Meta condamnée à payer 25 milliards de dollars au Nouveau-Mexique

Le 21 octobre 2026, le juge Francis Mathew, du tribunal de district de Santa Fe, a condamné Meta Platforms à verser une pénalité civile de 25 milliards de dollars à l'État du Nouveau-Mexique. Insurance Journal le rapporte le 22 octobre. Le jury avait retenu plus de 43 millions d'infractions à la loi de l'État sur les pratiques commerciales déloyales. Les déclarations en cause sont celles de l'entreprise et de ses dirigeants sur le traitement des données des utilisateurs après l'affaire Cambridge Analytica, et sur la modération des propos haineux. La loi permet jusqu'à 5 000 dollars par infraction. L'action était portée par le procureur général de l'État, le démocrate Raúl Torrez.

Meta a déjà beaucoup payé pour Cambridge Analytica. En 2019, 5 milliards de dollars à la Commission fédérale du commerce. En 2022, 725 millions pour solder une action de groupe de consommateurs. Cet été encore, 459 millions pour clore les poursuites de 46 États et de deux territoires. Le Nouveau-Mexique est resté hors de ces coalitions et a plaidé seul. Plus tôt dans l'année, il avait déjà obtenu d'un jury 375 millions de dollars de pénalité contre Facebook et Instagram, puis 567 millions pour financer des programmes de santé mentale des adolescents.

Pour un souscripteur, le chiffre qui compte est le nombre d'infractions. Au plafond légal, 43 millions d'infractions donnent 215 milliards de dollars. Le juge a retenu environ 580 dollars par infraction, un peu plus d'un dixième du maximum. Le montant dépend du nombre de personnes qui ont vu une déclaration, multiplié par un tarif fixé par la loi. Le dommage subi par chacune n'entre pas dans le calcul. Une entreprise qui parle à beaucoup de monde voit donc son exposition croître avec son audience. La gravité de la faute ne fixe que le tarif.

Le second chiffre est l'écart entre une coalition et un État seul. Les 46 États réunis ont obtenu 459 millions de dollars. Le Nouveau-Mexique seul en obtient 25 milliards, plus de cinquante fois plus. Rester hors de la coalition et aller jusqu'au procès est un choix du procureur, qui est un élu. Un modèle de sinistre réglementaire calé sur les accords entre plusieurs États sous-estime donc la queue de la distribution. Elle dépend d'un seul élu qui refuse de transiger, dans un État dont la loi compte par infraction. C'est du risque politique, logé dans une garantie vie privée.

La pénalité elle-même ne devrait peser sur aucun assureur. La plupart des droits refusent qu'une police rembourse une amende ou une pénalité civile, et les polices cyber ne la couvrent que si la loi applicable le permet. Ce qui reste assurable, ce sont surtout les frais de défense, qui courent pendant des années. En Europe, le RGPD plafonne l'amende à une part du chiffre d'affaires mondial, ou à un montant fixe s'il est plus élevé. La loi du Nouveau-Mexique plafonne le tarif de chaque infraction, pas leur nombre. Pour une entreprise moyenne, cinq dollars par infraction sur trois millions de clients font déjà 15 millions de dollars.

Le même jour, Reinsurance News rapporte une étude d'AM Best sur l'inflation sociale aux États-Unis. Entre 2014 et 2024, l'inflation générale a été de 2,8 % par an en moyenne. Sur la même période, les paiements de la première année en responsabilité civile automobile des entreprises ont crû de 6,4 % par an. L'agence cite des verdicts de jury plus élevés, des procès plus fréquents et une opinion hostile aux grandes entreprises. Le verdict de Santa Fe suit la même logique dans une autre branche, car c'est un jury qui a compté les infractions.

Toujours le 22 octobre, Insurance Journal rapporte que deux clients de Chicago ont déposé le 9 octobre des actions de groupe contre Coco Robotics et Serve Robotics. Ils affirment que les caméras et les capteurs LiDAR des robots livreurs ont mesuré leur visage et leurs mains sans consentement écrit, en violation de la loi de l'Illinois sur la vie privée biométrique. Aucun des deux n'avait choisi la livraison par robot. DoorDash et Uber Eats la leur avaient attribuée. Les deux sociétés nient collecter des données biométriques. Pour l'assureur de l'exploitant, le risque vient ici d'une décision prise par une plateforme tierce.

Notre lecture, datée du 23 octobre. En vie privée aux États-Unis, la taille d'un sinistre dépend de deux choses. D'abord une loi d'État qui compte par infraction, ensuite la décision de son procureur de transiger ou non. Hier, nous écrivions que l'ancien 23andMe réglait sa fuite de données par un accord de 6 millions de dollars. Un procès donne aujourd'hui un montant plus de quatre mille fois supérieur. Nous relirons cette lecture quand une juridiction d'appel se sera prononcée sur la pénalité.

Ce qu'on ne sait pas encore. On ignore si Meta fera appel, et si la pénalité sera réduite. On ne sait pas si d'autres États choisiront le procès plutôt que la coalition, maintenant que l'écart est connu. À Chicago, le tribunal devra dire si la mesure d'une main par un capteur LiDAR est une donnée biométrique au sens de la loi, et combien d'infractions compte une seule livraison.