“你可以控制自己的数据”：Meta 的隐私承诺被认定为误导性陈述

2026年10月21日，美国新墨西哥州第一司法区法院判令Meta支付250亿美元民事罚款。本案源于Facebook在剑桥分析事件前后作出的公开陈述，适用的是新墨西哥州《不公平商业行为法》（Unfair Practices Act，以下简称“UPA”）。此前，陪审团已于9月25日认定，Facebook就用户数据控制、第三方数据访问与调查，以及内容治理等事项作出了违法陈述。

其中，关于用户控制其数据的六项陈述，全部被陪审团认定构成不公平或欺骗性商业行为，且均具有故意性（willfulness）。法官在随后作出的判决中进一步指出，Facebook向用户承诺由用户控制数据，但这一承诺是虚假的。

法院认定，用户设置帖子的可见范围，并不能决定开发者能否取得数据；Facebook宣布收紧第三方访问权限时，仍为部分商业伙伴保留了未向用户披露的例外；事件发生后承诺的调查与删除措施，又超出了平台的实际执行能力。这些限制直接影响用户能够控制什么，却没有在平台的公开承诺中得到如实说明。

一、涉案数据控制声明

《特别裁决表》（Special Verdict Form）将用户数据控制单列为第一部分，对Facebook及其高管在2010年至2019年间作出的六项公开声明逐项审查。这些声明涉及用户能否决定信息分享、第三方能否取得个人信息，以及Facebook是否出售数据、如何开展广告业务。

其中，扎克伯格2010年5月24日在《华盛顿邮报》发表的文章明确表示：“You have control over how your information is shared.”即“你能够控制自己的信息如何被分享”。随后列出的承诺进一步说明了这种控制的范围：Facebook不会将个人信息分享给用户不愿与之分享的人员或服务，不会让广告商取得个人信息，也不会向任何人出售用户信息。

其余五项声明出现在2018年至2019年间，继续通过采访、公司新闻页面、社交媒体帖子和财报电话会议，向公众解释Facebook的数据处理和广告业务。

裁决表问题	发言人与时间	陈述渠道	陈述内容概述
第1题	扎克伯格，2010年5月24日	《华盛顿邮报》文章	用户能够控制信息分享；不会将信息分享给用户不愿与之分享的人员或服务，不向广告商开放个人信息，也不出售用户信息。
第2题	扎克伯格，2018年4月4日	Meta Newsroom问答	将Facebook与可能追踪、出售数据的互联网企业或数据经纪商作区分，否认买卖数据。
第3题	桑德伯格，2018年4月5日	PBS采访	否认出售数据或向广告商提供个人数据。
第4题	扎克伯格，2018年7月18日	Kara Swisher采访	否认出售数据或将数据交给其他人，并表示用户希望看到与自身兴趣相关的广告。
第5题	桑德伯格，2019年1月24日	Facebook帖子	否认出售个人数据，以及未经许可向广告商分享个人信息。
第6题	桑德伯格，2019年1月30日	2018年第四季度财报电话会议	否认出售数据或向广告商告知用户身份，将业务描述为帮助广告商向对其产品感兴趣的人投放广告。

陪审团分别认定，这六项声明均构成不公平或欺骗性商业行为，且Facebook均具有故意性。裁决针对各题列出的完整陈述作出判断，涉及用户选择、信息分享和数据出售等相互关联的承诺。

审查隐私承诺，需要把公开表述与实际数据处理逐项对照。承诺用户可以限制分享，就需要核对用户的选择能够约束哪些接收方，是否存在未披露的例外；承诺能够调查滥用、确认删除或通知用户，就需要核对记录、审计和执行能力是否足以支持。

高管采访、新闻稿等公开沟通也需要接受同样的审查。企业承诺用户能够控制哪些数据、哪些接收方的访问及哪些处理活动，就应当提供相应的控制能力；影响用户判断的限制和例外，需要随承诺一并说明。

二、隐私设置与第三方数据访问

Facebook的帖子可见范围设置与开发者访问权限，分别作用于不同的数据使用场景。判决第18项事实认定援引专家Egelman的证言指出，用户通过下拉菜单选择哪些人能够看到帖子，并不能决定开发者通过应用程序接口（API）可以从用户资料中提取什么信息，或能否读取相关帖子。开发者访问由另一套隐私设置控制，而研究显示，多数用户并不知道这套设置的存在。

用户限制帖子的可见范围后，开发者仍可能依照另一套权限取得相关信息。因此，帖子界面上的选择，只能说明特定范围内的可见性，无法据此判断所有第三方访问是否受到限制。平台对外承诺用户能够控制信息分享时，这两套设置的作用范围直接关系到承诺是否准确。

