In generale sono d'accordo con te, ma un incidente non comporta necessariamente la multa.
Le multe sono previste per chi non rispetta la legge, non per chi ha incidenti. Le due cose possono andare a braccetto o no, come per un incidente in auto: se esci di strada per avere forato una gomma non paghi, ma se esci per eccesso di velocità e abbatti un cartello, qualche multa ti arriva. Nel caso del GDPR, se Facebook ha adottato difese ragionevoli e ha avvisato dell'incidente sia il garante sia gli utenti, probabilmente non verrà multata. Il mese scorso il garante della privacy italiano ha
multato alcune strutture italiane per avere subito incidenti, ma non sono sicuro che abbia interpretato correttamente la legge.
D'altro canto neanche gli enti pubblici rispettano alla lettera i regolamenti. Quando la UE ha emesso il GDPR, ci ha messo una clausola per cui non si applicava a sé stessa. La UE si è adeguata solo due anni dopo (con il
regolamento 2018/175) e solo in parte (in pratica non è soggetta a multe). Per esempio il sito EPSO per candidarsi a posizioni UE non permette di cancellare l'account per due anni dopo la candidatura con la scusa che devono mantenere i dati per gestire eventuali reclami. Gli ho spiegato che le due cose non sono direttamente legate, ma non le hanno risolte e non c'è nessuno più in alto a cui fare reclamo.
Avendo lavorato come consulente per alcuni anni per un ente europeo, non ho fiducia che le cose cambieranno a breve. Godono di impunità, sono poco trasparenti e fanno i regolamenti senza tenere conto degli sforzi richiesti a privati e PMI. Secondo me si fanno anche influenzare e/o hanno paura di confrontarsi con i grandi colossi come Google, Facebook e Amazon. Per esempio hanno lasciato che evadessero miliardi di tasse per anni e hanno imposto limiti assoluti alle multe del GDPR (una PMI può fallire mentre Google e Facebook pagano al massimo quelle che per loro sono briciole).
Secondo me è inutile accanirsi con Facebook per un incidente di sicurezza. Facebook (e Google e quelli come loro) è un problema per la privacy. Per il resto non è diversa dalle centinaia di grosse aziende che hanno subito furti di dati negli ultimi anni.