Il Garante per la protezione dei dati personali ha inflitto a Meta Platforms Ireland Limited una sanzione di 805 milioni di euro per aver consentito all’applicazione Facebook di accedere alle fotografie, ai video e ai relativi metadati conservati sugli smartphone Android di circa 20 milioni di utenti italiani, senza un consenso specifico e un’adeguata informazione.

Fatti e procedura

L’istruttoria, avviata nel luglio 2025 a seguito di una segnalazione del Centro Tutela Consumatori Utenti di Bolzano, ha riguardato la funzione “Ottieni suggerimenti dalla galleria quando navighi su Facebook”, disponibile dal 2023. Tale funzione, apparentemente innocua, propone all’utente immagini e video già presenti nella memoria dello smartphone, suggerendone la pubblicazione.

Il Garante ha rilevato che l’autorizzazione richiesta una sola volta per l’intera applicazione poteva essere sfruttata per funzionalità diverse da quella inizialmente indicata, con un’indicazione generica di “ulteriori” funzioni e senza che l’utente potesse verificare quali informazioni fossero effettivamente utilizzate.

Il permesso concesso per una singola operazione, come la scelta di una foto da pubblicare, consentiva così accessi più estesi e continui all’archivio, senza un consenso specifico per la nuova funzionalità.

Obblighi imposti a Meta

    • Modificare la funzione entro 60 giorni, mantenendola disattivata per impostazione predefinita, anche per gli utenti già autorizzati.
    • Attivazione solo su richiesta distinta, accompagnata da informazioni comprensibili sulla finalità, le modalità di accesso e la possibilità di disattivarla.
    • Fornire al Garante relazioni entro 30 giorni sulle iniziative intraprese e entro 90 giorni sulle misure adottate.

L’Autorità ha ritenuto le modifiche introdotte da Meta dopo la segnalazione insufficienti, poiché tardive e incapaci di risolvere la posizione degli utenti che non avevano aggiornato l’app o che avevano già concesso il permesso.

Base giuridica della decisione

Il provvedimento del 14 novembre 2026 si fonda sull’articolo 122 del decreto legislativo 196/2003, che recepisce l’articolo 5, paragrafo 3, della direttiva 2002/58/CE (modificata dalla direttiva 2009/136/CE), nota come ePrivacy. Questa norma disciplina l’archiviazione e l’accesso a informazioni già presenti nel terminale dell’utente, indipendentemente dalla loro trasmissione a server remoti.

Il bene giuridico protetto è la riservatezza dell’apparecchiatura terminale, intesa come spazio sottratto alle interferenze non autorizzate di terzi. Gli smartphone custodiscono immagini familiari, documenti, dati sanitari, fotografie di minori, dati di localizzazione e contenuti riferibili a terze persone, ben oltre le informazioni volontariamente condivise con la piattaforma.

Il consenso richiesto dall’articolo 122 deve rispettare le condizioni stabilite dal GDPR: deve essere libero, specifico, informato e inequivocabile. Il rapporto tra le due discipline non è di esclusione reciproca, ma di integrazione: il GDPR fornisce i parametri per valutare la validità del consenso, mentre la direttiva ePrivacy stabilisce una disciplina speciale per l’accesso alle informazioni presenti nel terminale.

Competenza delle autorità nazionali

Il meccanismo dello “one‑stop‑shop” previsto dagli articoli 56 e 60 del GDPR attribuisce all’autorità dello Stato membro in cui il titolare ha lo stabilimento principale (in questo caso la Data Protection Commission irlandese) la competenza centrale per i trattamenti transfrontalieri.

Tuttavia, la direttiva ePrivacy non prevede un analogo meccanismo di competenza, lasciando agli ordinamenti nazionali la scelta delle autorità incaricate della sua applicazione. Per questo il Garante ha respinto l’eccezione di incompetenza sollevata da Meta, sostenendo che la violazione riguarda l’accesso alle informazioni conservate nei dispositivi, disciplinato dall’articolo 122, e non rientra nello sportello unico del GDPR.

Questa distinzione implica che una piattaforma può essere soggetta a procedimenti nazionali autonomi per violazioni ePrivacy, anche se il proprio stabilimento principale si trova in un altro Stato membro.

Precedenti e implicazioni internazionali

La Commission nationale de l’informatique et des libertés (CNIL) francese ha già utilizzato la disciplina ePrivacy per intervenire direttamente sulle pratiche delle grandi piattaforme, senza riconoscere all’autorità irlandese una competenza esclusiva.

Il caso più significativo risale al 2020, quando la CNIL sanzionò Google LLC e Google Ireland Limited per un totale di 100 milioni di euro in relazione all’utilizzo dei cookie. Google contestò la competenza dell’autorità francese, sostenendo che avrebbe dovuto operare il meccanismo dello sportello unico del GDPR. Con la decisione del 28 gennaio 2022, il Conseil d’État francese respinse tale impostazione, confermando la validità della competenza nazionale sulla base della ePrivacy.

Il provvedimento italiano su Meta segue la stessa logica e potrebbe aprire la strada a ulteriori azioni nazionali contro le Big Tech, soprattutto per pratiche che coinvolgono l’accesso a dati sensibili conservati sui dispositivi degli utenti.

Possibili scenari futuri

    • Altre autorità nazionali europee potrebbero avviare procedimenti analoghi, sfruttando la disciplina ePrivacy per aggirare il meccanismo dello sportello unico.
    • Le piattaforme dovranno rivedere le proprie pratiche di raccolta dati, distinguendo chiaramente tra consenso per funzionalità specifiche e accessi più ampi ai dispositivi.
    • Potrebbe emergere una necessità di armonizzare la disciplina ePrivacy a livello europeo, per evitare frammentazioni e conflitti di competenza.

In conclusione, la multa da 805 milioni di euro inflitta a Meta non è solo una punizione economica, ma un segnale forte sulla necessità di rispettare la privacy dei dispositivi mobili e sulla capacità delle autorità nazionali di intervenire direttamente, anche quando la società contestata ha la sede principale in un altro Stato membro.