Il Garante per la protezione dei dati personali ha inflitto a Meta Platforms Ireland Limited una sanzione di 805 milioni di euro per avere consentito all’applicazione Facebook di accedere alle fotografie, ai video e ai relativi metadati conservati sugli smartphone Android di circa 20 milioni di utenti italiani, senza un consenso specifico e un’adeguata informazione. Si tratta di una delle sanzioni più elevate mai adottate dall’Autorità italiana, ma l’aspetto giuridicamente più significativo risiede nella scelta del Garante di fondare sull’articolo 122 del Codice privacy, attuativo della direttiva ePrivacy, respingendo l’eccezione sollevata da Meta secondo cui il procedimento avrebbe dovuto essere condotto dall’autorità irlandese, in applicazione del meccanismo dello sportello unico previsto dal GDPR.
La decisione del 14 novembre 2026 – di cui è al momento disponibile soltanto il comunicato stampa e non ancora il testo integrale del provvedimento – interviene dunque su due piani distinti (destinati verosimilmente a intrecciarsi nell’eventuale contenzioso): da un lato, la legittimità dell’accesso ai contenuti conservati nei dispositivi personali; dall’altro, la possibilità per un’autorità nazionale di sanzionare autonomamente una grande piattaforma stabilita in un altro Stato membro, quando la condotta contestata ricade nella disciplina ePrivacy anziché, o prima ancora, in quella generale sulla protezione dei dati personali.
Indice degli argomenti
La funzione Facebook sotto accusa: foto Android e consenso
L’istruttoria, avviata nel luglio 2025 a seguito di una segnalazione del Centro Tutela Consumatori Utenti di Bolzano e accompagnata da verifiche tecniche dell’Autorità, ha riguardato la funzione «Ottieni suggerimenti dalla galleria quando navighi su Facebook», disponibile dal 2023. Il suo funzionamento, apparentemente innocuo, fa sì che mentre l’utente utilizza Facebook, l’app gli proponga immagini e video già presenti nella memoria dello smartphone, suggerendone la pubblicazione.
Il problema individuato dal Garante risiede nelle modalità attraverso le quali Meta acquisiva la possibilità di accedere a quei contenuti. L’autorizzazione, richiesta una sola volta per l’intera applicazione, poteva essere utilizzata per funzionalità differenti, anche non riconducibili alla finalità che aveva indotto l’utente a concederla. A precederla un’indicazione generica, riferita alla possibilità di abilitare “ulteriori” funzioni, mentre il servizio di suggerimento risultava già attivo nelle impostazioni dell’app.
Il permesso concesso per un’operazione consapevole, come la scelta di una fotografia da pubblicare, consentiva così accessi tecnicamente più estesi e continuativi all’archivio, senza un consenso specifico per la diversa funzionalità e senza che fosse possibile verificare puntualmente quali informazioni fossero effettivamente utilizzate.
Il provvedimento impone alla società di modificare la funzione entro 60 giorni, mantenendola disattivata per impostazione predefinita, anche nei confronti degli utenti che avevano già autorizzato l’accesso alla galleria. La sua attivazione dovrà essere subordinata a una richiesta distinta, accompagnata da informazioni comprensibili sulla finalità del servizio, sulle modalità di accesso e sulla possibilità di disattivarlo. Meta dovrà inoltre riferire al Garante entro 30 giorni sulle iniziative intraprese ed entro 90 giorni sulle misure adottate.
L’Autorità ha considerato di fatto insufficienti le modifiche introdotte dalla società dopo la segnalazione, giudicandole tardive e incapaci di risolvere la posizione degli utenti che non avevano aggiornato l’applicazione o che avevano già concesso il permesso.
Multa a Meta da 805 milioni: il ruolo dell’articolo 122 ePrivacy
Il profilo giuridicamente più significativo riguarda la scelta della norma applicata. L’articolo 122 del decreto legislativo 196/2003 recepisce nell’ordinamento italiano l’articolo 5, paragrafo 3, della direttiva 2002/58/CE, come modificata dalla direttiva 2009/136/CE (Direttiva ePrivacy), che disciplina l’archiviazione di informazioni e l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente.
La disposizione è conosciuta soprattutto per la regolazione dei cookie e degli altri strumenti di tracciamento, ma il suo ambito applicativo comprende anche gli accessi effettuati dalle applicazioni alle informazioni conservate nei dispositivi degli utenti.
La tutela opera indipendentemente dalla natura personale delle informazioni e non presuppone necessariamente la loro trasmissione a un server remoto; il bene giuridico protetto è anche la riservatezza dell’apparecchiatura terminale, intesa come spazio sottratto alle interferenze non autorizzate di terzi.
