Facebook zal de Amerikaanse toezichthouder FTC een recordbedrag van 5 miljard dollar betalen wegens het schenden van de privacy van gebruikers, misleiding en het schenden van een eerdere schikking. De sociale netwerksite moet zich ook aan nieuwe regels houden en de bedrijfsstructuur aanpassen.

Dat laat de FTC vandaag weten nadat er opnieuw een schikking met Facebook is getroffen. Volgens de toezichthouder blijkt uit onderzoek dat Facebook herhaaldelijk misleidende aankondigingen en instellingen gebruikte om de privacyvoorkeuren van gebruikers te ondermijnen, waarmee het een bevel van de FTC uit 2012 heeft overtreden. Door deze tactieken kon het bedrijf de persoonlijke informatie van gebruikers met third-party apps delen die door Facebookvrienden van de gebruikers waren gedownload.

De FTC stelt dat veel gebruikers niet wisten dat Facebook deze informatie deelde en namen daardoor geen maatregelen om het delen te stoppen. Tevens laat de toezichthouder weten dat Facebook niet voldoende heeft gedaan om apps aan te pakken waarvan het wist dat die het beleid schonden.

Naast het bedrag moet Facebook ook een onafhankelijke privacycommissie oprichten, waardoor directeur Mark Zuckerberg geen onbeperkte controle meer heeft. De leden van de privacycommissie moeten onafhankelijk zijn en worden door een onafhankelijke commissie genomineerd. Daarnaast kunnen de leden van deze commissie alleen door een meerderheid van de raad van bestuur worden ontslagen.

Verder moet Facebook verschillende "compliance officers" aanwijzen die verantwoordelijk voor Facebooks privacyprogramma zijn. Deze officers worden goedgekeurd door de privacycommissie en zijn alleen door deze commissie te ontslaan en niet door Zuckerberg of andere Facebookmedewerkers. Zuckerberg en de aangewezen compliance officers moet elk kwartaal verklaren dat het bedrijf zich aan de regels van het privacyprogramma houdt, alsmede een jaarlijkse verklaring die voor het gehele bedrijf geldt. Valse verklaringen kunnen met individuele civiele en strafrechtelijke boetes worden bestraft.

Privacyprogramma

Als onderdeel van het privacyprogramma moet Facebook een privacycontrole van elk nieuw of aangepast product uitvoeren voordat het wordt uitgerold en de beslissingen over de privacy van gebruikers documenteren. Tevens moet Facebook alle datalekken documenteren waarbij de gegevens van 500 gebruikers of meer zijn gecompromitteerd en wat het hier aan doet.

Facebook moet verder de wachtwoorden van gebruikers versleutelen en geregeld controleren of wachtwoorden in plaintext zijn opgeslagen. Dit naar aanleiding van incidenten waarbij wachtwoorden niet versleuteld waren opgeslagen. Daarnaast mag Facebook niet meer om de e-mailwachtwoorden van andere diensten vragen als gebruikers een Facebookaccount aanmaken.

Eerdere schikking

De nieuwe schikking volgt op een schikking uit 2012. Destijds werd afgesproken dat Facebook geen verkeerde voorstelling van de privacy of veiligheid van gebruikersgegevens mocht geven en de mate waarmee het deze gegevens deelde. Facebook schond deze schikking door gegevens van Facebookvrienden van gebruikers te delen met app-ontwikkelaars, ook als die vrienden strengere privacyinstellingen hadden ingesteld.

De FTC beweert ook dat Facebook gebruikers misleidde met de mogelijkheid om gezichtsherkenningstechnologie binnen hun accounts te gebruiken en beheren. Het databeleid van Facebook dat vorig jaar april werd bijgewerkt was volgens de FTC voor tientallen miljoenen gebruikers misleidend die Facebooks gezichtsherkenningsinstelling "Tag Suggesties" hebben. De instelling stond namelijk standaard ingeschakeld. Het beleid liet echter weten dat gebruikers gezichtsherkenning voor hun accounts zelf moesten inschakelen.

Afsluitend stelt de FTC dat Facebook gebruikers misleidde door hun telefoonnummer voor beveiligingsdoeleinden te vragen, maar niet meldde dat het deze telefoonnummers ook voor advertentiedoeleinden gebruikte.