Meta: amendă de 25 de miliarde pentru promisiunile privind datele

Pe 21 octombrie 2026, judecătorul Francis J. Mathew de la tribunalul districtual din New Mexico a obligat Meta să plătească statului 25 de miliarde de dolari pentru că i-a înșelat pe utilizatorii Facebook cu privire la modul în care le erau tratate datele personale. Potrivit SecurityWeek și Security Affairs, este cea mai mare sancțiune aplicată vreodată companiei. Știrea a fost relatată de The Record, SecurityWeek, The Hacker News, Security Affairs și CSO Online; Meta a anunțat că va face apel.

Nu este vorba de un atac informatic: cazul privește declarațiile publice ale unei companii despre controlul datelor și accesul dezvoltatorilor terți. Tocmai de aceea îi interesează pe cei care gestionează integrări, API-uri și note de informare privind confidențialitatea.

Ce s-a întâmplat

În septembrie, un juriu a stabilit că Meta a încălcat de peste 43 de milioane de ori legea statului New Mexico privind practicile comerciale incorecte, prin declarații înșelătoare despre modul în care Facebook gestiona datele utilizatorilor. Fiecare încălcare se pedepsește cu o amendă civilă de până la 5.000 de dolari.

Sumele în discuție erau foarte diferite:

• statul cerea între 35 și 40 de miliarde, susținând că doar un impact asupra valorii acțiunilor ar face compania să se schimbe;
• avocații Meta indicau un maxim de 3,4 miliarde, considerând neconstituțională orice sumă mai mare;
• înmulțind încălcările cu amenda maximă se ajungea la aproximativ 220 de miliarde potrivit The Record, 219 miliarde potrivit CSO Online.

Judecătorul a stabilit amenda la 25 de miliarde; CSO Online observă că reducerea nu a fost explicată. Potrivit The Record, la sumă se adaugă dobânzi de 15% pe an până la plată. Conform Constituției statului New Mexico, astfel de amenzi finanțează educația, dar din cauza apelului ar putea trece ani până când statul încasează banii.

Nu totul a fost împotriva Meta: potrivit SecurityWeek, juriul a respins acuzațiile de declarații false privind eliminarea conținutului dăunător, inclusiv dezinformarea despre COVID-19.

Originea: Cambridge Analytica

Procesul, început în 2021, pornește de la cazul Cambridge Analytica, dezvăluit de un avertizor de integritate în 2018. Potrivit Security Affairs, circa 300.000 de persoane au completat un test de personalitate într-o aplicație terță, care a colectat și datele prietenilor lor: în total aproximativ 87 de milioane de profiluri, folosite apoi de firma britanică de consultanță politică pentru publicitate țintită în timpul alegerilor prezidențiale din SUA din 2016. Meta interzisese aplicația în 2015 și ceruse ștergerea datelor; Cambridge Analytica s-a închis în mai 2018. CSO Online plasează încălcările contestate între 2010 și 2021.

Ce a scris judecătorul

Motivarea, relatată de The Record și SecurityWeek, atinge puncte pe care orice responsabil IT le recunoaște:

• control al datelor declarat, dar nereal: „Facebook le promitea utilizatorilor că ei își controlau datele. Era fals”, a scris judecătorul;
• dezvoltatori terți neverificați în momentul în care primeau acces la datele utilizatorilor;
• evidențe deficitare: din acest motiv, potrivit judecătorului, Facebook nu putea nici să facă investigația „completă” promisă după scandal, nici să impună ștergerea datelor deja transmise;
• o investigație internă asupra dezvoltatorilor (App Developer Investigation) descrisă drept „în mod deliberat ineficientă”, din cauza presiunilor conducerii de a limita costurile, a mecanismelor de control slabe și a tehnicilor de investigare deficitare;
• o infrastructură de acces la date și protocoale de control pe care utilizatorii nu le puteau verifica, lucru de care compania, potrivit judecătorului, a profitat.

Meta contestă decizia: pentru directorul său juridic, C.J. Mahoney, procesul urmărește „să impună o taxă pe libertatea de exprimare” și face „aproape imposibilă” activitatea în acest stat.

Alte sancțiuni

Suma este de cinci ori mai mare decât amenda de 5 miliarde aplicată de FTC în 2019. Pentru Cambridge Analytica, Meta a plătit deja 725 de milioane în 2022 pentru a încheia o acțiune colectivă, iar 459 de milioane fac parte din acordul din august cu aproape toate statele SUA privind siguranța minorilor: 18 miliarde potrivit SecurityWeek și Security Affairs, aproximativ 17 potrivit The Record. New Mexico nu a aderat și în martie obținuse deja 375 de milioane într-un alt proces privind protecția minorilor; CSO Online menționează și o amendă de puțin sub 1 miliard în iulie, nerelatată de celelalte surse.

Impactul pentru companiile europene și italiene

Sentința aplică o lege statală americană de protecție a consumatorilor, dar principiile coincid cu cele ale GDPR: transparență față de persoanele vizate, responsabilitatea operatorului (să demonstreze, nu doar să declare), controlul asupra celor care primesc datele și capacitatea de a impune ștergerea la destinatari. CSO Online amintește că anul trecut amenzile GDPR din Europa au atins recordul de 1,2 miliarde de euro.

Pentru entitățile NIS2 (în Italia, Decretul legislativ 138/2024), securitatea lanțului de aprovizionare, inclusiv furnizorii și integrările care accesează sistemele, face parte din măsurile obligatorii de gestionare a riscurilor. Cazul arată ce se întâmplă când accesul terților crește fără inventar, verificări și evidențe.

Ce să faci acum

1. Fă inventarul integrărilor care accesează date personale: aplicații OAuth autorizate în tenanții cloud, chei API, conectori; pentru fiecare, permisiunile acordate și un responsabil intern. Revocă-le pe cele nefolosite.
2. Verifică înainte de a acorda acces: evaluarea furnizorului, permisiuni minime, atenție specială la permisiunile care expun datele altor persoane decât utilizatorul care autorizează.
3. Înregistrează accesările terților: cine a citit ce date, când și în ce volum, cu o păstrare suficientă pentru a reconstitui faptele și după ani de zile.
4. Fă ștergerea aplicabilă: clauze contractuale, confirmări scrise, drept de audit și revocarea tehnică a credențialelor la încheierea relației.
5. Aliniază notele de informare și declarațiile publice la realitatea tehnică: fiecare frază despre controlul, partajarea și ștergerea datelor trebuie verificată cu cei care gestionează sistemele.
6. Pregătește procedura de investigare a abuzurilor terților, cu resurse și criterii stabilite înainte de incident.

Cum ajută ARXDOME

Printre punctele reproșate de judecător se află evidențele deficitare, care au împiedicat reconstituirea celor care accesaseră datele. ARX Sentry colectează loguri și evenimente de pe computere, servere și firewalluri; ARX Retain le păstrează pentru anii ceruți pe stocare europeană, cu blocarea obiectelor care împiedică modificarea lor, legal hold și un registru al fiecărei operațiuni, pentru a le putea restaura în cazul unui audit sau al unei investigații.

Ultima actualizare: 23 octombrie 2026