Meta Platforms — материнская компания Facebook, Instagram и WhatsApp — обжаловала решение Высокого суда Лагоса, обязавшее её прекратить незаконную обработку персональных данных нигерийских пользователей Facebook и Instagram в целях поведенческой рекламы и выплатить эквивалент 100 000 долларов в найрах в качестве компенсации.

Компания подала апелляционную жалобу 30 сентября, через пять дней после того, как судья Высокого суда Лагоса Икородского судебного округа А.Ф. Покану 25 сентября постановил, что несогласованный сбор, профилирование и использование данных пользователей для таргетированной рекламы нарушают права на неприкосновенность частной жизни, защищённые Конституцией Нигерии и Законом о защите данных Нигерии (NDPA) 2023 года — основным законом Нигерии в сфере защиты данных. Апелляция теперь передаёт вопросы согласия, таргетированной рекламы и трансграничной передачи данных в Апелляционный суд.

Решение суда и его предписания

Иск был подан Incorporated Trustees of Laws and Rights Awareness Initiative и пятью индивидуальными истцами. Суд обязал Meta прекратить незаконную обработку, принять меры по приведению её нигерийских операций по обработке данных в соответствие с NDPA и представить аффидевит о соблюдении в течение восьми недель. Также истцам была присуждена компенсация в размере 100 000 долларов, 1 миллион найров (753,20 доллара) судебных издержек и проценты после вынесения решения.

Апелляция проверит, может ли Meta рассматривать поведенческое профилирование и таргетированную рекламу как необходимые условия предоставления Facebook и Instagram нигерийским пользователям. На кону вопрос о том, могут ли глобальные платформы делать поведенческое отслеживание условием доступа к бесплатным социальным сетям, или нигерийское законодательство требует более чёткого разделения между доступом к этим сервисам и согласием на использование персональных данных в рекламных целях.

Для пользователей итог дела может определить, насколько нигерийцы контролируют персональные данные, которые они генерируют на Facebook и Instagram. Если решение будет подтверждено, у пользователей появятся более весомые основания ожидать осознанного согласия до использования их активности для поведенческой рекламы, а от Meta могут потребовать изменить способы обработки и передачи их данных. Если апелляция будет удовлетворена, Meta получит больше простора для опоры на действующие условия и рекламную модель.

Защита Meta

Meta утверждала, что Facebook и Instagram — это бесплатные персонализированные сервисы, финансируемые за счёт рекламы, и что пользователи принимают условия компании и политику конфиденциальности при регистрации. Позиция Meta состоит в том, чтока пользовательских данных для рекламы является частью договорного механизма, посредством которого компания предоставляет услуги.

Судья Покану отклонил эту позицию. Суд постановил, что построение профилей для таргетированной рекламы не является автоматически необходимым для предоставления услуги социальной сети лишь потому, что сервис финансируется рекламой. Суд установил, что поведенческая реклама является вспомогательной для Facebook и Instagram, а не необходимой для работы платформ. Иными словами, платформа не может сделать обработку данных обязательной просто включением её в условия предоставления услуг, если такая обработка действительно не требуется для предоставления основной услуги.

Суд также постановил, что бремя доказывания того, что пользователи дали действительное согласие, лежит на Meta во всех случаях, когда она опирается на согласие как на правовое основание обработки. По мнению суда, согласие на профилирование и поведенческую рекламу не может быть просто включено в широкие стандартные условия, которые пользователи обязаны принять для доступа к Facebook или Instagram.

Судья Покану определил спор как вопрос о том, в какой мере технологическая компания может «наблюдать, агрегировать, анализировать, профилировать и коммерчески эксплуатировать» онлайн-поведение гражданина Нигерии без его действительного понимания, авторизации или обоснованного ожидания такого использования. Решение напрямую связало этот вопрос с конституционным правом на неприкосновенность частной жизни согласно разделу 37 Конституции 1999 года и положениями NDPA. Суд установил, что несогласованная обработка, профилирование и использование данных истцов для поведенческой рекламы нарушили эти гарантии.

Трансграничная передача данных

Суд также рассмотрел обращение Meta с данными нигерийских пользователей за пределами страны. Meta утверждала, что не имеет дата-центра в Нигерии и что пользователи фактически сами передают свою информацию за границу, пользуясь её сервисами. Суд отклонил этот довод, указав, что пользователи не контролируют, куда направляются, хранятся или обрабатываются их данные.

Суд постановил, что как крупный контролёр данных — сторона, определяющая, как собираются и используются персональные данные, — Meta продолжает нести ответственность за соблюдение мер защиты NDPA в отношении международной передачи данных. Суд установил, что несанкционированная трансграничная передача данных истцов нарушила разделы 41–43 NDPA и ущемила их права на неприкосновенность частной жизни.

Отделено от прежних споров с регуляторами

Дело в Высоком суде отделено от прежних конфликтов Meta с нигерийскими регуляторами. В 2024 году Федеральная комиссия по конкуренции и защите прав потребителей оштрафовала Meta и WhatsApp на 220 миллионов долларов по итогам расследования предполагаемых нарушений в сфере защиты прав потребителей, конфиденциальности и конкуренции. Трибунал по конкуренции и защите прав потребителей впоследствии подтвердил санкцию, включая предписания, касающиеся согласия и обмена данными.

Истцы по делу в Лагосе также частично опирались на более ранние действия Комиссии по защите данных Нигерии против Meta, включавшие компенсационный сбор в размере 32,8 миллиона долларов. Тот спор впоследствии был урегулирован мировым соглашением, поэтому суд рассматривал заявления истцов о нарушении конфиденциальности самостоятельно, а не просто приводил в исполнение решение регулятора. Суд установил, что истцы представили независимые доказательства продолжающихся нарушений конфиденциальности, и на этой основе приступил к рассмотрению конституционных и законодательных вопросов. В совокупности эти разбирательстваывают, что нигерийские операции Meta подвергаются вниманию одновременно по линиям конкуренции, защиты прав потребителей и защиты данных, хотя дело в Лагосе основано на собственных конституционных и законодательных требованиях истцов.

Что поставлено на карту в апелляции

Компенсация в 100 000 долларов — значительно меньше 200 миллионов долларов общей и штрафной компенсации, требовавшихся истцами — может оказаться не самой значимой частью решения. Более существенный вопрос в том, подтвердит ли апелляционная инстанция вывод о том, что Meta не может делать поведенческое профилирование условием доступа к Facebook и Instagram.

Если решение устоит, оно может установить, что бизнес-модель, финансируемая рекламой, сама по себе не делает поведенческую рекламу юридически необходимой, и что общие условия предоставления услуг не обязательно составляют действительное, конкретное согласие на профилирование. Оно также может закрепить принцип, согласно которому пользователи не отказываются от конституционных прав на неприкосновенность частной жизни просто продолжая пользоваться платформой, и что ответственность за соблюдение нигерийских правил международной передачи данных несут компании, а не отдельные пользователи.

Пока решение от 25 сентября остаётся решением первой инстанции. С учётом зарегистрированных предписаний Высокого суда — включая восьминедельный аффидевит о соблюдении — и находящейся на рассмотрении апелляции следующие процессуальные шаги по делу принадлежат Апелляционному суду, где будут проверены доводы решения о поведенческой рекламе, согласии, прозрачности и трансграничной передаче данных.