第三方应用的数据访问还涉及用户的好友。根据判决第22至25项事实认定，2014年以前，应用不仅可以取得使用该应用者的信息，还可以取得其好友的信息，即使这些好友并不知道自己的信息被分享。也就是说，一个人使用应用，可能使另一个人的数据进入开发者手中。

Facebook于2014年宣布结束这种“好友数据分享”（friend sharing）机制，并设置了截至2015年5月的过渡期。按照其公开说明，此后应用将无法继续取得用户好友的详细信息，每名用户应当自行决定是否向应用分享自己的信息。

法院认定，Facebook早在公告发布一年多以前，就已计划为部分重要商业伙伴保留例外，使其能够在过渡期结束后继续访问好友数据。这些例外随后得到执行，却没有向用户披露。

公开政策将数据分享描述为每名用户自己的选择，实际访问安排却仍允许部分商业伙伴取得好友数据。这使用户无法仅凭公开政策和界面设置，了解哪些接收方仍然能够取得自己的信息，也构成法院评价数据控制承诺的重要事实依据。

三、误导性陈述的法律认定

本案最终陪审团指示第7项要求州方证明四项要素：Facebook作出了虚假或误导性陈述；陈述是在明知的情况下作出；陈述与其正常经营过程中商品或服务的销售、租赁或出借有关；陈述可能、倾向于或实际造成欺骗或误导。按照第6项指示，州方须以优势证据证明这些要素，即证据应当表明待证明事项为真的可能性高于其为假的可能性。

对陈述内容的判断同时包括重要事实遗漏。第7项指示说明，如果遗漏重要事实使陈述可能、倾向于或实际造成误导，也可以构成违法。所谓重要事实，包括理性人在决定采取何种行动时会重视的事实，以及陈述者知道或有理由知道接收者会重视的事实。为避免公开陈述产生误导，企业需要披露合理必要的重要事实。

这一标准与本案的数据访问安排直接相关。用户能否限制开发者取得数据，特定商业伙伴是否享有例外，都影响用户对“控制信息分享”的理解。法院在法律结论第13、14项中认定，Facebook向用户承诺由其控制数据，却未披露开放平台允许第三方应用不当取得数据的设计；平台宣布终止好友数据分享时，又隐瞒了为重要商业伙伴保留访问权限的安排。

对于Facebook是否知道陈述存在问题，第8项指示说明，“明知”（knowingly）包括实际知道陈述虚假或具有误导性，以及尽到合理注意就应当知道的情形。第12项指示另将“故意性”（willfulness）界定为：明知可能造成损害而有意实施行为。

判决中的内部证据说明了Facebook掌握的信息。第19项事实认定引用了扎克伯格给高管Chris Cox的邮件：他谈到用户可能并不理解当前的隐私设置，并提出可以让用户有机会修改设置，但不要鼓励他们修改，同时逐步扩大信息的展示范围。法院据此认定，Facebook利用用户的不理解，推动其公开更多个人信息，以加强与Twitter的竞争。法院还认定，公司在员工、研究人员和高管已经发现实际能力不足以兑现承诺后，仍继续作出相关公开陈述。

除认定六项声明违法且具有故意性外，陪审团还在第30题中认定，Facebook在用户数据控制事项上构成显失公平的商业行为（unconscionable trade practice，工作译名），且具有故意性。依第10项指示，这一责任关注企业是否利用消费者在知识、能力或经验等方面的不足，达到严重不公平的程度。用户无法独立核实平台内部的数据访问机制，而Facebook掌握这些信息并利用用户对设置的不理解，是法院认定这一问题的具体依据。

Facebook在庭审中否认相关陈述虚假或误导，并主张它们与商品或服务交易无关。对此，第11项指示明确，本案不要求Facebook与州政府或某一特定居民之间存在交易，相关陈述与向第三方销售商品或服务有关即可。法院第17项事实认定指出，Facebook的主要收入来自依据用户个人信息投放的定向广告；公司证人确认，广告平台依赖用户数据运行，用户无法停止平台收集其数据或关闭广告。用户数据与广告收入之间的关系，因而进入了法院对公开声明的审查。

Facebook还提出《通信规范法》第230条和言论自由方面的抗辩。第14项指示区分了发布第三方内容与平台自身的违法行为；第15项指示则明确，企业在商业言论中作出的虚假或误导性陈述不受第一修正案保护。这些指示要求陪审团围绕Facebook自己的陈述和行为判断责任。

四、应用开发者调查与整改承诺

2018年剑桥分析事件曝光后，Facebook启动应用开发者调查（App Developer Investigation，ADI），调查持续至2021年3月。平台对外承诺，调查2014年平台调整以前曾取得大量用户数据的应用，对存在可疑活动的应用开展全面审计，禁止滥用数据的开发者继续使用平台，确保不当取得的数据被删除，并通知受影响的用户。

