Meta Platforms, società madre di Facebook, Instagram e WhatsApp, ha presentato appello contro una sentenza dell'Alta Corte di Lagos che le ordinava di interrompere il trattamento illecito dei dati personali degli utenti nigeriani di Facebook e Instagram per la pubblicità comportamentale e di pagare l'equivalente in naira di 100.000 dollari di danni.

La società ha depositato l'atto di appello il 30 settembre, cinque giorni dopo che il giudice A.F. Pokanu dell'Alta Corte di Lagos, Circoscrizione Giudiziaria di Ikorodu, aveva stabilito il 25 settembre che la raccolta, la profilazione e l'uso non consensuale dei dati degli utenti per la pubblicità mirata violavano i diritti alla privacy tutelati dalla Costituzione nigeriana e dal Nigeria Data Protection Act (NDPA) 2023, la principale legge nigeriana sulla protezione dei dati. L'appello porta ora le questioni relative al consenso, alla pubblicità mirata e ai trasferimenti transfrontalieri di dati alla Corte d'Appello.

La sentenza e i suoi ordinamenti

La causa è stata promossa dagli Incorporated Trustees of Laws and Rights Awareness Initiative e da cinque ricorrenti individuali. Il tribunale ha ordinato a Meta di interrompere il trattamento illecito, di adottare misure correttive per adeguare le proprie operazioni di trattamento dei dati in Nigeria al NDPA e di presentare un'affidavit di conformità entro otto settimane. Ha inoltre riconosciuto ai ricorrenti 100.000 dollari di danni generali, 1 milione di naira (753,20 dollari) di spese processuali e gli interessi post-sentenza.

L'appello verificherà se Meta possa trattare la profilazione comportamentale e la pubblicità mirata come condizioni necessarie per fornire Facebook e Instagram agli utenti nigeriani. È in discussione se le piattaforme globali possano fare del tracciamento comportamentale una condizione per l'accesso ai servizi gratuiti di social media, o se la legge nigeriana richieda una separazione più netta tra l'accesso a tali servizi e il consenso all'uso dei dati personali per la pubblicità.

Per gli utenti, l'esito potrebbe determinare quanto controllo abbiano i nigeriani sui dati personali generati su Facebook e Instagram. Se la sentenza venisse confermata, gli utenti potrebbero avere basi più solide per pretendere un consenso consapevole prima che la loro attività venga utilizzata per la pubblicità comportamentale, mentre Meta potrebbe essere tenuta a modificare il modo in cui tratta e trasferisce i loro dati. Se l'appello avesse successo, Meta avrebbe maggiore margine per far affidamento sui propri termini esistenti e sul modello pubblicitario.

La difesa di Meta

Meta hauto che Facebook e Instagram sono servizi gratuiti e personalizzati finanziati dalla pubblicità, e che gli utenti accettano i termini e l'informativa sulla privacy della società al momento della registrazione. La sua posizione è che il trattamento dei dati degli utenti per la pubblicità fa parte dell'accordo contrattuale attraverso il quale fornisce i servizi.

Il giudice Pokanu ha respinto tale posizione. Il tribunale ha ritenuto che la costruzione di profili per la pubblicità mirata non sia automaticamente necessaria per fornire un servizio di social networking solo perché la pubblicità finanzia il servizio. Ha accertato che la pubblicità comportamentale è accessoria rispetto a Facebook e Instagram, anziché essenziale per il funzionamento delle piattaforme. In altre parole, una piattaforma non può rendere obbligatorio il trattamento dei dati semplicemente inserendolo nei propri termini di servizio, se tale trattamento non è realmente necessario per erogare il servizio principale.

Il tribunale ha anche stabilito che Meta era onerata della prova che gli utenti avessero fornito un consenso valido ovunque esso fosse stato invocato come base giuridica del trattamento. Il consenso alla profilazione e alla pubblicità comportamentale, secondo il tribunale, non poteva essere semplicemente incorporato in termini generali e standardizzati che gli utenti devono accettare per accedere a Facebook o Instagram.

