La multa de Meta despierta la regulación tecnológica global

Nuevo México acaba de cambiar las reglas del juego

Un juez en Santa Fe ha ordenado a Meta pagar 25.000 millones de dólares —aproximadamente 33 billones de wones coreanos— por engañar sistemáticamente a los usuarios sobre sus propios datos. La sentencia, dictada el 21 de octubre, es la multa más cuantiosa que jamás se haya exigido a una única empresa por autoridades estatales estadounidenses y tiene implicaciones que resonarán mucho más allá de las fronteras de Nuevo México.

El juez Francis Matthew determinó que Meta violó 43,9 millones de preceptos de la ley de protección al consumidor del estado. A razón de 5.000 dólares por cada infracción, la suma hubiera ascendido a 220.000 millones. Matthew redujo la cifra de manera significativa, pero no sin antes enviar un mensaje claro: incluso la corporación tecnológica más poderosa está sujeta a consecuencias a nivel estatal.

“Facebook prometió a los usuarios que tenían control directo sobre sus datos. Esa promesa fue una mentira”, escribió Matthew. “La empresa continuó facilitando el acceso no autorizado a la información de los usuarios incluso después de saber que dicho acceso estaba ocurriendo.”

Los ingresos anuales de Meta se sitúan en torno a los 135.000 millones de dólares, por lo que la multa de 25.000 millones equivale a casi una quinta parte del total de las ganancias de un solo año. Los accionistas, que durante mucho tiempo trataram el riesgo de privacidad como ruido de fondo en sus valoraciones, ahora lo reclasifican como un pasivo material. En cuestión de días, firmas de inversión comenzaron a marcar reservas legales para revisión al alza. El mercado no castiga a las empresas por actos reprobables; las castiga por impredecibilidad, y esta sentencia sustituye la previsibilidad por alarma.

Las raíces se remontan a 2016

El caso se vincula directamente con el escándalo de Cambridge Analytica, uno de los fracasos más trascendentales en materia de privacidad de datos en la historia moderna. En 2016, la firma británica de consultoría política desarrolló una aplicación de test de personalidad que recolectó no solo los datos de quienes lo completaron, sino también la información privada de sus amigos de Facebook, todo ello sin consentimiento. Ochenta y siete millones de usuarios resultaron afectados.

Cambridge Analytica utilizó ese conjunto de datos para analizar los perfiles psicológicos de los votantes y dirigirles anuncios políticos personalizados en apoyo de la campaña presidencial de Donald Trump. Las revelaciones enviaron ondas de choque tanto a Washington como a Silicon Valley.

Tr estallar el escándalo, Meta se disculpó públicamente y aseguró a los usuarios que tenían control total sobre sus datos. Sin embargo, lo que emergió durante el litigio fue que la compañía siguió permitiendo que aplicaciones de terceros accedieran a los datos de los usuarios a través de su plataforma mucho después de formuladas esas promesas. Esa contradicción —entre compromisos públicos y prácticas reales— es lo que el jurado encontró ilícito.

Documentos internos revelados durante el procedimiento de descubrimiento pintaron un cuadro aún más inquietante. Ingenieros de Meta habían señalado la brecha de acceso a datos ya en 2013, tres años antes de que Cambridge Analytica la explotara. La empresa optó por no restringir la API, aduciendo crecimiento de desarrolladores y expansión del ecosistema. Para 2018, cuando el escándalo estalló, se estimaba que 500.000 aplicaciones aún podían extraer datos de los usuarios de Facebook a través de ese mismo canal.

Al jurado se le presentó evidencia de que Mark Zuckerberg declaró en 2018 ante el Congreso que creía que los usuarios tenían “control total” sobre sus datos. Esa misma semana, memorandos internos describían negociaciones en curso con desarrolladores de aplicaciones para flexibilizar las restricciones de intercambio de datos. Esa divergencia —entre la postura pública y la estrategia privada— se convirtió en la falla estructural del caso.

Por qué esta sentencia trasciende Estados Unidos

La mayoría de los estados optaron por llegar a un acuerdo. Cuarenta y ocho jurisdicciones aceptaron 180.000 millones de dólares en un acuerdo más amplio este pasado agosto. Nuevo México y Florida se negaron. Optaron por el tribunal, y Nuevo México ganó.

Esa decisión importa porque establece un precedente legal que otros estados y gobiernos pueden seguir. Si un solo estado puede imponer una multa de 25.000 millones de dólares por violaciones de privacidad, el cálculo cambia para toda empresa tecnológica que opere a nivel global. La amenaza ya no se limita a los reguladores federales ni a la Unión Europea; ahora proviene también de los tribunales estatales.

Raúl Torres, fiscal general de Nuevo México, lo calificó como “una de las sentencias más elevadas en la historia estadounidense a nivel estatal contra una corporación”. Dijo que la sentencia es una señal directa para Silicon Valley y que el dinero financiará programas educativos en el estado. Meta ya anunció que recurrirá la decisión.

