L’Italie inflige à Meta une amende de 805 millions d’euros pour l’accès de l’application Facebook Android aux photothèques des utilisateurs

L’autorité italienne chargée de la protection des données a infligé une amende de 805 millions d’euros à Meta Platforms Ireland Limited. En cause : une fonctionnalité de Facebook sur Android qui accédait aux photothèques des utilisateurs sans avoir recueilli un consentement suffisamment spécifique et éclairé.

Annoncée le 14 novembre, la décision porte sur une fonctionnalité qui proposait des contenus issus de la galerie de l’appareil pendant la navigation sur Facebook. Selon les conclusions du régulateur, celle-ci était activée par défaut depuis 2023 et pouvait accéder aux photos, aux vidéos ainsi qu’aux métadonnées associées présentes sur les appareils des utilisateurs italiens.

Pour les utilisateurs de cryptomonnaies, cette affaire met en lumière un risque qui dépasse largement les réseaux sociaux : la photothèque d’un téléphone peut contenir des informations susceptibles de compromettre l’accès à un portefeuille, de révéler des transactions ou d’exposer l’identité de son propriétaire. Une application n’a pas besoin d’être un portefeuille crypto pour accéder à des données sensibles liées aux cryptomonnaies dès lors qu’elle peut consulter les fichiers multimédias de l’appareil.

Les conclusions du régulateur italien

L’autorité a estimé que le processus d’autorisation de Facebook sur Android ne permettait pas aux utilisateurs de faire un choix suffisamment clair concernant la fonctionnalité de suggestions issues de la galerie. Une autorisation générale s’appliquait à l’ensemble de l’application, au lieu de recueillir un consentement distinct et éclairé pour cet usage précis.

Le régulateur a également constaté que ce dispositif permettait un accès continu à la galerie de l’appareil, sans que les utilisateurs ni l’autorité puissent vérifier de manière indépendante l’étendue exacte de l’utilisation des contenus concernés.

La décision s’appuie sur l’article 122 du code italien de la protection de la vie privée, qui transpose les garanties prévues par la directive européenne « vie privée et communications électroniques ». Le régulateur a souligné que les informations stockées sur un téléphone relèvent de la sphère privée de leur propriétaire. Selon son analyse, leur consultation nécessitait un consentement valable, que les données aient ou non été transmises à un tiers et qu’un préjudice concret ait déjà été constaté ou non.

Meta soutenait que cette affaire relevait de la compétence de l’autorité irlandaise de protection des données. L’autorité italienne a rejeté cet argument, considérant que le mécanisme européen de « guichet unique » applicable aux traitements transfrontaliers ne concernait pas cette procédure engagée au titre de la directive ePrivacy.

Pourquoi l’amende est-elle si élevée ?

Pour fixer le montant de l’amende à 805 millions d’euros, l’autorité a tenu compte de plusieurs facteurs :

• Environ 20 millions d’utilisateurs d’Android en Italie auraient pu être concernés.
• La pratique s’était poursuivie pendant une longue période.
• Meta avait déjà fait l’objet de mesures coercitives remontant à 2019.
• Le régulateur a jugé insuffisante la coopération de l’entreprise au cours de l’enquête.

Selon l’évaluation réalisée dans le cadre de la procédure, le montant de l’amende représente environ 0,47 % du chiffre d’affaires mondial de Meta.

Meta a reçu l’ordre de désactiver la fonctionnalité par défaut dans un délai de 60 jours, d’en expliquer l’objectif et la procédure de désactivation, puis d’obtenir un consentement distinct et explicite avant toute activation. L’entreprise devra également rendre compte de l’avancement des mesures correctives après 30 puis 90 jours.

Cette affaire n’a pas établi que le contenu des galeries avait servi à entraîner des modèles d’intelligence artificielle ; Meta a nié toute utilisation de ce type. Une autre fonctionnalité de traitement des photos dans le cloud, prévue pour 2026, fera l’objet d’une évaluation distincte.

