撰文、编辑 / Kaamel Labs
2026年10月21日，美国新墨西哥州第一司法区法院判令Meta支付250亿美元民事罚款。本案依据新墨西哥州《不公平商业行为法》（UPA），源于Facebook在“剑桥分析”事件前后就用户数据控制、第三方访问及内容治理等事项作出的虚假陈述。此前，陪审团已认定相关陈述构成违法且具有故意性。
法院指出，Facebook向用户承诺由其控制数据，但实际上用户设置无法完全限制开发者获取数据，且平台未披露为部分商业伙伴保留的数据访问例外。此外，平台承诺的调查与删除措施也超出了其实际执行能力。这些未被如实说明的限制，直接影响了用户对数据的实际控制权。
涉案数据控制声明
《特别裁决表》重点审查了2010年至2019年间，Facebook及其高管作出的六项关于用户数据控制的公开声明。这些声明涉及信息分享权限、第三方数据获取以及广告业务模式。
其中，扎克伯格于2010年在《华盛顿邮报》撰文称：“你能够控制自己的信息如何被分享”，并承诺不向不愿分享的对象或服务提供信息，不出售用户数据。其余五项声明集中在2018至2019年，由扎克伯格和桑德伯格通过媒体采访、新闻稿及财报会议等形式，反复否认出售数据或向广告商提供个人身份信息。
|
|
|
|
|
|---|---|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
陪审团认定，这六项声明均构成不公平或欺骗性商业行为，且Facebook具有故意性。法院强调，企业若承诺用户能控制数据，就必须提供相应的实际控制能力，并如实披露影响用户判断的限制条件与例外情况。
隐私设置与第三方数据访问
证据显示，Facebook的帖子可见范围设置与开发者API访问权限是两套独立的系统。用户调整帖子可见性，并不能限制开发者通过API获取数据，而多数用户并不知晓后者的存在。因此，界面上的隐私选择无法真实反映所有第三方的数据访问状况。
此外，2014年前应用可获取用户好友数据。虽然Facebook宣布终止该机制并设定过渡期，但法院认定，平台早在公告前就已计划并为部分重要商业伙伴保留了例外权限，且未向用户披露。这种“明面禁止、暗中例外”的做法，使得用户无法通过公开政策了解数据流向，构成了误导性事实。
误导性陈述的法律认定
根据法律指示，构成违法需证明陈述虚假或误导、明知故犯、与经营活动相关并造成误导后果。遗漏重要事实（如未披露第三方访问例外）同样构成违法。
内部邮件等证据显示，Facebook高管明知用户不理解隐私设置，却利用这一点鼓励用户公开更多信息以增强竞争力。在员工和研究人已指出公司缺乏兑现承诺的能力后，高管仍继续作出相关公开陈述。法院据此认定其行为具有“故意性”，并利用消费者在知识和经验上的不足，构成了显失公平的商业行为。
针对Facebook提出的《通信规范法》第230条及言论自由抗辩，法院明确区分了发布第三方内容与平台自身的商业虚假陈述，指出后者不受第一修正案保护。
应用开发者调查与整改承诺
2018年事件后，Facebook启动应用开发者调查（ADI），承诺审计可疑应用、禁止违规者、删除数据并通知用户。然而，法院查明其执行情况严重不符：
- 审计不力：三年内仅实施14次取证式审计，且未独立核实数据准确性；
- 管理疏漏：仅禁止约116名开发者，且缺乏有效机制防止其重新入驻；
- 删除存疑：主要依赖开发者自证，难以确认数据是否真正删除；
- 通知缺失：缩小“数据滥用”定义以减少工作量，最终仅通知两名受影响用户，且未公开承认未履行承诺。
法院认定，Facebook在作出承诺时已知自身缺乏履行能力，但仍因成本控制和资源不足等原因继续宣传，构成故意违法。
处罚金额的裁量标准
罚款金额基于违法次数计算。陪审团认定每名新墨西哥州居民均为相关陈述的受众，合计约4390万次违法。考虑到行为持续时间长、高管参与度高、受众规模大及主观恶意等因素，法院适用每次最高5000美元的罚款标准。
虽然理论计算金额高达2195亿美元，但法院最终裁定罚款总额为250亿美元，并按年利率15%计息。该金额涵盖数据处理及内容治理等多项违规行为。截至2026年10月22日，Meta表示将提起上诉。
Kaamel 简介
Kaamel 始终站在隐私保护的前沿，我们坚信通过技术驱动的方式帮助企业识别和解决隐私合规风险。
创新的 Kaamel AI 检测引擎依托主流法规和监管判例，可以帮助企业快速、全面识别自身的隐私合规风险。Kaamel 也为企业提供全方位的隐私合规解决方案，助力企业在出海业务经营中更加有效地应对监管和用户需求，减轻隐私风险与合规隐患，在国际化市场建立隐私信任。
