Un tribunal de Nuevo México ha reabierto una de las controversias sobre privacidad que definieron la era de las redes sociales, al llevar a juicio a Meta Platforms por la gestión que hizo Facebook de los datos de usuarios vinculados a Cambridge Analytica. El estado sostiene que Facebook tergiversó la forma en que las aplicaciones de terceros podían recopilar y utilizar información personal; Meta niega ser responsable. El caso trasciende a Nuevo México porque pone a prueba si una ley estatal de protección al consumidor todavía puede imponer consecuencias sustanciales años después de que reguladores federales y demandantes privados obtuvieran acuerdos por miles de millones de dólares a raíz del mismo episodio.

El juicio comenzó esta semana, con Nuevo México reclamando sanciones en virtud de su Ley de Prácticas Desleales y una orden judicial para impedir futuras infracciones. Según un informe de AP, el estado afirma que unos 350.000 habitantes de Nuevo México estuvieron entre los usuarios de Facebook cuya información se vio implicada, mientras que el episodio más amplio de Cambridge Analytica afectó datos asociados con decenas de millones de personas. La tesis del estado no se limita a que los datos se transfirieron indebidamente; sostiene que las promesas públicas de Facebook y los controles de su plataforma ofrecieron a los usuarios una imagen inexacta de la información que los desarrolladores externos podían obtener.

Una controversia que nunca desapareció por completo

El escándalo de Cambridge Analytica salió a la luz en 2018, pero el historial regulatorio se remonta más atrás. La Comisión Federal de Comercio (FTC) ya había sometido a Facebook a una orden sobre privacidad en 2012. Siete años después, la agencia afirmó que Facebook había infringido esa orden mediante avisos y configuraciones engañosos que socavaban las decisiones de privacidad de los usuarios. El acuerdo con la FTC resultante exigió una sanción de $5 mil millones y una nueva estructura de gobernanza de la privacidad que abarcaba desde las revisiones de productos hasta la supervisión del consejo de administración.

Esa medida federal también describió cómo la plataforma de Facebook permitía en el pasado que las aplicaciones utilizadas por una persona obtuvieran información sobre sus amigos de Facebook. La FTC afirmó que la empresa no supervisó sistemáticamente a los desarrolladores y que, en algunos casos, siguió compartiendo datos de amigos afectados después de que sus declaraciones públicas indicaran que la práctica se estaba restringiendo. La comisión emprendió por separado acciones contra Cambridge Analytica, su exdirector ejecutivo Alexander Nix y el desarrollador de aplicaciones Aleksandr Kogan, a quienes acusó de hacer declaraciones engañosas sobre la recopilación de información de identificación personal. La acción contra Cambridge Analytica señaló que la aplicación recopiló información de usuarios y, a través de sus redes sociales, datos vinculados a muchos millones de personas más.

La Comisión de Bolsa y Valores (SEC) llegó a su propio acuerdo con Facebook en 2019. La SEC afirmó que la información divulgada por la empresa presentaba el uso indebido de datos de usuarios como un riesgo hipotético incluso después de que Facebook supiera que un desarrollador había utilizado indebidamente esos datos. Facebook aceptó pagar $100 millones para resolver esos cargos sin admitir ni negar las acusaciones. El comunicado de la agencia sobre la acción de cumplimiento planteó el problema tanto como uno de divulgación de información a inversionistas como de privacidad del consumidor: una empresa que cotiza en bolsa no puede describir un riesgo empresarial ya materializado como si siguiera siendo meramente teórico.

Por qué Nuevo México sigue en los tribunales

El caso de Nuevo México transita por una vía jurídica distinta. En lugar de hacer cumplir una orden federal por consentimiento o la legislación de valores, el estado invoca su propia ley de protección al consumidor. Esa distinción podría determinar tanto el alcance como el tipo de reparación disponible. Las autoridades estatales argumentan que las declaraciones de Facebook a los usuarios de Nuevo México constituyeron prácticas comerciales desleales o engañosas. Meta puede responder que los hechos ya han sido objeto de extensos litigios, medidas regulatorias y acuerdos, y que el estado aún debe demostrar los elementos de su propia ley, en lugar de recurrir a la notoriedad de Cambridge Analytica como sustituto de las pruebas.

Por tanto, el juicio gira en torno a los detalles: qué les dijo Facebook a los usuarios en momentos específicos, a qué información podían acceder realmente los desarrolladores, qué controles existían, cómo se describían esos controles y si los consumidores de Nuevo México fueron engañados de una manera que dé lugar a una acción legal. El paso del tiempo otorga especial importancia a las pruebas documentales. Se pide a los miembros del jurado que evalúen la arquitectura de la plataforma y los avisos de privacidad de una generación anterior de Facebook, no los productos actuales de la empresa.

