Garante privacy: multa da 805 milioni a Meta per accesso non autorizzato a foto su Android

Il Garante per la protezione dei dati personali ha irrogato una sanzione di 805 milioni di euro a Meta Platforms Ireland Limited per aver consentito, tramite l'app Facebook su dispositivi Android, l'accesso a fotografie, video e metadati presenti negli smartphone di utenti italiani senza un consenso specifico e senza adeguata informazione. Il provvedimento riguarda la funzione "Ottieni suggerimenti dalla galleria quando navighi su Facebook", introdotta nel 2023 e segnalata da utenti e associazioni.

L'istruttoria, avviata nel luglio 2025 dopo una segnalazione del Centro Tutela Consumatori Utenti di Bolzano, si è basata su una analisi tecnica dell'Autorità che ha rilevato modalità di accesso alla galleria ritenute non conformi alla normativa. Secondo il Garante, l'app richiedeva un'unica autorizzazione a livello di intera applicazione, accompagnata da un avviso generico ("abilitare altre funzioni") che non chiariva come e perché la galleria venisse letta anche per i suggerimenti.

Dagli accertamenti è emerso che la funzione era preimpostata come attiva: una volta concessa l'autorizzazione in tutto, l'app poteva leggere l'intero archivio fotografico del dispositivo, «di regola in modo permanente», senza che fosse possibile verificare quali dati venissero effettivamente utilizzati. L'Autorità ha sottolineato come questo meccanismo non rispettasse il principio del consenso libero e informato previsto dall'art. 122 del Codice della privacy che recepisce la direttiva ePrivacy.

Meta ha sollevato un'eccezione di competenza a favore dell'autorità irlandese, ma il Garante italiano ha respinto tale argomentazione rilevando che la disciplina ePrivacy non prevede il meccanismo dello "sportello unico" per la materia relativa all'accesso agli smartphone. Il provvedimento non ha indagato l'eventuale impiego dei contenuti per l'addestramento dell'intelligenza artificiale, ambito che la società ha smentito; l'Autorità si riserva comunque di avviare accertamenti separati sulla nuova funzione lanciata nel 2026 che prevede l'elaborazione nel cloud dei contenuti della galleria.

Obblighi immediati e termini

Il Garante ha imposto a Meta obblighi stringenti con scadenze precise: entro 60 giorni la società deve chiedere il consenso con una richiesta distinta e specifica per la funzione, spiegare chiaramente agli utenti a cosa serve, informare sull'accesso alla galleria e su come disattivarla; la funzione dovrà essere mantenuta disattivata per impostazione predefinita, anche per chi ha già concesso l'autorizzazione. Se il termine decorso non porterà all'adeguamento, l'Autorità avverte che la funzione non potrà essere attivata per gli utenti che non abbiano fornito un consenso valido.

Inoltre Meta è tenuta a comunicare al Garante, entro 30 giorni, le iniziative avviate e, entro 90 giorni, le misure effettivamente adottate. L'Autorità ha motivato l'importo della sanzione considerando l'elevato numero di persone coinvolte (circa 20 milioni di utenti Android in Italia), la durata della violazione, un precedente provvedimento del 2019 nei confronti della società e la «scarsa collaborazione» offerta durante l'istruttoria. Sono state riconosciute come attenuanti alcune modifiche introdotte dopo la segnalazione, considerate però tardive e limitate agli utenti che aggiornano l'app.

La misura è stata calcolata — spiega il Garante — pari a circa lo 0,47% del fatturato mondiale del gruppo. L'Autorità ha inoltre precisato che la norma violata tutela lo smartphone come parte della sfera privata della persona e che qualsiasi accesso alle informazioni in esso contenute richiede un consenso libero e informato, indipendentemente dalla trasmissione dei dati o dall'esistenza di un danno.

L'istruttoria nasce dalla segnalazione di un'associazione di consumatori e dal lavoro tecnico dell'Autorità: il provvedimento del Garante rappresenta un esempio di applicazione della disciplina ePrivacy in relazione alle nuove funzioni delle app mobile che incrociano dati personali sensibili per la sfera privata degli utenti.

La vicenda rimane aperta: il Garante seguirà l'attuazione delle misure imposte e potrà avviare ulteriori accertamenti sulla gestione in cloud dei contenuti, mentre resta da valutare la reazione di Meta e le eventuali azioni legali che la società potrà intraprendere.