingen door het bedrijf. Facebook krijgt de boete voor drie verschillende overtredingen. Zo zou het bedrijf gebruikers hebben misleid over wanneer het data van de vrienden van gebruikers met derde partijen deelde, ook als die vrienden zelf hun privacyinstellingen hadden gewijzigd. Het bedrijf bouwde bijvoorbeeld de Privacy Checkup, een functie waarmee gebruikers gemakkelijk zouden kunnen bepalen wat zij wilden delen met anderen. Daarin stond echter niet duidelijk vermeld dat Facebook ondanks die instellingen wel gegevens van gebruikers met anderen mocht delen.
Ook zou Facebook niet eerlijk zijn geweest over stoppen met het delen van gegevens. Facebook kondigde in april 2014 aan dat externe ontwikkelaars geen data van vrienden van gebruikers meer konden verzamelen, maar liet hen dat tot april 2015 alsnog doen. Volgens de FTC zou Facebook daarmee pas in juni 2018 helemaal zijn gestopt.
De FTC hekelt ook de manier waarop Facebook toezicht hield op ontwikkelaars op het platform. Het sociale netwerk zou ontwikkelaars of hun apps niet screenen voordat zij gebruikersdata konden verzamelen. Het bedrijf zei hard op te treden tegen overtreders die te veel data verzamelden of dat op oneerlijke wijze deden, maar de FTC zegt dat Facebook dat helemaal niet genoeg deed. Ook zou het interne beleid genegeerd worden als Facebook daar financieel beter van werd.
De handelswaakhond heeft ook problemen met de manier waarop Facebook omgaat met gezichtsherkenning. Het bedrijf zou een functie genaamd 'Tag Suggestions' standaard aan hebben gezet om op basis daarvan gezichtsherkenningsalgoritmes te trainen, terwijl het bedrijf in zijn dataverwerkingsovereenkomst schreef dat de functie opt-in was. Tot slot hekelt de FTC het feit dat Facebook telefoonnummers gebruikte om er advertentiefuncties aan te koppelen, ook als gebruikers dat aanvankelijk alleen voor veiligheidsfuncties zoals tweestapsverificatie of back-up hadden ingesteld.
Veranderingen
De boete is niet de enige straf voor Facebook. Het bedrijf moet daarnaast zijn hele privacybeleid van de grond af opnieuw opbouwen. De handelsautoriteit heeft flinke maatregelen afgedwongen. Veel van de dingen waarvoor het bedrijf nu beboet is, zoals het misbruiken van telefoonnummers, moeten onmiddellijk stoppen. Ook moet Facebook gebruikerswachtwoorden versleutelen en regelmatig controleren of die niet in plaintext zijn opgeslagen. Die maatregel wordt doorgevoerd nadat bleek dat Facebook honderden miljoenen wachtwoorden leesbaar opsloeg.
Facebook moet van de FTC op hoog niveau maatregelen doorvoeren om de privacy beter te beschermen. Dat begint bij het bestuursniveau; de maatregelen zijn bedoeld om de macht van Mark Zuckerberg in te perken. Zo moet Facebook een onafhankelijke privacycommissie oprichten. Die moet toezicht houden op de algehele privacyaspecten van het hele sociale netwerk. Leden van die commissie moeten worden benoemd door een andere onafhankelijke commissie, en kunnen alleen ontslagen worden door een meerderheid van de Raad van Bestuur.
Hetzelfde geldt voor nieuwe compliance officers die in verschillende afdelingen van het bedrijf worden ingezet. Die vallen onder de privacycommissie en gaan toezicht houden op kleiner niveau. Met name het feit dat Mark Zuckerberg hen als grootaandeelhouder niet kan ontslaan, is volgens de FTC een belangrijke stap. De compliance officers moeten ieder kwartaal een onafhankelijk rapport aan de FTC uitbrengen waarin zij aantonen dat ze aan individuele eisen uit de nieuwe regelgeving voldoen.
De FTC krijgt zelf ook meer mogelijkheden om toezicht op Facebook te houden. De waakhond kan externe onderzoekers aanwijzen om te controleren of Facebook zich aan de nieuw opgelegde privacyregels houdt en of daar in de toekomst mogelijk risico's ontstaan. Onder de nieuwe regels mag de FTC ook meer tools inzetten om de regels te handhaven, al is niet helemaal duidelijk wat voor regels dat zijn.
Reactie Facebook
Facebook zegt in een reactie weinig inhoudelijks over de boete, behalve dat het de nieuwe regels van de FTC zal implementeren. De eerste stap die het bedrijf daarvoor zet, is dat het meer restricties oplegt aan apps die data verzamelen via vriendschappen op het netwerk. Gebruikers krijgen ook meer inzicht in welke apps zij aan Facebook hebben gekoppeld, en het sociale netwerk gaat mensen belonen die misstanden door appontwikkelaars aan de kaak stellen.
De FTC heeft overigens niet alleen Facebook aangepakt. De waakhond heeft tegelijkertijd Cambridge Analytica aangeklaagd. Het bedrijf zou gebruikers verkeerd hebben voorgelicht over de manier waarop het persoonlijke data verzamelde.