Meta sanzionata per 805 milioni dal Garante privacy: accesso alla galleria Android senza consenso specifico

Una multa da 805 milioni di euro: il Garante per la protezione dei dati personali italiano non ne aveva mai inflitta una così alta. A riceverla è Meta, il gruppo statunitense che controlla Instagram, Facebook e WhatsApp. L'Autorità ha reso nota la decisione con un comunicato pubblicato ieri.

Al centro del provvedimento c'è il modo in cui l'app di Facebook accede alla galleria dei telefoni con sistema operativo Android. Secondo il Garante, quell'accesso avviene ancora oggi per chi non ha aggiornato l'app e ha già dato il consenso. La violazione riguarda circa 20 milioni di persone, cioè chi ha uno smartphone Android con l'app Facebook installata. Restano fuori gli utenti Apple, perché il sistema iOS prevede già di suo un meccanismo di consenso esplicito.

La funzione contestata si chiama "Ottieni suggerimenti dalla galleria quando navighi su Facebook". Propone all'utente foto e video presenti nella memoria del telefono come possibili contenuti da pubblicare. Per il Garante il problema sta nella richiesta di permesso: un'unica autorizzazione, legata a un messaggio generico, e per di più la funzione risultava attiva di default. In questo modo, sostiene l'Autorità, Facebook "spiava" l'intero archivio senza rivolgere all'utente una richiesta specifica.

Giuseppe Vaciago, dello studio 42 Law Firm, indica il principio chiave nella "granularità del consenso": all'utente non si può chiedere un'autorizzazione generale e poco chiara, né tantomeno automatica. Il quadro normativo è la direttiva ePrivacy, approvata per la prima volta nel 2002, che regola la privacy in vari servizi online, dalle newsletter ai cookie. Vaciago precisa che il caso non è isolato: ad aprile il Garante aveva chiarito che anche i Tracking Pixel, i minuscoli pixel invisibili inseriti nelle e-mail per sapere se e quando vengono lette, rientrano nella stessa disciplina. Le linee guida prevedono un termine per adeguarsi, scaduto il 29 ottobre. Aziende, piattaforme e newsletter che non abbiano aggiornato informative e consensi potranno quindi essere oggetto di approfondimenti dell'Authority nei prossimi mesi.

Ci sono altri precedenti. Sempre ad aprile il Garante ha sanzionato Poste Italiane con 12,5 milioni di euro per il sistema di sicurezza delle app BancoPosta e Postepay. Un software antifrode controllava le applicazioni installate sugli smartphone Android degli utenti per individuare programmi dannosi. Per l'Autorità, un accesso così ampio alle informazioni del dispositivo non può considerarsi strettamente necessario, anche se l'obiettivo, la lotta alle truffe, è legittimo.

La questione varca i confini nazionali. Vaciago ricorda che poche settimane fa l'autorità francese per la privacy ha multato Fnac per 7 milioni di euro: la sua app raccoglieva informazioni sulla navigazione per suggerire prodotti senza un consenso valido. La novità del caso Facebook, dice, è che la stessa tutela si applica a un archivio molto più personale, come foto e video dello smartphone. Il principio, aggiunge, resta lo stesso: le app non possono usare liberamente le informazioni presenti nei dispositivi solo perché la tecnologia permette di accedervi.

Meta dovrà sanare le irregolarità contestate entro 60 giorni, ma non accetta le conclusioni. Un portavoce ha espresso "netto disaccordo" sulla valutazione dei fatti e sull'applicazione della norma, giudicando sproporzionato l'importo. Il gruppo descrive una funzione semplice che aiuta a pubblicare foto e video, che richiede un'autorizzazione sul dispositivo, modificabile in ogni momento dalle impostazioni. Meta intende presentare ricorso: la partita si sposta ora sui 60 giorni di adeguamento e sull'eventuale impugnazione.