Contexte juridique

Le Garante per la protezione dei dati personali, autorité italienne de protection des données, a infligé à Meta une amende de 805 millions d’euros. La sanction repose sur le non‑respect du Règlement général sur la protection des données (RGPD), notamment les articles 5 et 6 qui imposent le consentement explicite avant tout traitement de données personnelles. La décision cite une violation du principe de licéité, la collecte d’images d’utilisateurs étant réalisée sans que ceux‑ci aient donné leur accord éclairé.

Mécanisme d’accès aux médias sous Android

Sur les appareils Android, l’accès aux fichiers multimédias est régulé par le système de permissions runtime. Jusqu’à Android 9, les applications pouvaient déclarer android.permission.READ_EXTERNAL_STORAGE dans le manifeste et obtenir l’accès dès l’installation. Depuis Android 10, le modèle « scoped storage » restreint les lectures de la galerie aux seules demandes explicites de l’utilisateur via une boîte de dialogue. Le rapport de l’autorité indique que l’application Facebook a contourné ce mécanisme, lisant les images stockées en arrière‑plan sans déclencher la demande de permission.

<uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>

Le code montre que le SDK de Meta invoque l’API MediaStore.Images.Media pour récupérer les URI des photos, puis les transmet à ses serveurs d’analyse. Aucun écran de consentement n’est présenté, ce qui constitue une violation directe du flux de permission introduit par Android 10.

Analyse des implications techniques et de conformité

Techniquement, l’accès non autorisé expose les utilisateurs à un profilage basé sur leurs contenus visuels, augmentant les risques de dérives de ciblage publicitaire. La collecte massive d’images sans consentement crée également une surface d’attaque supplémentaire, car chaque image transférée peut contenir des métadonnées EXIF révélant la localisation ou l’appareil utilisé.

Sur le plan de la conformité, la sanction italienne représente l’une des plus élevées appliquées depuis l’entrée en vigueur du RGPD en 2018. Le montant de 805 M€ dépasse largement le plafond de 4 % du chiffre d’affaires mondial habituellement utilisé comme base de calcul, ce qui indique que l’autorité a considéré la gravité de la violation comme aggravante.

Perspectives et mesures correctives

Meta devra mettre à jour le SDK Facebook pour Android afin d’intégrer le dialogue de consentement prévu par le système d’exploitation. Une révision du flux de collecte, incluant la journalisation explicite du consentement et la limitation des métadonnées transférées, est attendue pour éviter de nouvelles sanctions. Le cas souligne l’importance pour les éditeurs d’applications de synchroniser leurs pratiques de collecte de données avec les évolutions du modèle de permission Android, sous peine de sanctions financières majeures.