Le Garante per la protezione dei dati personali, l’autorité italienne de protection des données, a annoncé le 14 novembre 2026 une amende de 805 millions d’euros contre Meta. Selon l’autorité, l’application Facebook pour Android a eu accès aux photos et aux vidéos stockées dans les téléphones des utilisateurs italiens, ainsi qu’à leurs métadonnées. Les métadonnées sont les informations attachées à chaque fichier, comme la date de prise de vue. Toujours selon le Garante, les utilisateurs n’avaient pas donné de consentement spécifique et n’avaient pas été correctement informés.
L’amende vise Meta Platforms Ireland Limited, la filiale irlandaise du groupe. Meta conteste la décision et annonce un recours. Selon un porte-parole cité par le site d’information italien Open, le groupe se dit « en net désaccord » avec l’analyse du Garante et juge le montant « disproportionné » (notre traduction).
Le Garante a aussi écarté un argument de procédure. Meta voulait que le dossier revienne à l’autorité de protection des données de l’Irlande, où est installée sa filiale. Dans un dossier distinct, l’autorité britannique de la concurrence a ouvert le 30 octobre une enquête sur les conditions commerciales de Meta. Cette enquête relève du droit de la concurrence.
Une fonction de suggestions activée par défaut
La décision vise une fonction disponible depuis 2023. Pendant que l’utilisateur fait défiler Facebook, elle lui propose comme idées de publication des photos et des vidéos de la galerie de son téléphone. En italien, elle s’appelle « Ottieni suggerimenti dalla galleria quando navighi su Facebook », soit « recevoir des suggestions de la galerie pendant la navigation sur Facebook » (notre traduction).
L’enquête a démarré en juillet 2025, après un signalement du Centro Tutela Consumatori Utenti, une association de consommateurs de Bolzano, dans le nord de l’Italie. Le Garante s’est appuyé sur sa propre analyse technique.
Une seule autorisation pour toute l’application
Le communiqué du Garante détaille trois constats. D’abord, Facebook demande l’accès à la galerie par une autorisation unique, valable pour toute l’application et pour plusieurs fonctions aux besoins différents. Ensuite, un message général précède cette demande : « activer d’autres fonctions » (« abilitare altre funzioni » en italien).
Pour le Garante, ce message ne permet pas de comprendre que l’on autorise aussi les suggestions tirées de la galerie. Enfin, la fonction était préréglée sur « activée ».
Quand ce type d’autorisation est accordé en totalité, l’application peut lire toute la galerie du téléphone, en règle générale de façon permanente, selon l’autorité. Ni l’utilisateur ni le Garante ne peuvent alors vérifier quelles informations sont réellement utilisées.
La règle appliquée et la compétence du Garante
La règle en cause est l’article 122 du Codice privacy, le code italien de protection des données personnelles. Cet article reprend en droit italien la directive européenne ePrivacy, adoptée en 2002 et modifiée en 2009. Cette directive encadre l’accès aux informations stockées dans l’appareil d’un utilisateur. Selon le Garante, l’article 122 protège le téléphone comme une partie de la sphère privée de la personne.
Tout accès aux informations du téléphone exige donc un consentement libre et éclairé, rappelle l’autorité. Peu importe que les données quittent ou non l’appareil, et qu’il y ait ou non un préjudice.
Le Garante a rejeté l’argument de Meta selon lequel il n’était pas compétent. Le RGPD, le règlement européen sur la protection des données, prévoit un « guichet unique ». Une entreprise présente dans plusieurs pays de l’Union européenne traite alors surtout avec l’autorité du pays de son établissement principal.
La politique de confidentialité européenne de WhatsApp, autre service de Meta, désigne ainsi la Commission irlandaise de protection des données comme son autorité principale pour le RGPD. Nous l’avions relevé à propos des consignes cachées de l’agent conversationnel de WhatsApp. Le Garante a répondu que les règles ePrivacy ne prévoient pas de guichet unique.
Soixante jours pour changer la fonction
Le Garante donne 60 jours à Meta pour demander un consentement distinct et spécifique pour cette fonction. La demande devra expliquer à quoi sert la fonction, préciser qu’elle donne accès à la galerie et indiquer comment la désactiver. La fonction devra être désactivée par défaut, y compris pour les personnes qui ont déjà accordé l’autorisation d’accès à la galerie.
Si Meta ne s’est pas mis en conformité à cette échéance, la fonction ne pourra pas être activée pour les utilisateurs qui n’ont pas donné un consentement valable. Le groupe devra aussi informer le Garante dans les 30 jours des démarches engagées, puis dans les 90 jours des mesures adoptées. Le communiqué ne précise pas la date à partir de laquelle ces délais courent.
Un montant fixé selon cinq critères
Pour fixer l’amende, le Garante cite d’abord le nombre de personnes concernées : environ 20 millions d’utilisateurs d’Android en Italie. Il retient aussi la durée de l’infraction. Selon lui, elle est toujours en cours pour ceux qui n’ont pas mis à jour l’application et pour ceux qui ont déjà accordé l’autorisation dans le système Android. S’y ajoutent une décision de 2019 qui visait déjà l’entreprise et une « faible collaboration » pendant l’enquête (notre traduction).
