Une fonctionnalité pratique devenue un risque réglementaire
Meta vient d’être sanctionnée en Italie à hauteur de 805 millions d’euros après que le Garante, l’autorité italienne de protection des données, a estimé que Facebook pour Android avait accédé aux photographies, vidéos et métadonnées conservées sur les smartphones d’utilisateurs italiens sans consentement spécifique et sans information adéquate . Le dossier vise une fonction de suggestion qui propose, pendant la navigation dans Facebook, des images ou vidéos issues de la galerie du téléphone comme idées de publication .
À première vue, il s’agit d’une fonction de confort. Un réseau social détecte du contenu local, puis suggère à l’utilisateur de le partager. Mais pour le régulateur italien, le problème réside précisément dans cette banalisation: l’accès à une galerie personnelle ne peut pas être traité comme une simple option d’ergonomie, surtout lorsqu’il est activé par défaut et couvert par une autorisation générale .
Le cœur du dossier est donc moins la présence d’un bouton technique d’autorisation que la qualité du consentement. Le Garante affirme que la demande d’accès était formulée comme une permission unique valable pour l’ensemble de l’application et pour plusieurs fonctions ayant des finalités différentes . Autrement dit, l’utilisateur ne recevait pas une demande distincte et intelligible pour cette fonction précise de suggestions depuis la galerie.
Ce que reproche le Garante à Facebook
La fonctionnalité en cause est connue sous le nom italien “Ottieni suggerimenti dalla galleria quando navighi su Facebook”, soit l’équivalent de “Obtenir des suggestions depuis la galerie pendant la navigation sur Facebook” . Disponible depuis 2023, elle proposait des photos et vidéos extraites de la galerie du téléphone comme contenus potentiels à publier .
Selon le Garante, Facebook demandait l’accès à la galerie via une autorisation unique couvrant toute l’application . Cette autorisation était précédée d’un message générique sur l’activation d’autres fonctions, mais ce message ne permettait pas à l’utilisateur de comprendre qu’il autorisait aussi les suggestions issues de sa galerie . L’autorité a également constaté que la fonction était préconfigurée comme active .
Cette configuration a lourdement pesé dans l’analyse. L’autorité italienne explique qu’une autorisation complète de ce type peut permettre à l’application de lire l’ensemble de l’archive photographique du téléphone, généralement de manière durable, sans que l’utilisateur ou le régulateur puisse vérifier précisément quelles informations sont effectivement utilisées . L’Associated Press a également rapporté que les enquêteurs avaient constaté une permission unique couvrant plusieurs fonctions aux finalités différentes .
C’est ici que le dossier dépasse Facebook. Beaucoup d’applications mobiles demandent des permissions larges parce que le système d’exploitation les structure ainsi. Mais le Garante affirme qu’une permission technique ne remplace pas une information claire, séparée et spécifique sur la finalité exacte de l’accès . Pour les développeurs, la leçon est sévère: une demande générique peut être insuffisante lorsque la fonction touche à des fichiers personnels stockés localement.
Le smartphone comme sphère privée
Le Garante fonde sa décision sur l’article 122 du Code italien de la vie privée, qui transpose la directive européenne ePrivacy . L’autorité rappelle que cette règle protège le smartphone comme une partie de la sphère privée de la personne et que tout accès aux informations qu’il contient exige un consentement libre et informé .
Ce point est essentiel. Le dossier ne dépend pas uniquement de la question de savoir si Meta a causé un dommage concret ou transmis les contenus à un tiers. Pour le régulateur, l’accès lui-même suffit à déclencher l’exigence de consentement . Une galerie photo n’est pas un simple répertoire technique: c’est souvent l’archive la plus intime d’un téléphone, avec des images, des vidéos, des lieux, des dates et d’autres métadonnées.
La sanction vise Meta Platforms Ireland Limited, l’entité européenne de Meta . La société avait contesté la compétence de l’autorité italienne au profit de l’autorité irlandaise, mais le Garante a rejeté cet argument en estimant que les règles ePrivacy ne prévoient pas le mécanisme de guichet unique applicable dans d’autres procédures européennes de protection des données . En clair, l’Italie considère qu’elle pouvait agir directement.
Ce que Meta doit changer
L’amende n’est pas la seule conséquence. Le Garante donne 60 jours à Meta pour modifier la fonctionnalité . L’entreprise devra demander le consentement au moyen d’une requête distincte et spécifique, expliquer clairement à quoi sert la fonction, indiquer qu’elle implique un accès à la galerie et préciser comment la désactiver .
