Ý phạt Meta 805 triệu euro vì tự ý truy cập ảnh người dùng

Ý phạt Meta 805 triệu euro (887 triệu USD) vì Facebook trên Android tự ý truy cập ảnh và video của người dùng. Meta có 60 ngày để tắt mặc định tính năng này và xin cấp quyền riêng.

Thông cáo của cơ quan này, thường gọi tắt là Garante, cho biết công ty bị phạt là Meta Platforms Ireland Limited. Thông qua ứng dụng Facebook trên Android, công ty đã truy cập ảnh, video và các siêu dữ liệu liên quan được lưu trên điện thoại của người dùng tại Ý “mà không có sự đồng ý riêng và không thông báo đầy đủ cho họ”.

Quyết định liên quan đến tính năng “Nhận gợi ý từ thư viện ảnh khi lướt Facebook”, được triển khai từ năm 2023. Khi người dùng lướt Facebook, tính năng này gợi ý ảnh và video trong thư viện ảnh trên điện thoại để họ có thể đăng lên nền tảng.

Cuộc điều tra bắt đầu vào tháng 7/2025, bắt nguồn từ đơn phản ánh của Trung tâm Bảo vệ người tiêu dùng Bolzano, đồng thời sử dụng một phân tích kỹ thuật do chính Garante thực hiện.

Cấp một quyền truy cập cho nhiều tính năng

Kết quả kiểm tra cho thấy Facebook yêu cầu quyền truy cập thư viện ảnh thông qua một lần cấp quyền duy nhất, áp dụng chung cho toàn bộ ứng dụng và nhiều tính năng có mục đích sử dụng khác nhau. Trước khi cấp quyền, người dùng chỉ thấy một thông báo mơ hồ với nội dung “bật các tính năng khác”, nên không biết rằng mình cũng đang cho phép Facebook đưa ra gợi ý từ thư viện ảnh. Tính năng gợi ý này còn được bật sẵn theo mặc định.

Cơ quan này lưu ý rằng, nếu người dùng cấp quyền đầy đủ, ứng dụng có thể truy cập toàn bộ thư viện ảnh trên thiết bị, và quyền này thường được duy trì vô thời hạn. “Cả người dùng lẫn Garante đều không thể kiểm tra những thông tin nào thực sự được sử dụng.”

Meta bị xử lý theo Điều 122 Bộ luật Quyền riêng tư của Ý, điều khoản đưa chỉ thị ePrivacy của Liên minh châu Âu (EU) vào luật trong nước. Garante nhấn mạnh rằng quy định này xem điện thoại thông minh là không gian riêng tư của mỗi cá nhân. Vì vậy, mọi hoạt động truy cập thông tin trong thiết bị đều phải có sự đồng ý tự nguyện của người dùng sau khi họ được cung cấp đầy đủ thông tin, bất kể dữ liệu có bị gửi đi hay có gây thiệt hại hay không.

Meta cho rằng vụ việc thuộc thẩm quyền của cơ quan bảo vệ dữ liệu Ireland. Tuy nhiên, Garante bác bỏ lập luận này vì cơ chế “một cửa” không áp dụng đối với các quy định của ePrivacy.

Cuộc điều tra không xem xét việc nội dung trong thư viện ảnh có thể được sử dụng để huấn luyện trí tuệ nhân tạo (AI), điều mà Meta phủ nhận. Garante cho biết vẫn bảo lưu quyền xem xét riêng đối với một tính năng mới ra mắt năm 2026, cho phép xử lý nội dung trong thư viện ảnh thông qua dịch vụ đám mây.

Hạn 60 ngày để khắc phục

Trong vòng 60 ngày, Meta phải yêu cầu người dùng cấp sự đồng ý riêng cho tính năng này. Công ty cũng phải giải thích rõ mục đích sử dụng, việc tính năng truy cập thư viện ảnh và cách tắt tính năng. Tính năng phải được đặt ở chế độ tắt theo mặc định, kể cả đối với những người đã cấp quyền trước đó.

Nếu không khắc phục đúng thời hạn, Meta không được kích hoạt tính năng này đối với những người dùng chưa đồng ý hợp lệ. Công ty cũng phải báo cáo với Garante về các bước triển khai trong vòng 30 ngày và các biện pháp khắc phục đã thực hiện trong vòng 90 ngày.

Khoản phạt tương đương khoảng 0,47% doanh thu toàn cầu của tập đoàn. Khi quyết định mức phạt, Garante xem xét số lượng người bị ảnh hưởng rất lớn, khoảng 20 triệu người dùng Android tại Ý, cùng thời gian vi phạm. Theo cơ quan này, hành vi vi phạm đến nay vẫn tiếp diễn đối với những người chưa cập nhật ứng dụng hoặc đã cấp quyền thông qua hệ thống. Garante cũng tính đến một quyết định xử lý Meta năm 2019 và mức độ hợp tác hạn chế của công ty trong quá trình điều tra.

Những thay đổi Meta thực hiện sau đơn phản ánh được xem là tình tiết giảm nhẹ, nhưng Garante đánh giá rằng các biện pháp này được triển khai muộn và chỉ áp dụng đối với người dùng cập nhật ứng dụng.

Meta chưa đưa ra phản hồi ngay khi được đề nghị bình luận, hãng tin Reuters cho biết.

Xem thêm: