Alessandro FerrariIl Garante per la protezione dei dati personali ha sanzionato Meta Platforms Ireland Limited per 805 milioni di euro, con un provvedimento reso noto il 14 novembre 2026. Al centro del caso c'è l'app Facebook per Android, che secondo l'Autorità accedeva a foto, video e relativi metadati presenti nel telefono degli utenti italiani senza un consenso specifico e senza un'informativa adeguata.
Per chi usa Facebook da smartphone la domanda immediata è una sola: le mie immagini sono state toccate? Qui sotto le risposte sono ordinate come le porrebbe un utente, sulla base di quanto afferma il Garante nel proprio comunicato.
Che cosa contesta il Garante a Facebook per Android
Il procedimento riguarda una funzione disponibile dal 2023, che propone foto e video della galleria mentre si naviga su Facebook. Per suggerire quelle immagini l'app deve leggere i contenuti memorizzati sul dispositivo. Secondo il Garante, questo accesso avveniva senza una richiesta di consenso mirata.
L'istruttoria è partita nel luglio 2025, dopo la segnalazione di un centro consumatori di Bolzano. L'Autorità ha rilevato una richiesta di autorizzazione unica, preceduta da un messaggio generico, e una funzione attiva per impostazione predefinita. Chi non cambiava nulla si ritrovava quindi con l'accesso già aperto.
Il tema è lo stesso su cui il Garante si era mosso in passato anche contro altri operatori. Chi ha letto il nostro approfondimento su TIM multata dal Garante Privacy ritroverà il criterio di fondo: il trattamento dei dati richiede basi chiare e verificabili, non formule generiche. Un discorso analogo vale per gli assistenti integrati nei telefoni, che abbiamo trattato parlando di Apple Intelligence e privacy.
Perché il Garante si è occupato del caso e non l'autorità irlandese
Meta ha sostenuto che la competenza spettasse all'autorità irlandese, perché la società europea ha sede in Irlanda. Il Garante ha respinto l'obiezione. La norma applicata è l'articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy: richiede il consenso per qualsiasi accesso ai contenuti di uno smartphone.
La differenza pesa. Il GDPR regola il trattamento dei dati personali in generale, mentre l'articolo 122 tutela il terminale dell'utente, cioè il dispositivo in sé. Su questa seconda base il Garante ha ritenuto di poter intervenire direttamente.
Quanto vale la sanzione e come è stata calcolata
L'importo di 805 milioni di euro corrisponde a circa lo 0,47% del fatturato mondiale del gruppo. Il Garante ha tenuto conto di quattro elementi: circa 20 milioni di utenti Android italiani coinvolti, la durata della violazione, che risulta ancora in corso, un precedente provvedimento del 2019 nei confronti della società e una cooperazione giudicata limitata.
Le modifiche introdotte da Meta dopo la segnalazione sono state considerate un'attenuante, ma tardiva. La sanzione resta impugnabile davanti all'autorità giudiziaria, e finora il comunicato non riporta una posizione definitiva della società su questo punto.
Cosa deve fare Meta e con quali scadenze
Il provvedimento impone obblighi a termine. Entro 30 giorni Meta deve comunicare le iniziative adottate. Entro 60 giorni deve chiedere un consenso separato e specifico, spiegare la funzione in modo chiaro e tenerla disattivata per impostazione predefinita. Senza un consenso valido la funzione non può essere attivata. Entro 90 giorni deve riferire sulle misure messe in atto.
Il Garante precisa anche ciò che il caso non decide. Non è oggetto della sanzione l'ipotesi, che Meta smentisce, di un uso dei contenuti della galleria per addestrare sistemi di intelligenza artificiale. Una funzione di elaborazione in cloud prevista per il 2026 sarà valutata separatamente.
Un caso concreto: la galleria di Marco
Prendiamo un utente ipotetico, Marco, che usa Facebook su Android dal 2023. Nel suo telefono ci sono 3.000 foto, tra cui 40 scansioni di documenti: carta d'identità, tessera sanitaria, due certificati medici. Quando ha accettato un'unica autorizzazione, ha dato all'app la possibilità di leggere l'intera galleria, non solo le immagini da pubblicare.
