米ニューメキシコ州の裁判所は2026年10月21日、Facebookのデータ利用などに関する説明が消費者を欺いていたとして、親会社のMetaに250億ドルの民事制裁金を州へ支払うよう命じた。9月の陪審評決で違反が認定されたことを受けて制裁金を決定し、完済まで年15%の利息を課すことも命じている。訴訟の発端はケンブリッジ・アナリティカによるデータ不正利用問題だが、裁判所が問題視したのは、それだけではない。その後の調査や利用者への通知も含め、Facebookが公に説明してきた内容と実際の運用との食い違いが問われた。約4,390万件に上る違反件数も、データを不正利用された人数ではなく、繰り返された説明とそれぞれの想定聴衆を積み上げたものだ。
26件の説明が約4,390万件の違反と認定された理由
違法と認定されたのは、2010年5月24日から2021年8月18日までの11年余りに行われた26件の説明だ。ニューメキシコ州第1司法地区裁判所の判決によると、陪審はそれぞれの説明について、州内で合理的に想定される聴衆の人数を違反件数として計上した。算定には、2020年6月30日時点の州内の月間利用者数138万6,648人、または州人口に相当する約210万人が用いられている。対象となったのは、テレビのインタビューや決算説明会、Facebook自身による発信などを通じて行われた説明だ。
この数え方では、同じ利用者が複数の説明を見聞きした可能性があるため、各説明の想定聴衆として繰り返し計上され得る。したがって、約4,390万人の異なる被害者が特定されたわけではない。裁判所が問題視した説明の回数と、それぞれが届いたと想定される人数を掛け合わせた結果、違反件数が膨らんだのである。判決で認定された違反は合計4,389万9,725件だが、制裁金の算定対象となったのは、このうち4,389万9,720件で、別類型の5件は含まれていない。
判決の事実認定3、法的結論7〜9、主文1に基づき、違反件数と制裁金の内訳を整理すると次のようになる。
| 判決で区別される項目 | 件数・金額 | 意味 |
|---|---|---|
| 不公正・欺瞞的な取引の故意違反 | 4,389万9,720件 | 想定聴衆を積算し、制裁金の算定に使用 |
| 著しく不公正な取引という別類型の故意違反 | 5件 | 上記とは別に認定 |
| 減額前の制裁金 | 2,194億9,860万ドル | 4,389万9,720件×1件5,000ドル |
| 支払いを命じた制裁金 | 250億ドル | 判決主文で減額された金額 |
Francis J. Mathew判事は、問題となった行為が長期間にわたって繰り返され、経営幹部も関与していたことなどを踏まえ、州の不公正取引慣行法が定める上限の1件5,000ドルを適用するのが妥当と判断した。これを制裁金の算定対象となる4,389万9,720件に掛けると、総額は2,194億9,860万ドルに達する。ただし、最終的に支払いを命じた金額は250億ドルに減額されており、判決主文には減額後の金額を導いた具体的な計算式までは記されていない。なお、別類型として認定された5件について、この表では独立した制裁金を割り当てていない。
Metaは裁判で、米連邦取引委員会（FTC）との50億ドルの和解などを挙げ、過去の制裁との均衡も考慮すべきだと主張していた。これに対して裁判所は、和解金額だけで比較するのではなく、過去の命令や合意、その後の訴訟も含めて評価する必要があるとの見解を示した。今回の250億ドルという金額を理解するには、違反件数から機械的に算出された金額と、裁判所が最終的に命じた金額を区別する必要がある。
公開範囲を制限しても、外部アプリへのデータ共有は防げなかった
Facebookでは、投稿の公開範囲を設定する機能と、外部アプリによるデータ取得を制御する仕組みが別々に管理されていた。判決によると、利用者が画面上で投稿の公開範囲を制限しても、外部開発者がAPIを通じてデータを取得する際には、同じ制限が適用されない場合があった。APIとは、外部アプリがFacebookのシステムと接続し、情報を取得するための仕組みである。この構造によって、本人がアプリを利用していなくても、友人が利用したアプリを通じて本人の情報が取得される可能性があった。
Facebookは2014年、こうした友人データの共有を終了する方針を発表し、2015年5月を移行期限に設定した。しかし判決によれば、一部の有力な提携企業には、その後もデータへのアクセスを認める例外が設けられていた。Facebookはこうした例外の存在を利用者に知らせておらず、公開範囲を制限すれば情報の共有も抑えられると考える利用者の認識と、実際の仕組みに隔たりが生じていた。ただし、これは当時の行為に関する認定であり、現在のFacebookのすべての設定について、同じ問題が残っていると判断したものではない。
