Meta multada em 805 milhões: o que a decisão italiana revela sobre o acesso às fotografias nos telemóveis
A autoridade italiana de proteção de dados anunciou neste sábado, 14 de novembro de 2026, uma multa de 805 milhões de euros à Meta Platforms Ireland Limited por acesso a fotografias, vídeos e metadados guardados em dispositivos Android através da aplicação Facebook sem consentimento específico e informação adequada. O caso diz respeito a utilizadores em Itália e a uma função que apresenta sugestões de conteúdos a partir da galeria do telemóvel. A decisão foi divulgada pelo Garante per la Protezione dei Dati Personali e noticiada durante a tarde por agências internacionais.
A dimensão da sanção tornou-se um marco europeu no debate sobre permissões digitais e tratamento de dados, com interesse direto para utilizadores portugueses que dependem dos mesmos sistemas operativos e aplicações. Porém, não existe nesta decisão uma conclusão de que fotografias de utilizadores de Portugal tenham sido acedidas da mesma forma ou que tenha ocorrido uma intrusão informática. A irregularidade identificada pelo regulador é jurídica e tecnológica: a insuficiência da informação e do consentimento, não a demonstração de um ataque de hackers.
O mecanismo examinado pela autoridade italiana
A função investigada chama-se «Obter sugestões da galeria ao navegar no Facebook», numa tradução da designação italiana divulgada pelo regulador. Introduzida em 2023, apresenta ao utilizador propostas de fotografias e vídeos guardados no telefone que poderiam ser publicados na plataforma.
A autoridade concluiu que o acesso ocorria no âmbito de uma autorização geral concedida à aplicação Android, utilizada para várias funções com finalidades diferentes. O pedido era precedido por um aviso genérico que não esclarecia suficientemente que a permissão permitiria também sugestões baseadas na galeria privada.
A funcionalidade encontrava-se ativa por predefinição. Se a autorização fosse concedida de forma ampla, a aplicação podia aceder ao arquivo fotográfico do dispositivo, sem que o utilizador ou a autoridade pudessem verificar com precisão quais os elementos efetivamente utilizados para essa finalidade, segundo o comunicado.
A permissão do sistema operativo não resolve tudo
É importante separar a permissão técnica concedida pelo Android do consentimento juridicamente válido para uma finalidade específica. Uma aplicação pode solicitar acesso a fotografias para permitir que a pessoa escolha uma imagem que pretende publicar. Isso não significa necessariamente que tenha explicado de forma adequada um acesso mais abrangente para sugestões automáticas.
O regulador considerou que a utilização de uma autorização comum a várias funções não proporcionava uma escolha suficientemente informada relativamente ao mecanismo em causa. A análise recaiu sobre o modo como a funcionalidade operava e era apresentada.
Esta distinção importa também em Portugal, onde várias aplicações podem recorrer a permissões do sistema operativo. Mas a conclusão italiana não transforma automaticamente todas as solicitações semelhantes em infrações: cada caso depende da finalidade, informação prestada, modo de funcionamento e legislação aplicável.
A regra jurídica referida não é apenas o RGPD
O Garante fundamentou a decisão no artigo 122.º do Código italiano de proteção de dados, que transpõe princípios europeus da diretiva ePrivacy relativos ao acesso a informação armazenada em equipamentos terminais. A autoridade descreveu o telemóvel como parte da esfera privada e afirmou que o acesso a informações nele guardadas exige consentimento livre e informado.
Este enquadramento não deve ser confundido com uma aplicação indiferenciada de todas as disposições do Regulamento Geral sobre a Proteção de Dados. O RGPD continua relevante para tratamentos de dados pessoais, mas a sanção anunciada identificou especificamente a disciplina italiana correspondente à proteção dos dispositivos no âmbito de ePrivacy.
A diferença tem implicações institucionais, incluindo a competência das autoridades. A Meta contestou a intervenção da autoridade italiana por entender que o assunto devia ser apreciado pela entidade irlandesa; o regulador rejeitou essa objeção, indicando que o mecanismo de balcão único do RGPD não se aplica da mesma forma às regras ePrivacy em questão.
