Meta, multa record da 805 milioni di euro: Facebook accedeva alle foto private degli italiani senza un consenso specifico. Coinvolti circa 20 milioni di utenti

Una delle sanzioni più pesanti mai inflitte in Italia a un gigante della tecnologia riaccende il dibattito sulla protezione dei dati personali e sui poteri delle grandi piattaforme digitali. Il Garante per la protezione dei dati personali ha sanzionato Meta Platforms Ireland Limited, società del gruppo fondato da Mark Zuckerberg e proprietaria di Facebook, Instagram e WhatsApp, per 805 milioni di euro, contestando l’accesso a fotografie, video e relativi metadati conservati negli smartphone Android degli utenti italiani senza un consenso specifico e un’informativa adeguata. Il provvedimento, reso pubblico il 14 novembre 2026, riguarda una funzionalità dell’app Facebook introdotta nel 2023 e denominata “Ottieni suggerimenti dalla galleria quando navighi su Facebook”. Apparentemente si tratta di uno strumento pensato per semplificare la vita degli utenti: durante la navigazione sul social network, l’applicazione propone fotografie e filmati presenti nella memoria del telefono come possibili contenuti da pubblicare. Dietro questa funzione, tuttavia, il Garante ha individuato un problema molto più serio. L’autorizzazione richiesta agli utenti per accedere alla galleria fotografica non distingueva adeguatamente le diverse finalità di utilizzo e poteva consentire all’applicazione di leggere l’intero archivio fotografico del dispositivo. Secondo l’Autorità, l’utente non riceveva informazioni sufficientemente chiare per comprendere che, concedendo un permesso generale, avrebbe autorizzato anche l’utilizzo delle immagini per i suggerimenti automatici. La funzione, inoltre, risultava preimpostata come attiva. Una situazione particolarmente delicata perché gli smartphone contengono ormai una parte significativa della vita privata delle persone: fotografie familiari, documenti personali, immagini dei figli, informazioni relative alla salute, luoghi frequentati e contenuti che gli utenti non hanno mai deciso di pubblicare sui social network. Il punto centrale della contestazione non è che Facebook abbia necessariamente diffuso pubblicamente queste immagini, ma che l’accesso ai contenuti conservati nel dispositivo sarebbe avvenuto senza rispettare le condizioni richieste dalla normativa sulla privacy. È una distinzione fondamentale: la sanzione non dimostra che Meta abbia pubblicato o venduto le fotografie private degli utenti, ma riguarda la legittimità dell’accesso alle informazioni custodite negli smartphone e la mancanza di un consenso sufficientemente specifico.

L’indagine era stata avviata nel luglio 2025 dopo una segnalazione del Centro Tutela Consumatori Utenti di Bolzano, che aveva richiamato l’attenzione sulle modalità di funzionamento della piattaforma. Gli accertamenti tecnici successivamente svolti dal Garante hanno evidenziato che l’app Facebook utilizzava un’unica autorizzazione per accedere alla galleria fotografica, valida per diverse funzioni dell’applicazione. Prima della richiesta di autorizzazione compariva un messaggio generico che invitava ad abilitare ulteriori funzionalità, senza spiegare in maniera sufficientemente precisa le conseguenze dell’accesso. Secondo l’Autorità, un permesso di questo tipo, una volta concesso integralmente, può permettere all’applicazione di consultare l’archivio fotografico del telefono in modo continuativo, senza che l’utente possa verificare esattamente quali informazioni vengano utilizzate. Il Garante ha richiamato l’articolo 122 del Codice italiano in materia di protezione dei dati personali, che recepisce la normativa europea ePrivacy e tutela le informazioni conservate nei dispositivi elettronici. Il principio affermato è particolarmente importante: il telefono non è semplicemente uno strumento tecnologico, ma un’estensione della sfera privata della persona, e l’accesso alle informazioni contenute al suo interno richiede un consenso libero e informato, salvo le eccezioni previste dalla legge. Questa tutela opera indipendentemente dalla dimostrazione di un danno concreto e non dipende necessariamente dal fatto che i dati vengano trasmessi a server esterni. In altre parole, il problema giuridico può esistere già nel momento in cui un’applicazione ottiene accesso a informazioni protette senza un’autorizzazione valida. Meta aveva contestato anche la competenza dell’Autorità italiana, sostenendo che la questione dovesse essere affrontata dall’autorità irlandese, considerando che la società europea ha sede in Irlanda. Il Garante ha respinto questa impostazione, precisando che la disciplina ePrivacy applicabile alla vicenda non prevede il meccanismo dello sportello unico utilizzato in altri ambiti della normativa europea sulla protezione dei dati. La decisione rappresenta quindi anche un passaggio importante nel rapporto tra autorità nazionali e grandi società tecnologiche internazionali, perché riafferma la possibilità di intervento del regolatore italiano nei casi rientranti nella propria competenza.

