Das ICO bemängelte nun, dass Facebook den App-Entwicklern ohne eine rechtliche Basis Zugang zu den Daten gewährt habe. »Zwischen 2007 und 2014 hat Facebook die personenbezogenen Daten von Nutzern unrechtmäßig verarbeitet, indem es Anwendungsentwicklern ohne hinreichend klare und informierte Zustimmung Zugang zu ihren Daten gewährt hat. Der Zugang wurde auch dann ermöglicht, wenn die Nutzer die App nicht heruntergeladen haben, sondern einfach nur mit Personen befreundet waren, die die App hatten.«
Selbst nachdem der Missbrauch der Daten im Dezember 2015 entdeckt worden sei, habe Facebook nicht genug zur Aufklärung der Affäre und den Schutz der Facebook-Mitglieder getan, kritisierte das ICO. Die Mutterfirma von Cambridge Analytica, die SCL Group, sei erst 2018 von der Facebook-Plattform verbannt worden. Nach den Recherchen des ICO hatte Cambridge Analytica die Daten von über einer Million Menschen in Großbritannien mit der Quiz-App gewinnen können.
In Deutschland wurde Facebook wegen des Datenskandals nicht belangt. Anfang Oktober stellte der Hamburger Datenschutzbeauftragte Johannes Caspar sein Bußgeldverfahren gegen Facebook in dieser Sache ein. Ein Grund sei, dass die meisten Datenabrufe, um die es ging, schon verjährt gewesen seien, begründeten die Hamburger Datenschützer ihren Schritt. Da auch deutsche Facebook-Nutzer betroffen waren, hatte Caspar zunächst ein Verfahren wegen »Erhebung von Daten ohne Rechtsgrund« und mit einer Bußgeldandrohung von bis zu 300.000 Euro auf den Weg gebracht.
Die App-Entwickler hätten aber nur bis Ende Mai 2015 Zugang zu den Daten gehabt, erklärten die deutschen Datenschützer. Nicht verjährt seien nur die Datenzugriffe im Zeitraum vom 20.05.2015 bis zum 30.05.2015 gewesen.
Ein Facebook-Sprecher erkläre, man prüfe derzeit die Entscheidung des ICO.. Bei allem Respekt sei man mit manchen Ergebnissen der Untersuchung nicht einverstanden. Gleichwohl habe man selbst zuvor gesagt, dass Facebook mehr hätten tun sollen, um die Behauptungen über Cambridge Analytica zu untersuchen und schon im Jahr 2015 Maßnahmen zu ergreifen.