Meta Platforms(Facebook、Instagram和WhatsApp的母公司)已就拉各斯高等法院的一项判决提起上诉。该判决命令Meta停止为行为广告目的非法处理尼日利亚Facebook和Instagram用户的个人数据,并支付相当于10万美元的奈拉赔偿金。

该公司于9月30日提交上诉通知。五天前,拉各斯高等法院伊科罗杜司法区法官A.F. Pokanu于9月25日裁定,Meta未经同意收集、分析画像并使用用户数据进行定向广告,侵犯了尼日利亚宪法和2023年《尼日利亚数据保护法》(NDPA)(尼日利亚主要的数据保护法律)所保护的隐私权。此次上诉将同意、定向广告和跨境数据传输等问题提交上诉法院审理。

判决及其命令

该诉讼由Laws and Rights Awareness Initiative法人受托人及五名个人原告提起。法院命令Meta停止非法处理行为,采取整改措施使其在尼日利亚的数据处理业务符合NDPA规定,并在八周内提交合规宣誓书。法院还判令原告获得10万美元一般损害赔偿、100万奈拉(753.20美元)诉讼费用及判决后利息。

此次上诉将检验Meta能否将行为画像和定向广告作为向尼日利亚用户提供Facebook和Instagram的必要条件。争议核心在于:全球平台能否将行为追踪作为访问免费社交媒体服务的先决条件,或者尼日利亚法律是否要求在服务访问与个人数据广告使用同意之间作出更清晰的区分。

对用户而言,案件结果将决定尼日利亚用户对其在Facebook和Instagram上产生的个人数据拥有多大控制权。如果判决被维持,用户将更有理由期望在其活动被用于行为广告之前获得有效同意,而Meta可能被要求改变其数据处理和传输方式。如果上诉成功,Meta将有更大空间依赖其现有条款和广告模式。

Meta的抗辩

Meta辩称,Facebook和Instagram是由广告资助的免费个性化服务,用户注册时即接受公司条款和隐私政策。其立场是,为广告目的处理用户数据构成其提供服务的合同安排的一部分。

Pakanu法官驳回了这一立场。法院认定,不能仅因为广告为服务提供资金,就认为建立定向广告画像自动成为提供社交网络服务的必要条件。法院认为,行为广告对Facebook和Instagram而言是辅助性的,而非平台运行所必需。换言之,如果数据处理并非提供核心服务所真正必需,平台不能仅通过将其写入服务条款就使其成为强制性要求。

法院还认定,凡是Meta以同意作为处理法律依据的情形,Meta均承担证明用户已提供有效同意的举证责任。法院认为,对画像和行为广告的同意不能简单地并入用户为访问Facebook或Instagram必须接受的宽泛标准条款之中。

Pakanu法官将争议界定为这样一个问题:科技公司在多大程度上可以"观察、聚合、分析、画像并商业利用"尼日利亚公民的在线行为,而当事人并未真正理解、授权或合理预期这种使用。该裁决将这一问题直接与1999年宪法第37条规定的宪法隐私权以及NDPA的保护条款联系起来。法院认定,Meta未经同意处理、画像并使用原告数据进行行为广告的行为违反了上述保护规定。

跨境数据传输

法院还审议了Meta在尼日利亚境外处理用户数据的方式。Meta辩称其在尼日利亚没有,用户访问其服务时实际上是自行将信息传输到国外。法院驳回了这一理由,认定用户并不控制其数据的路由、存储或处理地点。

法院认定,作为主要数据控制者——即决定个人数据如何收集和使用的主体——Meta仍有责任遵守NDPA关于国际数据传输的保障措施。法院认定,未经授权的原告数据跨境传输违反了NDPA第41至43条,侵犯了其隐私权。

与此前监管纠纷相互独立

该高等法院案件与Meta此前与尼日利亚监管机构的冲突相互独立。2024年,联邦竞争和消费者保护委员会在对涉嫌违反消费者保护、隐私和竞争规则的行为进行调查后,对Meta和WhatsApp处以2.2亿美元罚款。竞争和消费者保护法庭后来维持了该处罚,包括有关同意和数据共享的指令。

拉各斯案件的原告还部分援引了尼日利亚数据保护委员会此前对Meta采取的行动,其中包括3280万美元的整改费用。该纠纷后来通过和解判决解决,因此法院独立审理了原告的隐私诉求,而非简单地执行监管决定。法院认定,原告已就持续存在的隐私侵权行为提供了独立证据,并在此基础上审理宪法和法定问题。综合来看,这些诉讼表明Meta在尼日利亚的业务同时受到竞争、消费者保护和数据保护等多个渠道的审查,尽管拉各斯案件的基础是原告自身的宪法和法定诉求。

上诉的利害所在

10万美元的赔偿金——远低于原告寻求的2亿美元一般性和惩戒性损害赔偿——可能并非判决中最关键的部分。更重要的问题在于,上诉法院是否会维持Meta不能将行为画像作为访问Facebook和Instagram之条件的认定。

如果该裁决得以维持,它可能确立以下原则:广告资助的商业模式本身并不能使行为广告在法律上成为必要,而一般性服务条款也不一定构成对画像的有效、具体同意。它还可能强化这一原则:用户并不因继续使用平台而放弃宪法隐私权,而且遵守尼日利亚国际数据传输规则的责任在公司而非个人用户。

目前,9月25日的裁决仍属一审决定。随着高等法院的命令——包括八周内的合规宣誓书——记录在案以及上诉待审,案件的下一个程序步骤将由上诉法院推进,裁决在行为广告、同意、透明度和跨境数据传输方面的推理将接受上诉审级的检验。