Facebook multata per 805 milioni dal garante privacy: Meta annuncia ricorso

Il Garante per la protezione dei dati personali ha inflitto a Meta una sanzione di 805 milioni di euro per accessi non autorizzati a contenuti multimediali conservati sugli smartphone degli utenti italiani attraverso la versione dell’app per Android.

Secondo il provvedimento, la società ha potuto consultare fotografie, video e relativi metadati memorizzati nei dispositivi senza aver ottenuto un consenso specifico e senza fornire informazioni adeguate agli interessati.

La funzione contestata

Al centro dell’istruttoria c’è la funzione “Ottieni suggerimenti dalla galleria”, introdotta nel 2023 e pensata per proporre durante la navigazione immagini e video presenti nella galleria del telefono come spunti per la pubblicazione.

L’istruttoria è iniziata a luglio 2025 a seguito di una segnalazione del Centro Tutela Consumatori Utenti di Bolzano e si è avvalsa di una verifica tecnica condotta dall’Autorità.

Accertamenti e violazioni riscontrate

Dall’analisi è emerso che l’accesso alla galleria veniva richiesto con un’unica autorizzazione valida per tutta l’app e per funzioni diverse, piuttosto che con consensi distinti per ciascun utilizzo.

Prima della richiesta di autorizzazione, agli utenti veniva mostrato un avviso generico indicato come «Abilitare altre funzioni», che non chiariva che l’autorizzazione avrebbe abilitato anche i suggerimenti dalla galleria. Inoltre la funzione risultava preimpostata su attiva.

Un’autorizzazione concessa in questi termini permetteva all’app di leggere l’intero archivio fotografico del dispositivo, frequentemente in modo permanente, senza che l’utente potesse verificare quali informazioni fossero effettivamente trattate e senza possibilità di controllo da parte dell’Autorità.

Riferimenti normativi

Il Garante ha richiamato la violazione dell’art. 122 del Codice privacy, che recepisce la direttiva europea ePrivacy e tutela lo smartphone come parte della sfera privata della persona.

La normativa stabilisce che qualsiasi accesso alle informazioni contenute nel dispositivo richiede un consenso libero e informato, indipendentemente dal trasferimento dei dati o dall’eventuale danno subito dall’interessato.

L’Autorità ha inoltre respinto l’eccezione di incompetenza sollevata dalla società, che aveva invocato l’intervento dell’autorità irlandese, precisando che la disciplina ePrivacy non prevede il meccanismo del sportello unico.

Implicazioni pratiche e conseguenze

La sanzione rappresenta uno dei provvedimenti più rilevanti sul fronte della protezione dei dati rispetto al comportamento delle grandi piattaforme digitali, con possibili effetti a catena su pratiche simili adottate da altre applicazioni.

Dal punto di vista operativo, la decisione invita gli sviluppatori ad adottare meccanismi di consenso granulare, trasparenza nelle richieste di autorizzazione e impostazioni non preattivate per evitare trattamenti eccessivi o non necessari dei dati personali.

Per gli utenti italiani la pronuncia rafforza il principio che il possesso fisico del dispositivo non implica cessione automatica dei contenuti al fornitore del servizio: ogni accesso richiede un’informativa chiara e un consenso specifico.

Contesto europeo e possibili sviluppi

A livello europeo, la decisione sottolinea le differenze operative tra il quadro previsto dal regolamento generale sulla protezione dei dati e la disciplina ePrivacy, che pone limiti stringenti agli accessi ai terminali e non si avvale del sistema consolidato del sportello unico.

Ciò potrebbe innescare ulteriori contenziosi internazionali e spingere le aziende a rivedere politiche e architetture tecniche per adeguarsi a regole nazionali ed europee, con possibili impatti sui modelli di business basati sull’estrazione di dati a fini pubblicitari.

Per le autorità di controllo nazionali la sentenza rafforza l’autonomia nell’applicazione delle norme e la capacità di intervenire su pratiche che interferiscono direttamente con la sfera privata degli utenti.

Reazioni e prossimi passi

La decisione potrebbe essere impugnata nei gradi successivi di giudizio, ma nel frattempo impone adeguamenti immediati nelle modalità di richiesta delle autorizzazioni e nella progettazione delle funzionalità che trattano dati sensibili archiviati nei dispositivi.

Operatori, sviluppatori e consulenti legali dovranno monitorare eventuali linee guida aggiuntive dell’Autorità e aggiornamenti interpretativi sulle intersezioni tra ePrivacy e il Codice della privacy per garantire conformità e ridurre il rischio di sanzioni.

In sintesi

• La multa impone una rilettura dei modelli di consenso: per gli investitori, società tecnologiche con prassi simili potrebbero sostenere costi di adeguamento e rischi reputazionali che incidono sul valore azionario.
• Per il mercato italiano, la decisione rafforza il ruolo delle autorità di controllo locali nel disciplinare l’accesso ai dati sui dispositivi, con possibili effetti su partnership commerciali e contratti di servizio.
• Gli sviluppatori dovranno prioritizzare soluzioni tecniche orientate alla minimizzazione dei dati e al consenso granulare; ciò può favorire operatori che offrono strumenti conformi e consulenze specializzate.
• Dal punto di vista degli investimenti, l’accresciuta attenzione regolamentare suggerisce di valutare l’esposizione a rischio normativo delle piattaforme digitali che monetizzano l’accesso a dati utenti, specialmente nel panorama europeo.