Foto e video utilizzati senza consenso: il Garante privacy sanziona Meta per 805 milioni

Il Garante per la protezione dei dati personali ha inflitto a Meta una sanzione da 805 milioni di euro, la più alta della sua storia. La ragione sta in ciò che l’app di Facebook per Android poteva vedere. Secondo l’Autorità, la società ha avuto accesso a foto, video e relativi metadati custoditi negli smartphone di circa 20 milioni di italiani, senza un consenso specifico e senza spiegare loro che cosa stesse accadendo.

In Italia la cifra non ha termini di paragone. Il primato precedente apparteneva a Enel Energia, sanzionata per il telemarketing con 79.107.101 euro: lo stesso Garante l’aveva definita “la più alta mai applicata dall’Autorità”. Quella di oggi vale dieci volte tanto. Da sola supera di oltre venti volte quanto il Garante ha riscosso in tutto il 2025, poco più di 37 milioni.

Tutto ruota attorno a una funzione dal nome quasi premuroso, attiva dal 2023: “Ottieni suggerimenti dalla galleria quando navighi su Facebook”. Mentre si scorre il feed, l’app ripesca dal telefono foto e video e li ripropone come spunti da pubblicare, anche immagini che non si era mai pensato di condividere. Per l’Autorità il nodo non è il suggerimento in sé, ma la strada con cui l’app ci arriva, il modo in cui ottiene l’accesso dei contenuti.

Un permesso per tutto

L’istruttoria nasce a luglio 2025 da una segnalazione del Centro Tutela Consumatori Utenti di Bolzano, seguita da un’analisi tecnica del Garante. Ne è emerso un meccanismo semplice. L’accesso alla galleria viene chiesto una volta sola, con un’autorizzazione che vale per l’intera app e per funzioni con esigenze diverse. A introdurla c’è un avviso generico, “abilitare altre funzioni”. Da lì l’utente non può intuire che, insieme al resto, sta autorizzando anche i suggerimenti dalla galleria. Suggerimenti che, del resto, risultavano già accesi.

Una volta concesso per intero, quel permesso consente all’app di leggere tutto l’archivio fotografico del telefono, “di regola in modo permanente, senza che l’utente, né l’Autorità, possa verificare quali informazioni vengano effettivamente utilizzate”.

Il telefono come casa

La norma violata è l’articolo 122 del Codice privacy. Recepisce la direttiva europea ePrivacy e considera lo smartphone parte della sfera privata della persona. Per entrarci serve un consenso libero e informato, anche se i dati non vengono trasmessi e se non c’è un danno. Su questa stessa disciplina si è fermata anche l’obiezione di Meta, che chiedeva di passare il fascicolo all’autorità irlandese, competente per la sede europea del gruppo. In materia di ePrivacy, ha ricordato il Garante, il meccanismo dello “sportello unico” non esiste.

Resta fuori dal provvedimento l’eventuale uso delle immagini per addestrare l’intelligenza artificiale, che Meta nega. Il Garante però tiene aperto un secondo fronte. Valuterà a parte la nuova funzione lanciata nel 2026, che consente di elaborare nel cloud i contenuti della galleria.

Sessanta giorni

Ora Meta ha sessanta giorni per adeguarsi. Dovrà chiedere un consenso dedicato solo a questa funzione e spiegare con chiarezza a cosa serve, cosa implica l’accesso alla galleria e come si disattiva. La funzione dovrà restare spenta per impostazione predefinita, anche per chi l’autorizzazione l’ha già data. Se il termine scadrà senza adeguamento, resterà bloccata per chiunque non abbia espresso un consenso valido. Entro trenta giorni la società dovrà comunicare al Garante le iniziative avviate, entro novanta le misure adottate.

Gli 805 milioni corrispondono a circa lo 0,47 per cento del fatturato mondiale del gruppo. Per fissare la cifra, l’Autorità ha considerato il numero di persone coinvolte e la durata della violazione, “tuttora in corso per chi non ha aggiornato l’app e per chi ha già concesso l’autorizzazione al sistema”. A pesare, anche la “scarsa collaborazione prestata durante l’istruttoria”. Le modifiche introdotte dopo la segnalazione hanno contato come attenuanti, ma l’Autorità le ha giudicate tardive e limitate a chi aggiorna l’app.

Il precedente

Sul conto grava anche un vecchio caso. Nel 2019, per lo scandalo Cambridge Analytica, il Garante aveva multato Facebook per un milione di euro. Un’app di test psicologici aveva raccolto i dati di 214.077 utenti italiani che non l’avevano mai scaricata. Quando qualcuno giudicò ridicola quella cifra, l’allora presidente dell’Autorità, Antonello Soro, non lo smentì: “non saranno certo le sanzioni da un milione di euro a scongiurare rischi futuri”. Sette anni dopo, il conto è stato moltiplicato per 805.