Lo que Torres no dijo —pero lo cual ya debaten litigantes en otros estados— es que el caso de Nuevo México se sustentó en una teoría restrictiva de engaño al consumidor, mientras que otros estados podrían perseguir reclamaciones más amplias en materia de antitrust, laboral y expresión. La veredicto de 25.000 millones no es el límite; es el piso de lo legalmente posible cuando un estado decide perseguir a las grandes tecnológicas a través de su propio sistema judicial en lugar de negociar un acuerdo global.

Lo que esto significa para la regulación global

Para los responsables de políticas en la UE, el Reino Unido, Corea del Sur y otros lugares que siguen el caso de cerca, el juicio de Nuevo México ofrece un modelo. La Unión Europea ya ha impuesto multas a Meta anteriormente —390 millones de euros en 2023 por violaciones de intercambio de datos bajo el RGPD, y se espera una mayor—, pero esas fueron sanciones regulatorias, no indemnizaciones judiciales basadas en la ley de protección al consumidor. Un veredicto de jurado a nivel estatal que involucra 43,9 millones de preceptos de violación opera en una vía legal completamente distinta.

Corea del Sur enfrenta sus propias tensiones en torno a la gobernanza de plataformas. Meta opera intensamente en el mercado coreano, y Seúl ha estado trabajando en su propio marco de regulación de plataformas digitales. Una sentencia de esta magnitud del sistema estatal estadounidense podría fortalecer la posición de los reguladores coreanos que abogan por una ejecución más rigurosa, particularmente en torno a la coherencia entre las promesas de las plataformas y las prácticas reales de datos.

La multa es cinco veces mayor que la sanción de 5.000 millones de dólares de la FTC impuesta a Facebook en 2019 —la multa más grande de su clase en la historia en aquel momento—. Pero la multa de 2019 fue un acuerdo. Esta provino tras un juicio completo con veredicto de jurado. Esa distinción tiene significancia legal y hace más difícil que Meta la descarte.

Juristas ya han comenzado a cartografiar los efectos en cascada. El Distrito Sur de Nueva York está actualmente Tramitando una demanda colectiva separada que alega que las prácticas de datos de Meta violaron la Ley de Privacidad del Consumidor de California. Si el veredicto de Nuevo México sobrevive al recurso, los abogados de los demandantes lo citarán como autoridad persuasiva. Lo mismo aplica en Illinois, donde una demanda por privacidad biométrica contra Meta ya está en curso. La sentencia de Nuevo México no vincula a esos tribunales, pero les ofrece una plantilla para calcular indemnizaciones que no existía hace doce meses.

Repercusiones accionariales y de mercado

Las consecuencias financieras ya son medibles. Meta divulgó una reserva legal adicional de 12.800 millones de dólares en su última presentación de resultados, llevando su exposición total estimada a aproximadamente 38.000 millones en todos los casos de privacidad abiertos. Analistas de Goldman Sachs y Morgan Stanley han revisado sus escenarios bajistas para la acción de Meta, señalando que el riesgo de litigios estatales había sido subrepresentado previamente en los modelos institucionales.

Inversores activistas también están cerrando el círculo. Engine No. 1, que logró exitosamente un desafío en el consejo de administración de Exxon Mobil, ha manifestado interés en la estructura de gobierno corporativo de Meta. El argumento central: el consejo fracasó en tratar el riesgo de privacidad como un pasivo estratégico hasta que un jurado se lo obligó. Si esa narrativa cala dependerá del recurso de Meta y de si los accionistas consideran que la actual dirección es capaz de gestionar la exposición regulatoria de forma proactiva y no reactiva.

Qué sigue

El recurso de Meta es seguro. La compañía argumenta que ya ha reformado sus políticas desde que inició la demanda en 2021 y elimina de manera proactiva el 99 por ciento del contenido que viola sus estándares. Impugnará tanto el número de infracciones como el monto en dólares.

Los recursos pueden llevar años. Incluso si la multa se reduce o revoca eventualmente, el hecho de la condena —43,9 millones de preceptos de engaño intencional— permanecerá como matter of public record y punto de referencia en casos futuros.

La implicación más amplia es estructural. La aplicación a nivel estatal, que durante mucho tiempo fue una vía secundaria frente a la acción federal, ha producido un resultado que ensombrece toda multa previa. Si otros estados persiguen litigios similares, la exposición acumulada para Meta y sus pares podría alcanzar cantidades que cambien la forma en que estas empresas diseñan sus productos y gestionan los datos de los usuarios —no porque los reguladores se lo ordenen, sino porque los tribunales están dispuestos a hacerlas pagar.

La era del cumplimiento voluntario podría estar dando paso a una era de cumplimiento impuesto. Pero el verdadero cambio es más sutil de lo que la multa titular sugiere. Durante dos décadas, las grandes tecnológicas operaron bajo el supuesto de que la regulación llegaría en forma de legislación —lenta, negociada, con concesiones mutuas—. Nuevo México demuestra que ese supuesto es erróneo. La próxima ola de rendición de cuentas no provenirá del Congreso. Provendrá de fiscales generales estatales, paneles de jurado y jueces que estén dispuestos a tratar los datos de los usuarios no como una mercancía, sino como un derecho protegido. La factura de 25.000 millones de dólares de Nuevo México es la primera cuenta. Las demás ya se están redactando.