Meta、ニューメキシコ州のFacebookプライバシー訴訟で250億ドルの制裁金を科される

陪審がFacebookについて、プライバシーの取り扱いやその他のプラットフォーム方針をめぐって消費者を欺いたと認定したことを受け、Metaはニューメキシコ州に250億ドルを支払うよう命じられました。

この判決は10月21日、ニューメキシコ州地方裁判所のフランシス・マシュー判事が言い渡しました。9月の陪審評決では、Metaが同州の不公正取引慣行法に43,899,725件違反したと認定されていました。

訴訟の中心となったのは、Facebookがユーザー情報の保護方法、第三者による個人データへのアクセス管理、有害コンテンツへの対応について事実と異なる説明をしていたという主張です。この訴訟は、2018年に発覚したケンブリッジ・アナリティカ事件に一部端を発しています。Facebookは、最大8,700万人のユーザーの情報が この政治コンサルティング会社に不正に共有された可能性があると推計していました。

ニューメキシコ州の不公正取引慣行法は、故意の違反1件につき最大5,000ドルの民事制裁金を認めています。この計算に基づく理論上の制裁金は2,190億ドルを超えますが、マシュー判事は命令額を250億ドルに減額しました。

マシュー判事は判決文で、「本件の被害は誇張しようがないほど深刻であり、Facebookの事業の根幹に関わるものです」と述べました。命令にはさらに、制裁金が全額支払われるまで年率15%の利息を課すことも盛り込まれています。

Metaは判決に異議を唱えており、裁判で覆せると見込んでいます。

最高法務責任者のC.J.マホニー氏は、CNBCが引用した声明で次のように述べました。「この判決と、州司法長官による今回の法執行のやり方では、ニューメキシコ州で事業を行うことはほぼ不可能になります。この訴訟の本質は、人々がオンラインで発言できる内容に新たなルールを課すため、言論に税を課そうとするものです」

Metaは審理の中で、消費者が被害を受けたことを州は立証していないと主張し、違反件数の算定方法についても争いました。同社は、控訴審で勝訴する自信があるとしています。 

ニューメキシコ州は、同様の請求を解決した複数州による合意には加わらず、単独で訴訟を進めました。Metaはこれまでに、2019年に連邦取引委員会（FTC）との訴訟を解決するため50億ドルを支払い、2022年にはFacebookユーザーによる集団訴訟で7億2,500万ドルの和解に合意しています。

セキュリティチームにとってプライバシーの約束が重要な理由

今回の判決は、企業が公表しているプライバシー保証と実際の運用が食い違った場合に、どれほどの金銭的リスクを負いうるかを浮き彫りにしています。違反が繰り返されるたびに制裁金が積み上がる可能性があります。ただし、Metaが控訴を予定しているため最終的な結論は不透明で、他の州にはそれぞれ独自の法律があります。

セキュリティ担当者やプライバシー担当者がまず取り組むべきは、 プライバシーポリシーやデータ共有に関する開示内容を、システムの実際の挙動と突き合わせることです。ユーザーに情報の管理権限を約束している場合は、どの設定で収集や共有が制限されるのか、どのような例外があるのか、連携アプリがその選択を尊重しているのかを検証する必要があります。

第三者によるアクセスには、特に注意が必要です。個人情報を受け取るアプリケーションの一覧を整備し、それぞれがアクセスを必要とする理由を文書化したうえで、サービスの変更に伴って権限が適切なままか確認してください。連携を解除する際は、すでに転送された情報の見直しに加え、その保持や削除に関する契約上の要件も確認すべきです。

公に示した保証には、裏付けとなる証拠が欠かせません。セキュリティ、プライバシー、法務、プロダクトの各チームは、データアクセス、削除、不正利用の通知に関する説明を合同で点検する必要があります。アクセスログ、権限テスト、文書化された調査記録は、管理策が説明どおりに機能しているかを確認し、不正確な保証がユーザーに届く前に不備を見つける助けになります。

Facebookユーザーが押さえておくべきこと

今回の判決によって、Facebookユーザーが自動的に補償を受けたり、アカウント設定が変わったりすることはありません。ラウル・トレス州司法長官は、回収した資金はニューメキシコ州の教育基金に充てると述べていますが、Metaの控訴により回収が遅れる可能性があります。

ユーザーは、連携アプリを見直し、不要になったアクセス権を削除し、共有する個人情報を制限してください。過去の情報漏えいが心配な場合は、 自分の個人情報が既知のデータ侵害に含まれていないか確認することもできます。こうした対策は今後のリスクを減らしますが、アプリがすでにどのような情報を受け取っているか、別途削除手続きが用意されているかも確認すべきです。最近の 大規模なデータ侵害は、どのような機微情報が流出しうるのかを知る上で参考になります。

企業の場合も、従業員がソーシャルプラットフォームや連携サービスを通じて共有する業務情報まで、同様の見直しを広げる必要があります。アカウントの権限、承認済みの連携、従業員向けガイダンスで、共有してよい情報と、アクセスを承認できる担当者を明確にしてください。

より広い教訓は、プライバシー管理は分かりやすく、検証可能でなければならないということです。制裁金が維持されるかどうかはMetaの控訴で決まりますが、セキュリティチームはこの事例を、自社が約束した保護策を実証できるかどうかを点検する機会として今すぐ活用できます。

関連記事：プライバシーの問題はAIアシスタントにも及んでいます — Meta Museのデータ開示は、連携エージェントが何を収集しうるか、どのような権限を受け取るかをユーザーが確認すべき理由を示しています。