Questa impostazione assume particolare rilievo per gli smartphone, che custodiscono una quantità di informazioni ben più ampia di quelle intenzionalmente condivise con una piattaforma. Nelle gallerie fotografiche possono trovarsi immagini familiari, documenti, informazioni sanitarie, fotografie di minori, dati di localizzazione e contenuti riferibili a persone che non hanno alcun rapporto con il servizio utilizzato dal proprietario del dispositivo.
Il consenso richiesto dall’articolo 122 (salvo le eccezioni previste per gli accessi strettamente necessari) deve rispettare le condizioni stabilite dal GDPR. Il rapporto fra le due discipline non è dunque di reciproca esclusione: il regolamento fornisce anche i parametri per valutare la validità del consenso, mentre la direttiva ePrivacy detta una disciplina speciale per l’accesso alle informazioni presenti nel terminale.
E questa “specialità” produce conseguenze rilevanti sul piano della competenza.
Perché il Garante italiano può intervenire senza passare dall’Irlanda
Il meccanismo dello one-stop-shop, previsto dagli articoli 56 e 60 del GDPR, attribuisce all’autorità dello Stato membro in cui il titolare ha lo stabilimento principale un ruolo centrale nella gestione dei trattamenti transfrontalieri. Nel caso di Meta, tale autorità è la Data Protection Commission irlandese, presso la quale si concentra una parte significativa dei procedimenti europei riguardanti le grandi piattaforme.
La direttiva ePrivacy, tuttavia, non prevede un analogo meccanismo di competenza, lasciando agli ordinamenti nazionali il compito di individuare le autorità incaricate della sua applicazione. Su questa base il Garante ha respinto l’eccezione di incompetenza sollevata da Meta: la violazione contestata riguarda l’accesso alle informazioni conservate nei dispositivi, disciplinato dall’articolo 122 del Codice privacy, e non è quindi soggetta allo sportello unico del GDPR.
Non si tratta di una deroga discrezionale al regolamento, ma dell’applicazione di una disciplina speciale che segue regole di competenza differenti. La conseguenza è rilevante: una piattaforma può essere sottoposta a procedimenti nazionali autonomi per violazioni ePrivacy, indipendentemente dalla localizzazione del proprio stabilimento principale nell’Unione. La qualificazione giuridica della condotta diventa così determinante anche per individuare l’autorità competente, un profilo destinato verosimilmente ad assumere rilievo.
Il precedente francese: la CNIL contro Google e Facebook
La Commission nationale de l’informatique et des libertés (CNIL) francese ha da tempo utilizzato la disciplina ePrivacy per intervenire direttamente sulle pratiche delle grandi piattaforme, senza riconoscere all’autorità irlandese una competenza esclusiva.
Il precedente più significativo risale al 2020, quando la CNIL sanzionò Google LLC e Google Ireland Limited per complessivi 100 milioni di euro in relazione all’utilizzo dei cookie. Google contestò, fra l’altro, la competenza dell’autorità francese, sostenendo che avrebbe dovuto operare il meccanismo dello sportello unico del GDPR.
Con la decisione del 28 gennaio 2022, il Conseil d’État ha respinto tale impostazione, confermando che le violazioni della disciplina nazionale sui cookie, attuativa della direttiva ePrivacy, non sono soggette al sistema dello sportello unico previsto dal regolamento. Il giudice amministrativo francese ha così ritenuto la distinzione sufficientemente chiara da non richiedere un rinvio pregiudiziale alla Corte di giustizia dell’Unione europea.
Alla fine del 2021, la CNIL aveva inoltre inflitto nuove sanzioni, pari a 150 milioni di euro a Google e 60 milioni a Facebook, per le modalità con le quali gli utenti erano indotti ad accettare i cookie e per la maggiore difficoltà di rifiutarli. Anche in quei procedimenti la disciplina speciale sui terminali ha consentito un intervento nazionale autonomo.
Nel settembre 2025, la CNIL ha sanzionato Google per ulteriori 325 milioni di euro, contestando anche l’installazione di cookie senza un consenso valido durante la creazione degli account e alcune pratiche pubblicitarie su Gmail.
Il Garante va oltre i cookie
Mentre i precedenti francesi riguardavano prevalentemente cookie e strumenti di tracciamento, il Garante applica la medesima logica all’accesso agli archivi fotografici attraverso un’applicazione mobile, valorizzando una tutela che la direttiva ePrivacy non limita ai cookie. L’accesso al terminale assume così autonoma rilevanza giuridica, anche nell’ambito di funzionalità ordinarie e non necessariamente finalizzate alla profilazione pubblicitaria.
Per le Big Tech, le implicazioni sono considerevoli: le autorità nazionali possono intervenire autonomamente, senza dipendere dall’autorità capofila del GDPR, anche su funzionalità distribuite uniformemente in più mercati europei. Ciò impone alle piattaforme di verificare sia la conformità generale dei trattamenti che la legittimità dei singoli meccanismi di accesso ai dispositivi.