La propia Meta sigue señalando la privacidad, el uso de datos y las investigaciones gubernamentales como riesgos legales significativos. En su informe anual más reciente, la empresa indica que sus prácticas relacionadas con la plataforma y los datos de usuarios han sido objeto de investigaciones y litigios en Estados Unidos y en el extranjero, y que esos asuntos pueden derivar en multas, cambios operativos, distracción para la dirección y otros costos. El informe de 2025 de la empresa muestra por qué las controversias heredadas sobre privacidad siguen siendo relevantes desde el punto de vista financiero incluso después de que hayan concluido acuerdos anteriores.

La magnitud de las medidas correctivas anteriores es importante

El acuerdo federal de 2019 tuvo un alcance inusualmente amplio. La FTC exigió a Facebook crear un comité de privacidad independiente dentro del consejo de administración, designar responsables de cumplimiento, someter las decisiones sobre productos a revisiones de privacidad documentadas, reforzar la supervisión de las aplicaciones de terceros y exigir certificaciones periódicas de la alta dirección. La comisión también obtuvo herramientas más sólidas para vigilar el cumplimiento. Al explicar el acuerdo a los consumidores, la agencia señaló que la orden buscaba cambiar la cultura interna de privacidad de la empresa, no limitarse a cobrar una sanción. La orientación para consumidores de la FTC destacó que el acuerdo retiró al director ejecutivo el control unilateral sobre las decisiones de privacidad y estableció múltiples niveles de rendición de cuentas.

Esas medidas correctivas constituyen un antecedente importante para el jurado de Nuevo México. El estado no intenta demostrar que ninguna autoridad haya actuado antes. Más bien, sostiene que la ley de Nuevo México ofrece una vía adicional de reparación por conductas que afectaron a residentes del estado. Esto plantea una cuestión más amplia de federalismo que aparece con frecuencia en la regulación tecnológica: cuando las plataformas de alcance nacional operan bajo órdenes federales, ¿cuánto margen les queda a los estados para imponer sanciones separadas en virtud de sus propias leyes de protección al consumidor?

La respuesta importa más allá de Meta. Las grandes empresas tecnológicas enfrentan cada vez más obligaciones superpuestas impuestas por la FTC, fiscales generales estatales, reguladores de valores, autoridades europeas de privacidad y litigantes privados. Un veredicto contundente a favor de Nuevo México podría alentar a los estados a reexaminar antiguas conductas de las plataformas cuando las leyes locales ofrezcan causas de acción con plazos más amplios o distintas. Un veredicto favorable a la defensa podría reafirmar la dificultad práctica de convertir un escándalo de privacidad ampliamente conocido en un caso estatal de indemnización por daños años después de los hechos subyacentes.

Lo que el jurado debe distinguir

El registro público en torno a Cambridge Analytica es extenso, pero un juicio civil aún exige distinguir entre hechos comprobados, acusaciones y conclusiones jurídicas. La FTC acusó a Facebook de engañar a los usuarios sobre los controles de privacidad; la SEC acusó a Facebook de engañar a los inversionistas sobre el riesgo ya materializado del uso indebido de datos; Meta resolvió esos asuntos sin admitir las acusaciones subyacentes. Ahora Nuevo México debe demostrar sus propias reclamaciones conforme a la legislación estatal mediante pruebas admisibles en este caso.

Las cifras históricas también exigen cautela. El caso de la FTC contra Cambridge Analytica y las personas relacionadas describió datos recopilados directamente de cientos de miles de usuarios de la aplicación e indirectamente de decenas de millones de amigos en Facebook. El resumen del caso de la agencia señaló que aproximadamente 30 millones de consumidores estadounidenses identificables estuvieron implicados en los datos utilizados para elaborar perfiles de personalidad. Otras estimaciones públicas sobre los perfiles de Facebook afectados fueron mayores porque utilizaron definiciones distintas de exposición. Para el jurado, la cuestión jurídicamente importante no es simplemente la cifra más alta de los titulares, sino qué consumidores de Nuevo México se vieron afectados y qué declaraciones regían el uso de sus datos en ese momento.

Se espera que el juicio continúe durante varias semanas y podría incluir el testimonio grabado del director ejecutivo de Meta, Mark Zuckerberg. Sea cual sea el veredicto, el caso subraya una lección perdurable de la primera década de las plataformas sociales a gran escala: las promesas de privacidad pueden convertirse en obligaciones legales de larga duración. Años después de que las prácticas de un desarrollador en materia de datos provocaran un escrutinio mundial, los tribunales siguen decidiendo quién es responsable, qué medidas de reparación siguen disponibles y cuánto puede añadir la legislación estatal a las acciones federales de cumplimiento, ya cuantificadas en miles de millones de dólares.