Maxi multa da 805 milioni a Meta dal Garante della Privacy: così Facebook accedeva alle foto degli utenti Android senza consenso

Una stangata da 805 milioni di euro, pari a circa lo 0,47% del fatturato mondiale del gruppo. È la maxi sanzione inflitta dal Garante per la protezione dei dati personali a Meta per aver violato la privacy di milioni di cittadini italiani attraverso l’app di Facebook per dispositivi Android. Secondo quanto ricostruito dall’Autorità, «la società ha avuto accesso a fotografie, video e relativi metadati conservati negli smartphone degli utenti italiani senza aver acquisito un consenso specifico e senza averli adeguatamente informati». Al centro del provvedimento c’è la funzione “Ottieni suggerimenti dalla galleria quando navighi su Facebook”, introdotta nel 2023, che durante l’uso del social propone all’utente scatti e filmati pescati direttamente dal rullino del telefono come spunti da pubblicare.

Il meccanismo dell’autorizzazione unica

Il procedimento è scattato nel luglio 2025 a seguito di una segnalazione presentata dal Centro Tutela Consumatori Utenti (Ctcu) di Bolzano e si è basato su un’approfondita analisi tecnica condotta dai tecnici del Garante. Dagli accertamenti è emerso un sistema opaco che impediva agli iscritti di comprendere la reale portata dei permessi concessi: «L’accesso alla galleria viene richiesto con un’unica autorizzazione, valida per l’intera app e per più funzioni con esigenze diverse; l’autorizzazione è preceduta da un avviso generico (“abilitare altre funzioni”) che non permette all’utente di capire che sta autorizzando anche i suggerimenti dalla galleria; la funzione, inoltre, risultava preimpostata come attiva».

Una configurazione che, di fatto, spalancava le porte dell’archivio privato del telefono: «Se concessa per intero, un’autorizzazione di questo tipo consente all’app di leggere tutto l’archivio fotografico del dispositivo, di regola in modo permanente, senza che l’utente, né l’Autorità, possa verificare quali informazioni vengano effettivamente utilizzate».

La direttiva ePrivacy

Nel motivare la sanzione, il Garante ha richiamato l’articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy e tutela lo smartphone come parte integrante della sfera privata della persona. «Qualsiasi accesso alle informazioni che contiene – chiarisce l’Autorità – richiede quindi un consenso libero e informato, a prescindere dalla trasmissione dei dati o dall’esistenza di un danno». L’Autorità italiana ha inoltre respinto l’eccezione di incompetenza sollevata dai legali di Meta, che chiedevano di spostare il dossier sotto la giurisdizione dell’autorità irlandese, ribadendo che la normativa ePrivacy non prevede il meccanismo dello «sportello unico».

Il nodo dell’intelligenza artificiale

Il provvedimento chiarisce anche il perimetro rispetto all’addestramento dei modelli generativi: l’istruttoria non ha riguardato l’eventuale impiego di foto e video per addestrare l’intelligenza artificiale, circostanza smentita dalla società. Tuttavia, il Garante si è riservato di avviare accertamenti separati sulla nuova funzione, lanciata nel 2026, che permette l’elaborazione nel cloud dei contenuti presenti nella galleria fotografica.

L’ultimatum di 60 giorni

Oltre al conto salato, l’Autorità ha imposto a Meta una serie di correttivi stringenti da attuare entro 60 giorni. La piattaforma dovrà introdurre una richiesta di consenso distinta e specifica per la funzione, spiegando in modo trasparente a cosa serve, che comporta l’accesso al rullino e come disattivarla. Soprattutto, l’opzione dovrà restare disattivata per impostazione predefinita, anche nei confronti di chi in passato aveva già concesso il via libera all’app; trascorso il termine senza adeguamento, non potrà più essere attivata per chiunque non abbia espresso un consenso valido. Il gruppo avrà 30 giorni di tempo per comunicare le iniziative avviate e 90 giorni per rendicontare le misure adottate.

La platea di persone coinvolte e la durata prolungata della violazione

A far lievitare l’importo fino a 805 milioni di euro hanno concorso diversi fattori: la platea vastissima di persone coinvolte (circa 20 milioni di utenti Android in Italia), la durata prolungata della violazione, tuttora in corso per chi non ha aggiornato l’applicazione o aveva già abilitato il sistema, un precedente provvedimento sanzionatorio del 2019 a carico della società e la scarsa collaborazione dimostrata durante l’istruttoria. Le modifiche correttive introdotte dall’azienda dopo la segnalazione sono state invece valutate come semplici attenuanti, perché giudicate tardive e circoscritte ai soli utenti che installano gli aggiornamenti dell’app.