25 miliardów dolarów, niemal 44 miliony naruszeń prawa i ponad dekada wprowadzania użytkowników w błąd. Amerykański sąd w stanie Nowy Meksyk wydał jedno z najdotkliwszych finansowo rozstrzygnięć w historii sporów pomiędzy regulatorami a gigantami technologicznymi. Meta, właściciel Facebooka i Instagrama, została zobowiązana do zapłaty gigantycznej kary za praktyki związane z ochroną danych osobowych, dostępem podmiotów trzecich do informacji użytkowników oraz wprowadzającymi w błąd zapewnieniami dotyczącymi funkcjonowania platformy. Sprawa wywodzi się ze skandalu Cambridge Analytica, ale zakres ustaleń sądu jest znacznie szerszy. Firma nie zgadza się z rozstrzygnięciem i zapowiada apelację.
Decyzja została wydana 21 października 2026 roku przez sędziego Francisa Mathewa z sądu stanowego w Nowym Meksyku. To kolejny etap postępowania wszczętego przeciwko Facebookowi w 2021 roku przez stanowego prokuratora generalnego. Wcześniej, 25 września 2026 roku, ława przysięgłych uznała, że przedsiębiorstwo wielokrotnie naruszało stanowe przepisy chroniące konsumentów, składając nieprawdziwe lub wprowadzające w błąd oświadczenia dotyczące sposobu wykorzystywania danych oraz bezpieczeństwa użytkowników.
Skala orzeczonej sankcji jest bezprecedensowa. 25 miliardów dolarów to kara wielokrotnie przewyższająca wcześniejsze głośne sankcje za naruszenia prywatności, w tym 5 miliardów dolarów, które Facebook zgodził się zapłacić amerykańskiej Federalnej Komisji Handlu w 2019 roku. Nowe rozstrzygnięcie pokazuje, jak kosztowne mogą stać się wieloletnie praktyki polegające na zapewnianiu konsumentów o ochronie danych, gdy ustalenia sądu prowadzą do odmiennego wniosku.
Niemal 44 miliony naruszeń prawa. Sąd mógł wymierzyć jeszcze wyższą karę
Podstawą rozstrzygnięcia był werdykt ławy przysięgłych, która stwierdziła dokładnie 43 899 725 umyślnych naruszeń przepisów stanu Nowy Meksyk. Chodzi o ustawę Unfair Practices Act, zabraniającą między innymi nieuczciwych i wprowadzających w błąd praktyk handlowych.
Przepisy przewidują możliwość nałożenia kary cywilnej do 5000 dolarów za każde umyślne naruszenie. Przy liczbie przypadków ustalonej przez ławę przysięgłych teoretyczny maksymalny wymiar sankcji wynosił około 219,5 miliarda dolarów. Sąd ostatecznie ustalił karę na poziomie 25 miliardów dolarów, uznając, że również taka kwota będzie stanowiła odpowiednią reakcję na charakter i skalę naruszeń.
Warto przy tym wyjaśnić, że niemal 44 miliony naruszeń nie oznaczają 44 milionów indywidualnych osób, których dane zostały skradzione. Liczba ta wynika ze sposobu oceny wielokrotnych wprowadzających w błąd komunikatów kierowanych do odbiorców Facebooka w Nowym Meksyku. Sąd analizował nie tylko treść poszczególnych zapewnień, lecz także skalę ich rozpowszechnienia i liczbę konsumentów, do których mogły dotrzeć.
To istotna różnica: kara nie została wymierzona za pojedyncze włamanie do serwerów Facebooka ani za jeden wyciek danych. Dotyczy szeregu praktyk i oświadczeń, które przez lata kształtowały przekonanie użytkowników o tym, jak platforma chroni ich informacje.
Facebook zapewniał użytkowników, że kontrolują swoje dane. Ława przysięgłych uznała inaczej
Jednym z najważniejszych zagadnień badanych przez sąd było to, w jaki sposób Facebook przedstawiał użytkownikom zasady ochrony ich informacji. Platforma przez lata podkreślała możliwość kontrolowania prywatności, zarządzania udostępnianymi danymi oraz ograniczania dostępu do informacji przez inne podmioty. Tymczasem z ustaleń przedstawionych w postępowaniu wynikało, że rzeczywiste praktyki firmy nie zawsze odpowiadały tym zapewnieniom.
Ława przysięgłych uznała za wprowadzające w błąd 26 spośród 29 ocenianych oświadczeń Facebooka i jego kierownictwa. Część dotyczyła sposobu gromadzenia i udostępniania danych osobowych, a część zapewnień odnoszących się do dezinformacji, mowy nienawiści i szkodliwych materiałów rozpowszechnianych na platformie.
