Giudice del New Mexico multa Meta per 25 miliardi di dollari per violazioni della privacy

Contesto

Il giudice distrettuale del New Mexico Francis Mathew ha imposto a Meta una sanzione di 25 miliardi di dollari, più interessi annuali del 15%, per violazioni della privacy dei dati. Questa decisione è legata allo scandalo Cambridge Analytica, venuto alla luce quasi dieci anni fa, che ha coinvolto la condivisione di dati di circa 87 milioni di utenti Facebook con la società di consulenza politica britannica Cambridge Analytica. L'azienda ha poi utilizzato questi dati per creare profili psicologici degli elettori e facilitare la pubblicità mirata, anche durante le elezioni presidenziali del 2016. A settembre, una giuria aveva già stabilito che Meta aveva violato la legge sulle pratiche sleali dello stato per 43 milioni di volte. Il giudice Mathew ha ridotto la sanzione finale da un importo iniziale di 220 miliardi di dollari a 25 miliardi. Il contenzioso del New Mexico si è concentrato sulle informazioni fornite da Facebook ai consumatori riguardo alle proprie pratiche sui dati e su come l'azienda combattesse la disinformazione e i discorsi d'odio dopo la rivelazione dello scandalo. Il giudice ha evidenziato come la dirigenza di alto livello di Facebook, inclusi l'amministratore delegato Mark Zuckerberg e l'allora COO Sheryl Sandberg, avesse attuato una strategia calcolata per ingannare i consumatori, anche attraverso la creazione di materiali per coordinare la risposta di pubbliche relazioni. Il tribunale ha rilevato che Facebook continuava a fare dichiarazioni pubbliche sul controllo degli utenti sui dati, sull'uso improprio dei dati da parte di terzi, sulla disinformazione e sui discorsi d'odio, pur sapendo internamente che le proprie promesse non erano sostenibili. Meta era anche consapevole che le informazioni sulla sua infrastruttura di accesso ai dati e sui protocolli di applicazione non erano verificabili dagli utenti e ne ha approfittato. L'azienda non ha inoltre condotto l'indagine 'completa' promessa ai consumatori dopo lo scandalo, a causa della scarsa tenuta dei registri, della mancata verifica degli sviluppatori di terze parti e della pressione interna a minimizzare i costi e non creare precedenti.

Perché conta

La multa di 25 miliardi di dollari imposta a Meta per violazioni della privacy dei dati evidenzia il rischio finanziario enorme derivante da pratiche aziendali ingannevoli e dalla scarsa gestione dei dati. Per le aziende che raccolgono e trattano dati personali, questa sentenza è un monito sulla necessità di trasparenza e integrità nelle comunicazioni pubbliche e nelle operazioni interne. Le aziende devono garantire che le dichiarazioni fatte ai consumatori siano allineate con le capacità effettive di gestione dei dati e i controlli interni, evitando strategie che mirano a ingannare il pubblico. Non condurre indagini complete o mantenere registri adeguati per giustificare le azioni può portare a pesanti sanzioni legali e danni reputazionali.

Cosa fare

• Essere trasparenti e accurati nelle comunicazioni pubbliche sulle pratiche di trattamento dei dati.
• Allineare le capacità interne di gestione dei dati e i controlli con le promesse fatte ai consumatori.
• Mantenere una registrazione accurata delle operazioni sui dati e delle interazioni con terze parti.
• Vagliare attentamente gli sviluppatori di terze parti che richiedono accesso ai dati degli utenti.

Cosa evitare

• Implementare strategie di pubbliche relazioni volte a ingannare i consumatori sulla gestione dei dati.
• Fare dichiarazioni pubbliche su controllo dati o gestione di terzi senza avere la capacità interna di mantenerle.
• Sottovalutare l'importanza di indagini complete e registrazioni accurate in caso di scandalo o incidente.

Implicazioni pratiche

Questa decisione giudiziaria ha implicazioni per le organizzazioni che gestiscono grandi volumi di dati utente, in particolare quelle che operano attraverso piattaforme digitali. L'enfasi sulle dichiarazioni fuorvianti e sulla mancanza di trasparenza da parte della dirigenza evidenzia che la responsabilità va oltre le singole violazioni tecniche, estendendosi alla condotta aziendale generale. Le aziende sono esposte non solo a sanzioni finanziarie dirette, ma anche a danni reputazionali a lungo termine e alla perdita di fiducia da parte degli utenti, come dimostrato dalla prolungata scia legale dello scandalo Cambridge Analytica.

Azioni da fare

• Revisionare le politiche e le procedure di comunicazione pubblica relative al trattamento dei dati personali.
• Effettuare audit interni per verificare la coerenza tra le capacità operative di gestione dei dati e le dichiarazioni esterne.
• Implementare meccanismi di governance robusti per prevenire che la leadership promuova strategie ingannevoli.

Errori da evitare

• Nascondere o minimizzare intenzionalmente le carenze interne nella gestione della privacy dei dati.
• Consentire che la pressione per ridurre i costi comprometta la qualità delle indagini interne o la verifica di terze parti.
• Non dare seguito alle promesse pubbliche di indagine o miglioramento delle pratiche di sicurezza e privacy.

Domande di self-assessment

• Le nostre comunicazioni pubbliche sulla gestione dei dati sono pienamente veritiere e supportate da capacità operative interne?
• La nostra leadership è pienamente consapevole e responsabile delle implicazioni legali e reputazionali delle nostre pratiche sui dati?
• Siamo in grado di condurre indagini complete e trasparenti su eventuali incidenti di sicurezza o privacy, e i nostri registri lo dimostrano?
• I processi di vetting per i nostri partner o sviluppatori terzi che accedono ai dati sono rigorosi e documentati?

Riferimenti

Normativa nazionale: Legge sulle pratiche sleali del New Mexico