Il Garante per la protezione dei dati personali ha sanzionato Meta con una multa da 805 milioni di euro per le modalità con cui l’applicazione Facebook per dispositivi Android accedeva a fotografie, video e metadati conservati negli smartphone degli utenti italiani. Secondo l’Autorità, l’accesso avveniva senza un consenso specifico e senza informazioni sufficientemente chiare sulle attività autorizzate.
Il provvedimento riguarda la funzione denominata Ottieni suggerimenti dalla galleria quando navighi su Facebook, resa disponibile dal 2023. Durante la navigazione, lo strumento propone all’utente immagini e video presenti nella galleria del telefono, con l’obiettivo di suggerire possibili contenuti da pubblicare. Per il Garante, tuttavia, il sistema non consentiva alla persona di comprendere pienamente quali dati sarebbero stati consultati e per quali finalità.
L’istruttoria partita da Bolzano
L’istruttoria è stata avviata a luglio 2025 dopo una segnalazione del Centro Tutela Consumatori Utenti di Bolzano. L’Autorità ha poi svolto un’analisi tecnica dell’applicazione e ha esaminato le modalità con cui veniva richiesto il permesso di accesso alla galleria dello smartphone.
Dagli accertamenti è emerso che l’autorizzazione era unica per l’intera applicazione e comprendeva più funzioni con esigenze differenti. La richiesta era preceduta da un’avviso generico, riferito all’attivazione di altre funzioni, che non permetteva di capire che il consenso avrebbe incluso anche i suggerimenti dalla galleria. Inoltre, la funzione risultava preimpostata come attiva.
Una volta concessa per intero, un’autorizzazione di questo tipo permette all’app di leggere l’archivio fotografico del dispositivo, normalmente in modo permanente. In base a quanto rilevato dal Garante, né l’utente né l’Autorità potevano verificare quali informazioni venissero effettivamente utilizzate. La criticità, quindi, non riguardava soltanto la presenza della funzione, ma anche l’ampiezza del permesso richiesto e la scarsa chiarezza delle informazioni fornite prima dell’attivazione.
Il riferimento alla disciplina ePrivacy
Nel provvedimento l’Autorità ha richiamato l’articolo 122 del Codice privacy, norma che recepisce la direttiva europea ePrivacy. La disposizione tutela lo smartphone come parte della sfera privata della persona e stabilisce che l’accesso alle informazioni contenute nel dispositivo richieda un consenso libero e informato.
Secondo il Garante, questo obbligo vale indipendentemente dalla successiva trasmissione dei dati e dall’esistenza di un danno concreto. L’Autorità ha inoltre respinto l’eccezione con cui Meta sosteneva la competenza dell’autorità irlandese. La disciplina ePrivacy, si legge nella ricostruzione del provvedimento, non prevede infatti il meccanismo dello sportello unico applicabile in altri ambiti della protezione dei dati.
Il procedimento non ha esaminato l’eventuale utilizzo dei contenuti per l’addestramento dell’intelligenza artificiale, ipotesi che Meta nega. Il Garante ha precisato che valuterà con accertamenti distinti la nuova funzione lanciata nel 2026, che consente l’elaborazione nel cloud dei contenuti presenti nella galleria del telefono.