法院在第26至36项事实认定中，逐项对照了这些承诺与实际执行情况。

在调查和审计方面，Facebook自己的调查已发现数千个应用存在可疑活动，但在约三年内仅实施了14次取证式数据审计。这些审计也未能充分核实数据滥用情况：审计方声明，其并未独立核实被调查开发者所提供信息的准确性。平台最终禁止了约116名开发者继续使用平台，但由于开发者管理措施不足，被禁止者仍可能创建或运营其他应用。

在数据删除方面，Facebook内部材料已承认，很难有效确认第三方是否实际删除了数据。尽管平台在剑桥分析事件后承认，仅依赖开发者自行证明删除是错误的，实际执行中仍主要依赖开发者作出删除声明。

在用户通知方面，Facebook为减少通知工作量，缩小了内部“数据滥用”的定义，却没有向用户披露这一变化。法院认定，调查发现了大量应用存在数据滥用问题，平台最终却仅就两个应用向用户发出通知。2019年9月，Facebook自己的内部法律评估已认为，公司无法宣称已经履行ADI公开承诺；2021年3月，平台结束调查时，也没有向用户公开宣布。

调查记录、审计方法、开发者管理和删除核实能力，决定了这些整改承诺能够落实到什么程度。法院第28项事实认定指出，由于早期记录保存不足、授予开发者访问权限时缺少审查等原因，Facebook作出承诺时已知道，自己缺乏完成全面调查或确保数据删除的能力。法院将这种调查不力认定为故意行为，并指出相关原因包括高管要求压低成本、执行资源不足、调查方法不充分，以及不愿为今后的调查开创先例。

这也对应了第9项陪审团指示对未来行动承诺的要求：州方除证明Facebook最终未履行外，还须证明其作出承诺时没有履行意图，或者尽到合理注意就应当知道自己无法履行。陪审团最终认定，裁决表第20至29题涉及好友数据访问及ADI的十项陈述均违法且具有故意性，并在第34题另行认定，相关行为构成故意实施的显失公平商业行为。

五、处罚金额的裁量标准

本案的民事罚款以陪审团认定的违法次数为基础，由法院确定具体金额。第13项陪审团指示要求，结合具体事实、陈述的合理预期受众和行为重复情况计算违法次数；每名属于相关陈述合理预期受众的新墨西哥州居民，均可对应一次违法。州方无需逐一识别消费者，或证明某名消费者实际看到、依赖了陈述，或因此遭受欺骗及损害。

依照这一方法，陪审团对26项违法陈述分别认定了约139万次或210万次违法，对应Facebook在该州的月活跃用户数量或全州人口规模，合计约4390万次。其中，六项数据控制声明对应约1046万次。同一人可能属于多项声明的受众，因此这些数字统计的是违法次数，而非不同用户的人数。陪审团另作出了五项故意实施显失公平商业行为的认定。

在确定每次违法的罚款金额时，法院考虑了行为持续时间、重复程度、涉及事项的广度、高管参与情况、受众规模，以及Facebook明知内部实际情况却持续作出误导性陈述等因素。法院认为，这些情节支持适用UPA第57-12-11条规定的每次最高5000美元民事罚款。

按约4390万次违法计算，罚款约为2195亿美元。法院最终在判决主文中将其减至250亿美元，并规定按年利率15%计息至付清。判决未进一步说明从上述计算结果减至250亿美元的具体计算方法。这一金额涵盖数据处理及内容治理等多类事项，判决没有将其中某一金额单独分配给数据控制承诺。

禁令救济留待进一步书面陈述后处理。截至2026年10月22日，Meta已公开表示将上诉。

参考文献

新墨西哥州第一司法区法院，State of New Mexico ex rel. Raúl Torrez v. Meta Platforms, Inc.，案号D-101-CV-2021-00132，2026年10月21日《事实认定、法律结论及判决》，重点参见事实认定第7—36、53—58项、法律结论第3、7—19项及判决主文：https://nmcourts.gov/wp-content/uploads/2026/10/Findings-and-Conclusions-21-Oct-26-D101CV202100132.pdf；同案2026年9月25日《特别裁决表》及《最终陪审团指示》，重点参见裁决表第1—6、20—30、34题，指示第6—15项：https://drive.google.com/file/d/1WT94UuLovQplECZO9idnXZeyJykibsYN/view?usp=sharing；Meta上诉表态见Source New Mexico于2026年10月21日发布并更新的报道：https://sourcenm.com/2026/10/21/new-mexico-judge-orders-meta-to-pay-state-25b/。