Za co Meta ma zapłacić 25 mld dolarów
21 października 2026 r. sędzia sądu stanowego w Nowym Meksyku Francis Mathew nakazał Mecie zapłatę 25 mld USD kary. Wcześniej, 25 września, ława przysięgłych w Santa Fe uznała, że 26 z 29 publicznych zapewnień Mety i jej kierownictwa o prywatności i moderacji treści wprowadzało użytkowników w błąd. Podstawą jest stanowa ustawa o nieuczciwych praktykach (Unfair Practices Act), która przewiduje do 5000 USD kary za każde naruszenie.
Naruszeń naliczono ponad 43 mln, bo liczono odbiorców każdego mylącego zapewnienia wśród użytkowników Facebooka i mieszkańców stanu. Maksymalnie dawało to ok. 219 mld USD; sędzia obniżył kwotę do 25 mld. Stan żądał 35–40 mld, Meta chciała limitu 3,45 mld. Od niezapłaconej kwoty nalicza się 15% odsetek rocznie, a pieniądze mają trafić do stanowego systemu edukacji.
Pozew złożono w 2021 r. Jego źródłem była sprawa Cambridge Analytica: firma pozyskała przez aplikację zewnętrznego badacza dane nawet 87 mln użytkowników Facebooka bez ich zgody. Stan twierdził, że Meta wiedziała o szerokim dostępie podmiotów trzecich do danych, a mimo to zapewniała użytkowników, że to oni decydują o swoich danych. Sędzia ujął to wprost: Facebook obiecywał użytkownikom kontrolę nad danymi i to była nieprawda.
Odwołanie i znaczenie wyroku
Meta zapowiedziała apelację. Jej szef działu prawnego C.J. Mahoney nazwał karę „podatkiem od wypowiedzi” i stwierdził, że firma jest pewna wygranej w kolejnej instancji. Wyrok nie jest więc prawomocny, a kwota może się zmienić. Dla porządku: to sprawa amerykańska, oparta na stanowym prawie konsumenckim. RODO nie miało tu zastosowania. Sprawa nie dotyczyła też Meta Pixel ani Conversions API.
Wspólny mianownik z polską firmą jest jeden: sąd ukarał rozbieżność między tym, co firma deklarowała o danych, a tym, co działo się w praktyce. Ta sama rozbieżność jest najczęstszym problemem na firmowych stronach, które korzystają z narzędzi reklamowych Mety, Google czy TikToka.
Gdzie na firmowej stronie najłatwiej o taką rozbieżność
Banner cookies i polityka prywatności to Wasze deklaracje wobec użytkownika. Jeśli banner mówi „nic nie zbieramy bez zgody”, a Pixel ładuje się razem ze stroną, deklaracja jest nieprawdziwa. W UE podstawy są trzy:
- ePrivacy (w Polsce wdrożona przez Prawo komunikacji elektronicznej): zapis i odczyt plików cookie oraz podobnych identyfikatorów, które nie są niezbędne do działania strony, wymaga uprzedniej zgody. Dotyczy to ciasteczek
_fbpi_fbcustawianych przez Pixel. - RODO: przekazanie danych do Mety wymaga podstawy prawnej i informacji w polityce prywatności. TSUE w sprawie Fashion ID uznał, że operator strony z wtyczką Facebooka jest współadministratorem w zakresie zbierania i przekazywania danych.
- Przekazanie do USA: Meta jest certyfikowana w ramach EU-US Data Privacy Framework, co trzeba opisać w polityce prywatności.
Conversions API nie omija zgody. Dane wysyłane z serwera (zdarzenia zakupu, zahaszowany e-mail lub telefon) nadal są danymi osobowymi, bo hash to tylko pseudonimizacja. Jeśli użytkownik odmówił zgody na marketing, serwer też nie powinien wysyłać jego zdarzeń. Google Consent Mode v2 steruje tylko tagami Google; Pixel ma własny mechanizm fbq('consent', 'revoke') i fbq('consent', 'grant'), który trzeba podpiąć do bannera osobno.
Co sprawdzić u siebie w godzinę
- Otwórzcie stronę w oknie prywatnym, nie klikajcie w banner, włączcie narzędzia deweloperskie (zakładka Network) i przefiltrujcie po
facebook,google,tiktok. Każde żądanie przed kliknięciem „Akceptuję” to sygnał do poprawki. - W zakładce Application sprawdźcie, czy przed zgodą pojawiają się ciasteczka
_fbp,_ga,_gcl_au. - Kliknijcie „Odrzuć” i powtórzcie test. Odmowa ma działać tak samo łatwo jak zgoda i ma być respektowana po przeładowaniu strony.
- W Google Tag Manager przejrzyjcie wyzwalacze: tagi marketingowe nie mogą startować na „All Pages” bez warunku zgody.
- Jeśli używacie Conversions API (także przez wtyczkę do WooCommerce, Shopify czy PrestaShop), ustalcie, czy serwer uwzględnia decyzję z bannera.
- W aplikacjach mobilnych sprawdźcie, czy Meta SDK nie wysyła automatycznych zdarzeń przed zgodą (flaga
FacebookAutoLogAppEventsEnabledi jej odpowiednik na Androidzie). - Porównajcie listę narzędzi w polityce prywatności z tym, co faktycznie ładuje strona. Sprawdźcie też, czy macie zaakceptowane warunki współadministrowania z Metą i umowy powierzenia z agencją lub dostawcą, który obsługuje Wasze tagi.
Przy wątpliwościach co do podstawy prawnej lub treści polityki prywatności skonsultujcie się z prawnikiem; część techniczną da się zweryfikować samodzielnie powyższym testem.
Wniosek na dłużej
Tagi marketingowe przybywają latami: agencja dodaje piksel, ktoś instaluje wtyczkę, kampania się kończy, a skrypt zostaje. Prowadźcie spis narzędzi, które przetwarzają dane odwiedzających, z informacją, kto je dodał i na jakiej podstawie działają, a test w oknie prywatnym powtarzajcie po każdej zmianie na stronie. Wtedy polityka prywatności opisuje to, co dzieje się naprawdę.