Pourquoi les autorisations d’accès aux photos sont importantes pour les utilisateurs de cryptomonnaies

Une galerie peut sembler ne contenir que des images ordinaires, mais elle est également susceptible de révéler des informations sur les actifs numériques d’une personne. Captures d’écran, fichiers téléchargés et photos peuvent notamment contenir :

• Des phrases de récupération ou des clés privées enregistrées lors de la configuration d’un portefeuille.
• Des adresses de portefeuilles, des historiques de transactions ou des soldes de comptes.
• Des codes QR utilisés pour accéder à un portefeuille, effectuer des paiements ou récupérer un compte.
• Des pièces d’identité transmises dans le cadre de la vérification effectuée par une plateforme d’échange.
• Des informations de voyage, de localisation ou de contact intégrées aux métadonnées des images.

Toutes ces informations ne permettent pas nécessairement de prendre directement le contrôle des fonds. Une adresse de portefeuille, par exemple, est généralement publique. Toutefois, en l’associant à un nom ou à un autre élément d’identification, il devient plus facile de relier une activité sur la blockchain à une personne réelle. Une phrase de récupération ou une clé privée est bien plus sensible : toute personne qui y accède peut potentiellement prendre le contrôle des actifs correspondants.

Cette distinction est importante, car les blockchains offrent de la transparence, mais pas un anonymat automatique. La présentation des comptes publiée par la Fondation Ethereum explique que leur contrôle repose sur les clés privées. Il est indispensable de protéger ces clés, mais il est tout aussi important de limiter l’exposition inutile des informations personnelles qui les entourent.

Comment réduire votre exposition

Cette décision rappelle l’importance de vérifier les données auxquelles les applications peuvent accéder, en particulier sur les appareils utilisés pour effectuer des transactions en cryptomonnaies.

1. Vérifiez les autorisations d’accès aux photos et aux vidéos. Passez en revue les applications autorisées à consulter vos fichiers multimédias et révoquez les permissions dont elles n’ont pas besoin. Lorsque cette option est disponible, accordez uniquement l’accès à certaines images plutôt qu’à l’ensemble de la photothèque. Android présente les différentes possibilités dans sa documentation consacrée au sélecteur de photos.
2. Ne conservez pas vos phrases de récupération dans votre galerie. Évitez de photographier une phrase de récupération, d’en faire une capture d’écran ou de l’enregistrer dans une application de notes ou une photothèque en ligne. Privilégiez une sauvegarde hors ligne conservée dans un endroit sûr.
3. Soyez prudent avec les captures d’écran. Avant d’enregistrer ou de partager une image, vérifiez qu’elle ne révèle pas de solde, d’adresse, de code QR, d’identifiant de compte ou d’information personnelle.
4. Contrôlez vos sauvegardes dans le cloud. Supprimer une image sensible de votre téléphone ne signifie pas nécessairement que toutes les copies synchronisées disparaissent immédiatement. Vérifiez les services de sauvegarde associés ainsi que leurs paramètres de suppression.
5. Réexaminez les autorisations après les mises à jour. Les fonctionnalités et les demandes d’autorisation peuvent évoluer. Un contrôle régulier permet de s’assurer qu’une permission accordée par le passé correspond toujours à la manière dont vous souhaitez que l’application fonctionne.

L’enseignement général pour la sécurité des actifs numériques

La décision visant Meta met en évidence une distinction à laquelle les utilisateurs de cryptomonnaies sont confrontés au quotidien : autoriser l’utilisation d’une application ne signifie pas nécessairement consentir de manière éclairée à toutes les façons dont celle-ci peut accéder aux données de l’appareil.

L’auto-garde rend les utilisateurs responsables de leurs clés, mais une sécurité efficace doit également prendre en compte tout l’environnement qui les entoure. Un portefeuille matériel tel que OneKey peut contribuer à maintenir les clés privées séparées du téléphone ou de l’ordinateur lors d’une utilisation normale. En revanche, il ne peut pas empêcher d’autres applications d’accéder aux photos que vous les avez autorisées à consulter, ni protéger une phrase de récupération qui aurait été photographiée et enregistrée dans la galerie.

La meilleure stratégie consiste donc à associer un stockage sécurisé des clés, une gestion rigoureuse des autorisations de l’appareil et une sauvegarde hors ligne de la phrase de récupération.