L'autorité italienne de protection des données personnelles, le Garante, a annoncé samedi une sanction de 805 millions d'euros contre Meta. Elle reproche à l'entreprise d'avoir donné à l'application Facebook pour Android un accès aux photos et aux vidéos stockées dans les téléphones, sans consentement spécifique ni information adéquate. Un montant spectaculaire, mais un dossier dont l'intérêt tient surtout à la mécanique juridique qui le sous-tend.
Une fonction anodine, un accès très large
Tout part d'une fonction que de nombreux utilisateurs ont probablement croisée sans y penser. Selon le Garante, rapporté par l'agence LaPresse, la fonction « Obtenir des suggestions de la galerie lorsque vous naviguez sur Facebook » est offerte depuis 2023 : elle propose des photos et des vidéos du téléphone comme idées de publications pendant la navigation.
L'enquête a été ouverte en juillet 2025, à la suite d'un signalement du Centro Tutela Consumatori Utenti de Bolzano, une association de défense des consommateurs, et s'est appuyée sur une analyse technique menée par l'autorité elle-même, selon le site italien Ragionieri e previdenza, qui reprend la note de l'agence Dire.
Le Garante dresse trois constats. L'accès à la galerie est demandé au moyen d'une autorisation unique, valable pour toute l'application et pour plusieurs fonctions aux besoins différents. Cette autorisation est précédée d'un avis générique, qui invite à « activer d'autres fonctions » et ne permet pas de comprendre qu'on autorise aussi les suggestions issues de la galerie. Enfin, la fonction était préréglée sur « activée ».
L'autorité souligne qu'une telle permission, accordée en entier, permet à l'application de lire toute l'archive photographique de l'appareil, en règle générale de façon permanente, sans que ni l'utilisateur ni l'autorité puissent vérifier quelles informations sont réellement utilisées. C'est ce constat qui fonde la gravité du reproche.
Une sanction sur la manière de demander, pas sur l'usage des images
La nuance est essentielle. Le site d'analyse FourWeekMBA relève que le Garante sanctionne la façon dont l'accès a été demandé, non ce que Meta a fait des photos. Le Garante précise d'ailleurs que la procédure n'a pas porté sur une éventuelle utilisation des contenus pour entraîner des modèles d'intelligence artificielle, une pratique que Meta nie. Ce point a été relayé par Reuters et par CNBC.
Autrement dit, l'autorité n'affirme pas que les images ont servi à nourrir des algorithmes. Elle dit que, pour ouvrir l'accès à un espace aussi intime qu'une galerie de photos, un clic noyé dans une demande générale ne suffit pas.
Le fondement juridique est lui aussi révélateur. Le Garante invoque l'article 122 du Code italien de la vie privée, qui transpose la directive européenne ePrivacy. Dans son interprétation, le téléphone intelligent fait partie de la sphère privée de la personne : tout accès aux informations qu'il contient exige un consentement libre et éclairé, que les données soient transmises ou non et qu'un préjudice existe ou non.
Le point de droit qui pèse le plus : pas de guichet unique
C'est sans doute l'élément le plus lourd de conséquences pour l'ensemble du secteur. Meta a soutenu que l'affaire relevait de l'autorité irlandaise, puisque sa filiale européenne, Meta Platforms Ireland, est établie à Dublin. Dans le cadre du RGPD, c'est en effet le régulateur du pays du siège européen qui pilote en principe les dossiers transfrontaliers, selon le mécanisme dit du « guichet unique ».
Le Garante a rejeté cette exception d'incompétence : la réglementation ePrivacy ne prévoit pas ce mécanisme. Selon l'agence Adnkronos, l'autorité l'écarte pour cette raison précise.
La conséquence est considérable. Tant que l'accès aux données d'un appareil est examiné sous l'angle ePrivacy, chaque autorité nationale peut agir seule, sans passer par Dublin. Pour une entreprise dont l'architecture juridique européenne repose sur l'Irlande, c'est une brèche notable. Et rien n'empêche, en théorie, d'autres régulateurs de la zone de suivre la même voie, même si aucun n'a annoncé de démarche semblable.
Comment le montant a été fixé
L'amende équivaut à environ 0,47 % du chiffre d'affaires mondial du groupe, selon l'autorité, citée par Reuters. Pour la fixer, le Garante a retenu plusieurs éléments, rapportés par Ragionieri e previdenza :
- le nombre élevé de personnes touchées, environ 20 millions d'utilisateurs Android en Italie ;
- la durée de la violation, toujours en cours pour ceux qui n'ont pas mis à jour l'application ou qui ont déjà accordé l'autorisation ;
- une décision antérieure de 2019 visant l'entreprise ;
- la faible collaboration constatée pendant l'enquête.
Côté atténuant, les modifications introduites après le signalement ont été prises en compte, mais jugées tardives et limitées aux utilisateurs qui mettent l'application à jour.
FourWeekMBA calcule, selon sa propre arithmétique, que cela représente environ 40 euros par utilisateur italien concerné, soit 805 fois l'amende d'un million d'euros infligée à Facebook en 2019 dans l'affaire Cambridge Analytica. Ce sont des calculs du site, non des chiffres de l'autorité.
