2026 年 10 月 21 日（周三），新墨西哥州圣塔菲所在的第一司法区州地区法院（First Judicial District Court）法官 Francis J. Mathew 对 Meta Platforms 作出判决：就 2016 年“剑桥分析（Cambridge Analytica）”事件中 Meta 对用户数据使用、出售与保护的对外陈述，判处 250 亿美元民事罚款。据报道，这一金额基于陪审团在 2026 年 9 月认定的逾 4,300 万项违法行为乘以法定上限计算得出，州总检察长 Raúl Torrez 称其为美国州一级针对单一企业的最大判决之一。Meta 已表示将提起上诉。对在美经营、持有大量美国用户数据的中资出海企业而言，这起案件最值得关注的不是金额本身，而是它的计罚逻辑：隐私政策与对外沟通中的“说法”，在州消费者保护法下可以被逐人、逐项计算。
一、案件背景
2016 年，一款第三方“性格测试”应用通过 Facebook 平台获取了约 8,700 万用户档案的数据，并流向剑桥分析，用于政治广告定向。剑桥分析于 2018 年停业；联邦层面，FTC 已于 2019 年就同一事件对 Meta 处以 50 亿美元罚款。新墨西哥州则于 2021 年单独起诉 Meta，主张其在多年间就数据的使用、出售与保管作出了误导性陈述。据报道，州方在庭审中列举了跨度约 11 年的 26 项误导性陈述。
2026 年 9 月，陪审团认定 Meta 违反新墨西哥州消费者保护法，违法行为数量约为 4,389.97 万项，另有 5 项被认定为“故意的不公平（unconscionable）交易行为”。州方此前请求的金额据报道在 350 亿至 450 亿美元之间；法官最终判处 250 亿美元，约为按法定上限理论上可达金额的一成多一点。
二、核心法律分析
1. 适用法律与计罚方式。本案依据新墨西哥州《不公平行为法》（Unfair Practices Act，N.M. Stat. Ann. § 57-12-1 以下）。据报道，法官适用了该法规定的每项违法行为最高 5,000 美元的上限（民事罚款条款一般认为在第 57-12-11 条，具体以现行文本为准），并援引违法行为的“数量异常庞大”、持续时间长且反复发生、公司高层参与，以及波及新墨西哥州受众规模等因素。报道称，违法行为数量是按州内居民人数的方式计算的。换言之，罚款与受影响用户数直接挂钩，而不是与实际损害挂钩。
2. 责任基础是“欺骗”，而不是“泄露”。州方的核心主张不是 Meta 未能阻止数据外流本身，而是它向公众传达的“用户对自己信息有控制权”的说法与实际情况不符。这与近期德州总检察长诉 Temu、爱荷华州总检察长诉 ADI 等案件的思路一致：只要对外承诺（隐私政策、产品页面、新闻稿、对监管者的陈述）与实际做法有落差，就可能落入各州的不公平与欺骗性行为条款，无需等到某部专门的隐私法适用。
3. 利息与上诉。有报道称，判决金额在支付前按年息 15% 计息，上诉期间也会累计；Meta 的律师在庭上主张该判决“令人震惊”并且违宪，Meta 首席法务官 C.J. Mahoney 则称对方的执法思路使在该州经营“几乎不可能”，并表示有信心在上诉中获胜。天价罚款能否经受住正当程序（Due Process）与“过高罚款”（Excessive Fines）方面的审查，将是上诉的焦点，我们认为最终金额存在被调整的可能。
4. 需要保持审慎的部分。以上细节来自媒体对判决的报道。我们查阅的公开报道中未载明案号、禁令性救济的具体内容以及判决书对计罚方法的完整说明，利息条款也仅见于个别报道。读者应以判决书原文及后续上诉文件为准。另外，同一时期新墨西哥州另案中，Meta 还因对未成年人的伤害问题面临 3.75 亿美元民事罚款及法院追加的 5.67 亿美元赔偿，说明该州总检察长办公室正在连续、系统地使用消费者保护法追究大型平台。
三、对中资企业的合规要点
1. 把隐私政策与实际做法逐条“对账”。将隐私政策、产品内弹窗、应用商店披露、客服话术和对投资者及监管者的陈述放在一张表里，逐条核对对应的系统行为、数据流向与合同安排。凡是写了“我们不会出售”“您可以完全控制”“数据仅存储于美国”之类的绝对性表述，都应有可核验的证据。
2. 重点审查第三方应用、SDK 与开发者的数据访问。剑桥分析事件的源头正是第三方应用借助平台接口获取数据。出海平台应梳理开放接口、第三方 SDK 与合作方可获取的数据字段，核对授权范围、留存期限、再转让限制，并保留审计与处置记录。
3. 为数据事件准备“说得准”的对外口径。事件发生后的第一份声明往往成为之后诉讼和调查的核心证据。避免使用“未发现滥用”“已完全解决”这类无法证实的表述；披露的时间、范围与措辞应由法务、安全与公关共同确认。
4. 按“用户数 × 单项上限”测算州级罚款敞口。在评估美国业务的合规成本时，不要只看和解的历史金额。应按各州用户规模与该州法定单项罚款上限做压力测试，并结合保险、预算与董事会报告。
5. 提前准备州总检察长的调查应对机制。包括收到民事调查令（CID）后的响应流程、证据保全（litigation hold）、对外沟通的统一出口，以及总部与美国子公司之间的信息隔离与授权安排。
四、格知律所如何协助
格知律所长期为中资出海企业提供美国数据合规服务。围绕本文所涉的风险，我们可以协助企业：（1）开展隐私政策与实际数据做法的一致性审计，并起草或修订对外披露；（2）评估美国各州消费者保护法下的罚款与诉讼敞口；（3）梳理第三方应用、SDK 与合作方的数据访问，设计授权与审计机制；（4）审阅数据事件的应急预案与对外沟通口径；（5）在收到州总检察长调查令后，协助评估响应策略并与监管机构沟通。具体方案需结合企业的业务、数据类型与已有披露而定，欢迎来信交流。
五、结语与展望
判决是否会被上诉法院调整、调整多少，目前无法预判；但它已经清楚地展示了一种执法模式：州总检察长无需新的专门立法，凭既有的消费者保护法，就可能把“对外承诺是否属实”变成按人头计算的巨额罚款。对中资出海企业来说，合规工作的起点不是堆砌条款，而是确保写出来的每一句承诺都经得起核查。后续我们将持续关注 Meta 的上诉进展以及其他州的类似执法动向。本文仅为一般性信息，不构成法律意见。