Les modifications apportées par Meta après le signalement ont joué en sa faveur. L’autorité les juge toutefois tardives et limitées aux utilisateurs qui mettent à jour l’application.
Selon le Garante, l’amende correspond à environ 0,47 % du chiffre d’affaires mondial du groupe. L’agence de presse Associated Press (AP) la convertit en environ 887 millions de dollars.
À titre de comparaison, la CNIL, l’autorité française de protection des données, avait infligé au total 325 millions d’euros à deux sociétés de Google le 1er septembre 2025. Les sanctions portaient sur des publicités insérées dans la messagerie Gmail et sur des cookies, et s’appuyaient elles aussi sur les règles ePrivacy. L’amende italienne est environ deux fois et demie plus lourde que ce total.
La réponse de Meta et les limites du dossier
Meta défend une fonction « simple, qui aide les gens à publier des photos et des vidéos sur Facebook », selon la déclaration de son porte-parole publiée par Open. « Les utilisateurs doivent accorder une autorisation sur leur appareil avant que la fonction puisse opérer, et ils peuvent modifier cette autorisation à tout moment dans les réglages », ajoute-t-il. Il conclut : « Nous avons l’intention de déposer un recours » (notre traduction). Au moment de publier sa dépêche, l’AP indiquait que Meta n’avait pas réagi.
Le désaccord porte sur l’autorisation que l’utilisateur donne sur son téléphone. Meta la met en avant. Pour le Garante, cette autorisation unique, valable pour toute l’application et annoncée par un message vague, ne vaut pas le consentement spécifique qu’exige la loi.
Le Garante fixe lui-même les limites du dossier. La procédure n’a pas examiné si les contenus ont pu servir à entraîner l’intelligence artificielle, un usage que Meta dément, selon le Garante. Il se réserve d’examiner séparément une nouvelle fonction, lancée en 2026, qui traite les contenus de la galerie sur des serveurs distants.
Le communiqué ne renvoie pas au texte complet de la décision et n’en donne pas la date d’adoption. Il ne dit rien des autres pays de l’Union, ni de l’iPhone.
Notre analyse
La décision italienne repose sur deux mécanismes qui dépassent le cas de Facebook. Le premier concerne le consentement : selon le Garante, l’autorisation unique accordée sur Android pour toute l’application ne suffit pas quand une fonction précise lit le contenu du téléphone. Pour cette fonction, l’autorité exige un consentement propre, demandé séparément. Son raisonnement porte sur l’accès aux informations stockées dans l’appareil, quelle que soit l’application.
Le second concerne la compétence, c’est-à-dire l’autorité qui peut sanctionner. Le guichet unique du RGPD ne s’applique pas aux règles ePrivacy. Selon le Garante, comme selon la CNIL avant lui, une autorité nationale peut donc sanctionner directement une plateforme installée en Irlande, sans passer par l’autorité irlandaise.
En France, la même règle européenne figure à l’article 82 de la loi française Informatique et Libertés, dont la CNIL contrôle l’application. La formation restreinte de la CNIL, l’instance qui prononce ses sanctions, a pris position dans sa décision du 31 décembre 2021. Elle y écrit, à propos de la directive ePrivacy : « le mécanisme de guichet unique prévu par le RGPD ne peut être appliqué aux traitements visés par la directive ». La CNIL l’a redit en septembre 2025 en sanctionnant Google.
Le réglage par défaut est un autre point du dossier : le Garante reproche à Meta une fonction préréglée sur « activée ». Le 11 novembre, la Commission européenne a présenté sa proposition de législation sur l’équité numérique (Digital Fairness Act). Ce texte vise aussi les choix imposés par défaut que le client doit défaire, mais sous l’angle du droit de la consommation. Il reste une proposition.
Les constats techniques sont ceux du Garante, et Meta les conteste. L’autorité ne publie pas sa décision complète dans son communiqué. La portée réelle de l’affaire dépendra du recours, dont ni la date ni le tribunal ne sont encore connus.
Plusieurs échéances suivent. Meta doit rendre compte au Garante de ses démarches dans les 30 jours, puis modifier la fonction dans les 60 jours. Il reste à savoir si le groupe modifiera la fonction ailleurs qu’en Italie. On ignore encore si le Garante ouvrira l’examen séparé qu’il s’est réservé sur la fonction qui traite la galerie sur des serveurs distants.
Sources
- Facebook: il Garante privacy sanziona Meta per 805 milioni di euro, Garante per la protezione dei dati personali, communiqué, 14 novembre 2026
- Meta, maxi multa da 805 milioni dal Garante Privacy: le foto Android usate senza consenso. L’azienda annuncia il ricorso, Open (Cecilia Dardana), 14 novembre 2026
- Meta fined $887M in Italy over Android gallery photos, videos on Facebook, Associated Press, via ABC News, 14 novembre 2026
- Publicités insérées entre les courriels et cookies : la CNIL sanctionne GOOGLE d’une amende de 325 millions d’euros, CNIL, 3 septembre 2025
- Délibération SAN-2021-023 du 31 décembre 2021, CNIL, formation restreinte, Légifrance, 31 décembre 2021
Image d’en-tête : schéma MACCUS. Données : communiqué du Garante per la protezione dei dati personali, 14 novembre 2026
