Contexte juridique
Un jury du comté de Santa Fe, Nouveau-Mexique, a rendu verdict le 25 septembre 2026, déclarant Facebook (Meta Platforms) responsable d’avoir trompé les utilisateurs concernant les protections de confidentialité après le scandale Cambridge Analytica. Le jury a reconnu plus de 2 millions de violations, chaque violation pouvant entraîner une amende maximale de 5 000 $ selon la législation de l’État. Le jugement porte sur la population du Nouveau‑Mexique, estimée à plus de 2 millions d’habitants, et s’appuie sur la collecte de données de 87 millions de profils via un questionnaire tiers vendu à Cambridge Analytica.
Mécanismes de collecte et de partage des données
Le questionnaire tiers fonctionnait comme une application tierce intégrée à la plateforme Facebook, exploitant les API d’accès aux profils. Chaque soumission récupérait les informations du compte principal ainsi que les données de contacts associés, ce qui a permis d’agrandir le jeu de données au‑delà du consentement explicite de l’utilisateur. Les données agrégées ont ensuite été transférées à Cambridge Analytica, qui les a utilisées pour créer des profils psychographiques destinés à des publicités ciblées, notamment lors de la campagne présidentielle de 2016. L’absence de mécanismes de limitation d’accès aux API et la non‑application de contrôles de consentement granulaire ont été identifiées comme des failles structurelles du modèle de données de Facebook.
Analyse des impacts sur la conformité et les pratiques de sécurité
Le verdict expose plusieurs risques pour les plateformes sociales : premièrement, il souligne la nécessité d’implémenter des privacy‑by‑design robustes, incluant la segmentation des permissions d’API et la journalisation détaillée des accès aux données. Deuxièmement, la décision rappelle que les accords de règlement, comme le settlement de 18 milliards de dollars signé en août 2026 pour les questions de sécurité des mineurs, ne garantissent pas l’immunité face à des poursuites d’État distinctes. Le Nouveau‑Mexique a déjà obtenu 942 millions de dollars dans une procédure distincte, et a imposé des mesures correctives telles que la vérification d’âge et la limitation du temps d’utilisation. Enfin, le rejet par la Floride du même accord indique une fragmentation juridique qui pourrait pousser les entreprises à harmoniser leurs pratiques de conformité au niveau fédéral plutôt que d’ajuster les réponses à chaque juridiction.