2018年3月にケンブリッジ・アナリティカによるデータ不正利用問題が表面化した後も、説明と実際の対応には食い違いがあったと裁判所は認定している。Facebookは外部アプリの調査を約束し、不審な活動が見つかれば監査を実施すると説明していた。また、不正に取得されたデータが削除されたことを確認し、影響を受けた利用者には通知する方針も示していた。しかし、こうした約束が十分に履行されていたとは認められなかった。
判決によると、2018年3月から2021年3月までのアプリ開発者に対する調査で、実際に行われたフォレンジック監査は14件にとどまった。フォレンジック監査は、不正なデータ取得や利用の実態を技術的に調査するもので、データが削除されたかどうかの確認についても、Facebookは主に開発者自身の申告に依存していたという。さらに、社内で「データの不正利用」に該当する行為の定義を狭めた結果、利用者への通知が行われたのは2つのアプリに関する事案だけだった。一方、裁判所は、少なくとも2,000のアプリについて、利用者に通知すべき不正利用が存在したと認定している。
データの共有を適切に管理していると説明するなら、問題のあるアプリを特定する調査体制に加え、不正に取得されたデータの削除を確認し、影響を受けた利用者に通知する仕組みが必要になる。今回の判決は、設定画面上で共有範囲を選べることと、実際のデータアクセスがその設定に従って管理されていることは別問題だと浮き彫りにした。利用者に約束した保護措置が裏側の運用でも守られているかどうかが、争点の一つとなったのである。
偽情報対策や規則の公平な適用も争点に
裁判所が審理したのは、個人データの取り扱いに関する説明だけではない。偽情報やヘイトスピーチへの対応、すべての利用者に同じ規則を適用するというFacebookの説明も対象となった。その具体例として判決が取り上げたのが、一部のアカウントに追加審査を行う「CrossCheck」という仕組みだ。裁判所は、有力な提携先や著名人などの投稿について、追加審査が終わるまで公開を続けることがあり、通常のアカウントに比べて違反投稿の削除が遅れる場合があったと認定した。
Facebookは利用者を公平に扱うと説明していたが、実際にはアカウントによって、違反投稿が公開されたままになる時間に差が生じていた。問題となったのは、追加審査の仕組みそのものというより、こうした特別な取り扱いと公の説明との食い違いである。ただし、州側の主張がすべて認められたわけではない。陪審評決用紙では、暴力や虚偽の新型コロナウイルス感染症の治療法など、現実の危害につながる投稿を削除するという説明について、質問9と16のいずれも違反の立証を認めていない。一方、偽情報に関する別の説明などは違法と認定されており、判断は個々の説明によって分かれている。
250億ドルの制裁金とは別に、サービスの運用変更も検討へ
今回の判決は、250億ドルの制裁金に対して、完済まで年15%の利息を課すと定めた。元本250億ドルに15%を単純に掛けると、1年当たり37億5,000万ドルに相当する。ただし、これは利率を基にした単純計算であり、今後の法的手続きや実際の支払い時期を考慮した最終的な負担額を示すものではない。制裁金の規模だけでなく、今後Facebookの運用にどのような変更が求められるかも重要になる。
今回の判決では、行為の変更などを命じる差止め措置について、追加の書面提出を受けてから判断する方針が示された。つまり、250億ドルの支払いは命じられたものの、データの共有設定や不正利用の通知方法について、新たにどのような措置を取るべきかは確定していない。過去の事例では、FTCが2019年に公表したFacebookとの和解で、50億ドルの制裁金に加え、取締役会に独立したプライバシー委員会を設置することや、CEOらが四半期ごとに法令順守状況を認証することが求められた。この和解は2012年のFTC命令への違反をめぐる申立てを解決する連邦の手続きであり、今回のニューメキシコ州法に基づく判決とは別のものだが、金銭制裁と将来の運用を監督する措置が、それぞれ異なる役割を担うことを示す例といえる。
今後、裁判所が差止め措置を命じる場合、外部アプリによるデータアクセスをどのように管理し、不正利用の調査や利用者への通知をどう検証するかが焦点となる。Facebookが公表する方針と実際の運用を照合できる仕組みが求められるかどうかも注目点だ。250億ドルという巨額の制裁金に加え、利用者に対する約束を確実に履行させる措置がどこまで具体化するかが、今後の重要な判断材料となる。
