Meta Platforms, spółka macierzysta Facebooka, Instagrama i WhatsAppa, odwołała się od wyroku Wysokiego Sądu w Lagos, który nakazał jej zaprzestanie bezprawnego przetwarzania danych osobowych nigeryjskich użytkowników Facebooka i Instagrama do celów reklamy behawioralnej oraz zapłatę równowartości 100 000 dolarów odszkodowania w nairach.

Spółka wniosła pozew apelacyjny 30 września, pięć dni po tym, jak sędzia A.F. Pokanu z Wysokiego Sądu w Lagos, Dywizja Sądowa Ikorodu, orzekł 25 września, że niedobrowolne zbieranie, profilowanie i wykorzystywanie danych użytkowników do reklamy targetowanej naruszało prawa do prywatności chronione przez Konstytucję Nigerii oraz Nigeria Data Protection Act (NDPA) 2023, główną nigeryjską ustawę o ochronie danych. Apelacja przenosi obecnie kwestie zgody, reklamy targetowanej i transgranicznych transferów danych przed Sąd Apelacyjny.

Wyrok i nakazy sądu

Powództwo wnieśli Incorporate Trustees of Laws and Rights Awareness Initiative oraz pięcioro pojedynczych powodów. Sąd nakazał Mete zaprzestanie bezprawnego przetwarzania, podjęcie kroków naprawczych w celu doprowadzenia nigeryjskich operacji przetwarzania danych do zgodności z NDPA oraz złożenie afidawitu zgodności w ciągu ośmiu tygodni. Przyznał także powodom 100 000 dolarów zadośćuczynienia, 1 mln nairów (753,20 dolara) kosztów oraz odsetki po wyroku.

Apelacja sprawdzi, czy Meta może traktować profilowanie behawioralne i reklamę targetowaną jako warunki konieczne świadczenia usług Facebooka i Instagrama nigeryjskim użytkownikom. Stawką jest to, czy globalne platformy mogą uzależniać dostęp do bezpłatnych usług mediów społecznościowych od zgody na śledzenie behawioralne, czy też prawo nigeryjskie wymaga wyraźniejszego rozdzielenia dostępu do tych usług i zgody na wykorzystywanie danych osobowych do celów reklamowych.

Dla użytkowników wynik sprawy może zadecydować o tym, jaką kontrolę nad danymi osobowymi generowanymi na Facebooku i Instagramie mają Nigerijczycy. Jeśli wyrok zostanie utrzymany w mocy, użytkownicy mogliby mieć mocniejsze podstawy, by oczekiwać rzeczywistej zgody przed wykorzystaniem ich aktywności do reklamy behawioralnej, a Meta mogłaby zostać zobowiązana do zmiany sposobu przetwarzania i transferu ich danych. Jeśli apelacja się powiedzie, Meta zyskałaby większe pole do opierania się na obecnych warunkach świadczenia usług i modelu reklamowym.

Obrona Mety

Meta argumentowała, że Facebook i Instagram to bezpłatne, spersonalizowane usługi finansowane z reklam, a użytkownicy akceptują warunki korzystania z usługi i politykę prywatności spółki podczas rejestracji. Jej stanowisko jest takie, że przetwarzanie danych użytkowników do celów reklamowych stanowi część umowy, na podstawie której świadczy usługi.

Sędzia Pokanu odrzucił to stanowisko. Sąd uznał, że budowanie profili do reklamy targetowanej nie jest automatycznie konieczne do świadczenia usługi sieci społecznościowej jedynie dlatego, że usługa jest finansowana z reklam. Stwierdzono, że reklama behawioralna jest usługą pomocniczą wobec Facebooka i Instagrama, a nie niezbędną do ich funkcjonowania. Innymi słowy, platforma nie może uczynić przetwarzania danych obowiązkowym jedynie przez umieszczenie go w warunkach korzystania z usługi, jeśli przetwarzanie to nie jest faktycznie wymagane do świadczenia podstawowej usługi.

Sąd uznał również, że Meta ponosiła ciężar udowodnienia, iż użytkownicy wyrazili ważną zgodę wszędzie tam, gdzie opierała się na zgodzie jako podstawie prawnej przetwarzania. Zgoda na profilowanie i reklamę behawioralną, jak stwierdzono, nie mogła zostać po prostu wpleciona w szerokie, standardowe warunki, które użytkownicy muszą zaakceptować, aby korzystać z Facebooka lub Instagrama.