W ocenie sądu problem miał charakter systemowy. Nie chodziło wyłącznie o pojedynczy niefortunny komunikat, nieprecyzyjny zapis regulaminu czy błąd techniczny. Zakwestionowane oświadczenia pojawiały się w różnych kanałach komunikacji, były kierowane do szerokiego grona odbiorców i obejmowały wiele lat działalności przedsiębiorstwa.
Sąd analizował zapewnienia rozpowszechniane w okresie od 24 maja 2010 roku do 18 sierpnia 2021 roku. To ponad jedenaście lat, podczas których Facebook przekształcił się z popularnego serwisu społecznościowego w jedną z największych platform reklamowych na świecie.
Sędzia uznał, że zakwestionowane praktyki nie były przypadkowym zbiorem odrębnych incydentów, lecz tworzyły spójny sposób komunikowania się z konsumentami, wprowadzający ich w błąd co do rzeczywistych zasad działania serwisu.
Wszystko zaczęło się od afery Cambridge Analytica
Choć kara została ogłoszona w październiku 2026 roku, korzenie sprawy sięgają wydarzeń sprzed ponad dekady. Centralnym punktem historii pozostaje afera Cambridge Analytica, która wybuchła publicznie w marcu 2018 roku i ujawniła poważne problemy z kontrolą dostępu do danych użytkowników Facebooka.
Cambridge Analytica była brytyjską firmą zajmującą się analizą danych i doradztwem politycznym. Przedsiębiorstwo zasłynęło z wykorzystywania informacji o internautach do tworzenia profili psychologicznych i przygotowywania precyzyjnie kierowanych przekazów reklamowych, między innymi w kontekście amerykańskich wyborów prezydenckich w 2016 roku.
Mechanizm pozyskiwania informacji opierał się na aplikacji przygotowanej przez badacza Aleksandra Kogana. Program przedstawiano jako narzędzie służące do badania osobowości. Osoby korzystające z aplikacji przekazywały jej określone informacje, ale ówczesne mechanizmy Facebooka pozwalały również na pozyskiwanie danych dotyczących ich znajomych, którzy sami nie instalowali programu ani nie wyrażali bezpośredniej zgody na udział w takim badaniu.
W rezultacie informacje dotyczące nawet 87 milionów użytkowników Facebooka mogły zostać pozyskane w ramach tego mechanizmu. Dane trafiły do ekosystemu wykorzystywanego przez Cambridge Analytica, a ujawnienie praktyk firmy stało się jednym z największych skandali dotyczących prywatności w historii mediów społecznościowych.
Nie był to klasyczny cyberatak polegający na złamaniu zabezpieczeń serwera przez hakerów. Problem polegał przede wszystkim na zbyt szerokim dostępie aplikacji zewnętrznych do informacji użytkowników oraz późniejszym wykorzystaniu pozyskanych danych w sposób niezgodny z ich oczekiwaniami i deklarowanymi zasadami.
To właśnie ten aspekt sprawił, że afera Cambridge Analytica miała znaczenie wykraczające daleko poza jedną firmę zajmującą się doradztwem politycznym. Pokazała, że nawet bez kradzieży hasła lub przełamania technicznych zabezpieczeń ogromne zbiory danych osobowych mogą trafić w ręce podmiotów, którym użytkownicy nigdy świadomie ich nie powierzali.
Więcej o tej aferze napisaliśmy w dedykowanej publikacji Cambridge Analytica (2018). Historia wielkiej afery na facebooku, której publikację planowaliśmy przy okazji jakichś wyborów. Kara 25 mld USD jest jednak równie dobrym pretekstem, aby popełnić publikację znacznie wcześniej.
Nie tylko dane osobowe. Sąd badał również deklaracje Facebooka dotyczące dezinformacji
Postępowanie w Nowym Meksyku objęło także sposób, w jaki Facebook przedstawiał własne działania przeciwko dezinformacji, mowie nienawiści i innym szkodliwym treściom. To szczególnie interesujący element sprawy, ponieważ pokazuje, że odpowiedzialność platform społecznościowych nie ogranicza się do technicznego bezpieczeństwa przechowywanych informacji.
Wśród zakwestionowanych zapewnień znalazły się komunikaty dotyczące usuwania szkodliwej dezinformacji, braku finansowych korzyści z rozpowszechniania nienawistnych materiałów oraz deklarowanej motywacji firmy do eliminowania niebezpiecznych treści. Ława przysięgłych uznała część tych oświadczeń za nieuczciwe lub wprowadzające konsumentów w błąd.
