Meta

Todo lo que publicas, marcas con «me gusta», buscas y ves en Facebook e Instagram se guarda en una forma que Meta puede leer y usar para segmentar anuncios.

Meta eliminó la opción de mensajes directos de Instagram cifrados de extremo a extremo, de modo que técnicamente puede volver a acceder al contenido de todos los mensajes directos de Instagram.

Los chats cifrados, que había que activar y que se introdujeron en diciembre de 2023 en algunas regiones, se cerraron el 8 de mayo de 2026. Meta alegó su escaso uso y remitió a los usuarios a WhatsApp. Meta dice que los mensajes directos no se usan para entrenar su IA.

Messenger empezó en diciembre de 2023 a hacer del cifrado de extremo a extremo la opción por defecto en los chats y llamadas personales (entre dos personas); en los chats de grupo todavía hay que activarlo.

Los mensajes de WhatsApp están cifrados de extremo a extremo por defecto, así que Meta no puede leer su contenido.

Implantado para todos los usuarios el 5 de abril de 2016 con el protocolo Signal. Excepciones: los mensajes que un usuario denuncia se envían a WhatsApp, y los chats con empresas o con Meta AI pueden tratarse de otra forma. Una demanda colectiva presentada en EE. UU. en enero de 2026 sostiene que empleados y contratistas de Meta podían acceder a los mensajes; Meta lo califica de «falso y absurdo», y no está demostrado.

La publicidad supone aproximadamente el 97 % de los ingresos de Meta, así que su negocio depende de elaborar perfiles de los usuarios.

Un jurado de Nuevo México concluyó que Meta infringió la Unfair Practices Act del estado al engañar a los usuarios sobre la privacidad, incluido lo que permitía hacer con sus datos a las apps de terceros, en un caso derivado del escándalo de Cambridge Analytica. Las sanciones aún no se han fijado.

El jurado apreció más de 43 millones de infracciones. Meta discrepó del veredicto y dijo que seguiría defendiéndose.

Meta almacenó cientos de millones de contraseñas de usuarios en texto sin cifrar en sistemas internos y recibió una multa de 91 millones de euros.

Descubierto y revelado en 2019. Meta calculó que afectó a cientos de millones de usuarios de Facebook Lite, decenas de millones de otros usuarios de Facebook y decenas de miles de usuarios de Instagram. Las contraseñas no quedaron expuestas fuera de Meta.

Meta dijo que corrigió el problema tras descubrirlo en 2019 y que no encontró indicios de abuso.

Meta aceptó pagar a Texas 1.400 millones de dólares, en cinco años, para cerrar una demanda que la acusaba de captar sin consentimiento datos de reconocimiento facial de las fotos de los usuarios. Meta no admitió irregularidades.

Texas demandó al amparo de su ley de privacidad biométrica (CUBI) por la función «sugerencias de etiquetas» de Facebook, ya retirada. El acuerdo se firmó el 29 de julio de 2024 y el tribunal lo aprobó el 30 de julio de 2024; el primer pago era de 500 millones de dólares. Meta sostuvo que había cumplido la ley.

El regulador irlandés, obligado por una decisión de la UE (del CEPD), multó a Meta con 1.200 millones de euros, la mayor multa del RGPD hasta la fecha, por transferir ilegalmente a Estados Unidos datos de Facebook de europeos.

Meta ha recurrido y la multa está suspendida por ahora por el Tribunal Superior de Irlanda. En febrero de 2026, el Tribunal de Justicia de la UE dictaminó que Meta también puede impugnar la decisión del CEPD directamente ante los tribunales de la UE.

Los números de teléfono y datos de perfil de unos 533 millones de usuarios de Facebook fueron extraídos y publicados en internet; el regulador irlandés multó a Meta con 265 millones de euros.

Extraídos mediante las herramientas de búsqueda y de importación de contactos de Facebook entre 2018 y 2019, y filtrados en un foro de hackers en abril de 2021. La DPC apreció incumplimientos de la protección de datos desde el diseño y por defecto. Meta ha impugnado la decisión ante el Tribunal Superior de Irlanda.

Irlanda multó a Meta con 405 millones de euros porque Instagram exponía públicamente números de teléfono y direcciones de correo de algunos menores (a través de cuentas de empresa) y configuraba como públicas por defecto las cuentas personales de menores.

La exposición se debió a adolescentes que cambiaron a cuentas de empresa de Instagram, que mostraban públicamente los datos de contacto. El CEPD exigió una multa mayor y una conclusión adicional. Meta dijo que recurriría.

