- ENGLISH VERSION

Facebook: il Garante privacy sanziona Meta per 805 milioni di euro

Foto e video della galleria degli utenti Android usati senza un consenso specifico. Entro 60 giorni la funzione dovrà essere disattivata per impostazione predefinita e il consenso chiesto in modo distinto

Il Garante per la protezione dei dati personali ha sanzionato Meta Platforms Ireland Limited per 805 milioni di euro. Attraverso l'app Facebook per dispositivi Android, la società ha avuto accesso a fotografie, video e relativi metadati conservati negli smartphone degli utenti italiani senza aver acquisito un consenso specifico e senza averli adeguatamente informati.

Il provvedimento riguarda la funzione "Ottieni suggerimenti dalla galleria quando navighi su Facebook", disponibile dal 2023, che durante la navigazione propone all'utente foto e video presi dalla galleria del telefono come spunti da pubblicare. L'istruttoria è partita a luglio 2025 da una segnalazione del Centro Tutela Consumatori Utenti di Bolzano e si è avvalsa di un'analisi tecnica svolta dall'Autorità.

Dagli accertamenti è emerso che:
- L’accesso alla galleria viene richiesto con un'unica autorizzazione, valida per l'intera app e per più funzioni con esigenze diverse. 
- L'autorizzazione è preceduta da un avviso generico ("abilitare altre funzioni") che non permette all'utente di capire che sta autorizzando anche i suggerimenti dalla galleria. 
- La funzione, inoltre, risultava preimpostata come attiva. Se concessa per intero, un'autorizzazione di questo tipo consente all'app di leggere tutto l'archivio fotografico del dispositivo, di regola in modo permanente, senza che l'utente, né l'Autorità, possa verificare quali informazioni vengano effettivamente utilizzate.

Il Garante ha ricordato che la norma violata, l'art. 122 del Codice privacy che recepisce la direttiva europea ePrivacy, tutela lo smartphone come parte della sfera privata della persona. 
Qualsiasi accesso alle informazioni che contiene richiede quindi un consenso libero e informato, a prescindere dalla trasmissione dei dati o dall'esistenza di un danno. L'Autorità ha respinto anche l'eccezione di incompetenza sollevata dalla società in favore dell'autorità irlandese, perché la disciplina ePrivacy non prevede il meccanismo dello "sportello unico".

Il procedimento non ha riguardato l'eventuale uso dei contenuti per addestrare l'intelligenza artificiale, che Meta nega. Il Garante si riserva di valutare con accertamenti distinti la nuova funzione, lanciata nel 2026, che consente l'elaborazione nel cloud dei contenuti della galleria.

Entro 60 giorni Meta dovrà:
- chiedere il consenso con una richiesta distinta e specifica per la funzione e spiegare chiaramente agli utenti a cosa serve, che comporta l'accesso alla galleria e come disattivarla;
- dovrà mantenere la funzione disattivata per impostazione predefinita, anche per chi ha già concesso l'autorizzazione; 
- scaduto il termine senza adeguamento, la funzione non potrà essere attivata per gli utenti che non abbiano dato un consenso valido; 
- la società dovrà comunicare al Garante entro 30 giorni le iniziative avviate ed entro 90 giorni le misure adottate.

Per stabilire l'importo della sanzione il Garante ha considerato: 
- l'elevato numero di persone coinvolte (circa 20 milioni di utenti Android in Italia);
- ⁠la durata della violazione, tuttora in corso per chi non ha aggiornato l'app e per chi ha già concesso l’autorizzazione al sistema; 
- un precedente provvedimento del 2019 nei confronti della società;
- la scarsa collaborazione prestata durante l'istruttoria. 
- ha valutato come attenuanti le modifiche introdotte dopo la segnalazione, giudicate però tardive e limitate a chi aggiorna l'app.
L'importo è pari a circa lo 0,47% del fatturato mondiale del gruppo.

Roma, 14 novembre 2026

_______

The Garante has fined Meta Platforms Ireland Limited 805 million euros

The Italian Data Protection Authority has fined Meta Platforms Ireland Limited 805 million euros. Through the Facebook app for Android devices, the company accessed photos, videos, and related metadata stored on Italian users' smartphones without obtaining specific consent and without properly informing them.

The measure concerns the 'Get tips from your gallery while browsing Facebook' feature, available since 2023, which during browsing shows users photos and videos from their phone gallery as suggestions to post.

The investigation started in July 2025 following a report from the Bolzano Consumer Protection Center and relied on a technical analysis conducted by the Authority.

The checks revealed that:
- access to the gallery is requested with a single permission, valid for the entire app and for multiple functions with different need;
- the authorization is preceded by a generic notice ("enable other features") that doesn't allow the user to understand that they are also authorizing gallery suggestions;
- furthermore, the feature was set to be active by default. If fully granted, this kind of authorization allows the app to read the entire photo archive on the device, usually permanently, without the user or the Authority being able to verify what information is actually being used.

The Authority reminded that the violated rule, Article 122 of the Privacy Code implementing the European ePrivacy Directive, protects the smartphone as part of a person's private sphere. Any access to the information it contains therefore requires free and informed consent, regardless of data transmission or the existence of harm.

The Authority also rejected the company's objection of lack of jurisdiction in favor of the Irish authority, because the ePrivacy rules do not provide for the 'one-stop shop' mechanism. The procedure did not concern the potential use of content to train artificial intelligence, which Meta denies.

The Authority reserves the right to evaluate separately the new feature, launched in 2026, that allows cloud processing of gallery content.

Within 60 days, Meta must:
- request consent with a separate and specific request for the feature and clearly explain to users what it is for, that it involves access to the gallery, and how to disable it;
- keep the feature turned off by default, even for those who have already given consent.
- If the deadline passes without compliance, the feature cannot be activated for users who have not given valid consent;
- the company must inform the Authority within 30 days about the initiatives started and within 90 days about the measures taken.

To determine the amount of the fine, the Authority considered:
- the high number of people involved (around 20 million Android users in Italy);
- the duration of the violation, which is still ongoing for those who haven't updated the app;
- a previous 2019 ruling against the company;
- the limited cooperation during the investigation.
- it considered as mitigating the changes made after the report, though judged late and limited only to those who update the app.

The amount is about 0.47% of the group's global revenue.

Rome, 14 November 2026