Meta: sanzione da 25 miliardi per le promesse sulla privacy

Il 21 ottobre 2026 il giudice Francis J. Mathew del tribunale distrettuale del New Mexico ha condannato Meta a pagare allo Stato 25 miliardi di dollari per aver ingannato gli utenti di Facebook sul trattamento dei loro dati personali. È la sanzione più alta mai inflitta all’azienda, secondo SecurityWeek e Security Affairs. La notizia è riportata da The Record, SecurityWeek, The Hacker News, Security Affairs e CSO Online; Meta ha annunciato ricorso.

Non si tratta di un attacco informatico: il caso riguarda le dichiarazioni pubbliche di un’azienda sul controllo dei dati e sull’accesso degli sviluppatori di terze parti. Proprio per questo interessa chi gestisce integrazioni, API e informative privacy.

Cosa è successo

A settembre una giuria ha stabilito che Meta ha violato oltre 43 milioni di volte la legge del New Mexico sulle pratiche commerciali scorrette, con dichiarazioni fuorvianti su come Facebook gestiva i dati degli utenti. Ogni violazione prevede una sanzione civile fino a 5.000 dollari.

Le cifre in gioco erano molto diverse:

• lo Stato chiedeva tra 35 e 40 miliardi, sostenendo che solo un impatto sul valore delle azioni avrebbe spinto l’azienda a cambiare;
• i legali di Meta indicavano un massimo di 3,4 miliardi, ritenendo incostituzionale qualsiasi cifra superiore;
• moltiplicando le violazioni per la sanzione massima si arrivava a circa 220 miliardi secondo The Record, a 219 miliardi secondo CSO Online.

Il giudice ha fissato la sanzione a 25 miliardi; CSO Online osserva che la riduzione non è stata spiegata. Secondo The Record, sull’importo maturano interessi del 15% annuo fino al pagamento. Per la Costituzione del New Mexico le sanzioni di questo tipo finanziano l’istruzione, ma con il ricorso potrebbero passare anni prima che lo Stato incassi.

Non tutto è andato contro Meta: secondo SecurityWeek, la giuria ha respinto le accuse di false dichiarazioni sulla rimozione dei contenuti dannosi, compresa la disinformazione sul COVID-19.

Le origini: Cambridge Analytica

Il procedimento, avviato nel 2021, nasce dal caso Cambridge Analytica, reso pubblico da un whistleblower nel 2018. Secondo Security Affairs, circa 300.000 persone compilarono un quiz della personalità in un’app di terze parti, che raccolse anche i dati dei loro amici: in totale circa 87 milioni di profili, poi usati dalla società di consulenza politica britannica per pubblicità mirata durante le presidenziali statunitensi del 2016. Meta aveva bandito l’app nel 2015 chiedendo di cancellare i dati; Cambridge Analytica ha chiuso nel maggio 2018. CSO Online colloca le violazioni contestate tra il 2010 e il 2021.

Cosa ha scritto il giudice

Le motivazioni, riportate da The Record e SecurityWeek, toccano punti che ogni responsabile IT riconosce:

• controllo dei dati dichiarato ma non reale: «Facebook prometteva agli utenti che erano loro a controllare i propri dati. Era falso», ha scritto il giudice;
• sviluppatori di terze parti non verificati al momento in cui ottenevano l’accesso ai dati degli utenti;
• registrazioni carenti: per questo Facebook, secondo il giudice, non era in grado di svolgere l’indagine «completa» promessa dopo lo scandalo né di imporre la cancellazione dei dati già usciti;
• un’indagine interna sugli sviluppatori (App Developer Investigation) definita «volutamente inefficace», a causa delle pressioni dei vertici per contenere i costi, di meccanismi di controllo deboli e di tecniche investigative scadenti;
• un’infrastruttura di accesso ai dati e protocolli di controllo che gli utenti non potevano verificare, circostanza di cui l’azienda, secondo il giudice, ha approfittato.

Meta contesta la decisione: per il suo responsabile legale C.J. Mahoney la causa cerca di «imporre una tassa sulla libertà di parola» e rende «quasi impossibile» operare nello Stato.

Le altre sanzioni

La cifra supera di cinque volte la multa di 5 miliardi inflitta dalla FTC nel 2019. Per Cambridge Analytica Meta ha già pagato 725 milioni nel 2022 per chiudere una class action, e 459 milioni fanno parte dell’accordo di agosto con quasi tutti gli Stati USA sulla sicurezza dei minori: 18 miliardi secondo SecurityWeek e Security Affairs, circa 17 secondo The Record. Il New Mexico non ha aderito e a marzo aveva già ottenuto 375 milioni in un’altra causa sulla tutela dei minori; CSO Online cita anche una sanzione di poco meno di 1 miliardo a luglio, non riportata dalle altre fonti.

Impatto per le aziende europee e italiane

La sentenza applica una legge statale statunitense sulla tutela dei consumatori, ma i principi coincidono con quelli del GDPR: trasparenza delle informazioni agli interessati, responsabilizzazione del titolare (dimostrare, non solo dichiarare), controllo su chi riceve i dati e capacità di far valere la cancellazione presso i destinatari. CSO Online ricorda che lo scorso anno in Europa le sanzioni GDPR hanno raggiunto il record di 1,2 miliardi di euro.

Per i soggetti NIS2 (in Italia il d.lgs. 138/2024) la sicurezza della catena di approvvigionamento, compresi i fornitori e le integrazioni che accedono ai sistemi, rientra tra le misure di gestione del rischio previste. Il caso mostra cosa succede quando l’accesso di terze parti cresce senza inventario, verifiche e registri.

Cosa fare subito

1. Fai l’inventario delle integrazioni che accedono a dati personali: app OAuth autorizzate nei tenant cloud, chiavi API, connettori; per ciascuna, permessi concessi e responsabile interno. Revoca quelle inutilizzate.
2. Verifica prima di concedere l’accesso: valutazione del fornitore, permessi minimi, attenzione particolare ai permessi che espongono dati di persone diverse dall’utente che autorizza.
3. Registra gli accessi delle terze parti: chi ha letto quali dati, quando e in che volume, con conservazione sufficiente a ricostruire i fatti anni dopo.
4. Rendi applicabile la cancellazione: clausole contrattuali, conferme scritte, diritto di verifica e revoca tecnica delle credenziali alla fine del rapporto.
5. Allinea informative e dichiarazioni pubbliche alla realtà tecnica: ogni frase su controllo, condivisione e cancellazione dei dati va verificata con chi gestisce i sistemi.
6. Prepara la procedura di indagine sugli abusi di terze parti, con risorse e criteri decisi prima dell’incidente.

Come aiuta ARXDOME

Tra i punti contestati dal giudice ci sono le registrazioni carenti, che hanno impedito di ricostruire chi aveva avuto accesso ai dati. ARX Sentry raccoglie log ed eventi di computer, server e firewall; ARX Retain li conserva per gli anni richiesti su storage europeo, con blocco degli oggetti che ne impedisce la modifica, legal hold e un registro di ogni operazione, così da poterli ripristinare per un audit o un’indagine.

Ultimo aggiornamento: 23 ottobre 2026