Facebook e il consenso per l’accesso ai contenuti: sanzione da 805 milioni di euro
Facebook ha avuto accesso a fotografie e video presenti negli smartphone di milioni di utenti italiani senza fornire informazioni adeguate e senza ottenere un consenso specifico. A seguito di questa violazione, il Garante per la protezione dei dati personali ha inflitto a Meta una multa di 805 milioni di euro, una delle più elevate mai imposte dall’Autorità italiana. La misura riguardava circa 20 milioni di utenti Android e una funzione dell’app di Facebook che permetteva di visualizzare la galleria fotografica del dispositivo tramite un’unica autorizzazione, valida anche per altri servizi.
L’accesso alle fotografie
La funzione "Ottieni suggerimenti dalla galleria quando navighi su Facebook" è stata introdotta nel 2023. Durante la navigazione, essa propone contenuti multimediali presenti sul dispositivo come possibili condivisioni. Tuttavia, l’app richiedeva accesso alla galleria tramite un’autorizzazione generica, senza chiarire che ciò includeva la possibilità di esaminare i contenuti per fornire suggerimenti. L’avviso agli utenti menzionava in modo vago l’opzione di "abilitare altre funzioni", senza specificare il reale utilizzo dei dati.
Questa funzione era attiva di default; una volta concessa l’autorizzazione, Facebook poteva accedere all’intero archivio fotografico del dispositivo, compresi metadati come date e altre informazioni associate ai file. Inoltre, l’accesso poteva rimanere attivo nel tempo, senza che l’utente potesse verificare quali contenuti fossero utilizzati dall’app.
Le ragioni della sanzione da parte del Garante
L’indagine era iniziata nel luglio 2025, dopo una segnalazione del Centro Tutela Consumatori Utenti di Bolzano. Le verifiche tecniche effettuate dall’Autorità hanno rivelato che il consenso richiesto da Facebook non era conforme alla normativa italiana sulla protezione dei dati.
Il riferimento normativo è l’articolo 122 del Codice Privacy, che recepisce la direttiva europea ePrivacy e tutela le informazioni conservate sui dispositivi personali. Secondo questa normativa, lo smartphone è considerato parte della sfera privata dell’individuo e l’accesso ai suoi contenuti richiede un consenso libero, informato e specifico. Non è necessario dimostrare che le fotografie siano state trasferite a server esterni o utilizzate in modo improprio; la violazione si verifica già con l’accesso non autorizzato alle informazioni.
Meta ha contestato la competenza dell’Autorità italiana, sostenendo che il caso dovesse essere gestito dal Garante irlandese, in quanto la sede europea della società si trova in Irlanda. Tuttavia, questa obiezione è stata respinta, poiché la disciplina ePrivacy non prevede il meccanismo dello sportello unico presente nel regolamento generale sulla protezione dei dati (GDPR).
Intelligenza artificiale e gestione dei dati
Il provvedimento non riguarda l’eventuale utilizzo delle fotografie per addestrare sistemi di intelligenza artificiale, pratica che Meta ha negato di aver adottato in questo caso. Il Garante ha riservato ulteriori verifiche su una funzione introdotta nel 2026, che consente di elaborare nel cloud i contenuti della galleria fotografica.
Questa situazione si inserisce in un dibattito più ampio sulla gestione dei dati personali da parte delle piattaforme digitali. Recentemente, Meta ha implementato un sistema unificato per gli account Facebook, Instagram e Threads, che consente di gestire da un unico punto alcune informazioni personali e impostazioni di sicurezza.
Cosa cambierà in futuro
Meta avrà 60 giorni per modificare il funzionamento dell’app. Dovrà introdurre una richiesta di consenso separata e specifica per i suggerimenti dalla galleria, chiarendo quali informazioni vengono utilizzate e come disattivare la funzione. Quest’ultima dovrà essere disabilitata di default, anche per gli utenti che avevano precedentemente autorizzato l’accesso alle fotografie. In assenza di un consenso valido, la funzione non potrà essere attivata dopo il termine stabilito.
Inoltre, Meta dovrà informare il Garante entro 30 giorni riguardo le iniziative intraprese e, entro 90 giorni, dovrà comunicare le misure effettivamente adottate.
Per stabilire l’importo della sanzione, pari a circa lo 0,47% del fatturato mondiale del gruppo, l’Autorità ha considerato il numero di persone coinvolte, la durata della violazione, un precedente provvedimento del 2019 e la scarsa collaborazione della società durante l’istruttoria. Sono state considerate attenuanti alcune modifiche apportate da Meta dopo la segnalazione, anche se ritenute tardive e limitate agli utenti che aggiornano l’app.