Una app de cuestionarios recopiló datos de hasta 87 millones de usuarios de Facebook y los pasó a Cambridge Analytica sin su consentimiento; la FTC impuso a Facebook una sanción de 5.000 millones de dólares, récord en aquel momento.

La FTC concluyó que Facebook había incumplido una orden de privacidad de 2012 e impuso, en un acuerdo de 2019, una sanción de 5.000 millones de dólares y una nueva supervisión. Meta pagó después 725 millones de dólares para cerrar una demanda colectiva en EE. UU. (2022). En septiembre de 2026, un jurado de Nuevo México concluyó que Facebook había engañado a los usuarios sobre la privacidad en este caso; las sanciones están por fijar.

WhatsApp puede dar a las fuerzas del orden de EE. UU. los metadatos de los mensajes de una persona investigada (a quién escribe y cuándo) cada 15 minutos en respuesta a una orden de tipo «pen register».

Revelado por un documento interno del FBI de enero de 2021 que publicó Rolling Stone. Un portavoz de WhatsApp confirmó las respuestas casi en tiempo real, pero dijo que solo se refieren al futuro, nunca incluyen el contenido de los mensajes y requieren un proceso legal válido.

Meta recoge tus contactos, información del dispositivo y de ubicación, y tu actividad en otros sitios web y apps que usan sus herramientas para empresas.

El Meta Pixel envió a Facebook información médica delicada desde los sitios web de algunos hospitales de EE. UU., incluidos detalles sobre citas y dolencias de pacientes.

The Markup encontró el píxel en los sitios web de 33 de los 100 mejores hospitales de EE. UU. según Newsweek, donde enviaba datos cuando los visitantes pedían cita. Fueron los hospitales quienes instalaron el píxel; los reguladores estadounidenses (FTC y HHS) advirtieron después a los hospitales sobre estos rastreadores. Meta afronta demandas colectivas por ello.

Desde el 16 de diciembre de 2025, Meta usa tus conversaciones con Meta AI para personalizar anuncios y contenido en la mayoría de los países (no en la UE, el Reino Unido ni Corea del Sur), sin más forma de negarse que no usar Meta AI.

Contratistas a los que se encargó ayudar a entrenar la IA de Meta contaron que veían con regularidad información personal que los usuarios compartían con Meta AI, y las condiciones de la IA de Meta dicen que las conversaciones pueden revisarlas personas.

El feed público «Discover» de la app Meta AI mostraba conversaciones que muchos usuarios, al parecer, no sabían que estaban publicando, incluidas consultas médicas y legales.

Los chats eran privados por defecto y había que «compartirlos» para que aparecieran, pero el proceso para compartir era confuso. Meta añadió después un aviso de que las peticiones publicadas son públicas.

Meta entrena sus modelos de IA con las publicaciones y comentarios públicos de usuarios adultos de la UE, y un formulario de oposición es la única forma de negarse.

Anunciado el 14 de abril de 2025; el entrenamiento empezó el 27 de mayo de 2025, usando también las interacciones de la gente con Meta AI. Un tribunal alemán (el Tribunal Regional Superior de Colonia) denegó una medida cautelar el 23 de mayo de 2025. Fuera de la UE, Meta ya entrenaba con publicaciones públicas sin formulario de oposición en la mayoría de los países.

Puedes descargar una copia de tus datos y gestionar gran parte de ellos en el Centro de cuentas.

La Comisión Europea multó a Meta con 200 millones de euros porque su modelo de «pagar o consentir» no daba a los usuarios una opción real de usar Facebook e Instagram con menos datos personales.

Decisión del 23 de abril de 2025 al amparo de la Ley de Mercados Digitales, referida al periodo de marzo a noviembre de 2024. Meta recurrió ante el Tribunal General de la UE el 4 de julio de 2025. Después de que Meta se comprometiera a ofrecer una opción de «anuncios menos personalizados» desde enero de 2026, la Comisión lo calificó en diciembre de 2025 de «un muy buen paso adelante».

Irlanda multó a Meta con 390 millones de euros por apoyarse ilegalmente en sus condiciones de servicio («contrato») para mostrar anuncios personalizados a los usuarios de Facebook e Instagram, lo que en la práctica convertía aceptarlos en una condición para usar los servicios.

210 millones de euros para Facebook y 180 millones para Instagram. La DPC también apreció incumplimientos de transparencia. Meta recurrió.

Meta publica periódicamente un informe de transparencia sobre las solicitudes gubernamentales de datos.

Como empresa estadounidense, a Meta se la puede obligar, según la ley de EE. UU., incluida la CLOUD Act, a entregar los datos que tiene, estén donde estén almacenados.