A dimensão da multa e a base apresentada
O montante decidido foi de 805 milhões de euros, que o Garante apresentou como aproximadamente 0,47% do volume de negócios mundial do grupo. Não significa que 805 milhões tenham sido pagos neste sábado, nem que os utilizadores receberão automaticamente uma indemnização individual.
O regulador considerou a escala da utilização, estimando cerca de 20 milhões de utilizadores Android potencialmente abrangidos em Itália, a duração da prática e a sua permanência em determinadas versões ou configurações. Referiu ainda um procedimento anterior de 2019 e o que qualificou como colaboração insuficiente durante a investigação.
Ao mesmo tempo, assinalou como circunstâncias atenuantes alterações introduzidas após a denúncia, consideradas tardias e limitadas em alcance. Os fundamentos apresentados descrevem a avaliação da autoridade; o eventual recurso e os seus efeitos deverão ser acompanhados separadamente.
De onde nasceu a investigação
A autoridade italiana explicou que o procedimento começou em julho de 2025, após comunicação do Centro Tutela Consumatori Utenti, de Bolzano. A análise incluiu uma avaliação técnica do funcionamento da aplicação. A notícia nova de 14 de novembro é a divulgação da sanção e das medidas impostas, não uma investigação aberta hoje.
A cronologia importa por duas razões. Primeiro, demonstra que o exame incidiu sobre práticas e funcionalidades existentes há vários anos. Segundo, impede apresentar como ataque recente um comportamento cuja avaliação exigiu recolha e análise de informação durante um procedimento administrativo.
O jornal não teve acesso ao conjunto completo de dados técnicos utilizados pelos peritos. O conteúdo do comunicado oficial permite identificar o mecanismo e a decisão, mas não reconstruir individualmente cada acesso ocorrido num telefone.
O prazo de 60 dias e as medidas exigidas
O Garante ordenou que, no prazo de 60 dias, a Meta passe a solicitar consentimento distinto e específico para a funcionalidade, explicando claramente a finalidade, o acesso à galeria e o modo de desativação. Também determinou que a função permaneça desligada por predefinição, incluindo para pessoas que anteriormente tinham concedido a autorização geral.
A empresa deverá comunicar à autoridade, em 30 dias, as iniciativas que iniciou e, em 90 dias, as medidas efetivamente implementadas. Estes prazos têm bases e objetivos diferentes e não devem ser apresentados como três datas de pagamento da multa.
O não cumprimento poderá ter consequências regulatórias, mas o comunicado consultado não constitui prova de que a Meta já tenha ignorado as determinações. O resultado exigirá verificação de versões da aplicação e resposta institucional posterior.
O que a decisão não prova sobre inteligência artificial
O próprio regulador esclareceu que o procedimento não analisou a eventual utilização de fotografias e vídeos das galerias para treinar sistemas de inteligência artificial. A Meta negou essa utilização, e a autoridade reservou a possibilidade de examinar separadamente uma função de processamento na nuvem introduzida em 2026.
Esta ressalva deve ocupar lugar destacado na cobertura. Não existe fundamento para anunciar que a decisão provou treino clandestino de modelos com imagens pessoais dos utilizadores. A investigação incide sobre consentimento e acesso à informação armazenada nos dispositivos no contexto de uma funcionalidade concreta.
Um eventual inquérito futuro sobre processamento na nuvem exigirá provas próprias. A existência de uma nova função não demonstra, por si só, que tenha ocorrido transferência ilícita de todos os conteúdos privados.
O risco de confundir acesso, cópia, divulgação e ataque
Uma aplicação autorizada tecnicamente a ler a galeria pode gerar problemas de privacidade quando o utilizador não compreende o alcance da permissão. Mas há diferenças decisivas entre a capacidade técnica de acesso, o acesso efetivamente realizado, a transmissão para servidores, a publicação de imagens e o roubo de ficheiros por terceiros.
O comunicado italiano permite falar de acesso e falhas de consentimento, nos termos decididos pela autoridade. Não permite afirmar que fotografias privadas foram divulgadas publicamente ou vendidas no mercado clandestino, nem que houve intrusão de um serviço de inteligência.
A precisão terminológica evita criar pânico digital. Os riscos podem ser relevantes sem necessidade de os qualificar automaticamente como espionagem ou ciberataque.
