Veredicto de $25B contra Meta reescribe las reglas de privacidad

El número que lo cambia todo

Veinticinco mil millones de dólares. Ese es el precio que un tribunal estatal de Nuevo México ha fijado a la mentira sistemática de Meta sobre cómo maneja los datos de sus usuarios. La resolución, emitida el miércoles por el juez del Tribunal Distrital Francis J. Mathew, determina 43 millones de violaciones individuales de la ley de prácticas desleales del estado, cada una una instancia separada en la que Facebook le dijo a los nuevos mexicoanos que tenían el control de su propia información mientras permitía discretamente que terceros la extraeran.

El monto total destierra toda multa por privacidad emitida hasta ahora. La multa de 5000 millones de dólares que la Comisión Federal de Comercio (FTC, por sus siglas en inglés) impuso a Meta en 2019 ya parecía enorme en su momento. El acuerdo por daños y perjuicios de 725 millones de dólares alcanzado en diciembre de 2022 fue el más grande de su tipo. Este veredicto hace que ambos parezcan errores de redondeo.

El juez Mathew no anduvo con rodeos en su opinión. «Facebook prometió a los usuarios que ellos —los usuarios— controlaban sus datos», escribió. «Eso era falso.»

Esa sola oración es el núcleo del caso. También es la diferencia entre una multa regulatoria y algo mucho más trascendente: un fallo judicial que establece que Meta construyó su modelo de negocio sobre una mentira dirigida directamente a los consumidores.

De dónde vino

El escándalo se remonta a 2015, cuando una aplicación de cuestionario de personalidad llamada «thisisyourdigitallife» apareció en Facebook. Alrededor de 300 000 usuarios completaron la prueba. Pero la aplicación no se detuvo en sus datos: extrao los perfiles de todas las personas conectadas a esos usuarios, generando un conjunto de datos de aproximadamente 87 millones de cuentas de Facebook sin su conocimiento ni consentimiento.

Meta prohibió la aplicación ese mismo año por violar las políticas de la plataforma y envió a Cambridge Analytica una solicitud legal para eliminar los datos que había recopilado. La compañía nunca la recuperó. Cambridge Analytica continuó utilizando los perfiles para construir expedientes psicográficos sobre electores estadounidenses, incluido trabajo para la campaña presidencial de Donald Trump en 2016.

Cuando la historia saltó a la luz en 2018, desencadenó demandas de reguladores, estados y usuarios en todo el país. Meta ha estado pagando por las consecuencias desde entonces.

Qué hace que esta resolución sea diferente

Las multas anteriores se centraron en la relación de Meta con el gobierno federal o con grupos agregados de usuarios. Este caso es más estrecho en su origen —presentado específicamente por Nuevo México— pero mucho más amplio en sus implicaciones.

La cifra de 43 millones importa porque transforma lo que de otro modo sería una única violación corporativa en millones de agravios individuales. Cada uno corresponde a una persona real en un estado real a quien se le dijo que sus datos eran de su propio control, mientras que Facebook y Cambridge Analytica trataron esa promesa como opcional.

La opinión del juez Mathew trata las violaciones como continuas, no como episódicas. El lenguaje sugiere que el tribunal ve a los revelaciones de Meta como estructuralmente engañosas en lugar de accidentalmente incompletas, una distinción que abre la puerta a multas mayores y a una aplicación más agresiva en el futuro.

El patrón más amplio

La exposición legal de Meta por el escándalo de Cambridge Analytica se ha acumulado ahora en múltiples foros. La multa de la FTC de 5000 millones de dólares en 2019 abordó fallas generalizadas de privacidad. El acuerdo de clase de diciembre de 2022 costó 725 millones de dólares. En agosto, Meta aceptó pagar 18 000 millones de dólares durante una década a casi todos los estados y territorios excepto Nuevo México y Florida, incluyendo 459 millones de dólares específicamente vinculados a las reclamaciones por Cambridge Analytica.

Nuevo México se negó a unirse a ese acuerdo más amplio. Optó por un juicio. Y ganó algo que ningún otro estado ha extraído de Meta hasta ahora: una determinación por violación que multiplica la responsabilidad por el número de residentes afectados.

Esa es la parte que mantendrá despiertos a los asesores generales de todas las plataformas importantes.

Quiénes ganan, quiénes pierden

Meta pierde más de inmediato. La compañía ya ha señalado que apelará. C.J. Mahoney, directivo jurídico principal de Meta, calificó la multa de severa y dijo que la decisión está bajo revisión. Una apelación es probable, pero no borrará el peso precedentista de la resolución: las opiniones judiciales sobreviven a las apelaciones, y el razonamiento aquí se citará en cada caso futuro por privacidad contra Meta y sus competidores.

Los consumidores ganan en principio, aunque la mayoría nunca verá un pago directo. La cifra de 43 millones es un reconocimiento de que cientos de miles de nuevos mexicoanos sufrieron daños individuales, no solo una corporación sin rostro.

Los reguladores ganan por ejemplo. La resolución demuestra que los tribunales estatales pueden imponer multas que destierran los acuerdos federales, creando un nuevo vector de aplicación que rodea el proceso más lento y con menos recursos de la FTC.

Otras plataformas observan y recalibran. Cualquier empresa que haga promesas de privacidad a los usuarios mientras continúa con prácticas de datos que las contradicen ahora enfrenta una plantilla para la responsabilidad por violación individual que podría multiplicarse rápidamente.

Qué pasa después

Meta apelará. La compañía tiene todos los incentivos para hacerlo: la exposición financiera es estordosa, y el razonamiento legal podría remodelar sus obligaciones en todo el país. Pero incluso si el veredicto se reduce en apelación, la determinación subyacente permanece: un tribunal estatal ha declarado formalmente que las promesas de Facebook sobre el control de datos eran falsas, y esa declaración ahora forma parte del registro público.

La apelación girará probablemente en torno a preguntas jurisdiccionales y al alcance de la ley de prácticas desleales de Nuevo México aplicada a una plataforma con billones de usuarios en todo el mundo. Ahí es donde se librará la verdadera batalla legal, no en el monto en dólares, sino en si los tribunales estatales pueden hacer cumplir normas de privacidad del consumidor contra empresas que operan a nivel nacional e internacional.

Nuevo México y Florida son los únicos estados que no llegaron a un acuerdo con Meta en el pacto de agosto. La omisión de Florida es notable dada su gran población y su historial de litigios agresivos de protección al consumidor. Si Florida persigue un caso similar, las cifras serán aún más elevadas.

Por qué esto importa más allá de Meta

La resolución no se trata solo de Facebook. Se trata de la exigibilidad de las promesas de privacidad en una era en la que cada aplicación, cada servicio y cada plataforma le dice a los usuarios que sus datos son de su propio control.

La estructura por violación individual de este fallo les da a los reguladores y a los fiscales generales estatales una herramienta que anteriormente era teórica. En lugar de negociar una multa global única, pueden construir casos alrededor del número de individuos afectados, y esa cifra crece cada día mientras las plataformas continúan recopilando datos bajo divulgaciones ambiguas o engañosas.

El escándalo de Cambridge Analytica expuso cómo los datos de las redes sociales pueden weaponizarse para la segmentación política. Este veredicto expone lo que sigue: el sistema legal aprendiendo a tratar las violaciones de privacidad no como inconvenientes regulatorios sino como daños enumerables con costos medibles.

Veinticinco mil millones de dólares es mucho dinero. Pero el costo real para Meta puede ser mucho más alto: medido en el precedente que esta resolución sienta para toda empresa que alguna vez prometió a los usuarios más control sobre sus datos del que realmente pretendía darles.

La era de las multas baratas por privacidad ha terminado.