Non ogni trattamento può tuttavia essere ricondotto all’ePrivacy per sottrarlo allo sportello unico: la qualificazione dipende dalla condotta concretamente contestata e possono sorgere esigenze di coordinamento tra le due discipline, anche per evitare duplicazioni sanzionatorie in contrasto con il principio ne bis in idem, ove ne ricorrano i presupposti.
Resta il dato di fondo: la disciplina ePrivacy si conferma strumento capace di ridimensionare, nei propri ambiti di applicazione, la centralità dell’autorità capofila e di ampliare gli spazi di intervento nazionale nei confronti delle grandi piattaforme.
Perché soltanto Android e cosa cambia nell’ecosistema Apple
Il provvedimento riguarda esclusivamente gli utenti Android, circostanza che merita attenzione perché non implica che le fotografie conservate sugli iPhone siano sottratte alla tutela dell’articolo 122, né consente di concludere che Meta abbia adottato comportamenti necessariamente conformi nell’ambiente Apple.
La delimitazione coincide con l’oggetto degli accertamenti tecnici e con la specifica configurazione della funzionalità esaminata. Il comunicato del Garante non contiene elementi sufficienti per affermare che la stessa funzione sia assente su iOS, che sia stata implementata in modo diverso o che sia stata oggetto di verifiche conclusesi senza rilievi. Una simile conclusione richiederebbe un esame delle versioni dell’applicazione e, soprattutto, del provvedimento integrale.
Esistono tuttavia differenze tecniche importanti tra i due ecosistemi.
A partire da iOS 14, Apple consente agli utenti di limitare l’accesso delle applicazioni a fotografie selezionate, senza autorizzare la consultazione dell’intera libreria. Anche Android ha introdotto strumenti analoghi, come il Photo Picker e permessi più granulari: la differenza risiede dunque soprattutto nelle modalità con cui le applicazioni utilizzano le autorizzazioni disponibili.
Nel caso esaminato dal Garante, un permesso generale veniva utilizzato anche per una funzionalità ulteriore, attiva per impostazione predefinita. L’autorizzazione concessa attraverso il sistema operativo non equivale tuttavia a un consenso valido ai sensi dell’articolo 122, principio applicabile anche a iOS.
Multa a Meta da 805 milioni: destinazione e riscossione
L’importo della sanzione, pari secondo il Garante a circa lo 0,47% del fatturato mondiale del gruppo Meta, è stato determinato considerando la platea degli utenti interessati, la durata della violazione, il precedente sanzionatorio del 2019 e la collaborazione giudicata insufficiente durante l’istruttoria.
Il richiamo al fatturato mondiale non deve indurre a confondere la base economica utilizzata per valutare la proporzionalità della sanzione con l’estensione territoriale dell’illecito accertato, che riguarda gli utenti italiani.
Resta poi una questione meno appariscente, ma di indubbio interesse pubblico: la destinazione delle somme eventualmente riscosse.
Le sanzioni irrogate dal Garante non costituiscono risarcimenti in favore delle persone interessate e non vengono distribuite ai circa 20 milioni di utenti Android coinvolti. I relativi proventi affluiscono al bilancio dello Stato.
Il Codice privacy prevede inoltre, all’articolo 166, comma 7, un meccanismo di riassegnazione del 50% del totale annuo dei proventi sanzionatori al fondo previsto dall’articolo 156, comma 8, destinato a specifiche attività del Garante, fra cui sensibilizzazione, ispezioni e attuazione della disciplina europea sulla protezione dei dati. Si tratta di una previsione che opera sull’aggregato annuale delle entrate, non di un trasferimento automatico e immediato della metà di ogni singola sanzione.
Non sarebbe tuttavia corretto affermare che tale somma sia già destinata al Garante, tanto meno che sia nella sua disponibilità. Occorrerà considerare l’effettiva riscossione, gli eventuali sviluppi giudiziari e le procedure contabili applicabili.
Il meccanismo pone comunque un tema istituzionale che meriterebbe maggiore attenzione. Le sanzioni amministrative hanno una funzione repressiva e dissuasiva, non di finanziamento ordinario dell’autorità che le irroga; al tempo stesso, la legge contempla espressamente la possibilità di destinare una parte dei proventi al rafforzamento delle attività di controllo.
Quando gli importi raggiungono dimensioni di questo genere, la trasparenza sulla loro destinazione effettiva diventa essenziale anche per preservare la percezione di indipendenza dell’azione amministrativa.
