Il Garante per la protezione dei dati personali ha inflitto a Meta Platforms Ireland Limited una sanzione da 805 milioni di euro per l’uso di foto senza consenso. Attraverso l’app Facebook per Android, la società ha avuto accesso a fotografie, video e relativi metadati conservati negli smartphone degli utenti italiani, senza chiedere un consenso specifico e senza informarli in modo adeguato. Il provvedimento, reso noto oggi, coinvolge circa 20 milioni di persone.

Al centro c’è la funzione «Ottieni suggerimenti dalla galleria quando navighi su Facebook», disponibile dal 2023. Mentre l’utente scorre il social, l’app gli propone immagini e filmati presi dalla memoria del telefono come spunti da pubblicare. Per proporli, deve prima leggerli.

Meta e la galleria dello smartphone: un’unica autorizzazione per tutto

L’istruttoria è partita a luglio 2025 da una segnalazione del Centro tutela consumatori utenti di Bolzano e si è basata anche su un’analisi tecnica condotta dall’Autorità. Il meccanismo accertato è lineare. L’accesso alla galleria viene chiesto con un’unica autorizzazione, valida per l’intera app e per funzioni con esigenze diverse tra loro. A precederla compare un avviso generico, «abilitare altre funzioni», che impedisce all’utente di capire che sta autorizzando anche i suggerimenti tratti dalle proprie foto. La funzione, inoltre, risultava preimpostata come attiva.

Le conseguenze sono rilevanti. Un permesso di questo tipo, se concesso per intero, consente all’app di leggere l’intero archivio fotografico del dispositivo, di regola in modo permanente. Nessuno, né l’utente né l’Autorità, è in grado di verificare quali informazioni vengano effettivamente utilizzate. Una galleria custodisce di solito volti di familiari e figli, documenti fotografati, ricevute, schermate di conversazioni private. I metadati possono aggiungere luoghi e orari di scatto.

Consenso informato, la clausola generica non basta

Il Garante ha richiamato l’articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy, la norma sulla riservatezza nelle comunicazioni elettroniche. La disposizione tutela lo smartphone come parte della sfera privata della persona. Qualsiasi accesso alle informazioni che contiene richiede quindi un consenso libero e informato, a prescindere dalla trasmissione dei dati altrove o dall’esistenza di un danno.

Il principio ha una portata che supera il caso Facebook. Un permesso chiesto una volta, valido per tutto, accompagnato da una dicitura vaga, ha la forma del consenso senza averne la sostanza. È lo schema con cui molte applicazioni ottengono l’accesso ai dati: finestre da accettare in fretta per poter usare il servizio, con finalità che restano nella disponibilità dell’azienda.

Lo sportello unico irlandese respinto dal Garante

Meta ha tentato di spostare la partita fuori dall’Italia, sollevando un’eccezione di incompetenza a favore dell’autorità irlandese, Paese in cui ha la sede europea. Il Garante l’ha respinta: la disciplina ePrivacy non prevede il meccanismo dello «sportello unico», il sistema previsto dal Gdpr (il Regolamento generale sulla protezione dei dati) che concentra i procedimenti contro le multinazionali nell’autorità del Paese dove hanno lo stabilimento principale in Europa.

Il passaggio pesa. Per anni i grandi gruppi tecnologici americani hanno trovato a Dublino il loro interlocutore privilegiato sulle questioni di privacy nel continente. In questo caso un’autorità nazionale ha rivendicato la competenza su ciò che accade dentro i telefoni dei propri cittadini.

Facebook, le misure imposte: 60 giorni per cambiare la funzione

Entro 60 giorni Meta dovrà chiedere il consenso con una richiesta distinta e specifica per la funzione, spiegando con chiarezza a cosa serve, cosa comporta l’accesso alla galleria e come disattivarla. La funzione dovrà restare disattivata per impostazione predefinita, anche per chi ha già concesso l’autorizzazione. Scaduto il termine senza adeguamento, non potrà essere attivata per gli utenti privi di un consenso valido. La società dovrà riferire al Garante entro 30 giorni sulle iniziative avviate ed entro 90 giorni sulle misure adottate.

Il calendario lascia aperta una finestra. Secondo l’Autorità, la violazione è tuttora in corso per chi non ha aggiornato l’app e per chi ha già concesso il permesso al sistema. Per altri due mesi l’accesso potrà quindi proseguire nelle stesse condizioni giudicate illecite. Le prescrizioni regolano il consenso da qui in avanti, mentre tre anni di accessi alle gallerie degli utenti sono già avvenuti.

La multa a Meta vale lo 0,47% del fatturato mondiale

Per stabilire l’importo il Garante ha considerato l’elevato numero di persone coinvolte, la durata della violazione, un precedente provvedimento del 2019 nei confronti della stessa società e la scarsa collaborazione prestata durante l’istruttoria. Come attenuanti ha valutato le modifiche introdotte dopo la segnalazione, giudicate però tardive e limitate a chi aggiorna l’app.

La cifra, imponente in valore assoluto, corrisponde a circa lo 0,47% del fatturato mondiale del gruppo. Per un’azienda di queste dimensioni è una sanzione che il bilancio può assorbire come un costo d’esercizio. Più significativa appare la sequenza: un provvedimento nel 2019, una nuova violazione accertata nel 2026, e nel mezzo un modello di business fondato sui dati degli utenti che non sembra aver cambiato direzione.

Intelligenza artificiale e cloud, il prossimo fronte

Il procedimento ha escluso dal proprio perimetro l’eventuale uso dei contenuti per addestrare l’intelligenza artificiale, circostanza che Meta nega. Il Garante si è riservato di esaminare con accertamenti distinti la nuova funzione lanciata nel 2026, che consente l’elaborazione nel cloud dei contenuti della galleria, cioè il loro trattamento su server remoti.

Il salto è evidente. La funzione sanzionata leggeva le foto sul telefono per suggerirle; quella nuova permette di elaborarle fuori dal dispositivo. Nell’attesa delle verifiche annunciate dall’Autorità, per i circa 20 milioni di italiani coinvolti lo strumento immediato resta uno solo: entrare nelle impostazioni di Android e revocare all’app di Facebook il permesso di accesso a foto e video.