Meta: sanción de 25.000 millones por sus promesas de privacidad

El 21 de octubre de 2026, el juez Francis J. Mathew del tribunal de distrito de Nuevo México condenó a Meta a pagar al estado 25.000 millones de dólares por engañar a los usuarios de Facebook sobre el tratamiento de sus datos personales. Según SecurityWeek y Security Affairs, es la sanción más alta impuesta nunca a la empresa. La noticia la publican The Record, SecurityWeek, The Hacker News, Security Affairs y CSO Online; Meta ha anunciado que recurrirá.

No se trata de un ciberataque: el caso se refiere a las declaraciones públicas de una empresa sobre el control de los datos y el acceso de desarrolladores externos. Precisamente por eso interesa a quien gestiona integraciones, API y avisos de privacidad.

Qué ha pasado

En septiembre, un jurado determinó que Meta había infringido más de 43 millones de veces la ley de Nuevo México sobre prácticas comerciales desleales, con declaraciones engañosas sobre cómo Facebook gestionaba los datos de los usuarios. Cada infracción conlleva una sanción civil de hasta 5.000 dólares.

Las cifras en juego eran muy distintas:

• el estado pedía entre 35.000 y 40.000 millones, con el argumento de que solo un impacto en el valor de las acciones haría cambiar a la empresa;
• los abogados de Meta fijaban un máximo de 3.400 millones y consideraban inconstitucional cualquier cifra superior;
• multiplicando las infracciones por la sanción máxima se llegaba a unos 220.000 millones según The Record, 219.000 millones según CSO Online.

El juez fijó la sanción en 25.000 millones; CSO Online señala que la reducción no se explicó. Según The Record, el importe genera intereses del 15 % anual hasta el pago. Según la Constitución de Nuevo México, estas sanciones financian la educación, pero con el recurso podrían pasar años hasta que el estado cobre.

No todo fue en contra de Meta: según SecurityWeek, el jurado rechazó las acusaciones de declaraciones falsas sobre la retirada de contenidos dañinos, incluida la desinformación sobre la COVID-19.

El origen: Cambridge Analytica

El procedimiento, iniciado en 2021, nace del caso Cambridge Analytica, destapado por un denunciante en 2018. Según Security Affairs, unas 300.000 personas respondieron a un test de personalidad en una aplicación de terceros que recogió también los datos de sus amigos: en total, unos 87 millones de perfiles, utilizados después por la consultora política británica para publicidad dirigida durante las presidenciales estadounidenses de 2016. Meta había prohibido la aplicación en 2015 y pidió que se borraran los datos; Cambridge Analytica cerró en mayo de 2018. CSO Online sitúa las infracciones entre 2010 y 2021.

Qué escribió el juez

Los fundamentos, recogidos por The Record y SecurityWeek, tocan puntos que cualquier responsable de TI reconoce:

• control de los datos declarado pero no real: «Facebook prometía a los usuarios que ellos controlaban sus datos. Era falso», escribió el juez;
• desarrolladores externos no verificados en el momento en que obtenían acceso a los datos de los usuarios;
• registros deficientes: por ello, según el juez, Facebook no podía llevar a cabo la investigación «exhaustiva» prometida tras el escándalo ni imponer el borrado de los datos ya compartidos;
• una investigación interna sobre los desarrolladores (App Developer Investigation) calificada de «deliberadamente ineficaz», por la presión de la dirección para contener costes, mecanismos de control débiles y técnicas de investigación deficientes;
• una infraestructura de acceso a los datos y unos protocolos de control que los usuarios no podían verificar, algo que la empresa, según el juez, aprovechó.

Meta rechaza la decisión: para su director jurídico, C.J. Mahoney, la demanda busca «imponer un impuesto a la libertad de expresión» y hace «casi imposible» operar en el estado.

Otras sanciones

La cifra quintuplica la multa de 5.000 millones impuesta por la FTC en 2019. Por Cambridge Analytica, Meta ya pagó 725 millones en 2022 para cerrar una demanda colectiva, y 459 millones forman parte del acuerdo de agosto con casi todos los estados de EE. UU. sobre la seguridad de los menores: 18.000 millones según SecurityWeek y Security Affairs, unos 17.000 según The Record. Nuevo México no se sumó y en marzo ya había obtenido 375 millones en otra causa sobre la protección de los menores; CSO Online menciona además una sanción de poco menos de 1.000 millones en julio, que las demás fuentes no recogen.

Impacto para las empresas europeas e italianas

La sentencia aplica una ley estatal estadounidense de protección del consumidor, pero sus principios coinciden con los del RGPD: transparencia hacia los interesados, responsabilidad proactiva del responsable (demostrar, no solo declarar), control sobre quién recibe los datos y capacidad de hacer valer el borrado ante los destinatarios. CSO Online recuerda que el año pasado las multas del RGPD en Europa alcanzaron el récord de 1.200 millones de euros.

Para las entidades sujetas a NIS2 (en Italia, el Decreto Legislativo 138/2024), la seguridad de la cadena de suministro, incluidos los proveedores y las integraciones que acceden a los sistemas, forma parte de las medidas de gestión del riesgo exigidas. El caso muestra lo que ocurre cuando el acceso de terceros crece sin inventario, controles ni registros.

Qué hacer ya

1. Haz el inventario de las integraciones que acceden a datos personales: aplicaciones OAuth autorizadas en los tenants en la nube, claves API, conectores; para cada una, permisos concedidos y responsable interno. Revoca las que no se usan.
2. Verifica antes de conceder acceso: evaluación del proveedor, permisos mínimos, especial atención a los permisos que exponen datos de personas distintas del usuario que autoriza.
3. Registra los accesos de terceros: quién leyó qué datos, cuándo y en qué volumen, con una conservación suficiente para reconstruir los hechos años después.
4. Haz que el borrado sea exigible: cláusulas contractuales, confirmaciones por escrito, derecho de auditoría y revocación técnica de las credenciales al terminar la relación.
5. Alinea los avisos de privacidad y las declaraciones públicas con la realidad técnica: cada frase sobre control, cesión y borrado de datos debe verificarse con quien gestiona los sistemas.
6. Prepara el procedimiento de investigación de abusos de terceros, con recursos y criterios definidos antes del incidente.

Cómo ayuda ARXDOME

Entre los puntos señalados por el juez están los registros deficientes, que impidieron reconstruir quién había accedido a los datos. ARX Sentry recoge registros y eventos de ordenadores, servidores y cortafuegos; ARX Retain los conserva durante los años exigidos en almacenamiento europeo, con bloqueo de objetos que impide modificarlos, retención legal (legal hold) y un registro de cada operación, para poder restaurarlos en una auditoría o una investigación.

Última actualización: 23 de octubre de 2026