Prescrizioni del Garante n. 694 del 13/11/2025

Rigetto del reclamo contro Meta Platforms Ireland Ltd per il mancato avvio del trattamento dei first party data per l’addestramento di modelli di IA generativa

Il Garante per la protezione dei dati personali ha deciso il rigetto del reclamo proposto nei confronti di Meta Platforms Ireland Ltd, relativo all’annunciato utilizzo dei contenuti pubblici condivisi dagli utenti di Facebook e Instagram per l’addestramento di modelli di intelligenza artificiale generativa. Il procedimento si è svolto nell’ambito del meccanismo dello sportello unico, con autorità capofila l’autorità di controllo irlandese.

Origine del procedimento e contenuto del reclamo

Il reclamo è stato presentato il 6 giugno 2024 da un cittadino italiano, rappresentato da NOYB ai sensi dell’art. 80, par. 1, GDPR, e integrato il 12 giugno 2024. L’interessato contestava l’annuncio di Meta di voler trattare i cd. first party data, ossia i dati pubblici condivisi dagli utenti sui social network Facebook e Instagram, per finalità di addestramento dei modelli di IA generativa della società.

Il reclamante ha dedotto preoccupazioni in materia di:

• trasparenza del trattamento;
• liceità del trattamento;
• esercizio dei diritti degli interessati;
• adeguate garanzie per il trattamento proposto.

Sono stati evocati, in particolare, i possibili profili di violazione degli artt. 6, 12, 13, 17, 18, 19, 21 e 25 GDPR.

Trasmissione all’autorità capofila e meccanismo di cooperazione

Il 31 luglio 2024 il reclamo è stato trasmesso all’autorità di controllo irlandese, competente quale autorità capofila ai sensi dell’art. 56 GDPR, poiché Meta Platforms Ireland Ltd ha il proprio stabilimento principale nell’Unione europea in Irlanda. Il caso è stato quindi trattato secondo il meccanismo di cooperazione e coerenza previsto dagli artt. 60 e seguenti del GDPR.

La DPC ha comunicato una bozza di decisione con cui proponeva il rigetto del reclamo. Nella motivazione preliminare è stato evidenziato che Meta, a decorrere dal 14 giugno 2024, aveva sospeso il programma di addestramento del proprio modello linguistico di grandi dimensioni tramite l’uso dei contenuti pubblici condivisi dagli utenti di Facebook e Instagram. Per effetto di tale sospensione, non è stato avviato alcun trattamento dei dati personali degli utenti dell’area SEE per le finalità oggetto di contestazione.

Valutazione del Garante e esito del reclamo

Il Garante ha preso atto che il reclamante non aveva formulato osservazioni sulla proposta di decisione preliminare, pur essendo stato sentito secondo l’ordinamento irlandese. Ha inoltre rilevato che nessuna obiezione pertinente e motivata era stata sollevata nel quadro della cooperazione tra autorità di controllo.

In tale contesto, la bozza di decisione è divenuta vincolante per l’autorità capofila e per le autorità interessate ai sensi dell’art. 60, par. 6, GDPR. Il Garante ha dunque ritenuto di dover adottare la decisione finale in conformità a tale esito, disponendo il rigetto del reclamo ai sensi dell’art. 60, par. 8, GDPR.

Profili normativi richiamati per la decisione finale

Il provvedimento richiama inoltre:

• l’art. 18, comma 5, del Regolamento n. 1/2019 del Garante, secondo cui, quando il Garante è autorità interessata destinataria di un reclamo, il procedimento si conclude con provvedimento ai sensi degli artt. 14, 15 e 16 del medesimo regolamento;
• l’art. 57, par. 1, lett. f), GDPR, in relazione ai compiti dell’autorità di controllo;
• l’art. 113, par. 2, lett. a), del Data Protection Act 2018 irlandese, quale base della proposta di rigetto;
• gli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, per l’eventuale opposizione giurisdizionale.

Effetti e impugnazione

Il provvedimento dispone il rigetto del reclamo nei confronti di Meta Platforms Ireland Ltd. Avverso l’atto può essere proposta opposizione davanti all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, oppure entro sessanta giorni se il ricorrente risiede all’estero, con ricorso depositato presso il tribunale del luogo in cui risiede o ha sede il titolare del trattamento oppure presso quello del luogo di residenza dell’interessato.