Meta et Cambridge Analytica : pourquoi 25 milliards de dollars d’amende au Nouveau-Mexique

Décryptage

Meta doit verser 25 milliards de dollars au Nouveau-Mexique pour avoir trompé les utilisateurs de Facebook sur l’usage de leurs données, dans l’affaire Cambridge Analytica. Le juge Francis Mathew l’a décidé le 21 octobre 2026 à Santa Fe : un jury avait compté plus de 43 millions de violations de la loi de l’État (décision rapportée par Axios).

Chaque violation pouvait coûter jusqu’à 5 000 dollars, soit 219,5 milliards au total, mais le juge en a retenu à peine plus d’un neuvième. Selon notre calcul, la sanction infligée à Meta le 21 octobre 2026 équivaut à près de cinq mois de son bénéfice net de 2025. Le groupe a annoncé faire appel.

Meta et Cambridge Analytica : que reproche le Nouveau-Mexique au groupe ?

L’État reproche à Facebook d’avoir trompé le public sur deux terrains : la protection des données personnelles et la modération des contenus (compte rendu d’ABC7). Sa plainte date de 2021. Le 26 septembre 2026, un jury de Santa Fe a jugé trompeuses 26 des 29 déclarations examinées (verdict détaillé par The Next Web). Hormis la Floride, les autres États avaient préféré transiger avec le groupe (ABC7).

Le scandale éclate en 2018, quand on apprend qu’une application de quiz a aspiré les données d’environ 87 millions de profils Facebook. Elles ont été transmises à Cambridge Analytica, un cabinet de conseil politique britannique qui travaillait pour la campagne de Donald Trump en 2016 (dépêche Reuters du 2 octobre). Le cabinet a cessé ses activités dès 2018 (ABC News).

Le Monde avait expliqué en vidéo, au moment des révélations, pourquoi l’affaire touchait directement les utilisateurs du réseau social.

Pourquoi 43,9 millions de violations ?

Chaque déclaration trompeuse a été multipliée par le nombre d’utilisateurs de Facebook ou d’habitants de l’État qui pouvaient l’avoir lue (NBC News). Le Nouveau-Mexique compte 2 125 498 habitants selon le Census Bureau (estimation de juillet 2025). Avec 26 déclarations retenues, un même habitant compte plusieurs fois.

La loi appliquée est l’Unfair Practices Act, le texte de l’État contre les pratiques commerciales déloyales. Elle prévoit jusqu’à 5 000 dollars par violation. Le juge a lui-même posé le calcul du maximum dans sa décision, avant de le réduire.

Meta conteste ce décompte : selon ses avocats, le jury n’a pas établi qu’un seul habitant ait vu ou entendu ces déclarations, ni qu’il en ait subi un préjudice (ABC7). Au soir du verdict, son porte-parole Alex Burgos promettait de continuer à se défendre contre les « efforts visant à déformer » le bilan du groupe (The Next Web). En appel, une baisse du nombre de violations ferait baisser la somme avec elle.

Pourquoi 25 milliards et pas 219,5 ?

Parce que l’État lui-même jugeait le maximum excessif. Son avocate Randi McGinn a reconnu à l’audience que le plein tarif par violation dépasserait les garanties de procédure équitable de la Constitution américaine (dépêche Reuters). L’État a donc réclamé entre 35 et 40 milliards de dollars, environ 20 % du maximum (NBC News). Meta voulait plafonner la sanction à 3,45 milliards, au nom des mêmes garanties. Pour ses avocats, 40 milliards seraient « choquants pour la conscience » (ABC7).

Francis Mathew a tranché à 25 milliards, sans que les comptes rendus publiés détaillent comment il a arrêté ce chiffre. Sa décision explique en revanche pourquoi il frappe fort : les fautes de Facebook, « commises pendant des années et diffusées systématiquement au public, touchent au cœur de ses pratiques commerciales » (NBC News).

