Informatie van privégroepen op Facebook kon door zo’n honderd externe ontwikkelaars worden ingezien door een verouderde api. Het zou gaan om makers van videostreamingdiensten en socialemedia-apps die toegang hadden tot namen en profielfoto’s van gebruikers.

Dat gebeurde nadat Facebook veranderingen doorvoerde aan de Groups-api. Ontwikkelaars konden daarmee een koppeling maken tussen hun apps en Groepen op het platform. Admins van een groep konden een app daarvoor toegang geven, waarop de app-makers informatie over de groep konden inzien. In april 2018 voerde Facebook veranderingen aan die api door, zodat app-makers alleen nog de naam van de privégroep en het aantal leden konden zien. Voor meer informatie, zoals de namen van de leden van een groep of hun profielfoto, moesten de leden zelf toestemming verlenen met een opt-in.

Facebook waarschuwt nu dat sommige app-ontwikkelaars ook na die veranderingen alsnog toegang hadden tot die informatie, ook zonder de opt-in van gebruikers. Het zou gaan om ‘zo’n honderd partners’. Dat zijn partners van wie Facebook vermoedt dat ze de gegevens van groepsleden ook daadwerkelijk hebben opgezocht. Zeker elf ontwikkelaars hebben dat in de laatste twee maanden daadwerkelijk gedaan. Hoeveel ontwikkelaars in totaal toegang hadden tot informatie van groepsleden zegt Facebook niet. Evenmin is bekend tot welke informatie de app-makers toegang hadden. Facebook schrijft dat het gaat om data ‘zoals namen en profielfoto’s’.

Facebook vertelt ook niet om welke applicaties het gaat. Wel zegt het bedrijf de toegang tot de api te hebben ingetrokken en de bedrijven te hebben aangesproken. “We zien op dit moment geen bewijs van misbruik”, schrijft het bedrijf. “We vragen onze partners alle ledendata te verwijderen die zij hebben verzameld, en we zullen controles uitvoeren om te verzekeren dat dat ook is gebeurd.”