Il Garante per la protezione dei dati personali ha sanzionato Meta Platforms Ireland Limited con 805 milioni di euro, pari a circa lo 0,47% del fatturato mondiale del gruppo. Al centro del provvedimento c’è l’app Facebook per dispositivi Android, che ha letto foto, video e metadati sugli smartphone di circa 20 milioni di utenti italiani senza un consenso specifico e senza informazioni adeguate.
La funzione dei suggerimenti dalla galleria
Il provvedimento riguarda la funzione “Ottieni suggerimenti dalla galleria quando navighi su Facebook”, disponibile dal 2023. Mentre l’utente naviga, l’app propone foto e video presi dalla galleria del telefono come spunti da pubblicare. L’istruttoria è partita a luglio 2025 da una segnalazione del Centro Tutela Consumatori Utenti di Bolzano e ha incluso un’analisi tecnica dell’Autorità.
Dagli accertamenti emergono tre problemi. Il primo è che l’accesso alla galleria passa per una sola autorizzazione, valida per tutta l’app e per più funzioni diverse. Il secondo è che tale autorizzazione arriva dopo un avviso generico, “abilitare altre funzioni”, che non dice all’utente di concedere anche i suggerimenti. Il terzo è che la funzione risultava preimpostata come attiva. Con un’autorizzazione concessa per intero, l’app può leggere tutto l’archivio fotografico, di norma in modo permanente, senza che né l’utente né l’Autorità possano verificare quali dati vengano davvero usati.
La norma violata e la competenza del Garante
Il Garante ricorda che l’articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy, protegge lo smartphone come parte della sfera privata. Ogni accesso alle informazioni contenute nel dispositivo richiede quindi un consenso libero e informato, indipendentemente dalla trasmissione dei dati o dalla presenza di un danno. L’Autorità ha respinto l’eccezione di Meta, che chiedeva di trasferire il caso all’autorità irlandese, perché la disciplina ePrivacy non prevede il meccanismo dello “sportello unico”.
Gli obblighi imposti a Meta
Entro 60 giorni Meta dovrà chiedere un consenso distinto e specifico per la funzione, spiegando agli utenti a cosa serve, quale accesso comporta e come disattivarla. La funzione dovrà restare disattivata di default, anche per chi ha già concesso l’autorizzazione. Se la scadenza passa senza adeguamento, la funzione non potrà essere attivata per chi non abbia dato un consenso valido. Entro 30 giorni la società dovrà comunicare al Garante le iniziative avviate, ed entro 90 giorni le misure adottate.
Nel determinare l’importo, il Garante ha pesato il numero elevato di persone coinvolte, la durata della violazione ancora in corso per chi non ha aggiornato l’app, un precedente provvedimento del 2019 e la scarsa collaborazione durante l’istruttoria. Tra le attenuanti ha considerato le modifiche introdotte dopo la segnalazione, giudicate tardive e limitate a chi aggiorna l’app.
La posizione di Meta
Meta contesta la valutazione dei fatti e la sanzione, che giudica sproporzionata. Secondo la società la funzione serve a pubblicare foto e video su Facebook, e gli utenti devono concedere un’autorizzazione sul proprio dispositivo prima che possa operare, modificabile in qualsiasi momento dalle impostazioni. Meta ha annunciato che presenterà ricorso.
