陪審が、Facebookはプライバシー慣行やその他のプラットフォームポリシーについて消費者を誤解させたと認定したことを受け、Metaにニューメキシコ州へ250億ドルを支払うよう命じた。
ニューメキシコ地区裁判所のFrancis Mathew判事が10月21日に下したこの判断は、Metaが州の不公正取引慣行法に違反した回数を43,899,725件と認定した9月の陪審評決を受けたものだ。
この訴訟では、Facebookがユーザー情報の保護方法、個人データへの第三者アクセスの管理、有害コンテンツへの対応について虚偽の説明をしたとの主張が争点となった。訴訟の背景には、2018年に明るみに出たCambridge Analyticaスキャンダルもある。Facebookは、最大8700万人のユーザーの情報が 政治コンサルティング会社に不正に共有されていた可能性がある。
ニューメキシコ州の不公正取引慣行法は、故意の違反1件につき最大5000ドルの民事制裁金を認めている。この計算では理論上の制裁金が2190億ドルを超えるが、Mathew判事は賠償額を250億ドルに減額した。
「この問題による被害は、いくら強調しても足りず、Facebookの基本的なビジネスの根幹に関わる」」とMathew判事は判決文に記した。命令では、制裁金が全額支払われるまで年15％の利息も課している。
Metaは控訴する方針
Metaはこの判断に異議を唱え、法廷で覆せると見込んでいる。
Metaの最高法務責任者C.J. Mahoney氏は、CNBCが引用した声明で「今回の判断と、今回の執行に対する司法長官のアプローチでは、ニューメキシコ州で事業を行うことがほぼ不可能になる」と述べた。「本質的にこの訴訟は、人々がオンラインで何を言えるかについて新たなルールを施行するため、言論に課税しようとするものだ」
同社は審理の中で、消費者が被害を受けたことを州は立証していないと主張し、当局による違反件数の算定方法にも異議を唱えた。Metaは控訴審で勝訴する自信があるとしている。
ニューメキシコ州は、同様の主張を解決した複数州間の合意に加わらず、独自にこの訴訟を進めた。Metaは以前にも、2019年に連邦取引委員会（FTC）の訴訟を解決するため50億ドルを支払い、2022年にはFacebookユーザーによる集団訴訟で7億2500万ドルの和解に合意している。
セキュリティチームにとってプライバシーに関する約束が重要な理由
今回の判断は、企業が公に示したプライバシー保証と実際の慣行が一致しない場合に、どれほどの金銭的リスクに直面し得るかを浮き彫りにしている。違反が繰り返されれば制裁金は積み重なる可能性があるが、Metaが控訴を予定しているため最終的な結果は不透明であり、他州ではそれぞれ独自の法律が適用される。
セキュリティおよびプライバシーチームが実務上まず取り組むべきことは、 プライバシーポリシーとデータ共有に関する開示を実際のシステムの動作と比較することだ。企業がユーザーに自分の情報を管理できると約束しているなら、どの設定が収集や共有を制限するのか、どのような例外が適用されるのか、接続されたアプリケーションがそうした選択を尊重しているかをチームはテストすべきだ。
第三者によるアクセスには特に注意が必要だ。組織は、個人情報を受け取るアプリケーションの一覧を維持し、それぞれにアクセスが必要な理由を文書化するとともに、サービスの変更に伴って権限が適切なままかを確認すべきである。連携を解除する際には、すでに転送された情報と、その保持や削除に関する契約上の要件も見直す必要がある。
公的な保証には、それを裏付ける証拠が必要だ。セキュリティ、プライバシー、法務、製品の各チームは、データへのアクセス、削除、悪用通知に関する主張を共同で確認すべきである。アクセスログ、権限テスト、調査記録は、管理策が説明どおりに機能しているかを立証し、不正確な保証がユーザーに届く前に問題を特定するのに役立つ。
Facebookユーザーが知っておくべきこと
この判決によってFacebookユーザーに自動的に補償が行われたり、アカウント設定が変更されたりするわけではない。司法長官のRaúl Torrez氏は、回収した資金はニューメキシコ州の教育基金に入ると述べたが、Metaの控訴によって徴収が遅れる可能性がある。
ユーザーは接続されたアプリを確認し、不要になったアクセス権を削除し、共有する個人情報を制限すべきだ。過去の情報流出を懸念する人は、次の方法で 自分の個人情報が既知のデータ侵害に含まれているか確認できる。これらの手順で今後の流出リスクは減らせるが、ユーザーはアプリがすでに受け取った情報と、別途削除手続きを提供しているかどうかも確認すべきだ。最近の 大規模なデータ侵害は、流出し得る機微情報の種類についてさらなる背景を示している。
雇用主にとっては、同じ確認を、従業員がソーシャルプラットフォームや接続されたサービスを通じて共有する業務情報にも広げるべきだ。アカウント権限、承認済みの連携、従業員向けガイダンスによって、共有してよい情報とアクセスを承認できる人物を明確にする必要がある。
より広い教訓は、プライバシー管理策が理解しやすく、検証可能でなければならないということだ。制裁金が維持されるかどうかはMetaの控訴によって決まるが、セキュリティチームは今すぐこの事例を活用し、自組織が約束した保護策を実証できるかを検証できる。
詳しく読む：プライバシーに関する疑問はAIアシスタントにも及ぶ――Meta Museのデータ開示は、接続されたエージェントが収集する可能性のある情報と付与される権限をユーザーが確認すべき理由を示している。