Un chiffre, plusieurs conversions
Une précision de lecture s'impose, car les montants en dollars circulent avec des écarts. Reuters et CNBC convertissent 805 millions d'euros en 887 millions de dollars américains. Le titre du Straits Times, lui, évoque 1,14 milliard de dollars, un chiffre qui ne correspond pas à cette conversion ; dans nos recherches, aucune autre source ne l'a confirmé. Le montant de référence, fixé par le Garante, est bien de 805 millions d'euros.
Cet écart rappelle aussi qu'au tout début de la journée, certains sites évoquaient une amende « non confirmée ». L'annonce officielle de l'autorité, reprise ensuite par les agences et par la presse italienne, a levé le doute.
Ce que Meta doit changer, et dans quels délais
Le volet correctif compte autant que la somme. D'après le Garante, Meta dispose de 60 jours pour demander le consentement au moyen d'une requête distincte et propre à la fonction, expliquer clairement à quoi elle sert, qu'elle implique l'accès à la galerie et comment la désactiver. La fonction devra rester désactivée par défaut, y compris pour les personnes qui avaient déjà accordé l'autorisation. Passé ce délai sans mise en conformité, elle ne pourra pas être activée pour les utilisateurs sans consentement valide.
L'entreprise doit en outre informer l'autorité, sous 30 jours, des initiatives lancées, puis, sous 90 jours, des mesures adoptées.
L'ordre vise la conduite de Meta en Italie. Ni le Garante ni CNBC n'indiquent, à ce stade, si l'entreprise étendra ces changements à d'autres marchés, et le site spécialisé Digitbin note que rien ne change automatiquement ailleurs.
Le deuxième front : le traitement dans le nuage
Le plus important est peut-être ce que la décision laisse ouvert. Le Garante se réserve le droit d'évaluer, par des vérifications distinctes, une nouvelle fonction lancée en 2026 qui permet le traitement dans le nuage des contenus de la galerie. L'autorité ne fixe aucun calendrier à cet examen, d'après FourWeekMBA.
C'est là que se rejoignent la question du consentement et celle de l'intelligence artificielle. Un traitement dans le nuage suppose que des images quittent l'appareil, ce que la fonction de 2023, telle que décrite, n'établissait pas. Le Garante n'a pas préjugé de ce qu'il trouvera.
Une longue série d'ennuis réglementaires pour Meta
La sanction s'inscrit dans une chronologie chargée. En mai 2023, la Commission irlandaise de protection des données avait infligé à Meta une amende record de 1,2 milliard d'euros pour des transferts de données vers les États-Unis, selon Euronews, un montant plus élevé que celui de l'Italie. Meta a indiqué dans ses documents déposés auprès de la SEC qu'elle faisait appel et que les mesures correctives faisaient l'objet d'un sursis provisoire de la Haute Cour irlandaise.
La nature du dossier diffère toutefois. L'amende irlandaise reposait sur le RGPD et sur la question des transferts internationaux. L'amende italienne repose sur ePrivacy, ce qui explique que la procédure ait échappé au guichet unique.
Un autre précédent, plus technique, éclaire la méfiance des régulateurs envers les accès « discrets » aux appareils Android. En juin 2025, des chercheurs de l'IMDEA Networks, de l'Université Radboud et de la KU Leuven ont révélé que le Pixel de Meta transmettait un témoin de navigation à des ports locaux où les applications Facebook et Instagram écoutaient, ce qui permettait de relier la navigation web à l'identité des utilisateurs. D'après PPC Land, Meta a cessé la pratique dès le 3 juin 2025. Ce dossier n'a pas de lien direct avec la décision italienne, mais il illustre la même question de fond : ce que les applications peuvent faire sur un appareil sans que l'utilisateur en soit clairement informé.
Ce que le dossier dit de la suite
Plusieurs inconnues demeurent. Meta n'avait pas commenté la décision au moment de la publication des premières dépêches, selon CNBC, et rien n'indique si elle la contestera. Un recours est plausible pour une sanction de cette taille, mais ce n'est qu'une hypothèse : l'entreprise a l'habitude de faire appel, comme elle l'a fait en Irlande, sans que cela préjuge de sa décision ici.
Sur le plan financier, FourWeekMBA estime l'amende à environ 5,4 jours du bénéfice net 2025 de Meta, selon ses propres calculs. Le coût direct paraît donc supportable. L'enjeu réel se situe ailleurs : dans l'obligation de redessiner un écran de consentement, dans la brèche ouverte contre le guichet unique et dans l'examen à venir de la fonction de traitement dans le nuage.
Pour les développeurs d'applications mobiles, le message du Garante est limpide : une permission système globale, présentée sous un libellé vague, ne tient pas lieu de consentement pour une fonction précise. La plupart des systèmes d'exploitation exigent déjà une autorisation d'accès aux photos ; l'autorité italienne affirme que cela ne suffit pas quand cette autorisation couvre plusieurs usages et que la fonction la plus intrusive est activée d'office.