Meta Ordered to Pay $25 Billion After Court Finds 43 Million Privacy Violations

Sanction record pour Meta : 25 milliards de dollars d’amende au Nouveau-Mexique

Un tribunal du Nouveau-Mexique a condamné Meta à payer 25 milliards de dollars suite à 43 millions de violations des lois locales sur les pratiques commerciales déloyales. Cette décision fait suite à l’affaire Cambridge Analytica, où des données personnelles ont été collectées sans consentement via l’application « thisisyourdigitallife ».

Points clés :

• Origine de la faille : Une application tierce a utilisé un quiz de personnalité pour récolter les données de 300 000 utilisateurs directs, ainsi que celles de leurs contacts, créant un profilage psychographique de 87 millions de personnes.
• Manquements constatés : Le tribunal a jugé que Meta a délibérément trompé ses utilisateurs en leur faisant croire qu’ils conservaient le contrôle de leurs données personnelles, alors que la plateforme facilitait leur accès non autorisé.
• Historique judiciaire : Meta multiplie les procédures, ayant déjà réglé un recours collectif pour 725 millions de dollars (2022) et une amende de 5 milliards de dollars infligée par la FTC (2019) pour des motifs similaires. La société a annoncé son intention de faire appel.

Vulnérabilités :

• Abus d’API et de permissions : La conception de la plateforme permettait à une application tierce d’accéder aux données privées non seulement des utilisateurs actifs, mais également de l’ensemble de leur réseau d’amis sans leur consentement explicite.

Recommandations :

• Transparence radicale : Les entreprises doivent cesser de formuler des promesses de confidentialité trompeuses et être explicites sur le partage réel des données avec des tiers.
• Contrôle strict des accès : Mise en œuvre de mécanismes de restriction des API pour empêcher l’extraction de données massives (scraping) via des applications tierces.
• Sécurité par conception (Privacy by Design) : Limitation stricte de la portée des permissions demandées par les applications afin qu’elles ne puissent pas accéder aux données de tiers (amis, contacts) sans autorisation individuelle.

Source