Lo esencial
El regulador italiano de privacidad sostiene que un único permiso de Android agrupado no cuenta como consentimiento para escanear la galería de fotos de un usuario. Meta debe desactivar por defecto la función de Facebook y pedir un consentimiento separado en un plazo de 60 días. Si su app lee el almacenamiento del dispositivo para una función secundaria, compruebe su flujo de consentimiento con el mismo criterio. Nuestro equipo de consultoría de cumplimiento del RGPD puede ayudarle con esa revisión.
¿Qué decidió el Garante?
El Garante concluyó que la app de Facebook para Android accedía a fotos, vídeos y metadatos asociados en los teléfonos de usuarios italianos sin consentimiento específico y sin informarles. La autoridad, el Garante per la protezione dei dati personali de Italia, anunció la sanción el 14 de noviembre de 2026.
La función, que Associated Press describió como «Get suggestions from gallery when browsing Facebook», propone imágenes de la galería del teléfono como ideas para nuevas publicaciones. Funciona desde 2023 y estaba activada por defecto.
¿Qué falló, entonces? Sobre todo, la forma de solicitar el acceso. Facebook pedía acceso a la galería mediante una única autorización genérica que abarcaba varias funciones de la app, tras un aviso poco claro. Según el regulador, los usuarios no podían saber que también estaban activando las sugerencias de la galería.
¿Por qué la multa es tan elevada?
El Garante señaló tres circunstancias agravantes:
- Escala. Hasta 20 millones de usuarios de Android en Italia podrían haberse visto afectados.
- Cooperación. La autoridad citó la escasa cooperación de Meta durante la investigación, que comenzó en 2025.
- Antecedentes. Se remitió a una sanción de 2019 contra la empresa.
Eso sí, reconoció a Meta algunos cambios correctivos, que calificó de tardíos y limitados. Reuters informó de que Meta tiene previsto recurrir y califica la multa de desproporcionada. Un portavoz afirmó que los usuarios deben conceder el permiso en su dispositivo para que la función esté operativa y pueden cambiarlo en cualquier momento.
¿Qué debe cambiar Meta y en qué plazo?
| Plazo | Orden |
|---|---|
| 30 días | Informar al Garante de las medidas que ha puesto en marcha |
| 60 días | Pedir un consentimiento separado y específico que explique la función y por qué necesita la galería |
| 60 días | Desactivar la función por defecto para todos los usuarios |
| 90 días | Informar de las medidas de cumplimiento adoptadas |
La investigación no examinó si el contenido de la galería se utilizó para entrenar modelos de IA. El Garante indicó que evaluará por separado una función más reciente, de 2026, que procesa el contenido de la galería en la nube.
Qué significa para los equipos de software de EE. UU. y la UE
Un permiso del sistema operativo no es consentimiento
La defensa de Meta fue que el propio Android pregunta antes al usuario. El regulador lo rechazó. Según las normas de ePrivacy, leer datos almacenados en un teléfono requiere un consentimiento libre e informado para esa finalidad. Un cuadro de diálogo del sistema que abarca muchas funciones no supera esa prueba, aunque los datos nunca salgan del dispositivo.
Las funciones secundarias necesitan su propia aceptación expresa
Las subidas principales, como adjuntar una foto a una publicación, son lo que el usuario ha pedido. El escaneo proactivo para sugerir contenido es una finalidad distinta. Los equipos que trabajan en desarrollo para Android deberían separar estos flujos en tres pasos:
- Una explicación de la función dentro de la app y de por qué necesita la galería.
- Un interruptor independiente, desactivado por defecto.
- El aviso de permiso del sistema.
Priorice el selector de fotos del sistema
El selector de fotos de Android y el acceso limitado a la fototeca de iOS permiten al usuario entregar elementos sueltos sin exponer toda la galería. Google Play ya restringe los permisos amplios de fotos y vídeos a las apps cuya función principal los necesita. A menudo es también la solución más barata, porque un solo cambio reduce a la vez el riesgo en la revisión de la tienda y el riesgo de privacidad.
