De ICO had in juli al aangekondigd dat het de boete wilde opleggen. Facebook mocht daar toen nog op reageren, maar dat heeft niets veranderd aan de strafmaat.

Volgens de ICO heeft Facebook de wet overtreden door de persoonlijke informatie van gebruikers onvoldoende te beschermen. Tussen 2007 en 2014 hadden app-ontwikkelaars toegang tot persoonlijke gegevens van Facebookgebruikers, zonder dat die daar toestemming voor hadden gegeven. Het ging niet alleen om mensen die een Facebookapplicatie hadden gedownload, maar ook om gebruikers die bevriend waren met mensen die dat hadden gedaan.

Cambridge Analytica wist de hand te leggen op de profielen van 87 miljoen Facebookgebruikers, onder wie 2,7 miljoen Europeanen. Het bedrijf gebruikte die gegevens zonder medeweten van de accounthouders voor andere zaken, zoals advertentiecampagnes en politieke beïnvloeding. Facebook ontdekte dat in 2015, maar verwijderde de eigenaar pas dit jaar uit de systemen.