Garante privacy multa Meta per 805 milioni: accesso non autorizzato alle foto degli utenti Android

Il Garante per la privacy ha inflitto a Meta una sanzione da 805 milioni di euro, una cifra pari a circa lo 0,47% del fatturato mondiale del gruppo. Il provvedimento riguarda l'app di Facebook per dispositivi Android e il modo in cui, secondo l'Autorità, la società avrebbe avuto accesso a foto, video e relativi metadati conservati negli smartphone degli utenti italiani, senza un consenso specifico e senza un'informativa adeguata.

Al centro della vicenda c'è una funzione chiamata "Ottieni suggerimenti dalla galleria quando navighi su Facebook", introdotta nel 2023. Il suo scopo era proporre contenuti presenti nella memoria del telefono come spunti già pronti per la pubblicazione. L'istruttoria è partita nel luglio 2025, dopo una segnalazione del Centro Tutela Consumatori Utenti di Bolzano.

Secondo l'Autorità, i problemi erano soprattutto tecnici. L'accesso alla galleria veniva chiesto con un'unica autorizzazione, valida per l'intera applicazione e preceduta da un avviso generico, che invitava ad "abilitare altre funzioni" senza spiegare le vere finalità del trattamento. Inoltre l'opzione risultava preimpostata come attiva. In teoria, quindi, l'app poteva leggere l'intero archivio fotografico in modo permanente, senza che né l'utente né l'Autorità potessero controllarlo.

Il Garante ha ravvisato la violazione dell'articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy. La norma considera lo smartphone un'estensione della sfera privata della persona e richiede un consenso libero e informato, a prescindere dal fatto che i dati vengano trasmessi o che si produca un danno. L'Autorità ha anche respinto l'eccezione di incompetenza sollevata da Meta, che chiedeva di rimettere la questione all'autorità irlandese: la disciplina ePrivacy, ha chiarito, non prevede il meccanismo dello "sportello unico".

Nella determinazione della multa hanno pesato quattro elementi: la vastità della platea coinvolta, circa 20 milioni di utenti Android in Italia; la durata della violazione; un precedente provvedimento del 2019; la scarsa collaborazione durante l'indagine. Le modifiche correttive introdotte dall'azienda sono state giudicate tardive e hanno attenuato la sanzione solo in parte.

Meta ha reagito annunciando ricorso. Un portavoce si è detto "in netto disaccordo con la valutazione dei fatti e l'applicazione della normativa" e ha definito la sanzione sproporzionata. L'azienda sostiene che si tratti di una semplice funzione di supporto alla pubblicazione, attivabile solo dopo l'autorizzazione sul dispositivo e sempre modificabile dalle impostazioni.

Il procedimento non ha riguardato l'uso dei file per l'addestramento dell'intelligenza artificiale, pratica che l'azienda nega. Il Garante si è però riservato accertamenti distinti sulla nuova funzione di elaborazione in cloud lanciata nel 2026.

Il provvedimento fissa anche una serie di scadenze. Entro 60 giorni Meta dovrà mantenere la funzione disattivata di default, anche per chi aveva già dato l'assenso, e introdurre una richiesta di consenso separata e trasparente. Passato quel termine, lo strumento dovrà essere bloccato per gli utenti privi di un consenso valido. L'azienda ha inoltre 30 giorni per comunicare le iniziative avviate e 90 giorni per rendicontare le misure adottate. Resta da vedere l'esito del ricorso e cosa emergerà dalle verifiche sul servizio in cloud.