Италия оштрафовала Meta на €805 млн за доступ приложения Facebook для Android к фотографиям пользователей

Итальянское ведомство по защите данных оштрафовало Meta Platforms Ireland Limited на €805 млн из-за функции Facebook для Android, которая получала доступ к фотографиям пользователей без их достаточно конкретного и информированного согласия.

Решение, объявленное 14 ноября, касается функции, которая предлагала фотографии из галереи устройства во время просмотра Facebook. Как установил регулятор, с 2023 года эта функция была включена по умолчанию и могла получать доступ к фотографиям, видео и связанным с ними метаданным на устройствах итальянских пользователей.

Для владельцев криптовалют этот случай указывает на риск, выходящий далеко за рамки социальных сетей: в медиатеке телефона могут храниться сведения, раскрывающие доступ к кошельку, историю транзакций или личность пользователя. Приложению необязательно быть криптокошельком, чтобы получить доступ к конфиденциальной информации о цифровых активах, если оно может просматривать медиафайлы на устройстве.

Что установил итальянский регулятор

Ведомство пришло к выводу, что процесс предоставления разрешений в приложении Facebook для Android не давал пользователям достаточно ясного выбора в отношении функции рекомендаций из галереи. Вместо отдельного информированного согласия на конкретное использование фотографий приложение запрашивало одно общее разрешение.

Регулятор также установил, что такой порядок обеспечивал постоянный доступ к галерее устройства, при этом ни пользователи, ни само ведомство не могли независимо проверить, в каком объёме и каким образом использовались эти материалы.

Решение основано на статье 122 итальянского Кодекса о защите персональных данных, которая реализует положения Директивы ЕС о конфиденциальности и электронных коммуникациях. Регулятор подчеркнул, что информация, хранящаяся на телефоне, относится к личной сфере человека. По оценке ведомства, для доступа к ней требовалось действительное согласие — независимо от того, передавались ли данные куда-либо ещё и был ли уже причинён конкретный ущерб.

Meta утверждала, что этот вопрос должен находиться в юрисдикции ирландского регулятора по защите данных. Итальянское ведомство отклонило этот довод, постановив, что европейский трансграничный механизм «единого окна» не распространяется на данное разбирательство в рамках правил ePrivacy.

Почему штраф оказался настолько крупным

При определении размера штрафа в €805 млн ведомство учло несколько факторов:

• Потенциально были затронуты около 20 млн пользователей Android в Италии.
• Нарушение продолжалось в течение длительного времени.
• В отношении Meta уже применялись меры надзорного реагирования, начиная с 2019 года.
• Регулятор счёл сотрудничество компании в ходе расследования недостаточным.

Согласно оценке регулятора, сумма штрафа составила около 0,47% мировой выручки Meta.

Компании предписано в течение 60 дней отключить эту функцию по умолчанию, разъяснить её назначение и порядок отключения, а также получать отдельное и явно выраженное согласие перед её активацией. Кроме того, Meta должна отчитаться о ходе устранения нарушений через 30 и 90 дней.

Решение не устанавливает, что содержимое галерей использовалось для обучения моделей искусственного интеллекта; Meta отрицает такое использование. Отдельная облачная функция обработки фотографий, запланированная на 2026 год, будет рассмотрена отдельно.

Почему доступ к фотографиям важен для владельцев криптовалют

На первый взгляд галерея — это всего лишь коллекция обычных изображений. Однако в ней могут содержаться сведения о цифровых активах человека. Снимки экрана, загруженные файлы и фотографии способны раскрыть:

• Фразы восстановления или приватные ключи, сохранённые при настройке кошелька.
• Адреса кошельков, историю транзакций или остатки на счетах.
• QR-коды для доступа к кошелькам, проведения платежей или восстановления учётных записей.
• Документы, удостоверяющие личность, которые отправлялись при прохождении верификации на бирже.
• Сведения о поездках, местоположении или контактах, встроенные в метаданные изображений.

Не вся эта информация позволяет напрямую получить контроль над средствами. Например, адрес кошелька обычно является общедоступным. Однако, если сопоставить его с именем или другими идентифицирующими сведениями, связать активность в блокчейне с конкретным человеком становится гораздо проще. Фраза восстановления или приватный ключ значительно опаснее: любой, кто получит к ним доступ, потенциально сможет распоряжаться связанными с ними активами.

Это различие важно, поскольку блокчейны обеспечивают прозрачность, но не гарантируют автоматическую анонимность. В материале Ethereum Foundation об учётных записях объясняется, что контроль над ними зависит от приватных ключей. Защищать эти ключи жизненно необходимо, но не менее важно ограничивать ненужное раскрытие связанной с ними личной информации.

Как снизить риски

Это решение напоминает о необходимости проверять, к каким данным имеют доступ приложения, особенно на устройствах, используемых для операций с криптовалютой.

1. Проверьте разрешения на доступ к фотографиям и видео. Посмотрите, какие приложения могут просматривать ваши медиафайлы, и отзовите ненужные разрешения. Если такая возможность доступна, предоставляйте доступ только к выбранным изображениям, а не ко всей медиатеке. Доступные варианты описаны в документации Android по системному средству выбора фотографий.
2. Не храните фразы восстановления в галерее. Не фотографируйте и не делайте снимки экрана сид-фразы, не сохраняйте её в приложении для заметок или облачной медиатеке. Создайте офлайн-копию и храните её в безопасном месте.
3. Осторожнее со снимками экрана. Прежде чем сохранить изображение или поделиться им, проверьте, не раскрывает ли оно баланс, адреса, QR-коды, идентификаторы учётной записи или персональные данные.
4. Проверьте облачные резервные копии. Удаление конфиденциального изображения с телефона не всегда сразу удаляет все его синхронизированные копии. Проверьте подключённые сервисы резервного копирования и их настройки удаления данных.
5. Повторно проверяйте разрешения после обновлений. Функции приложений и запросы разрешений могут меняться. Периодическая проверка поможет убедиться, что ранее предоставленный доступ по-прежнему соответствует тому, как вы хотите использовать приложение.

Более общий вывод для безопасности цифровых активов

Решение в отношении Meta наглядно показывает границу, с которой владельцы криптовалют сталкиваются каждый день: разрешение пользоваться приложением не обязательно означает осознанное согласие со всеми способами, которыми оно может обращаться к данным на устройстве.

Самостоятельное хранение активов возлагает на пользователей ответственность за их ключи, однако практическая безопасность охватывает и всю окружающую их цифровую среду. Аппаратный кошелёк, такой как OneKey, помогает при обычном использовании хранить приватные ключи отдельно от телефона или компьютера. Но он не может запретить другим приложениям доступ к фотографиям, если вы сами предоставили им соответствующее разрешение, — и не защитит фразу восстановления, которую сфотографировали и сохранили в галерее.

Наиболее надёжный подход — сочетать безопасное хранение ключей с внимательным управлением разрешениями на устройстве и офлайн-копией данных для восстановления.