L’autorité impose aussi que la fonction reste désactivée par défaut, y compris pour les personnes qui avaient déjà accordé l’autorisation . Si Meta ne se conforme pas dans le délai de 60 jours, la fonction ne pourra pas être activée pour les utilisateurs n’ayant pas donné de consentement valable . Meta devra en outre informer le Garante sous 30 jours des initiatives engagées, puis sous 90 jours des mesures adoptées .
Cette partie de la décision est aussi importante que le montant. Le régulateur ne se contente pas de sanctionner le passé: il impose une nouvelle architecture de consentement. Les utilisateurs existants devront être replacés dans une logique de choix distinct, et non maintenus dans une configuration fondée sur une permission générale déjà accordée .
Pourquoi 805 millions d’euros?
Le montant de 805 millions d’euros reflète plusieurs facteurs. Le Garante cite notamment le nombre élevé de personnes concernées, environ 20 millions d’utilisateurs Android en Italie, ainsi que la durée de la violation . L’autorité affirme que l’infraction demeure en cours pour les utilisateurs qui n’ont pas mis à jour l’application et pour ceux qui avaient déjà donné leur autorisation au système . Selon l’Associated Press, la sanction représente environ 0,47% du chiffre d’affaires mondial du groupe .
Le régulateur mentionne également une décision antérieure de 2019 contre la société et un niveau de coopération jugé insuffisant pendant l’enquête . Les modifications apportées par Meta après le signalement ont été prises en compte favorablement, mais l’autorité les a considérées comme tardives et limitées aux personnes mettant l’application à jour .
Al Jazeera a décrit cette sanction comme, de loin, la plus importante jamais infligée par le régulateur italien de la vie privée . The Guardian la présente aussi comme l’une des plus lourdes amendes imposées par une autorité italienne à une entreprise technologique, tout en rappelant qu’une sanction de concurrence de plus de 1,1 milliard d’euros contre Amazon avait ensuite été réduite en appel .
Meta conteste et prépare l’appel
Meta prévoit de faire appel et dit être en profond désaccord avec l’analyse du régulateur ainsi qu’avec le niveau de l’amende, selon The Guardian . L’entreprise présente la fonction comme un outil destiné à aider les utilisateurs à partager plus facilement des photos et vidéos, et les éléments rapportés par The Hacker News indiquent que Meta soutient que la fonction ne fonctionne qu’après autorisation de l’utilisateur sur son appareil et que cette autorisation peut être modifiée à tout moment dans les réglages .
Le débat juridique devrait donc porter sur une question très concrète: une permission accordée au niveau du système Android, accompagnée de réglages modifiables, suffit-elle à établir un consentement spécifique et informé pour une fonction déterminée? Le Garante répond non. Il exige une demande séparée, compréhensible et directement rattachée à la fonctionnalité de suggestions depuis la galerie .
Au moment des derniers articles publiés ce week-end, l’appel annoncé par Meta n’a pas encore abouti . En attendant une éventuelle décision contraire, l’entreprise doit composer avec l’amende et avec un calendrier de conformité très court.
Un avertissement pour tout l’écosystème mobile
Cette affaire est un signal pour toutes les applications qui accèdent aux médias stockés localement. Les équipes produit ont souvent tendance à optimiser les parcours: moins d’écrans, moins de friction, plus de fonctions activées d’emblée. Mais les régulateurs lisent ces choix différemment lorsque des contenus sensibles sont en jeu.
Trois principes se dégagent de la décision italienne. D’abord, une permission technique ne suffit pas toujours: l’utilisateur doit comprendre la finalité précise. Ensuite, l’activation par défaut devient dangereuse lorsque l’accès concerne des photos, vidéos ou métadonnées personnelles. Enfin, une autorisation générale donnée à une application ne justifie pas automatiquement toutes les fonctions futures ou parallèles utilisant le même accès.
Le dossier comporte aussi une dimension liée à l’intelligence artificielle, même si elle n’est pas au centre de cette sanction. Le Garante précise que la procédure n’a pas porté sur une éventuelle utilisation des contenus de galerie pour entraîner des modèles d’IA, ce que Meta dément . L’autorité se réserve toutefois la possibilité d’examiner séparément une fonction plus récente, lancée en 2026, qui permet le traitement dans le cloud de contenus issus de la galerie .
Pour les utilisateurs, le réflexe immédiat est de vérifier les permissions accordées aux applications, notamment l’accès aux photos et vidéos. Pour les éditeurs, la conclusion est plus coûteuse: une option pensée pour simplifier le partage peut devenir une faille de conformité à 805 millions d’euros si le consentement n’est pas assez clair, distinct et volontaire.
Commentaires
Sois le premier à commenter.