La probabile risposta di Meta: competenza, consenso e proporzionalità
Meta ha già contestato la competenza del Garante italiano, rivendicando quella dell’autorità irlandese. Un’eventuale impugnazione potrebbe quindi concentrarsi su questo profilo, oltre che sulla qualificazione della condotta e sulla validità del consenso acquisito attraverso le autorizzazioni del sistema operativo. La società dovrebbe tuttavia confrontarsi con i precedenti francesi sull’autonomia della disciplina ePrivacy e con la distinzione, centrale nell’articolo 122, fra permesso tecnico e consenso specifico.
Particolarmente delicata sarà la questione della proporzionalità della sanzione. Meta potrebbe contestare il peso attribuito alla durata della violazione, al numero degli utenti coinvolti e alla scarsa collaborazione rilevata dal Garante. La tenuta degli 805 milioni dipenderà anche dalla solidità della motivazione e dai criteri di quantificazione adottati, non ancora compiutamente valutabili sulla base del solo comunicato.
Un eventuale ricorso non sospenderebbe automaticamente gli obblighi imposti dall’Autorità e Meta potrebbe quindi scegliere di adeguare la funzionalità, mantenendola disattivata per impostazione predefinita e introducendo un consenso specifico, pur proseguendo il contenzioso per ottenere l’annullamento o la riduzione della sanzione.
Resta aperto, infine, il fronte dell’intelligenza artificiale. Il Garante ha escluso dall’istruttoria l’eventuale utilizzo delle fotografie per addestrare modelli di IA, circostanza negata da Meta, riservandosi però ulteriori accertamenti sulla funzione introdotta nel 2026 che consente l’elaborazione nel cloud dei contenuti della galleria. Un possibile nuovo terreno di confronto, distinto dalla violazione oggi contestata.
I precedenti italiani con Meta
Il precedente del 2019 richiamato dal Garante nella quantificazione della sanzione riguarda il caso Cambridge Analytica, per il quale Facebook era stata multata di un milione di euro in relazione all’acquisizione dei dati di oltre 214.000 utenti italiani. La distanza dagli attuali 805 milioni riflette anche l’evoluzione del quadro normativo e dei poteri sanzionatori.
Più controverso l’iter del provvedimento relativo agli occhiali Ray-Ban Stories di Meta, per i quali il Garante aveva inizialmente adottato una sanzione di un milione di euro, successivamente annullata in autotutela per criticità legate ai termini del procedimento. La vicenda è tornata al centro dell’attenzione anche nell’ambito delle indagini della Procura di Roma, che hanno sollevato interrogativi sulla gestione di alcuni procedimenti e sul funzionamento interno dell’Autorità. In questo contesto si collocano anche le dimissioni, nel gennaio 2026, del componente del Collegio Guido Scorza, accompagnate dal richiamo alla necessità di preservare l’autorevolezza del Garante, anche nella sua dimensione percepita. Circostanze naturalmente distinte dall’attuale procedimento nei confronti di Meta, ma che rendono particolarmente significativo il vaglio della solidità giuridica e istruttoria di una decisione di tale portata.
L’autorevolezza di un’autorità indipendente, del resto, non si misura dall’entità delle sanzioni, bensì dalla qualità delle motivazioni e dalla loro capacità di resistere al vaglio giurisdizionale.
Una nuova stagione di enforcement nazionale per le Big Tech
La sanzione del Garante potrebbe segnare un passaggio significativo nell’enforcement europeo, incoraggiando altre autorità nazionali a utilizzare la disciplina ePrivacy per intervenire autonomamente sulle modalità di accesso ai dispositivi, senza dipendere dai tempi e dalle priorità delle autorità capofila del GDPR. Le implicazioni potrebbero estendersi a numerose funzionalità delle piattaforme, dall’accesso agli archivi multimediali fino ai servizi basati sull’intelligenza artificiale, purché ricorrano i presupposti applicativi della normativa.
La decisione evidenzia una tensione strutturale del sistema europeo: mentre il GDPR concentra la gestione dei trattamenti transfrontalieri attraverso lo sportello unico, l’ePrivacy conserva spazi di intervento nazionale che possono incidere direttamente sull’operatività delle Big Tech. Per Meta, dunque, la controversia supera i confini della singola funzionalità di Facebook e mette in discussione l’idea che uno stabilimento principale nell’Unione garantisca un interlocutore regolatorio sostanzialmente unico.
Resta da verificare se la costruzione giuridica del Garante e, soprattutto, l’entità della sanzione resisteranno al vaglio giudiziario. I precedenti francesi offrono un solido riferimento, ma non assicurano l’esito del contenzioso.
Quel che emerge è comunque un limite preciso alla centralizzazione della vigilanza europea: lo sportello unico del GDPR non costituisce un’immunità territoriale per le Big Tech, e la tutela dei dispositivi personali potrebbe restituire alle autorità nazionali un ruolo ben più incisivo di quanto spesso si ritenga.
Partecipa alla community