El tratamiento en la nube y con IA eleva el listón
Si su app envía contenido de la galería a un servidor para etiquetado, búsqueda o sugerencias con IA, trátelo como una nueva finalidad. Eso implica un nuevo consentimiento, una evaluación de impacto relativa a la protección de datos (EIPD/DPIA) en virtud del RGPD y una respuesta clara sobre si el contenido entrena modelos. Qué significa para el mercado español: en España, la regla de la Directiva ePrivacy sobre el acceso a la información almacenada en el dispositivo está recogida en la LSSI, y la AEPD aplica el RGPD a los datos que se obtienen así. Los equipos que publican aplicaciones Android para usuarios en España deberían revisar sus flujos de permisos con el mismo criterio que aplicó el Garante italiano: explicación propia de cada función, consentimiento separado y desactivación por defecto.
¿Cómo deberían responder los equipos?
- Inventaríe el acceso al almacenamiento. Enumere cada punto en el que sus apps móviles leen fotos, archivos, contactos o ubicación, y qué función utiliza cada uno.
- Vincule cada finalidad a un consentimiento. Cada finalidad no esencial recibe su propia explicación y aceptación expresa, registrada con marca de tiempo.
- Desactivado por defecto. Toda función proactiva que escanee contenido del dispositivo se publica desactivada.
- Pase a los selectores. Sustituya los permisos amplios de multimedia por el selector del sistema siempre que la función lo permita.
- Revise el uso en el servidor. Documente si el contenido del dispositivo se sube, cuánto tiempo se conserva y si alimenta el entrenamiento de IA.
Preguntas frecuentes
¿Por qué Italia multó a Meta con 805 millones de euros?
La autoridad italiana de protección de datos concluyó que la app de Facebook para Android accedía a fotos, vídeos y metadatos de las galerías de los teléfonos de los usuarios para una función de sugerencia de publicaciones sin consentimiento específico. La función estaba activada por defecto desde 2023 y se basaba en un único permiso genérico que abarcaba varias funciones. La decisión se anunció el 14 de noviembre de 2026.
¿Qué norma infringió Meta: el RGPD o la Directiva ePrivacy?
El Garante basó la decisión en el artículo 122 del Código de Privacidad italiano, que transpone la Directiva ePrivacy de la UE. Esa norma considera el smartphone parte de la esfera privada del usuario, por lo que leer los datos almacenados en él requiere un consentimiento libre e informado. El RGPD sigue rigiendo cualquier tratamiento posterior de datos personales.
¿Un permiso de Android en tiempo de ejecución cuenta como consentimiento?
Por sí solo, no, según esta resolución. El aviso del sistema demuestra que el usuario permitió el acceso, pero no que entendiera cada finalidad. Las funciones que van más allá de la acción principal solicitada por el usuario necesitan su propia explicación y su propia aceptación expresa.
¿Recurrirá Meta la multa?
Sí. Reuters informó de que Meta tiene previsto recurrir y considera la multa desproporcionada. Un portavoz de Meta afirmó que los usuarios deben conceder el permiso en su dispositivo para que la función esté operativa y pueden cambiar ese permiso en cualquier momento.
Fuentes
Garante per la protezione dei dati personali — Facebook: il Garante Privacy sanziona Meta per 805 milioni di euro (fuente primaria, 14 de noviembre de 2026) (en italiano)
Reuters via CNBC — Italy fines Meta $887 million over Android users’ data access (14 de noviembre de 2026) (en inglés)
Associated Press via ABC News — Meta fined $887M in Italy over Android gallery photos, videos on Facebook (14 de noviembre de 2026) (en inglés)
Bloomberg — Italy Fines Meta €805 Million Over Access to Users’ Photos (14 de noviembre de 2026) (en inglés)