Meta accedeva alle foto degli utenti Android senza consenso: multa del Garante da 805 milioni

Sul telefono di circa 20 milioni di italiani con sistema Android, l'app di Facebook poteva guardare dentro la galleria: foto, video e le informazioni che li accompagnano, come le date. È la conclusione a cui è arrivato il Garante per la protezione dei dati personali, che ha inflitto a Meta una sanzione da 805 milioni di euro, una delle più alte mai decise dall'Autorità italiana.

Al centro del provvedimento c'è una funzione chiamata «Ottieni suggerimenti dalla galleria quando navighi su Facebook», disponibile dal 2023. Mentre l'utente scorre l'app, gli propone immagini e video presenti sul dispositivo come contenuti da pubblicare. Per funzionare, l'app chiedeva l'accesso alla galleria con un'unica autorizzazione, che non distingueva questa attività dalle altre funzioni legate a foto e video.

L'avviso mostrato agli utenti parlava in modo generico della possibilità di «abilitare altre funzioni». Non spiegava che il permesso avrebbe consentito anche di esaminare i contenuti della galleria per generare suggerimenti. La funzione risultava inoltre attiva per impostazione predefinita. Una volta concessa l'autorizzazione completa, Facebook poteva tecnicamente accedere all'intero archivio fotografico, metadati compresi, e l'accesso poteva restare disponibile nel tempo, senza che l'utente potesse verificare quali contenuti l'app usasse davvero.

L'istruttoria è partita nel luglio 2025, dopo una segnalazione del Centro Tutela Consumatori Utenti di Bolzano. Gli accertamenti tecnici hanno mostrato che il consenso richiesto da Facebook non rispettava la normativa italiana. Il riferimento è l'articolo 122 del Codice Privacy, che recepisce la direttiva europea ePrivacy e protegge le informazioni conservate nei dispositivi personali: l'accesso ai contenuti di uno smartphone richiede un consenso libero, specifico e informato. Non serve dimostrare che le fotografie siano finite su server esterni o siano state usate in modo improprio, perché la violazione consiste già nella possibilità di accedervi senza un'autorizzazione adeguata.

Meta aveva anche contestato la competenza del Garante italiano, sostenendo che il caso spettasse all'autorità irlandese, dato che la sede europea del gruppo è in Irlanda. L'obiezione è stata respinta: a differenza del GDPR, la disciplina ePrivacy non prevede lo sportello unico che assegna la competenza principale all'autorità del Paese dove l'azienda ha sede.

Il provvedimento non riguarda l'eventuale uso delle fotografie per addestrare sistemi di intelligenza artificiale, pratica che Meta nega di aver adottato in questo caso. Il Garante si è però riservato ulteriori verifiche su una funzione diversa, introdotta nel 2026, che elabora nel cloud i contenuti della galleria.

Ora Meta ha 60 giorni per cambiare il funzionamento dell'app. Dovrà chiedere un consenso separato e specifico per i suggerimenti dalla galleria, spiegare quali informazioni usa e come disattivare la funzione, che dovrà essere spenta per impostazione predefinita, anche per chi aveva già concesso l'accesso. Senza un consenso valido, scaduto il termine la funzione non potrà essere attivata. Entro 30 giorni la società dovrà comunicare al Garante le iniziative avviate, ed entro 90 giorni le misure effettivamente adottate.

La multa equivale a circa lo 0,47% del fatturato mondiale del gruppo. Per quantificarla l'Autorità ha pesato il numero di persone coinvolte, la durata della violazione, un precedente provvedimento del 2019 e la scarsa collaborazione di Meta durante l'istruttoria. Come attenuanti ha considerato alcune modifiche introdotte dopo la segnalazione, ritenute però tardive e limitate agli utenti che aggiornano l'app. Le prossime scadenze, 30, 60 e 90 giorni, diranno come Meta intende adeguarsi.