Sędzia Pokanu ujął spór jako pytanie o to, jak daleko firma technologiczna może „obserwować, agregować, analizować, profilować i komercyjnie wykorzystywać” zachowania online obywatela Nigerii bez jego rzeczywistego zrozumienia, autoryzacji lub uzasadnionego oczekiwania takiego wykorzystania. Orzeczenie powiązało tę kwestię bezpośrednio z konstytucyjnym prawem do prywatności z artykułu 37 Konstytucji z 1999 roku oraz z ochroną przewidzianą w NDPA. Sąd uznał, że niedobrowolne przetwarzanie, profilowanie i wykorzystywanie danych powodów do reklamy behawioralnej przez Metę naruszyło te ochrony.

Transfery transgraniczne

Sąd rozważył także sposób, w jaki Meta postępuje z danymi nigeryjskich użytkowników poza krajem. Meta argumentowała, że nie ma centrum danych w Nigerii, a użytkownicy w efekcie sami transferują swoje informacje za granicę, korzystając z jej usług. Sąd odrzucił to rozumowanie, uznając, że użytkownicy nie kontrolują, gdzie ich dane są kierowane, przechowywane ani przetwarzane.

Jako główny administrator danych—strona decydująca o tym, jak dane osobowe są zbierane i wykorzystywane—Meta pozostała odpowiedzialna za zgodność z zabezpieczeniami NDPA dotyczącymi międzynarodowych transferów danych, orzekł sąd. Uznał, że nieautoryzowane transaniczne transfery danych powodów naruszyły artykuły 41–43 NDPA i naruszyły ich prawa do prywatności.

Odrębność od wcześniejszych sporów regulacyjnych

Sprawa przed Wysokim Sądem jest odrębna od wcześniejszych konfliktów Mety z nigeryjskimi regulatorami. W 2024 roku Federal Competition and Consumer Protection Commission nałożyła na Metę i WhatsApp karę w wysokości 220 milionów dolarów po dochodzeniu w sprawie rzekomych naruszeń ochrony konsumentów, prywatności i konkurencji. Competition and Consumer Protection Tribunal później utrzymał tę sankcję w mocy, w tym dyrektywy dotyczące zgody i udostępniania danych.

Powodowie w sprawie z Lagos oparli się także częściowo na wcześniejszym działaniu Nigeria Data Protection Commission przeciwko Mete, które obejmowało opłatę naprawczą w wysokości 32,8 miliona dolarów. Spór ten został później rozwiązany w drodze ugody sądowej, więc sąd rozpatrzył roszczenia powodów dotyczące prywatności niezależnie, zamiast po prostu egzekwować decyzję regulatora. Sąd uznał, że powodowie przedstawili niezależne dowody trwających naruszeń prywatności i na tej podstawie przystąpił do rozstrzygnięcia kwestii konstytucyjnych i ustawowych. Łącznie te postępowania pokazują, że nigeryjskie operacje Mety podlegają kontroli zarówno poprzez kanały konkurencji, ochrony konsumentów, jak i ochrony danych, choć sprawa z Lagos opiera się na samodzielnych roszczeniach konstytucyjnych i ustawowych powodów.

Co jest na stole w apelacji

Przyznane 100 000 dolarów—znacznie mniej niż 200 milionów dolarów zadośćuczynienia i odszkodowania karnego, o które wnioskowali powodowie—może nie być najistotniejszym elementem wyroku. Ważniejsze jest to, czy sąd apelacyjny utrzyma w mocy ustalenie, że Meta nie może uczynić profilowania behawioralnego warunkiem dostępu do Facebooka i Instagrama.

Jeśli orzeczenie się utrzyma, mogłoby ustanowić, że model biznesowy finansowany z reklam sam w sobie nie czyni reklamy behawioralnej prawnie konieczną, oraz że ogólne warunki korzystania z usługi niekoniecznie stanowią ważną, konkretną zgodę na profilowanie. Mogłoby też wzmocnić zasadę, że użytkownicy nie zrzekają się konstytucyjnych praw do prywatności jedynie przez dalsze korzystanie z platformy, oraz że to firmy—nie pojedynczi użytkownicy—są odpowiedzialne za zgodność z nigeryjskimi przepisami dotyczącymi międzynarodowych transferów danych.

Na ten moment orzeczenie z 25 września pozostaje decyzją pierwszej instancji. Przy nakazach Wysokiego Sądu zapisanych w aktach—w tym ośmiotygodniowym afidawicie zgodności—and toczącej się apelacji kolejne kroki proceduralne w sprawie należą do Sądu Apelacyjnego, gdzie rozumowanie orzeczenia dotyczące reklamy behawioralnej, zgody, przejrzystości i transgranicznych transferów danych zostanie sprawdzone.