La dimensione economica della sanzione riflette la gravità attribuita dall’Autorità alla condotta contestata. Gli utenti Android potenzialmente coinvolti in Italia sono circa 20 milioni, una platea enorme che rende il caso particolarmente significativo. Nel determinare l’importo di 805 milioni di euro, pari a circa lo 0,47% del fatturato mondiale del gruppo, il Garante ha considerato diversi elementi: il numero elevato delle persone interessate, la durata della violazione, un precedente provvedimento adottato nei confronti della società nel 2019 e quella che l’Autorità ha definito una scarsa collaborazione durante l’istruttoria. Sono state valutate anche alcune modifiche introdotte da Meta dopo l’avvio delle verifiche, considerate però tardive e insufficienti perché limitate agli utenti che avevano aggiornato l’applicazione. Il provvedimento non si limita alla multa, ma impone alla società precisi obblighi correttivi. Entro 60 giorni Meta dovrà modificare la funzione contestata, prevedendo una richiesta di consenso separata e specifica che spieghi chiaramente agli utenti lo scopo dell’accesso alla galleria, le informazioni coinvolte e le modalità per disattivare il servizio. La funzione dovrà inoltre rimanere disattivata per impostazione predefinita, anche per gli utenti che in passato avevano già concesso l’autorizzazione generale. Trascorso il termine, lo strumento non potrà essere attivato nei confronti di chi non abbia espresso un consenso valido. Meta dovrà comunicare al Garante entro 30 giorni le iniziative intraprese e presentare entro 90 giorni un resoconto delle misure adottate. La società ha reagito annunciando l’intenzione di presentare ricorso. Un portavoce ha dichiarato che Meta non condivide la ricostruzione dei fatti né l’applicazione della normativa effettuata dall’Autorità, giudicando inoltre sproporzionato l’importo della sanzione. Secondo l’azienda, la funzionalità serve esclusivamente ad aiutare gli utenti a condividere i propri contenuti, può essere utilizzata soltanto dopo aver ottenuto l’autorizzazione del dispositivo e può essere modificata attraverso le impostazioni. La controversia, quindi, non è conclusa: il provvedimento del Garante è stato adottato, ma Meta intende contestarlo nelle sedi competenti. Saranno gli eventuali sviluppi giudiziari a chiarire se e in quale misura la decisione verrà confermata.

La vicenda assume un significato ancora più ampio se collegata al crescente utilizzo dell’intelligenza artificiale e alla quantità di informazioni personali presenti negli smartphone. Negli ultimi anni le piattaforme digitali hanno introdotto funzioni sempre più avanzate per suggerire contenuti, organizzare fotografie, riconoscere immagini e semplificare la pubblicazione di post. Questi strumenti possono offrire servizi utili, ma richiedono spesso autorizzazioni che consentono di accedere a informazioni molto più estese di quelle strettamente necessarie per una singola operazione. La questione diventa particolarmente delicata quando l’utente non è in grado di comprendere quali contenuti vengano effettivamente esaminati, per quanto tempo e con quali finalità. Nel caso Meta, tuttavia, è necessario evitare un equivoco che potrebbe alimentare allarmismi ingiustificati. Il procedimento concluso dal Garante non ha accertato che le fotografie degli utenti siano state utilizzate per addestrare sistemi di intelligenza artificiale. Meta nega tale utilizzo e l’Autorità ha precisato che questo aspetto non rientrava nell’istruttoria. Il Garante si è invece riservato di effettuare verifiche distinte su una nuova funzionalità introdotta nel 2026, che permette l’elaborazione nel cloud dei contenuti presenti nella galleria fotografica. Si tratta di una questione separata, sulla quale non è corretto anticipare conclusioni. Il problema generale resta comunque evidente: quando un’applicazione ottiene l’accesso a fotografie, video e metadati, l’utente deve poter comprendere in maniera semplice e inequivocabile quale utilizzo ne verrà fatto. Non basta nascondere le informazioni in documenti lunghi e complessi o affidarsi a un’autorizzazione generica concessa in un momento precedente. Il consenso deve essere realmente consapevole e collegato alla funzione per la quale viene richiesto. Questo principio riguarda non soltanto Facebook, ma l’intero ecosistema digitale, dalle applicazioni social ai servizi di archiviazione, dai programmi di elaborazione fotografica agli strumenti basati sull’intelligenza artificiale. Per i cittadini diventa sempre più importante controllare i permessi concessi alle applicazioni, distinguendo l’accesso necessario per caricare volontariamente una fotografia da quello che consente a un servizio di consultare più ampiamente i contenuti del dispositivo. Allo stesso tempo, non si può scaricare tutta la responsabilità sugli utenti: sono le aziende tecnologiche a dover progettare sistemi che rispettino la privacy fin dall’impostazione iniziale.

La multa da 805 milioni di euro apre dunque un nuovo capitolo nel confronto tra istituzioni europee e grandi piattaforme tecnologiche. Il caso dimostra quanto sia diventato sottile il confine tra servizi digitali apparentemente innocui e trattamenti di informazioni personali che richiedono garanzie particolarmente rigorose. Per anni gli utenti hanno accettato autorizzazioni generiche pur di utilizzare rapidamente applicazioni e social network, spesso senza conoscere la reale estensione dei permessi concessi. Oggi le autorità di controllo stanno ponendo crescente attenzione alle modalità con cui questi consensi vengono richiesti e utilizzati. La decisione italiana potrebbe rappresentare un precedente importante per la progettazione delle funzionalità che accedono ai contenuti privati degli smartphone, anche se i suoi effetti giuridici concreti dipenderanno dall’evoluzione della controversia. Il tema interessa direttamente anche il mondo dell’editoria e dell’informazione digitale, perché le stesse piattaforme che distribuiscono notizie e raccolgono pubblicità operano attraverso sistemi basati sull’analisi di enormi quantità di dati. La fiducia dei cittadini nei servizi online dipende anche dalla certezza che informazioni personali e contenuti privati non vengano utilizzati oltre i limiti delle autorizzazioni concesse. La questione centrale, alla fine, non riguarda soltanto Meta e una multa da 805 milioni di euro. Riguarda il diritto di milioni di persone a sapere chi può entrare nella memoria del proprio telefono, quali informazioni può consultare e per quale motivo. Perché autorizzare Facebook a pubblicare una fotografia non dovrebbe mai significare concedergli, senza una scelta consapevole, la possibilità di accedere all’intero archivio della propria vita privata.