Meta wurde dazu verurteilt, New Mexico 25 Milliarden US-Dollar zu zahlen, nachdem eine Jury festgestellt hatte, dass Facebook Verbraucher über seine Datenschutzpraktiken und andere Plattformrichtlinien getäuscht hatte.
Das Urteil, das am 21. Oktober von Francis Mathew, Richter am Bezirksgericht von New Mexico, erlassen wurde, folgt einem Juryentscheid vom September, in dem Meta für 43.899.725 Verstöße gegen den Unfair Practices Act des Bundesstaats haftbar gemacht wurde.
Im Mittelpunkt des Falls standen Vorwürfe, Facebook habe falsch dargestellt, wie das Unternehmen Nutzerdaten schützte, den Zugriff Dritter auf personenbezogene Daten verwaltete und schädliche Inhalte behandelte. Der Fall ging teilweise auf den Cambridge-Analytica-Skandal zurück, der 2018 ans Licht kam. Facebook schätzte, dass Informationen von bis zu 87 Millionen Nutzern möglicherweise unrechtmäßig mit der Politikberatungsfirma geteilt wurden.
New Mexicos Unfair Practices Act sieht zivilrechtliche Strafen von bis zu 5.000 US-Dollar für jeden vorsätzlichen Verstoß vor. Obwohl diese Berechnung zu einer theoretischen Strafe von mehr als 219 Milliarden US-Dollar führte, setzte Mathew die Zahlung auf 25 Milliarden US-Dollar herab.
„Der Schaden in dieser Angelegenheit lässt sich nur schwer überschätzen und berührt den Kern des grundlegenden Geschäftsmodells von Facebook“, schrieb Mathew in seinem Urteil. Die Anordnung sieht außerdem bis zur vollständigen Zahlung der Strafe einen jährlichen Zinssatz von 15 % vor.
Meta will Berufung einlegen
Meta weist das Urteil zurück und erklärt, das Unternehmen rechne damit, es vor Gericht aufheben zu lassen.
„Dieses Urteil und die Vorgehensweise des Generalstaatsanwalts bei dieser Durchsetzung machen es nahezu unmöglich, im Bundesstaat New Mexico Geschäfte zu machen“, erklärte Chief Legal Officer C.J. Mahoney in einer von CNBC zitierten Erklärung. „Im Kern zielt diese Klage darauf ab, eine Steuer auf Äußerungen zu erheben, um neue Regeln dafür durchzusetzen, was Menschen online sagen dürfen.“
Das Unternehmen argumentierte während des Verfahrens, der Bundesstaat habe nicht nachgewiesen, dass Verbraucher geschädigt worden seien, und stellte infrage, wie die Behörden die Verstöße berechnet hatten. Meta erklärt, zuversichtlich zu sein, dass das Unternehmen im Berufungsverfahren obsiegen wird.
New Mexico verfolgte den Fall unabhängig, statt sich einem Abkommen mehrerer Bundesstaaten anzuschließen, mit dem ähnliche Vorwürfe beigelegt wurden. Meta zahlte 2019 bereits 5 Milliarden US-Dollar, um ein Verfahren der Federal Trade Commission beizulegen, und stimmte 2022 einem Vergleich über 725 Millionen US-Dollar in einer Sammelklage von Facebook-Nutzern zu.
Warum Datenschutzversprechen für Sicherheitsteams wichtig sind
Das Urteil macht deutlich, welchem finanziellen Risiko Unternehmen ausgesetzt sein können, wenn ihre öffentlichen Datenschutzversprechen nicht mit ihrer tatsächlichen Praxis übereinstimmen. Strafen können sich bei wiederholten Verstößen summieren, auch wenn Metas geplante Berufung das endgültige Ergebnis offenlässt und in anderen Bundesstaaten eigene Gesetze gelten.
Für Sicherheits- und Datenschutzteams besteht der praktische Ausgangspunkt darin, Datenschutzrichtlinien und Angaben zur Datenweitergabe mit dem tatsächlichen Systemverhalten abzugleichen. Wenn ein Unternehmen Nutzern Kontrolle über ihre Daten verspricht, sollten Teams testen, welche Einstellungen die Erhebung oder Weitergabe einschränken, welche Ausnahmen gelten und ob verbundene Anwendungen diese Entscheidungen berücksichtigen.
Der Zugriff Dritter verdient besondere Aufmerksamkeit. Unternehmen sollten ein Verzeichnis der Anwendungen führen, die personenbezogene Daten erhalten, dokumentieren, warum jede einzelne den Zugriff benötigt, und prüfen, ob die Berechtigungen angesichts von Änderungen an den Diensten weiterhin angemessen sind. Das Entfernen einer Integration sollte außerdem eine Überprüfung der bereits übertragenen Informationen sowie aller vertraglichen Anforderungen an deren Aufbewahrung oder Löschung auslösen.
Öffentliche Zusicherungen müssen durch Belege gestützt werden. Sicherheits-, Datenschutz-, Rechts- und Produktteams sollten Aussagen über Datenzugriff, Löschung und Benachrichtigungen bei Missbrauch gemeinsam überprüfen. Zugriffsprotokolle, Berechtigungstests und dokumentierte Untersuchungen können dabei helfen festzustellen, ob die Kontrollen wie beschrieben funktionieren, und Lücken zu erkennen, bevor unzutreffende Zusicherungen die Nutzer erreichen.
Was Facebook-Nutzer mitnehmen sollten
Das Urteil entschädigt Facebook-Nutzer nicht automatisch und ändert auch nicht deren Kontoeinstellungen. Generalstaatsanwalt Raúl Torrez erklärte, eingezogene Gelder würden in den Bildungsfonds von New Mexico fließen, doch Metas Berufung könnte die Einziehung verzögern.
Nutzer sollten verbundene Apps überprüfen, nicht mehr benötigte Zugriffsrechte entfernen und die von ihnen weitergegebenen personenbezogenen Daten begrenzen. Wer sich wegen einer früheren Offenlegung Sorgen macht, kann außerdem prüfen, ob seine personenbezogenen Daten in bekannten Datenlecks auftauchen. Diese Schritte können das künftige Risiko einer Offenlegung verringern, doch Nutzer sollten auch prüfen, welche Informationen eine App bereits erhalten hat und ob sie ein separates Verfahren zur Löschung anbietet. Aktuelle schwerwiegende Datenlecks liefern zusätzlichen Kontext zu den Arten sensibler Informationen, die offengelegt werden können.
Für Arbeitgeber sollte sich dieselbe Überprüfung auch auf geschäftliche Informationen erstrecken, die Mitarbeiter über soziale Plattformen und verbundene Dienste weitergeben. Kontoberechtigungen, genehmigte Integrationen und Hinweise für die Belegschaft sollten klarstellen, welche Informationen weitergegeben werden dürfen und wer den Zugriff genehmigen kann.
Die übergeordnete Lehre lautet, dass Datenschutzkontrollen verständlich und überprüfbar sein müssen. Metas Berufung wird entscheiden, ob die Strafe Bestand hat; Sicherheitsteams können den Fall schon jetzt nutzen, um zu prüfen, ob ihre Organisationen den Nachweis für die versprochenen Schutzmaßnahmen erbringen können.
Mehr lesen: Datenschutzfragen erstrecken sich auch auf KI-Assistenten – Die Datenangaben von Meta Muse zeigen, warum Nutzer prüfen sollten, welche Daten verbundene Agenten erfassen können und welche Berechtigungen sie erhalten.