Ce que le jury a décidé
Un jury de Santa Fe a jugé le 25 septembre 2026 que Meta avait enfreint la loi du Nouveau-Mexique sur les pratiques commerciales déloyales, qualifiant 31 des 34 déclarations faites par Facebook sur les données des utilisateurs, sa politique contre les discours de haine et sa réponse à Cambridge Analytica de pratiques commerciales déloyales ou trompeuses. L'affaire, jugée par le 1st Judicial District Court devant le juge Francis Mathew, portait sur des déclarations publiques de Meta entre 2016 et 2020, dont des propos attribués à Mark Zuckerberg et des articles de blog assurant aux utilisateurs que leurs données ne seraient pas partagées avec des développeurs externes.
Le bureau du procureur général du Nouveau-Mexique a soutenu que ces déclarations fausses avaient atteint plus de 2 millions de résidents, même si seuls environ 350 000 avaient vu les données de leur profil Facebook directement exposées à des applications liées à Cambridge Analytica. Selon les informations rapportées, chaque déclaration trompeuse aurait à elle seule atteint environ 1,4 million d'utilisateurs du Nouveau-Mexique rien qu'en 2020, un chiffre qui devient central maintenant que l'affaire passe de la culpabilité à la sanction.
L'État qui a dit non
L'exposition de Meta liée à Cambridge Analytica aurait dû être réglée depuis longtemps. En 2024, l'entreprise a accepté de verser environ 459 millions de dollars à 47 États pour ce scandale, dans lequel le cabinet de conseil politique avait collecté les données de jusqu'à 87 millions d'utilisateurs Facebook sans leur consentement. Le Nouveau-Mexique ne faisait pas partie de ces 47 États.
Le bureau du procureur de l'État a préféré aller en procès, estimant qu'un chèque, aussi élevé soit-il, n'équivalait pas à un aveu que Meta avait menti à ses propres utilisateurs. C'est la deuxième victoire du Nouveau-Mexique contre Meta lors d'un procès en 2026, après un verdict distinct rendu en mars sur les pratiques de sécurité destinées aux mineurs, dans le même tribunal de Santa Fe. L'État a ainsi bâti deux dossiers de procès complets contre l'entreprise en une seule année, ce qu'aucun accord ne produit.
Pourquoi un verdict pèse plus qu'un accord
Un accord est un montant négocié, assorti de la clause habituelle par laquelle l'entreprise ne reconnaît aucune faute. Un verdict est différent: douze jurés ont examiné 34 déclarations publiques précises et ont décidé, une par une, que 31 d'entre elles étaient trompeuses, et que certaines l'étaient délibérément. Cette conclusion existe désormais comme un fait inscrit au dossier judiciaire, non comme un chiffre que les deux parties ont convenu de ne plus discuter.
Cette différence compte au-delà des frontières du Nouveau-Mexique. Une conclusion judiciaire de tromperie délibérée est exactement le type de fait que d'autres procureurs d'État, des plaignants privés et des régulateurs étrangers peuvent invoquer pour construire leurs propres dossiers, ce que la clause type d'un accord ne permet jamais. Meta a acheté le silence dans 47 États. Dans le 48e, l'entreprise dispose désormais d'un dossier de procès public qu'elle n'a pas choisi.
Le calcul de la sanction que personne n'a encore tranché
La loi du Nouveau-Mexique plafonne les sanctions civiles pour infraction délibérée à la loi sur les pratiques commerciales déloyales à 5 000 dollars par infraction, en vertu de la Section 57-12-11 du code de l'État, un montant que des élus ont par ailleurs proposé de porter à 25 000 dollars. Le juge Mathew doit désormais décider ce qui constitue une infraction: chacune des 31 déclarations trompeuses, ou chaque fois que l'une de ces déclarations a atteint un utilisateur du Nouveau-Mexique.
| Voie suivie par Meta | Portée | Montant | Faute reconnue |
|---|---|---|---|
| Accord à 47 États (2024) | 47 États | Environ 459 millions de dollars | Non, clause type de déni de responsabilité |
| Procès en solo du Nouveau-Mexique (2026) | 1 État, environ 2 millions de résidents | Encore à fixer, jusqu'à 5 000 dollars par infraction délibérée selon NM Stat 57-12-11 | Oui, 31 des 34 déclarations jugées trompeuses |
Les deux lectures ne sont pas proches l'une de l'autre. Comptée par déclaration, l'amende maximale se situe dans les centaines de milliers de dollars, une erreur d'arrondi face aux revenus 2026 de Meta. Comptée par exposition des utilisateurs, avec environ 1,4 million d'utilisateurs atteints par déclaration, le calcul légal pointe vers un montant bien plus élevé, même si aucun tribunal n'a encore jugé que l'exposition d'un seul consommateur à une déclaration fausse compte comme sa propre infraction.
La leçon pour qui opère aussi dans l'UE
Les lecteurs européens supposent souvent que le risque de confidentialité aux États-Unis fonctionne comme le RGPD: une amende plafonnée à un pourcentage du chiffre d'affaires mondial annuel, fixée par un seul régulateur selon une seule formule. L'affaire du Nouveau-Mexique montre que cette hypothèse est fausse pour une part importante du droit américain de protection des consommateurs, qui plafonne au contraire les sanctions par infraction individuelle, sans aucun plafond lié à la taille de l'entreprise.
Pour une entreprise active des deux côtés de l'Atlantique, ce n'est pas un détail, c'est une forme de risque entièrement différente. Une amende RGPD est prévisible dès que l'on connaît son chiffre d'affaires. Une sanction par infraction selon la loi d'un État américain n'est prévisible qu'une fois qu'un tribunal a décidé ce que constitue réellement une infraction, exactement la question à laquelle la phase de sanction du Nouveau-Mexique doit d'abord répondre.
À lire ensuite: Le filtre d'OpenAI ne rend pas vos chats anonymes | La France Chiffre l'Absence de MFA à 500 000 Euros