Nie oznacza to, że sąd stwierdził, iż każda nieprawdziwa informacja opublikowana na Facebooku była przestępstwem albo że platforma miała obowiązek automatycznie usuwać wszystkie kontrowersyjne wypowiedzi. Przedmiotem postępowania była przede wszystkim rzetelność deklaracji samej firmy wobec konsumentów, a nie ustanowienie ogólnego zakazu publikowania określonych poglądów.
Rozróżnienie to jest niezwykle ważne. Platforma może prowadzić własną politykę moderacji i określać zasady korzystania z usług, ale jeżeli publicznie zapewnia użytkowników o konkretnych mechanizmach ochrony, powinna przedstawiać je zgodnie z rzeczywistością. Odpowiedzialność za wprowadzające w błąd komunikaty nie jest tym samym co odpowiedzialność za każdą wypowiedź opublikowaną przez osobę trzecią.
Dlaczego kara wyniosła aż 25 miliardów dolarów?
Rozmiar sankcji wynika przede wszystkim z połączenia trzech czynników: liczby naruszeń stwierdzonych przez ławę przysięgłych, długiego okresu stosowania zakwestionowanych praktyk oraz charakteru działalności Facebooka.
Sąd zwrócił uwagę, że przedsiębiorstwo przez lata przedstawiało konsumentom komunikaty dotyczące kwestii bezpośrednio związanych z funkcjonowaniem jego modelu biznesowego. Ochrona danych, sposób wykorzystywania informacji oraz zasady działania platformy nie są bowiem marginalnymi elementami usługi. Stanowią podstawę relacji pomiędzy użytkownikiem a firmą, która zarabia między innymi na reklamach kierowanych na podstawie informacji o odbiorcach.
W uzasadnieniu odniesiono się również do wcześniejszych postępowań przeciwko Facebookowi. Szczególne znaczenie miała ugoda z Federalną Komisją Handlu z 2019 roku, w ramach której firma zgodziła się zapłacić 5 miliardów dolarów za naruszenia związane z prywatnością i stosować dodatkowe mechanizmy nadzoru.
Sąd w Nowym Meksyku uznał, że wcześniejsze sankcje i zobowiązania regulacyjne nie stanowiły wystarczającego środka odstraszającego. Wymierzając nową karę, uwzględnił zatem zarówno skalę ustalonych naruszeń, jak i konieczność nadania przepisom o ochronie konsumentów rzeczywistej skuteczności.
Nie oznacza to jednak, że sąd po prostu pomnożył liczbę użytkowników Facebooka przez arbitralnie wybraną kwotę. Sankcja wynika z zastosowania stanowej ustawy i oceny naruszeń stwierdzonych w konkretnym postępowaniu sądowym.
Meta nie zgadza się z wyrokiem. Zapowiada apelację
Przedstawiciele Meta zakwestionowali rozstrzygnięcie i zapowiedzieli jego zaskarżenie. Firma utrzymuje, że nie wprowadzała użytkowników w błąd w sposób zarzucany przez stan Nowy Meksyk, a kara jest nadmierna i niezgodna z konstytucyjnymi ograniczeniami dotyczącymi sankcji finansowych.
W toku postępowania prawnicy przedsiębiorstwa argumentowali między innymi, że materiał dowodowy nie wykazał rzeczywistego wprowadzenia konkretnych konsumentów w błąd oraz że firma nie prowadzi sprzedaży danych użytkowników w sposób przedstawiany przez stronę przeciwną. Meta postulowała również znacznie niższy maksymalny poziom sankcji.
Na dzień 22 października 2026 roku kara w wysokości 25 miliardów dolarów jest rozstrzygnięciem sądu pierwszej instancji, które firma zamierza zaskarżyć. Nie należy więc przedstawiać jej jako prawomocnie zakończonego sporu ani twierdzić, że Meta przekazała już całą kwotę władzom Nowego Meksyku.
Dalsze postępowanie może dotyczyć zarówno podstaw odpowiedzialności, jak i wysokości sankcji. Ze względu na ogromną wartość orzeczenia oraz znaczenie sprawy dla sektora technologicznego prawdopodobne jest, że spór będzie kontynuowany przed sądami wyższych instancji.
To kolejna potężna sankcja dla Meta w 2026 roku
Nowa kara nie jest jedynym poważnym rozstrzygnięciem dotyczącym Meta w stanie Nowy Meksyk. W odrębnym postępowaniu związanym z bezpieczeństwem dzieci i młodzieży na platformach Facebook, Instagram i WhatsApp, w 2026 roku na firmę nałożono sankcje i obowiązki finansowe o łącznej wartości 942 milionów dolarów.