Il giudice Pokanu ha inquadrato la controversia come una questione di fino a che punto un'azienda tecnologica possa "osservare, aggregare, analizzare, profilare e sfruttare commercialmente" il comportamento online di un cittadino nigeriano senza che quest'ultimo comprenda realmente, autorizzi o ragionevolmente si attenda tale utilizzo. La sentenza ha collegato direttamente la questione al diritto costituzionale alla privacy ex Sezione 37 della Costituzione del 1999 e alle tutele previste dal NDPA. Il tribunale ha accertato che il trattamento, la profilazione e l'uso non consensuale dei dati dei ricorrenti per la pubblicità comportamentale violavano tali protezioni.

Trasferimenti transfrontalieri

Il tribunale ha inoltre esaminato la gestione da parte di Meta dei dati degli utenti nigeriani al di fuori del Paese. Meta ha sostenuto di non avere alcun centro dati in Nigeria e che gli utenti di fatto trasferiscono all'estero le proprie informazioni quando accedono ai suoi servizi. Il tribunale ha respinto tale ragionamento, ritenendo che gli utenti non controllano dove i propri dati vengono instradati, archiviati o elaborati.

In quanto titolare principale del trattamento—una parte che determina come i dati personali vengono raccolti e utilizzati—Meta è rimasta responsabile del rispetto delle garanzie del NDPA sui trasferimenti internazionali di dati, ha stabilito il tribunale. Ha accertato che i trasferimenti transfrontalieri non autorizzati dei dati dei ricorrenti violavano gli articoli da 41 a 43 del NDPA e ledavano i loro diritti alla privacy.

Distinto dalle precedenti controversie regolatorie

La causa davanti all'Alta Corte è distinta dai precedenti conflitti di Meta con le autorità di regolamentazione nigeriane. Nel 2024, la Federal Competition and Consumer Protection Commission ha inflitto una multa di 220 milioni di dollari a Meta e WhatsApp a seguito di un'inchiesta su presunte violazioni in materia di tutela dei consumatori, privacy e concorrenza. Il Competition and Consumer Protection Tribunal ha successivamente confermato la sanzione, comprese le direttive sul consenso e sulla condivisione dei dati.

I ricorrenti nel caso di Lagos si sono inoltre affidati in parte a un precedentevedimento della Nigeria Data Protection Commission contro Meta, che comprendeva una commissione correttiva di 32,8 milioni di dollari. Quella controversia è stata poi risolta tramite un accordo omologato judicialmente, così che il tribunale ha esaminato in autonomia le domande sulla privacy dei ricorrenti anziché limitarsi a dare esecuzione alla decisione regolatoria. Il tribunale ha accertato che i ricorrenti avevano presentato prove indipendenti di violazioni continuative della privacy e ha proceduto a decidere le questioni costituzionali e legali su tale base. Nel complesso, i procedimenti mostrano come le operazioni nigeriane di Meta siano oggetto di scrutinio attraverso i canali della concorrenza, della tutela dei consumatori e della protezione dei dati, sebbene il caso di Lagos si fondi sulle domande costituzionali e legali stesse dei ricorrenti.

Cosa è in gioco nell'appello

Il risarcimento di 100.000 dollari—ben inferiore ai 200 milioni di dollari di danni generali ed esemplari chiesti dai ricorrenti—potrebbe non essere la parte più consequenziale della sentenza. La questione più rilevante è se una corte d'appello confermerà l'accertamento che Meta non può fare della profilazione comportamentale una condizione di accesso a Facebook e Instagram.

Se dovesse reggere, la sentenza potrebbe stabilire che un modello di business finanziato dalla pubblicità non rende di per sé la pubblicità comportamentale giuridicamente necessaria, e che i termini di servizio generali non equivalgono necessariamente a un consenso valido e specifico alla profilazione. Potrebbe inoltre rafforzare il principio secondo cui gli utenti non rinunciano ai diritti costituzionali alla privacy semplicemente continuando a usare una piattaforma, e che le aziende—non i singoli utenti—sono responsabili del rispetto delle norme nigeriane sui trasferimenti internazionali di dati.

Per ora, la sentenza del 25 settembre resta una decisione di primo grado. Con gli ordinamenti dell'Alta Corte all'atto—compresa l'affidavit di conformità entro otto settimane—e l'appello pendente, i prossimi passi procedurali del caso spettano alla Corte d'Appello, dove il ragionamento della sentenza su pubblicità comportamentale, consenso, trasparenza e trasferimenti transfrontalieri di dati sarà messo alla prova.