Meta moet 25 miljard dollar aan boetes betalen nadat een rechtbank in New Mexico oordeelde dat het bedrijf consumenten in de staat misleidde over privacy. De beslissing is gekoppeld aan de bredere nasleep van het Cambridge Analytica-schandaal, dat in 2018 aan het licht kwam.
Volgens berichtgeving van onder meer Associated Press, The New York Times, Reuters en Wall Street Journal stelde rechter Francis J. Mathew dat Meta en Facebook onjuiste verwachtingen hebben gewekt over wie de controle over persoonlijke gegevens had. Daarmee is de uitkomst niet alleen financieel zwaar, maar ook inhoudelijk relevant voor hoe digitale platforms hun privacybelofte onderbouwen.
Waarom de Meta boete 25 miljard is opgelegd
De zaak werd aangespannen in 2021 en draait om overtredingen van de unfair practices law in New Mexico. De rechtbank koppelde de sanctie aan meer dan 43 miljoen schendingen.
In de uitspraak bekritiseerde de rechter vooral het privacyverhaal dat gebruikers werd voorgespiegeld. Het kernpunt: Facebook had volgens de rechter beloofd dat gebruikers zelf controle hadden over hun data, terwijl die belofte in de praktijk niet klopte.
Cambridge Analytica en de dataverzameling via een quiz
De privacyproblemen hangen direct samen met hoe Cambridge Analytica in de periode rond 2016 aan grote datasets kwam. Een belangrijke route was een persoonlijkheidsquiz met de naam “thisisyourdigitallife”.
Er wordt beschreven dat ongeveer 300.000 mensen het psychologische testje zouden hebben ingevuld. Later bleek echter dat de app ook gegevens van vrienden van die deelnemers verzamelde. Daardoor ontstond een veel grotere dataset: naar verluidt ongeveer 87 miljoen profielen.
Meta zette de app in 2015 uit vanwege schendingen van platformregels. Daarnaast werd er een juridische verzoek gedaan aan Cambridge Analytica om verzamelde data te verwijderen. Toch bleef de nasleep groot, mede doordat het bredere schandaal pas later breed werd bevestigd.
Wat eerder al is afgesproken en betaald
Deze veroordeling komt niet uit de lucht vallen. In de jaren na de onthullingen deed Meta eerdere schikkingen, maar ook toezichthouders legden forse sancties op.
In december 2022 spraken Meta en betrokkenen een class-action af die beschuldigde dat Meta gebruikersinformatie onjuist had gedeeld met Cambridge Analytica. Het overeengekomen bedrag bedroeg 725 miljoen dollar.
Eerder, in 2019, kreeg Meta al een boete van 5 miljard dollar van de U.S. Federal Trade Commission (FTC). Die sanctie was gebaseerd op het feit dat Meta de mogelijkheden van gebruikers om hun privacykeuzes te controleren had ondermijnd.
Daarnaast werd in augustus een schikking gemeld met bijna alle Amerikaanse staten en territoria. New Mexico en Florida waren daar volgens de berichten nog niet bij betrokken. Die regeling omvatte 18 miljard dollar verspreid over tien jaar en extra verplichtingen rond kindveiligheid op Facebook en Instagram, inclusief een component van 459 miljoen dollar die aan deze Cambridge Analytica-claims werd gekoppeld.
Meta reageert: beroep aangekondigd
Meta’s chief legal officer, C.J. Mahoney, heeft kritiek geuit op de nieuwe boete. Tegelijk liet hij weten dat het bedrijf van plan is in beroep te gaan tegen de uitspraak.
Voor organisaties en juristen is zo’n vervolg minder verrassend: bij dit soort privacyzaken gaat het vaak om de vraag hoe uitspraken over controle, toestemming en datagebruik juridisch moeten worden geïnterpreteerd. Dat verklaart ook waarom een uitspraak uit een lagere rechtbank later nog kan verschuiven in hoger beroep.
Waarom dit privacyzaak voor securityteams relevant is
Hoewel deze affaire vooral juridisch en beleidsmatig klinkt, raakt ze in de praktijk direct aan digitale security en privacy governance. Wanneer grote platforms data verzamelen en doorgeven, hangt de impact niet alleen af van technische maatregelen, maar ook van:
- Transparantie: wat er écht wordt uitgelegd over datacontrole en toestemming.
- Handhaving: hoe snel en consequent platformregels worden toegepast bij third-party apps.
- Dataminimalisatie: welke datastromen zijn toegestaan en welke niet.
- Governance en audits: hoe aantoonbaar wordt gemaakt dat processen kloppen.
Met andere woorden: een “privacybelofte” is niet alleen marketingtaal. In een rechtszaak kan die belofte als norm dienen voor hoe gebruikers het systeem redelijkerwijs mochten begrijpen.
Als je wilt kijken hoe privacy en security-denken samenkomen in incidentlessen en ontwerpprincipes, is dit artikel over het “evil bit” en securitydenken relevant als breder kader: Corey Thuen: het ‘evil bit’ en securitydenken.
Praktische lessen voor organisaties
Wat kunnen organisaties meenemen uit een dossier als dit, los van de specifieke partij en het juridisch kader? Vier aandachtspunten springen eruit.
1) Zorg dat privacyclaims onderbouwd en verifieerbaar zijn
Als je communiceert dat gebruikers controle hebben, moet je kunnen uitleggen hoe die controle technisch en procesmatig werkt. Niet alleen op hoofdlijnen, maar ook bij uitzonderingen, integraties en externe koppelingen.
2) Manage third parties als onderdeel van je securitymodel
Third-party apps en datadeals kunnen een systeem snel buiten de beoogde grenzen duwen. Het is daarom belangrijk om te weten welke rechten apps hebben, welke data ze kunnen benaderen en hoe snel je kunt ingrijpen bij policy-schendingen.
3) Focus op dataketens: vanaf toestemming tot opslag
Privacy gaat niet alleen over “wel of niet delen”, maar ook over hoe data door de keten beweegt. Denk aan verzameling, verrijking, opslag, profilering en eventuele hergebruikscenario’s.
4) Documenteer je besluitvorming
In rechtszaken draait het vaak om bewijs. Daarom helpt het om aantoonbaar te maken welke stappen zijn gezet toen risico’s bekend werden, bijvoorbeeld bij het verwijderen van toegang, het informeren van gebruikers of het beperken van datastromen.
Voor een vergelijkbare thematische invalshoek rondom privacy, rechten en het gebruik van data door AI-systemen kan ook deze publicatie over AI-agenten als insider threat nuttig zijn: AI-agenten als insider threat: wat je nu ziet.
Conclusie: Meta boete 25 miljard als signaal
De veroordeling van Meta tot 25 miljard dollar benadrukt dat privacybeloften in digitale omgevingen niet vrijblijvend zijn. De rechtbank in New Mexico koppelde de boete aan misleidende uitspraken en meer dan 43 miljoen schendingen van consumentenbescherming.
Terwijl Meta beroep aantekent, is de bredere boodschap duidelijk: organisaties moeten hun privacyclaims, datastromen en handhavingsprocessen aantoonbaar op orde hebben. Alleen zo beperk je risico’s die uiteindelijk zowel juridisch als operationeel groot kunnen worden.
Bron: https://thehackernews.com/2026/10/meta-ordered-to-pay-25-billion-after.html
