La multa de Meta en Italia ya tiene cifra: 805 millones de euros. El Garante, la autoridad italiana de protección de datos, concluye que la aplicación de Facebook para Android accedió a fotografías, vídeos y metadatos de unos 20 millones de usuarios sin consentimiento específico. La resolución se conoció este 14 de noviembre y recae sobre Meta Platforms Ireland Limited, la filial europea del grupo.
He leído el expediente y lo relevante no es la cuantía. Es el mecanismo: un permiso genérico, activado por defecto y presentado como una utilidad más de la plataforma. Ahí está el núcleo del asunto. El regulador no discute que Meta pidiera permiso; discute qué permiso pidió, cómo lo presentó y qué quedó autorizado en realidad.
Qué autorizaba exactamente el botón de la galería
La función se llama ‘Obtener sugerencias de la galería mientras navegas por Facebook’. Está disponible desde 2023 y usa las fotos y los vídeos guardados en el teléfono para proponer contenidos que el usuario puede publicar en la red social. El resumen técnico del expediente permite ordenar los hechos:
- Un solo permiso bajo la etiqueta ‘habilitar otras funciones’, válido para toda la plataforma y activado por defecto.
- El aviso no explicaba que ese permiso habilitaba también las sugerencias de publicación en el muro.
- Todo el archivo fotográfico quedaba expuesto de forma permanente, sin que el usuario ni el propio regulador pudieran comprobar qué archivos se empleaban.
- La base jurídica invocada no es el RGPD en sentido estricto, sino el artículo 122 del Código italiano de Privacidad, que incorpora la directiva europea ePrivacy.
La investigación arrancó en julio de 2025, tras una denuncia del Centro de Protección de los Consumidores y Usuarios de Bolzano, y se apoyó en un análisis técnico de la aplicación. Cabe recordar que la norma europea protege el dispositivo como parte de la esfera privada: cualquier acceso a los datos almacenados exige un consentimiento libre e informado, con independencia de que los datos se transmitan o de que exista un perjuicio demostrable.
Por qué la sanción llega a 805 millones
El Garante no fija sanciones al azar. Para calibrar el importe tuvo en cuenta el número de afectados, la duración de la infracción, un procedimiento anterior contra la compañía en 2019 y lo que el propio organismo describe como ‘escasa colaboración’ durante la instrucción. Como único atenuante valoró las modificaciones introducidas tras la denuncia, que consideró tardías y limitadas a quienes actualizan la aplicación.
«Cualquier acceso a los datos almacenados en el dispositivo requiere un consentimiento libre e informado, independientemente de que se transmitan o de que causen un perjuicio.» — Garante per la protezione dei dati personali, resolución sancionadora, noviembre de 2026
La cifra equivale al 0,47% de la facturación mundial del grupo. Puesta en perspectiva, es la sanción más alta que el regulador italiano ha impuesto a Meta, pero menos de medio punto de sus ingresos globales. Esa asimetría explica por qué Bruselas y los supervisores nacionales han ido desplazando el foco desde la multa hacia la obligación de rediseñar el producto.
Ahí está la parte verdaderamente operativa de la resolución. Meta dispone de 60 días para desactivar la función por defecto, incluso entre usuarios que ya concedieron el permiso de acceso a la galería, y deberá pedir un consentimiento específico y separado, explicar su finalidad, advertir de que implica acceso a fotos y vídeos e indicar cómo desactivarla. El plazo vence hacia mediados de enero de 2027.
Lo que veo en la estrategia del Garante
Lo que veo aquí es un cambio de doctrina en la vigilancia europea del dato. Durante años, el enforcement se concentró en la base jurídica del tratamiento; ahora se desplaza al diseño de la interfaz. Un permiso agrupado, activado por defecto y redactado en términos amables es, para este regulador, una forma de obtener consentimiento que no es consentimiento. Es la misma lógica que inspira los expedientes por dark patterns abiertos en varios países del entorno.
Hay tres contradicciones que los datos no resuelven. La primera: el expediente no aborda el posible uso de esas imágenes para entrenar sistemas de inteligencia artificial, acusación que Meta niega, aunque el Garante se reserva abrir investigaciones independientes sobre una función lanzada en 2026 que procesa en la nube los archivos de la galería. La segunda: la compañía puede recurrir ante la justicia ordinaria italiana, y un fallo favorable convertiría la sanción en un precedente incómodo para el regulador. La tercera: Europa carece todavía de una doctrina homogénea sobre permisos agrupados en aplicaciones móviles.
Mi lectura es que la batalla relevante no será el importe, sino el rediseño. Si el consentimiento separado se implanta como estándar, el coste real para Meta no se mide en millones de euros, sino en la calidad del dato que alimenta su segmentación publicitaria. Ese es el punto que conviene seguir: la respuesta de la compañía en el plazo de 60 días y la eventual apertura del expediente sobre la función en la nube.
🌍 El impacto en España y Europa
El efecto directo en España es indirecto, pero real. La transmisión al Euríbor es nula: esta sanción no mueve tipos ni afecta a las hipotecas variables. El impacto viaja por otra vía, la del mercado publicitario digital del que dependen miles de pymes y agencias españolas.
- Publicidad digital: si el consentimiento separado reduce la señal disponible, encarece el coste por impresión y complica la planificación de campañas de las empresas españolas que compran inventario en Meta.
- Reguladores nacionales: la Agencia Española de Protección de Datos ya ha sancionado prácticas de permisos agrupados, y esta resolución refuerza su criterio interpretativo.
- Consumidor: se refuerza el derecho a decidir qué archivos ve una aplicación, con efectos prácticos sobre la privacidad del teléfono.
- Empresas del IBEX: las áreas de marketing y compliance tendrán que revisar sus integraciones con SDK de terceros antes de renovar contratos anuales.
En paralelo, Bruselas observa. Una sanción de este tamaño en un Estado miembro presiona para armonizar la aplicación de ePrivacy en toda la eurozona y añade argumentos a quienes piden que la Comisión actúe de oficio sobre los permisos por defecto en el móvil.
