Italië beboet Meta €805 miljoen om Facebooks Android-galerijfunctie

Meta krijgt in Italië een boete van €805 miljoen omdat Facebook op Android foto’s, video’s en metadata van Italiaanse gebruikers zonder specifieke toestemming benaderde, meldde de toezichthouder Garante op 14 november.

Eén brede Android-toestemming gold voor meerdere Facebook-functies, terwijl de galerijsuggesties standaard aanstonden. De Garante eist daarom een aparte keuze en standaard uit voor deze functie. Dat maakt toestemming en uitleg een concrete ontwerpvraag voor appbouwers, zonder dat de Italiaanse beschikking een nieuwe Nederlandse regel wordt.

Facebook koppelde galerijsuggesties aan één brede toestemming

De functie heet “Get suggestions from gallery when browsing Facebook” en is sinds 2023 beschikbaar. Tijdens het bladeren toonde de app foto’s en video’s uit de telefoongalerij als suggesties voor berichten. Facebook vroeg via Android één toestemming voor de hele app, ook voor functies met andere doelen. De voorafgaande melding sprak alleen algemeen over het inschakelen van extra functies. Het onderzoek begon in juli 2025 na een melding van het consumentenbeschermingscentrum in Bolzano en een technische analyse van de Garante.

De galerijsuggesties stonden bovendien standaard aan. Volgens de Garante kon de toestemming toegang geven tot het volledige fotoarchief, doorgaans blijvend, zonder dat gebruiker of toezichthouder kon controleren welke informatie de functie gebruikte. De autoriteit concludeerde dat de appbrede toestemming geen vrije, geïnformeerde en specifieke keuze voor deze functie opleverde.

Meta krijgt een aparte keuze en drie rapportagetermijnen

Binnen zestig dagen moet Meta apart en specifiek toestemming vragen. De uitleg moet vermelden waarvoor de functie dient, dat zij galerijtoegang nodig heeft en hoe de gebruiker haar uitschakelt. Meta moet de functie standaard uitzetten, ook voor mensen die eerder al Android-toestemming voor Facebook gaven. Na die termijn mag zij niet worden ingeschakeld zonder geldige toestemming.

Meta moet binnen dertig dagen de eerste stappen melden en binnen negentig dagen de uitgevoerde maatregelen. Bij de boete noemt de Garante circa twintig miljoen Android-gebruikers in Italië als factor. Ook wogen de duur van de overtreding, een eerdere maatregel uit 2019 en de beperkte medewerking van Meta mee. Volgens de toezichthouder liep de overtreding door voor mensen die de app niet bijwerkten en voor mensen die al toestemming hadden gegeven. De boete bedraagt ongeveer 0,47 procent van de wereldwijde groepsomzet. Aanpassingen na een consumentenmelding telden mee als verzachtende omstandigheid, maar waren volgens de toezichthouder laat en golden alleen voor gebruikers die de app bijwerkten.

De beschikking blijft binnen de Italiaanse zaak

Het besluit steunt op artikel 122 van de Italiaanse Privacycode, de nationale omzetting van de Europese ePrivacyrichtlijn. De Garante zegt dat toestemming nodig is voor toegang tot informatie op een smartphone, ook als geen gegevensoverdracht of schade is aangetoond. Zij wees Meta’s bezwaar over de bevoegdheid van de Ierse toezichthouder af, omdat de ePrivacyregels volgens haar geen eenloketregeling zoals de AVG kennen.

De beschikking gaat over Meta Platforms Ireland Limited en één Facebook-functie voor Android in Italië. Zij stelt geen nieuwe algemene regel voor Nederlandse apps vast. Een aparte New Mexico-zaak koppelde de rechter 567 miljoen dollar aan vijf jaar toezicht op wijzigingen aan Facebook en Instagram. Voor minderjarigen golden daar onder meer een limiet van 90 uur per maand en aangepaste meldingen. In een andere privacyzaak legde de rechter 25 miljard dollar aan civiele boetes op na 43.899.725 overtredingen van de consumentenwet. De juryzaak draaide om Facebooks uitspraken over het verzamelen, delen en gebruiken van gebruikersdata. Die Amerikaanse procedures hadden andere rechtsgronden en doelgroepen dan deze beoordeling van galerijtoegang.

Android biedt toegang per gekozen foto

Voor een app die een afbeelding wil uploaden, beschrijft Google de Photo Picker, waarmee gebruikers losse foto’s of video’s kiezen in plaats van toegang tot hun hele mediabibliotheek te geven. Dat biedt een technische route voor een upload zonder brede galerijmachtiging. Het is niet hetzelfde als een functie die zelf beelden doorzoekt en tijdens het gebruik suggesties toont.

De systeemkiezer beantwoordt ook niet vanzelf wat de app daarna met een geselecteerde foto doet of hoe lang zij die bewaart. Dat gebruik moet nog steeds worden uitgelegd. De AP meldde bij publicatie dat Meta nog niet direct had gereageerd.

Een cloudfunctie valt buiten dit onderzoek

De Garante zegt dat AI-training van foto’s geen onderdeel was van deze procedure, iets wat Meta ontkent. De toezichthouder wil een andere Meta-functie, die sinds 2026 galerijbeelden in de cloud kan verwerken, afzonderlijk beoordelen. Dit besluit stelt dus geen feit vast over training of die cloudfunctie.

Voor Nederlandse appbouwers verandert deze Italiaanse beschikking de regels niet. De ontwerpvraag die zij concreet maakt, is of de gevraagde toegang past bij de functie die erom vraagt en of de gebruiker dat vooraf begrijpt. De cloudverwerking wacht op een eigen beoordeling.