W tamtej sprawie ława przysięgłych orzekła karę w wysokości 375 milionów dolarów, a sąd nakazał dodatkowo przeznaczenie 567 milionów dolarów na działania związane z problemami zdrowia psychicznego młodzieży. Na przedsiębiorstwo nałożono również obowiązki dotyczące zmian w sposobie ochrony nieletnich użytkowników.
Oba postępowania są odrębne i dotyczą innych zarzutów. Łączy je jednak fundamentalne pytanie o odpowiedzialność największych platform społecznościowych za sposób prowadzenia działalności oraz zgodność publicznych zapewnień z rzeczywistymi praktykami.
W ciągu zaledwie kilku miesięcy Meta stanęła wobec orzeczeń opiewających łącznie na dziesiątki miliardów dolarów. Ostateczna wysokość zobowiązań zależy jednak od dalszego przebiegu postępowań i ewentualnych rozstrzygnięć odwoławczych.
Co wyrok oznacza dla użytkowników Facebooka w Polsce?
Rozstrzygnięcie sądu w Nowym Meksyku nie oznacza automatycznie, że polscy użytkownicy Facebooka otrzymają odszkodowania. Kara została wymierzona w ramach postępowania prowadzonego na podstawie prawa obowiązującego w amerykańskim stanie, a jej beneficjentem jest tamtejszy system publiczny. Nie jest to program indywidualnych rekompensat dla wszystkich użytkowników Facebooka na świecie.
Sprawa ma jednak znaczenie znacznie szersze niż sam amerykański rynek. Pokazuje, że publiczne zapewnienia przedsiębiorstw dotyczące prywatności, bezpieczeństwa i sposobu wykorzystywania danych mogą być przedmiotem szczegółowej kontroli, a nie tylko elementem marketingu.
Dla użytkowników to również przypomnienie, że ustawienia prywatności nie zawsze dają pełną kontrolę nad informacjami już udostępnionymi aplikacjom i usługom zewnętrznym. Warto regularnie sprawdzać połączone aplikacje, ograniczać zakres przekazywanych danych i usuwać dostęp usług, z których nie korzystamy. Szczególnie ostrożnie należy traktować quizy, testy osobowości i programy żądające szerokich uprawnień do profilu społecznościowego.
Nie wszystkie zagrożenia wynikają jednak z błędów technicznych. Historia Cambridge Analytica pokazuje, że równie niebezpieczne może być pozyskiwanie informacji w ramach mechanizmów formalnie udostępnionych przez platformę, jeśli zasady dostępu i późniejszego wykorzystania danych są nieprzejrzyste.
25 miliardów dolarów za utratę zaufania. Czy giganci technologiczni zmienią swoje praktyki?
Rozstrzygnięcie przeciwko Meta jest jednym z najmocniejszych sygnałów, że regulatorzy i sądy coraz poważniej traktują odpowiedzialność platform za komunikowanie użytkownikom zasad działania swoich usług. W przypadku Facebooka spór nie dotyczył wyłącznie pytania, czy dane były technicznie zabezpieczone. Równie ważne okazało się to, czy użytkownicy byli rzetelnie informowani o tym, kto może uzyskiwać dostęp do ich informacji, jak są one wykorzystywane i jakie mechanizmy ochrony rzeczywiście funkcjonują.
Warto pamiętać, że ogromna kara finansowa sama w sobie nie musi prowadzić do natychmiastowej poprawy bezpieczeństwa. Istotne są także przejrzystość działania platform, realna kontrola nad uprawnieniami aplikacji zewnętrznych, skuteczność mechanizmów ochronnych oraz możliwość niezależnej weryfikacji zapewnień składanych przez przedsiębiorstwa.
W przypadku Meta ostateczny wynik postępowania pozostaje otwarty. Spółka zapowiada apelację, a wysokość sankcji może być jeszcze przedmiotem sporu prawnego. Niezależnie od dalszego przebiegu procesu werdykt ławy przysięgłych i decyzja sądu już teraz stanowią istotny punkt odniesienia w dyskusji o ochronie danych i odpowiedzialności wielkich firm technologicznych.
Najważniejszy wniosek z tej sprawy wykracza poza Facebooka i Cambridge Analytica. Jeśli przedsiębiorstwo buduje swój biznes na danych setek milionów ludzi, nie może traktować deklaracji dotyczących ich prywatności jak zwykłego sloganu reklamowego. Użytkownik powinien wiedzieć, komu powierza informacje i w jaki sposób będą wykorzystywane. A kiedy zapewnienia firmy mijają się z rzeczywistością, konsekwencje mogą być liczone nie w milionach, lecz w dziesiątkach miliardów dolarów.