Meta, Cambridge Analytica e il conto da 25 miliardi: perché la sentenza del New Mexico riguarda chi compra media

Causa avviata nel 2021 da dati di un’app di terze parti, ma il moltiplicatore è il conteggio delle violazioni

Stesso scandalo, stessa piattaforma, due prezzi molto diversi. Sei stati che hanno scelto di chiudere con un accordo le cause legate a Cambridge Analytica hanno incassato in tutto 459 milioni di dollari. Il New Mexico è andato in aula da solo e ha ottenuto 25 miliardi. Lo scorso 21 ottobre, poco più di una settimana fa, il procuratore generale Raúl Torrez ha reso nota la decisione del tribunale contro Facebook, che dovrà pagare 25 miliardi di dollari in sanzioni civili per violazioni dell’Unfair Practices Act, la legge statale sulle pratiche commerciali scorrette. La decisione del giudice Francis Mathew arriva dopo il verdetto della giuria di settembre. Non è quindi una notizia dell’ultima ora, ma merita di essere riletta con calma da chi investe budget su Meta.

Lo stesso scandalo, due listini: 459 milioni contro 25 miliardi

Il confronto è il dato da cui partire. Come ricostruisce l’analisi pubblicata da Al Jazeera, mentre il New Mexico andava a processo da solo, sei stati pari hanno chiuso le loro pretese legate a Cambridge Analytica con un accordo da 459 milioni di dollari complessivi. La cifra riconosciuta al solo New Mexico è oltre cinquanta volte più alta. La procura di Santa Fe sottolinea proprio questo: lo stato ha portato avanti la causa in modo indipendente, senza entrare in un accordo multi-stato.

Per un media buyer il paragone è immediato. È come scoprire che lo stesso inventario è stato venduto a due prezzi che differiscono di oltre un ordine di grandezza, a seconda di chi ha negoziato e di chi ha scelto di non negoziare. Restano due domande: da dove esce una cifra così alta, e quanto è solida?

Anatomia di una sanzione: da 219,5 miliardi a 25, più il 15% l’anno

Lo sfondo è noto. Il procuratore generale del New Mexico aveva fatto causa a Meta già nel 2021, dopo le rivelazioni secondo cui Cambridge Analytica aveva raccolto, tramite un’app di terze parti, i dati personali di fino a 87 milioni di utenti Facebook. Per anni la vicenda è rimasta sullo sfondo del dibattito sulla privacy. Il nodo che conta oggi è un altro: il metodo di calcolo della sanzione.

Il vero moltiplicatore è il numero delle violazioni. Lo scorso settembre la giuria ha stabilito che Facebook ha commesso 43.899.725 violazioni della legge del New Mexico. Quando la sanzione si calcola per singola violazione, la scala del pubblico coinvolto diventa direttamente scala del danno economico. Secondo la ricostruzione dell’IAPP, l’importo di partenza era di 219,5 miliardi di dollari, pari a circa 5.000 dollari per violazione. Il giudice ha usato la propria discrezionalità per portarlo a 25 miliardi. Lo sconto è di quasi nove decimi, eppure il risultato resta la cifra più alta di tutta la vicenda Cambridge Analytica.

Il numero, poi, non è fermo. Come riporta CNBC nel suo resoconto della sentenza, il giudice ha stabilito che sulla sanzione maturino interessi al 15% annuo fino al pagamento completo. Su 25 miliardi fanno circa 3,75 miliardi nel primo anno. Ogni mese passato a contestare ha quindi un costo. Ed è quello che Meta farà: il chief legal officer C.J. Mahoney ha criticato la sanzione e ha detto che l’azienda è «fiduciosa» di «prevalere in appello». Per ora i 25 miliardi sono un ordine del tribunale, non un incasso. La cifra finale può cambiare anche di molto. Ma se perfino una sanzione ridotta di quasi nove decimi resta enorme, la domanda vera è un’altra: chi altro può fare lo stesso calcolo?

Il rischio privacy adesso ha un indirizzo statale

Il New Mexico non ha avuto bisogno di una legge federale sulla privacy né di una normativa nuova. Gli è bastata la propria legge sulle pratiche commerciali scorrette, uno strumento che quasi ogni stato possiede in qualche forma. E non è un caso isolato. L’IAPP ricorda che il Texas del procuratore generale Ken Paxton ha già invocato il Deceptive Trade Practices Act, l’Identity Theft Enforcement and Protection Act e il Biometric Identifier Act in casi in cui sarebbe potuta valere la legge statale generale sulla privacy. Il modello è replicabile: un procuratore può prendere le leggi che ha già, contare le violazioni utente per utente e lasciare che la moltiplicazione faccia il resto.

Per chi pianifica, il punto è concreto. La qualità del targeting su Meta dipende dai dati che la piattaforma raccoglie e usa. Se il costo legale di quei dati viene ricalcolato in tribunale, uno stato alla volta e con esiti molto diversi tra loro, il rischio non è più un’unica variabile regolatoria. È un mosaico di esposizioni. Una sentenza del genere può spingere la piattaforma a rivedere come raccoglie e incrocia i segnali. Queste revisioni si riflettono di solito su copertura, precisione delle audience e stabilità delle performance, cioè su ciò che finisce nel CPA (costo per acquisizione) e nel ROAS (ritorno sulla spesa pubblicitaria). Nessuno di questi effetti è automatico né già annunciato. Ma ignorarli nella valutazione di una piattaforma che assorbe una quota rilevante del budget sarebbe un errore di metodo.

L’appello di Meta deciderà la cifra, non il precedente strategico. Sei stati hanno chiuso con un accordo, uno è andato fino in fondo e ha ottenuto un conto oltre cinquanta volte più alto. Gli altri procuratori lo hanno visto. Chi gestisce budget su Meta non dovrebbe leggere questa vicenda come una multa lontana. È il segnale che il costo dei dati usati per il targeting viene ora ridiscusso in tribunale, stato per stato. Nella valutazione del rischio di piattaforma va messa anche questa variabile legale, qualunque sia l’esito dell’appello.