Italia multa a Meta con US$887M por las fotos de Facebook

El Garante italiano multa a Meta con 805 millones de euros: qué pasó

El Garante —la autoridad italiana de protección de datos— sancionó a Meta Platforms Ireland Limited con 805 millones de euros (unos US$887 millones) por acceder a las fotos, vídeos y metadatos de la galería de móviles Android de usuarios de Facebook sin consentimiento específico. La sanción, publicada el 14 de noviembre de 2026, equivale a cerca del 0,47 % de la facturación global del grupo, según el propio regulador.

Para un founder, la cifra es lo menos relevante. Lo importante es el mecanismo jurídico que usó Italia para llegar hasta ahí: el Garante no aplicó el RGPD, sino las normas de ePrivacy (artículo 122 del código de privacidad italiano), que no tienen ventanilla única. Traducción: cualquier regulador nacional europeo puede sancionar por su cuenta cuando el asunto toca el dispositivo del usuario.

¿Qué hizo Meta exactamente?

La función se llama «Obtener sugerencias de la galería mientras navegas por Facebook». Está disponible desde 2023 y ofrece fotos y vídeos guardados en el teléfono como ideas para publicar mientras el usuario navega por la red social.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El problema no fue la función, sino cómo se pidió el permiso:

Facebook solicitaba el acceso a la galería como un permiso único para toda la app, tras un aviso genérico («habilitar otras funciones»).
El usuario no podía distinguir que ese mismo «sí» activaba también las sugerencias de publicación.
La opción venía activada por defecto.
Según el Garante, el acceso al archivo fotográfico completo, metadatos incluidos, podía ser permanente en la mayoría de los casos.

El regulador estimó que unos 20 millones de usuarios de Android en Italia quedaron afectados. La investigación arrancó en julio de 2025, después de una denuncia del Centro de Protección de los Consumidores y Usuarios de Bolzano, y se apoyó en un análisis técnico.

Por qué ePrivacy y no el RGPD: el fin del escudo irlandés

Aquí está el precedente que debería preocupar a Meta más que la cifra.

Meta alegó que el caso correspondía a Irlanda, donde tiene su sede europea y donde el RGPD concentra la supervisión transfronteriza mediante el mecanismo de ventanilla única. El Garante rechazó el argumento: no estaba aplicando el RGPD, sino ePrivacy, un marco que no tiene ventanilla única.

El artículo 122 del código italiano trata el smartphone como parte de la esfera privada de la persona. Bajo esa lectura, cualquier acceso a los datos almacenados en el dispositivo exige un consentimiento libre e informado, sin importar si los archivos salen del teléfono o si se demuestra un perjuicio concreto.

Para dimensionar la sanción: queda cerca de los 825 millones de euros que Países Bajos impuso a Uber y por debajo de los 1.200 millones que Meta recibió bajo el RGPD por sus transferencias de datos, según las cifras difundidas sobre el caso.

Las agravantes que inflaron la multa

El Garante detalló qué pesó en la cuantía:

El elevado número de afectados (unos 20 millones).
La duración de la infracción.
Un procedimiento previo contra Meta en 2019.
La «escasa colaboración» de la compañía durante la investigación.

Como único atenuante valoró los cambios que Meta introdujo tras la denuncia, pero los consideró tardíos y limitados a quienes actualizan la app. Ese detalle importa: si tu producto corrige un flujo de consentimiento, la corrección solo cuenta si llega a toda la base instalada, no solo a la última versión.

Meta respondió que la evaluación de los hechos, la interpretación de la ley y el tamaño de la multa son desproporcionados, y anunció que recurrirá. La compañía sostiene que el usuario debe conceder el permiso en su dispositivo y puede retirarlo cuando quiera desde los ajustes.

Qué debe cambiar Meta en 60 días

La orden no es solo económica. Meta tiene 60 días para:

Solicitar un consentimiento específico y separado para la función de sugerencias de galería.
Explicar con claridad para qué necesita el acceso a fotos y vídeos.
Detallar cómo el usuario puede desactivarla.
Mantener la función apagada por defecto, incluso para quienes ya habían dado acceso general.

El expediente no examinó si el contenido de las galerías se usó para entrenar sistemas de IA, algo que Meta niega. El Garante se reservó además la posibilidad de abrir investigaciones independientes sobre una nueva función, lanzada en 2026, que permite procesar en la nube los archivos de la galería.

¿Qué significa esto para tu startup?

El caso no es una historia sobre Meta. Es una advertencia sobre el diseño de permisos, y aplica a cualquier app que pida acceso a cámara, galería, contactos o ubicación.

1. Deja de agrupar permisos por conveniencia. El «sí» general que cubre diez usos distintos es exactamente lo que estas sanciones empiezan a desmontar. Si tu app accede a la galería para una función concreta, ese acceso necesita su propio aviso y su propia decisión del usuario.

2. Nada de opt-out silencioso. Si una función viene activada por defecto y solo se apaga rebuscando en ajustes, el consentimiento no es libre. Bajo ePrivacy, el acceso al dispositivo requiere una acción afirmativa del usuario.

3. Revisa tu exposición si operas en Europa. Bajo ePrivacy, un regulador nacional puede actuar sin esperar al de tu país de establecimiento. Si vendes en Italia, España o Países Bajos, tu interlocutor ya no es solo la autoridad de tu sede.

4. Documenta el aviso, no solo el checkbox. El Garante cuestionó que ni el usuario ni el propio regulador pudieran comprobar qué información se usaba. Guarda registro de qué texto vio el usuario, cuándo y con qué finalidad declarada.

5. Trata la corrección como un despliegue, no como un parche. Los cambios de Meta llegaron tarde y solo a quien actualizaba. Si tocas un flujo de consentimiento, planifica cómo llega a toda la base instalada.

Conclusión

La multa de 805 millones de euros es la mayor que el Garante italiano ha impuesto a una tecnológica, según los reportes del caso, pero el número se diluye: representa menos del 0,5 % de la facturación de Meta. Lo que no se diluye es la vía jurídica. Al apoyarse en ePrivacy en lugar del RGPD, Italia demostró que el escudo de la ventanilla única irlandesa no cubre todo lo que toca el teléfono del usuario.

Para los founders, el mensaje es operativo: el consentimiento granular dejó de ser una buena práctica de compliance y pasó a ser una condición de diseño. Cada permiso que pides debería poder explicarse en una frase y rechazarse sin perder el resto de la app.