Le Garante per la protezione dei dati personali a sanctionné Meta Platforms Ireland Limited à hauteur de 805 millions d’euros. Par l’application Facebook pour Android, la société a eu accès aux photos, aux vidéos et à leurs métadonnées stockées sur les smartphones des utilisateurs italiens, sans consentement spécifique et sans information suffisante.
Le montant représente environ 0,47 % du chiffre d’affaires mondial du groupe. Pour une autorité nationale qui statue seule, sans le mécanisme de coopération européen, la somme a de quoi faire réfléchir. Le fondement retenu mérite encore plus d’attention : la décision repose sur la directive ePrivacy, pas sur le RGPD.
La fonction en cause
Le dossier porte sur l’option « Obtenir des suggestions de votre galerie lorsque vous naviguez sur Facebook », disponible depuis 2023. Pendant la navigation, l’application propose à l’utilisateur des photos et vidéos tirées de la galerie du téléphone, comme idées de publication.
L’enquête a commencé en juillet 2025 après un signalement du Centro Tutela Consumatori Utenti de Bolzano. L’autorité a mené sa propre analyse technique de l’application.
Ce que le Garante a constaté
L’accès à la galerie passait par une seule autorisation, valable pour toute l’application et pour plusieurs fonctions aux besoins différents. Avant de l’accorder, l’utilisateur voyait un avis générique l’invitant à « activer d’autres fonctions », sans pouvoir comprendre qu’il acceptait aussi les suggestions tirées de sa galerie.
La fonction était en plus préactivée. Une autorisation complète de ce type permet à l’application de lire tout le stock de photos de l’appareil, en général de façon permanente. Ni l’utilisateur ni l’autorité ne peuvent alors vérifier quelles informations sont réellement exploitées.
Pas de guichet unique pour l’ePrivacy
Meta a contesté la compétence du Garante en renvoyant vers l’autorité irlandaise, chef de file pour le groupe au titre du RGPD. L’argument a été écarté : la directive ePrivacy ne prévoit pas de guichet unique. Chaque autorité nationale reste compétente pour les accès au terminal de ses résidents.
Les lecteurs français connaissent ce raisonnement. La CNIL l’a appliqué aux cookies de Google et d’Amazon en 2020 puis en 2021, et le Conseil d’État l’a validé le 28 janvier 2022. L’Italie l’étend ici à la galerie photo d’un téléphone, et le montant change d’échelle.
Ce qui reste hors du dossier
La procédure n’a pas porté sur une éventuelle utilisation des contenus pour entraîner l’intelligence artificielle, ce que Meta dément. Le Garante se réserve d’examiner séparément la nouvelle fonction lancée en 2026, qui permet de traiter dans le cloud les contenus de la galerie. Un second dossier n’est donc pas exclu.
Les injonctions et le calendrier
Meta dispose de 60 jours pour se mettre en conformité. Les mesures imposées sont précises :
- demander le consentement par une requête distincte et propre à cette fonction, en expliquant à quoi elle sert, qu’elle implique l’accès à la galerie et comment la désactiver ;
- laisser la fonction désactivée par défaut, y compris pour les utilisateurs qui ont déjà donné l’autorisation au système ;
- à défaut de mise en conformité dans le délai, ne plus activer la fonction pour les utilisateurs sans consentement valable ;
- informer le Garante sous 30 jours des démarches engagées, puis sous 90 jours des mesures adoptées.
Comment le montant a été fixé
Le Garante a retenu le nombre de personnes concernées, environ 20 millions d’utilisateurs Android en Italie, et la durée du manquement, qui se poursuit pour ceux qui n’ont pas mis l’application à jour ou ont déjà accordé l’autorisation. Il a aussi pesé une décision de 2019 visant la société et le faible niveau de coopération pendant l’enquête.
Les modifications apportées après le signalement ont joué comme circonstance atténuante. L’autorité les juge toutefois tardives, et limitées aux utilisateurs qui mettent l’application à jour.
Pour une organisation qui publie une application
Une mairie avec son application citoyenne, un établissement de santé avec son portail de rendez-vous, une fédération sportive ou un réseau d’agences : beaucoup d’organisations françaises éditent une application mobile sans l’avoir jamais regardée sous l’angle de l’article 82 de la loi Informatique et Libertés, équivalent français de l’article 122 italien.
La décision du Garante donne une grille de lecture simple. Une autorisation système Android ou iOS ne vaut pas consentement au sens de l’ePrivacy. Si l’application lit la galerie, les contacts, la localisation ou tout autre contenu du téléphone, il faut une information claire et un choix propre à chaque usage, avec une fonction désactivée tant que l’utilisateur ne l’a pas activée. Mettre l’application à jour ne règle pas le cas des personnes qui ont déjà accordé l’accès.
Je conseillerais de commencer par une question posée au prestataire de développement : quelles permissions l’application demande-t-elle, et pour quelles fonctions exactement ? La réponse surprend souvent. Les recommandations de la CNIL sur les applications mobiles, publiées en septembre 2024, détaillent ensuite ce que l’on attend de l’éditeur et du développeur.
Sources
- Garante per la protezione dei dati personali, communiqué « Facebook: il Garante privacy sanziona Meta per 805 milioni di euro », Rome, 14 novembre 2026 (garanteprivacy.it).
- Directive 2002/58/CE du 12 juillet 2002 (ePrivacy), article 5, paragraphe 3.
- Codice in materia di protezione dei dati personali (décret législatif n° 196/2003), article 122.
- Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 82.
- Conseil d’État, 28 janvier 2022, Google LLC et Google Ireland Limited, n° 449209.
- CNIL, recommandations sur les applications mobiles, septembre 2024.