Meta a été condamnée à verser 25 milliards de dollars au Nouveau-Mexique après qu’un jury a conclu que Facebook avait induit les consommateurs en erreur au sujet de ses pratiques en matière de confidentialité et d’autres politiques de la plateforme.
La décision, rendue le 21 octobre par Francis Mathew, juge du tribunal de district du Nouveau-Mexique, fait suite à un verdict rendu en septembre par un jury, qui a reconnu Meta responsable de 43 899 725 violations de la loi de l’État sur les pratiques commerciales déloyales.
L’affaire portait sur des allégations selon lesquelles Facebook aurait présenté de manière trompeuse la façon dont il protégeait les informations des utilisateurs, gérait l’accès de tiers aux données personnelles et traitait les contenus préjudiciables. L’affaire découlait en partie du scandale Cambridge Analytica, révélé en 2018. Facebook estimait que les informations de 87 millions d’utilisateurs au maximum avaient pu être partagées de manière inappropriée avec le cabinet de conseil politique.
La loi du Nouveau-Mexique sur les pratiques commerciales déloyales autorise des sanctions civiles pouvant atteindre 5 000 dollars pour chaque violation délibérée. Bien que ce calcul ait produit une sanction théorique dépassant 219 milliards de dollars, Mathew a ramené le montant à 25 milliards de dollars.
« Il est difficile de surestimer le préjudice causé dans cette affaire, qui touche au cœur même du modèle économique de base de Facebook », a écrit Mathew dans sa décision. L’ordonnance impose également des intérêts annuels de 15 % jusqu’au paiement intégral de la sanction.
Meta compte faire appel
Meta conteste la décision et affirme s’attendre à l’obtenir l’annulation devant la justice.
« Cette décision, ainsi que l’approche adoptée par le procureur général dans le cadre de cette procédure, rend pratiquement impossible toute activité commerciale dans l’État du Nouveau-Mexique », a déclaré le directeur juridique de Meta, C.J. Mahoney, dans une déclaration citée par CNBC. « Au fond, cette action en justice vise à imposer une taxe sur la liberté d’expression pour faire appliquer de nouvelles règles concernant ce que les gens peuvent dire en ligne. »
Au cours de la procédure, l’entreprise a soutenu que l’État n’avait pas démontré que les consommateurs avaient subi un préjudice et a contesté la méthode utilisée par les autorités pour calculer les violations. Meta affirme être convaincue qu’elle l’emportera en appel.
Le Nouveau-Mexique a engagé cette procédure de manière indépendante, plutôt que de rejoindre un accord conclu entre plusieurs États pour régler des allégations similaires. Meta avait déjà versé 5 milliards de dollars pour régler une affaire avec la Federal Trade Commission en 2019 et accepté un accord transactionnel de 725 millions de dollars dans le cadre d’une action collective d’utilisateurs de Facebook en 2022.
Pourquoi les promesses en matière de confidentialité comptent pour les équipes de sécurité
La décision met en évidence l’exposition financière à laquelle les entreprises peuvent être confrontées lorsque leurs assurances publiques en matière de confidentialité ne correspondent pas à leurs pratiques. Les sanctions peuvent s’accumuler en cas de violations répétées, même si l’appel prévu par Meta laisse l’issue définitive incertaine et que les autres États appliquent leurs propres lois.
Pour les équipes chargées de la sécurité et de la confidentialité, le point de départ pratique consiste à comparer les politiques de confidentialité et les informations communiquées sur le partage des donnéesavec le comportement réel des systèmes. Si une entreprise promet aux utilisateurs de contrôler leurs informations, les équipes devraient tester quels paramètres limitent la collecte ou le partage, quelles exceptions s’appliquent et si les applications connectées respectent ces choix.
L’accès des tiers mérite une attention particulière. Les organisations devraient tenir à jour un inventaire des applications qui reçoivent des informations personnelles, documenter les raisons pour lesquelles chacune d’elles a besoin de cet accès et vérifier que les autorisations restent appropriées à mesure que les services évoluent. La suppression d’une intégration devrait également déclencher un examen des informations déjà transférées et des éventuelles exigences contractuelles concernant leur conservation ou leur suppression.
Les assurances publiques doivent être étayées par des preuves. Les équipes chargées de la sécurité, de la confidentialité, du juridique et des produits devraient examiner ensemble les affirmations relatives à l’accès aux données, à leur suppression et aux notifications d’utilisation abusive. Les journaux d’accès, les tests d’autorisations et les enquêtes documentées peuvent aider à établir si les contrôles fonctionnent comme décrit et à repérer les lacunes avant que des assurances inexactes ne parviennent aux utilisateurs.
Ce que les utilisateurs de Facebook doivent retenir
Le jugement n’indemnise pas automatiquement les utilisateurs de Facebook et ne modifie pas les paramètres de leur compte. Le procureur général Raúl Torrez a déclaré que les fonds récupérés seraient versés au fonds pour l’éducation du Nouveau-Mexique, mais l’appel de Meta pourrait retarder leur recouvrement.
Les utilisateurs devraient examiner les applications connectées, supprimer les accès dont ils n’ont plus besoin et limiter les informations personnelles qu’ils partagent. Toute personne préoccupée par une exposition antérieure peut également vérifier si ses informations personnelles apparaissent dans des fuites de données connues. Ces mesures peuvent réduire l’exposition future, mais les utilisateurs devraient également vérifier quelles informations une application a déjà reçues et si elle propose une procédure distincte de suppression. Les récentes fuites majeures de donnéesapportent un éclairage supplémentaire sur les types d’informations sensibles susceptibles d’être exposées.
Pour les employeurs, le même examen devrait s’étendre aux informations professionnelles que les employés partagent via les plateformes sociales et les services connectés. Les autorisations des comptes, les intégrations approuvées et les consignes destinées au personnel devraient préciser quelles informations peuvent être partagées et qui peut en autoriser l’accès.
La leçon plus générale est que les contrôles de confidentialité doivent être compréhensibles et vérifiables. L’appel de Meta déterminera si la sanction est maintenue ; les équipes de sécurité peuvent dès maintenant s’appuyer sur cette affaire pour vérifier si leur organisation est en mesure de démontrer les protections qu’elle promet.
En savoir plus : les questions de confidentialité concernent aussi les assistants IA — les informations communiquées par Meta Muse montrent pourquoi les utilisateurs devraient vérifier ce que les agents connectés peuvent collecter et quelles autorisations ils reçoivent.