La référence américaine précédente datait de juillet 2019. La Federal Trade Commission (FTC), l’autorité fédérale de protection des consommateurs, avait alors infligé 5 milliards de dollars à Facebook après le même scandale (communiqué de la FTC). Le même jour, la SEC, le gendarme de la Bourse, lui imposait 100 millions de dollars pour avoir présenté aux investisseurs comme hypothétique un abus de données déjà connu (communiqué de la SEC).

Combien ça pèse pour Meta, et va-t-il payer ?

Meta a dégagé 60,46 milliards de dollars de bénéfice net en 2025, pour 200,97 milliards de chiffre d’affaires (résultats annuels déposés à la SEC). La condamnation absorbe environ 151 jours de ce bénéfice.

Le versement n’est pas pour tout de suite : NBC News s’attend à une longue procédure d’appel, pendant laquelle les intérêts continuent de courir (ABC7). Le procureur général Raúl Torrez veut affecter la somme au fonds d’éducation de l’État (ABC News). Il y voit l’un des plus lourds verdicts, sinon le plus lourd, jamais obtenus par un seul État contre l’entreprise.

« Cette décision, et l’approche du procureur général dans cette procédure, rendent quasiment impossible de faire des affaires dans l’État du Nouveau-Mexique », répond le directeur juridique de Meta, C.J. Mahoney (ABC News).

En mars 2026, le groupe avait déjà perdu à Santa Fe : un autre jury l’avait condamné à 375 millions de dollars dans un dossier sur la sécurité des enfants. Une seconde décision lui a imposé 567 millions pour un fonds consacré à la santé mentale des adolescents (NBC News).

Et chez nous ?

Le RGPD permettrait-il une amende aussi lourde contre Meta ?

Non. Le RGPD, le règlement européen sur la protection des données, ne multiplie pas l’amende par le nombre de personnes exposées. Son article 83 la plafonne à 20 millions d’euros ou à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé l’emportant. Pour Meta, ce plafond atteint 8,04 milliards de dollars sur les revenus de 2025 : trois fois moins que le jugement de Santa Fe.

Les amendes réellement prononcées en sont restées loin : la plus forte, 1,2 milliard d’euros, date de mai 2023. La Commission irlandaise de protection des données (DPC) visait les transferts de données d’Européens vers les États-Unis (décision de la DPC). L’autorité de Dublin est en première ligne parce que le siège européen de Meta s’y trouve. Sur Cambridge Analytica même, le régulateur britannique (ICO) avait infligé 500 000 livres à Facebook en octobre 2018, le maximum de la loi d’avant le RGPD (rapport de l’ICO).

Les sept principales amendes européennes pour atteinte aux données personnelles visant Facebook et Instagram totalisent 2 662 millions d’euros. Le jugement de Santa Fe vaut 22,29 milliards d’euros au cours de référence de la BCE du 20 octobre 2026, veille de la décision. À elles toutes, ces amendes n’en font pas 12 %.

En France, la CNIL a infligé 60 millions d’euros à Facebook Ireland le 31 décembre 2021 : son bandeau ne permettait pas de refuser les cookies aussi simplement que de les accepter. Le réseau a ajouté un bouton de refus, et la CNIL a clos la procédure le 11 juillet 2022 (décision de la CNIL).

Qu’est-ce que ce jugement change pour un utilisateur ?

Pour un utilisateur français, rien de direct : la somme revient au Nouveau-Mexique, et le jugement n’applique que la loi de cet État. Aucun abonné de Facebook ou d’Instagram ne touchera un dollar de cette sanction.

Le changement tient à la méthode : si l’appel la confirme, chaque promesse publique d’une plateforme sur la vie privée devient un risque chiffrable, multiplié par son audience. Raúl Torrez demande aussi une injonction pour interdire les pratiques en cause (ABC7).

Le scandale de 2018 est parti d’une application de quiz : c’est le premier endroit à vérifier sur son propre compte. Facebook liste dans ses paramètres, rubrique des applications et sites web, celles qui y sont connectées, et permet de les retirer une à une (aide de Facebook). En France, les plaintes contre un réseau social se déposent en ligne auprès de la CNIL.

Article créé en collaboration avec l’IA.