Porque Portugal deve acompanhar a decisão
Os utilizadores portugueses recorrem às mesmas plataformas e a dispositivos Android, embora o âmbito factual da sanção divulgada esteja centrado em Itália. A relevância portuguesa é regulatória: o tratamento de informação armazenada no equipamento e a qualidade dos pedidos de consentimento são temas reconhecidos no quadro jurídico europeu.
Para comprovar uma infração equivalente em Portugal seria necessário examinar a versão e as configurações disponíveis aos utilizadores nacionais, o conteúdo dos pedidos de autorização e eventuais decisões da Comissão Nacional de Proteção de Dados ou de outros organismos competentes.
O jornal não identifica nenhuma sanção portuguesa ou reclamação individual ligada a esta decisão. A ausência desses dados significa que não devemos atribuir um dano nacional específico.
O que um utilizador pode verificar sem dramatizar o risco
Quem usa Facebook num dispositivo Android pode consultar as permissões concedidas à aplicação através das definições do telemóvel e examinar as opções de acesso a fotografias e vídeos. O percurso varia conforme a versão do sistema e da aplicação; não há razão para inventar nomes exatos de menus universais.
Também é útil verificar a finalidade declarada por cada permissão e se existem funcionalidades de sugestões automáticas relacionadas com a galeria. Quando uma opção não é necessária, o utilizador pode ponderar restringir o acesso, tendo em conta o funcionamento pretendido.
Estas verificações são medidas gerais de privacidade e não confirmam, por si só, que uma pessoa tenha sido afetada pela prática sancionada em Itália. A confirmação de tratamento específico exige documentação e informação do responsável pelo serviço.
Uma questão de confiança nas plataformas digitais
A sanção ilustra como decisões de interface e permissões podem ter consequências jurídicas e de confiança. Uma escolha apresentada como conveniente — sugerir automaticamente fotografias — exige compreender onde estão os dados, que informações são consultadas e o que o utilizador autorizou.
As empresas devem conseguir demonstrar a finalidade das operações e explicar opções relevantes sem depender exclusivamente de textos genéricos ou permissões amplas. As autoridades, por sua vez, têm de fundamentar a sua intervenção e permitir os mecanismos de contestação previstos.
Um número elevado de utilizadores potencialmente afetados não deve ser convertido automaticamente em 20 milhões de pessoas cujas fotos tenham sido copiadas ou publicadas. O comunicado usa uma estimativa de alcance da funcionalidade, e esse dado deve conservar o seu significado.
Questões para acompanhamento
Será necessário verificar se a Meta implementa as alterações dentro dos prazos anunciados, se apresenta recurso e que resposta pública fornece à fundamentação do Garante. Também será relevante apurar se autoridades de outros países europeus identificam situações semelhantes, sem pressupor que o resultado italiano se reproduzirá automaticamente.
Os documentos deverão distinguir a função analisada desde 2023 da ferramenta de processamento em nuvem introduzida em 2026. Misturar funcionalidades e períodos distintos poderia alterar indevidamente o alcance da decisão.
Outra pergunta essencial é a forma como novas versões da aplicação explicam o acesso a fotografias. A prova de conformidade não é um título de imprensa, mas uma implementação técnica e juridicamente verificável.
Balanço e consequência europeia
Está confirmada a decisão italiana de sancionar a Meta em 805 milhões de euros, o motivo ligado a acesso à galeria Android e as medidas de correção com prazo de 60 dias. O regulador identificou cerca de 20 milhões de utilizadores potencialmente abrangidos no país e invocou disposições italianas de ePrivacy.
Não está provado neste processo um ataque informático, divulgação de fotografias privadas, utilização de imagens para treinar IA ou aplicação da mesma prática a utilizadores portugueses. A fiscalização futura poderá ampliar os dados, mas não deve ser antecipada.
O interesse público é elevado precisamente porque uma funcionalidade quotidiana revelou uma diferença entre autorização técnica e consentimento específico. EL ESTÁNDAR Portugal acompanha a decisão como matéria de segurança digital e direitos dos cidadãos, com os limites da evidência bem definidos.
Fonte primária: Garante per la Protezione dei Dati Personali, comunicado oficial de 14/11/2026, documento 10321080; confirmação independente por Reuters e ANSA.