Se la funzione di suggerimento era attiva, allora l'app poteva leggere anche quelle 40 scansioni per proporre contenuti. Il Garante non afferma che questo sia accaduto a ogni utente. Dice però che l'accesso era possibile senza un consenso specifico, e che sta qui la violazione.
Cosa può fare Marco adesso, in ordine. Primo: controllare nelle impostazioni di Android quali permessi ha l'app Facebook per foto e video, e limitarli alle sole immagini selezionate. Secondo: verificare nelle impostazioni dell'app se esiste l'opzione di suggerimento dalla galleria e disattivarla. Terzo: se nei prossimi 60 giorni compare una nuova richiesta di consenso, leggere il testo e rifiutare se non è chiaro. Se invece Marco ritiene di aver subito un danno, può rivolgersi a un avvocato per valutare un reclamo al Garante o un'azione risarcitoria, con un termine che dipende dalla singola situazione.
Lo stesso ragionamento vale per chi gestisce una pagina aziendale. Un professionista che salva sul telefono 200 fotografie di clienti o di cantieri e usa Facebook dallo stesso dispositivo ha un'esposizione più alta di un utente comune, perché quelle immagini possono contenere dati di terzi.
Cosa può controllare subito un utente Android
Le verifiche richiedono pochi minuti e non dipendono dall'esito del procedimento.
- Aprire le impostazioni del telefono, sezione app, scegliere Facebook e controllare i permessi per foto e video.
- Passare dall'accesso completo all'accesso alle sole foto selezionate, se il sistema lo consente.
- Nell'app, cercare le impostazioni legate a suggerimenti e contenuti del rullino, e lasciarle spente.
- Rivedere le altre app di Meta installate sullo stesso dispositivo con la stessa logica.
Nessuna di queste operazioni cancella i dati già raccolti. Per ottenere informazioni su ciò che Meta conserva, l'utente può esercitare i diritti previsti dal GDPR, come l'accesso e la cancellazione, scrivendo al titolare del trattamento.
Quali diritti ha chi si sente coinvolto
Il GDPR riconosce a ogni persona il diritto di sapere se i propri dati sono trattati, di ottenerne copia e di chiedere la cancellazione quando manca una base valida. La richiesta si invia al titolare del trattamento, che in questo caso è la società indicata nel provvedimento. Conviene conservare una copia della richiesta e la data di invio, perché i tempi di risposta decorrono da lì.
Se la risposta manca o non convince, resta aperta la strada del reclamo al Garante. Il comunicato del 14 novembre 2026 non stabilisce risarcimenti automatici per gli utenti: la sanzione amministrativa va allo Stato, mentre un eventuale danno individuale va dimostrato caso per caso. Per questo molti scelgono di farsi assistere prima di agire.
Perché serve un consulente informatico
Per un privato la configurazione dei permessi è alla portata di tutti. Per un'azienda o uno studio professionale il quadro cambia. Se i dipendenti usano app di social network su telefoni che contengono documenti di lavoro, il rischio è che dati di clienti vengano letti da applicazioni non autorizzate. Un esperto di informatica può verificare quali app abbiano accesso ai file, impostare criteri di gestione dei dispositivi e separare lo spazio personale da quello aziendale.
Un avvocato esperto di privacy, invece, aiuta a capire se l'esposizione dei dati abbia i caratteri di una violazione da notificare, e a quali condizioni. Il Garante ha qui indicato un criterio chiaro: il consenso deve essere specifico, informato e mai presunto.
Questo articolo ha finalità informative e non sostituisce una consulenza legale. Gli effetti del provvedimento sui singoli utenti dipendono dagli sviluppi del procedimento e da eventuali impugnazioni.
Il testo ufficiale del provvedimento è pubblicato nel comunicato del Garante per la protezione dei dati personali, datato 14 novembre 2026. Il prossimo passaggio concreto è la scadenza dei 30 giorni, entro cui Meta dovrà comunicare le iniziative adottate.
