L’Italie inflige une amende de 805 millions d’euros à Meta et impose un nouveau choix concernant l’accès de Facebook aux photos

L’affaire concerne environ 20 millions d’utilisateurs d’Android en Italie. Son exigence la plus lourde de conséquences n’est pas le montant de la sanction, mais la remise à zéro : dans un délai de 60 jours, Meta doit laisser la fonctionnalité de suggestion désactivée par défaut et obtenir un consentement distinct et spécifique. Une ancienne autorisation système d’accès aux photos ne suffit pas. Il n’a pas été vérifié si Meta a mis en place cette modification pour les autorisations existantes.⁠12

L’enquête a débuté en juillet 2025 à la suite d’un signalement du Centro Tutela Consumatori Utenti, le centre de protection des consommateurs de Bolzano. L’analyse technique du Garante a porté sur une fonction dont le nom italien se traduit par « Obtenez des suggestions depuis votre galerie pendant que vous parcourez Facebook ». Elle propose des photos et des vidéos du téléphone comme contenu que l’utilisateur pourrait publier. C’est cette fonctionnalité précise qui est examinée, et non une interdiction de Facebook ou d’Android.⁠12

Le régulateur a conclu que Facebook demandait une seule autorisation d’accès à la galerie couvrant l’ensemble de l’application et plusieurs fonctions aux besoins différents. L’avis présenté avant cette demande employait la formule générique « activer d’autres fonctions », sans préciser que l’autorisation permettrait également de recevoir des suggestions de publication à partir de la galerie. La fonctionnalité de suggestion était déjà activée par défaut.⁠12

Ces deux choix se renforçaient mutuellement. Une autorisation générale ouvrait la porte ; une fonctionnalité activée par défaut permettait un usage que l’avis n’avait pas suffisamment expliqué. Le Garante a conclu que Meta avait accédé à des photos, des vidéos et à leurs métadonnées sans consentement spécifique ni informations suffisantes pour les utilisateurs.⁠12

L’étendue de l’accès est importante, mais doit être décrite avec précision. Lorsqu’une autorisation d’accès complet à la galerie est accordée, ce type d’autorisation permet à une application de lire l’ensemble des archives photographiques de l’appareil, généralement de manière continue. Selon le régulateur, ni les utilisateurs ni ses enquêteurs n’ont pu vérifier quelles informations étaient effectivement utilisées.⁠12

Cela ne signifie pas qu’il a été établi que toutes les photos avaient été téléversées, que des photos privées avaient été publiées automatiquement ou que des téléphones avaient été piratés. Une autorisation suffisamment étendue pour accéder à une archive ne prouve pas que tous les éléments qu’elle contient ont été transmis. Le problème établi est un accès sans choix spécifique et suffisamment expliqué.

La conclusion juridique s’appuie sur l’article 122 du Code italien de la protection des données, qui transpose la directive européenne ePrivacy et protège les informations conservées sur l’appareil d’une personne. Pour cette fonctionnalité de suggestions à partir de la galerie, le Garante a déclaré qu’un consentement libre et éclairé était nécessaire, même si rien n’était transmis ailleurs et qu’aucun préjudice supplémentaire n’avait été démontré. La protection s’applique dès l’accès au réservoir privé d’informations, et pas seulement lorsque les données quittent le téléphone.⁠12

Meta a contesté la compétence de l’autorité italienne, estimant que l’autorité irlandaise devait traiter l’affaire. Le Garante a rejeté cette objection, car le cadre ePrivacy ne prévoit pas le mécanisme du « guichet unique » invoqué par Meta. L’établissement irlandais de l’entreprise ne soustrayait donc pas cette procédure à l’application de la loi italienne.⁠12

Les exigences du régulateur vont au-delà de la réécriture d’un avis générique. Meta doit demander un consentement distinct pour la fonction de suggestions à partir de la galerie, en expliquant son fonctionnement, le fait qu’elle accède à la galerie et la manière de la désactiver. L’obligation de désactivation par défaut s’applique expressément aux personnes qui ont déjà accordé l’autorisation. À l’expiration du délai de 60 jours, la fonctionnalité ne pourra pas être activée pour les utilisateurs sans consentement valide si les modifications requises n’ont pas été apportées.⁠12

Cette couverture est au cœur de l’affaire. Le Garante a déclaré que l’infraction se poursuivait pour les personnes qui n’avaient pas mis l’application à jour et pour celles qui avaient déjà accordé l’autorisation système. Les changements introduits par Meta après la plainte ont joué en sa faveur lors de l’évaluation de la sanction, mais le régulateur les a jugés tardifs et limités aux personnes ayant mis l’application à jour. Une mise à jour qui ne touche ni les anciennes installations ni les autorisations existantes ne constitue qu’une mesure corrective partielle.⁠12

La mise en conformité comporte trois échéances distinctes. Dans un délai de 30 jours, Meta doit informer le Garante des initiatives engagées. Dans un délai de 60 jours, elle doit modifier le consentement et les paramètres par défaut. Dans un délai de 90 jours, elle doit rendre compte des mesures adoptées. Cette dernière obligation de rendre compte ne prolonge pas le délai de modification des paramètres.⁠12

Il ne serait pas raisonnable de convertir ces délais en dates d’échéance calendaires pour le moment. L’annonce publique est datée du 14 novembre, mais elle ne précise pas quand la décision a été notifiée à Meta. Par ailleurs, l’ordre de proposer un nouveau choix ne prouve pas qu’un dispositif conforme soit déjà disponible. Le chemin d’accès actuel aux paramètres pour les utilisateurs italiens d’Android n’a pas été vérifié.

La sanction de 805 millions d’euros — environ 887 millions de dollars selon le reportage de DW — tient à autre chose qu’au nombre d’utilisateurs concernés. Le Garante a cité la durée de l’infraction, une mesure antérieure prise contre l’entreprise en 2019 et le manque de coopération pendant l’enquête, ainsi que l’ampleur de la population touchée. Il a présenté ce montant comme représentant environ 0,47 % du chiffre d’affaires mondial du groupe, sans préciser l’année du chiffre d’affaires ni publier le calcul complet.⁠1⁠12

Il ne s’agissait pas d’une affaire portant sur l’entraînement de l’intelligence artificielle. Meta nie utiliser les contenus de la galerie à cette fin, et la procédure n’a pas examiné cette question. Le Garante a également réservé des vérifications distinctes sur une nouvelle fonctionnalité lancée en 2026, qui permet le traitement des contenus de la galerie dans le cloud. Il s’agit d’une limite de la présente décision, et non d’une conclusion supplémentaire d’irrégularité.⁠12

Aucune réponse actuelle de Meta à la sanction, promesse ou dépôt d’un recours, ni preuve de paiement n’a été établie. Il ne faut pas prendre l’annonce du régulateur pour la preuve que toutes les étapes juridiques ou de mise en conformité ultérieures sont réglées.

Le critère pratique est plus restreint et plus utile que le montant annoncé en gros titre : les personnes qui avaient auparavant accordé à Facebook un large accès à leur galerie bénéficient-elles d’un choix véritablement distinct, cette fonctionnalité restant désactivée tant qu’elles n’y consentent pas valablement ? La décision impose ce résultat. Il manque encore des éléments prouvant qu’il a été mis en place pour ces utilisateurs existants.