Denda Meta Rp14 Triliun di Italia: Akses Galeri Facebook Tanpa Izin

Otoritas perlindungan data Italia, Garante, menjatuhkan denda €805 juta (sekitar Rp14 triliun) kepada Meta pada 15 November 2026. Penyebabnya: fitur Facebook for Android menyarankan foto dan video dari galeri ponsel pengguna untuk diunggah, dan fitur itu aktif secara default tanpa persetujuan eksplisit.

Denda ini setara 0,47% dari pendapatan global grup dan menjadi salah satu sanksi privasi terbesar di Eropa tahun ini. Garante memberi Meta 60 hari untuk mematikan fitur secara default dan meminta persetujuan terpisah.

Baca juga: Kunci Fireworks AI Dicuri, Cursor Alami Kebocoran Data dan Ekstensi Claude Code Trojan

Kronologi: dari keluhan konsumen Bolzano hingga denda €805 juta

Kasus ini bermula dari laporan Centro Tutela Consumatori Utenti (CTCU), kelompok perlindungan konsumen di Bolzano, pada 11 Juli 2025. CTCU menerbitkan panduan agar pengguna mematikan pengaturan saran galeri di aplikasi Facebook dan memeriksa izin akses apa saja yang diberikan ke aplikasi di ponsel.

Garante kemudian membuka investigasi pada Juli 2025. Penyidikan mencakup analisis teknis independen oleh otoritas. Fitur saran galeri sendiri sudah tersedia sejak 2023, artinya akses telah berlangsung lama sebelum kasus ini mencuat.

Dalam penyelidikan, Garante menemukan bahwa fitur diaktifkan secara default. Aplikasi mengakses foto, video, dan metadata terkait milik pengguna Italia tanpa persetujuan eksplisit. Otoritas menilai permintaan izin galeri dilakukan lewat satu izin tunggal yang mencakup seluruh aplikasi dan beberapa fungsi dengan tujuan berbeda.

“Pemberitahuan umum tentang mengaktifkan fitur lain muncul lebih dulu, tetapi tidak menjelaskan bahwa pengguna juga mengaktifkan saran galeri,” demikian temuan Garante dalam siaran persnya.

Baca juga: CISA Masukkan CVE-2026-114713 UnrealIRCd ke KEV, Eksploitasi Aktif Terjadi

Jika izin diberikan sepenuhnya, aplikasi bisa membaca seluruh arsip foto di ponsel, biasanya secara terus-menerus. Pengguna maupun otoritas tidak dapat memeriksa informasi mana yang benar-benar digunakan. Inilah yang menjadi inti pelanggaran menurut Garante.

Pihak yang terlibat dan pernyataan mereka

Meta menyatakan akan mengajukan banding dan menyebut denda itu “tidak proporsional”. Juru bicara perusahaan menyampaikan pernyataan itu kepada Reuters.

“Fitur ini hanya bekerja setelah pengguna memberikan izin di perangkat mereka, dan mereka dapat mengubah izin itu kapan saja di pengaturan,” kata Meta dalam pernyataan yang dikutip Reuters.

Meta juga berargumen bahwa otoritas perlindungan data Irlandia seharusnya menangani kasus ini. Garante menolak argumen tersebut karena aturan ePrivacy tidak menyediakan mekanisme one-stop-shop sebagaimana GDPR.

CTCU, pihak yang memulai investigasi, tidak memberikan komentar baru dalam laporan ini. Namun panduan mereka pada Juli 2025 menjadi pemicu awal penyelidikan.

Garante menegaskan bahwa investigasi tidak memeriksa apakah konten galeri digunakan untuk melatih model AI. Meta membantah penggunaan semacam itu. Otoritas membuka kemungkinan memeriksa fitur yang lebih baru, yang diluncurkan tahun ini, yang memungkinkan konten galeri diproses di cloud.

Dasar hukum: Pasal 122 Kode Privasi Italia dan ePrivacy

Garante menemukan pelanggaran Pasal 122 Kode Privasi Italia, yang mengadopsi Direktif ePrivacy Uni Eropa ke dalam hukum nasional. Aturan itu memperlakukan ponsel sebagai bagian dari kehidupan pribadi seseorang.

Setiap akses ke apa yang disimpan ponsel memerlukan persetujuan yang bebas dan terinformasi, terlepas dari apakah data dikirim ke mana pun atau menimbulkan kerugian. Dengan kata lain, pelanggaran terjadi begitu aplikasi mengakses galeri tanpa izin yang sah, bukan hanya jika data disalahgunakan.

Konsekuensinya, Meta tidak bisa berlindung pada argumen bahwa data tidak dikirim ke server atau bahwa pengguna tidak dirugikan. Fokusnya adalah pada kontrol pengguna atas perangkat mereka sendiri.

Garante juga mempertimbangkan sejumlah faktor dalam menetapkan besaran denda:

• Jumlah orang yang terdampak besar, sekitar 20 juta pengguna Android di Italia.
• Durasi pelanggaran yang panjang; pelanggaran masih berlangsung bagi pengguna yang belum memperbarui aplikasi.
• Keputusan otoritas terhadap perusahaan pada 2019 yang menjadi catatan sebelumnya.
• Kerja sama yang terbatas selama investigasi.
• Perubahan yang dilakukan perusahaan setelah keluhan dianggap terlambat dan hanya menjangkau pengguna yang memperbarui aplikasi.

Denda €805 juta dihitung dari persentase pendapatan global grup. Angka ini menunjukkan bahwa Garante ingin memberikan efek jera, bukan sekadar sanksi administratif kecil.

Apa yang diperintahkan Garante kepada Meta

Garante menetapkan serangkaian kewajiban yang harus dipenuhi Meta dalam tenggat waktu ketat. Perintah itu tertuang dalam siaran pers otoritas.

1. Dalam 60 hari, meminta persetujuan melalui permintaan terpisah dan spesifik untuk fitur ini, serta menjelaskan dengan jelas tujuan fitur, bahwa fitur mengakses galeri, dan cara mematikannya.
2. Dalam 60 hari, menjaga fitur tetap nonaktif secara default, termasuk bagi pengguna yang sudah memberikan izin.
3. Dalam 30 hari, melaporkan kepada otoritas tentang pekerjaan yang sudah dimulai, dan dalam 90 hari, tentang langkah-langkah yang telah diambil.

Jika Meta melewati tenggat 60 hari, fitur tidak boleh diaktifkan bagi siapa pun yang belum memberikan persetujuan yang sah. Sanksi tambahan bisa menyusul jika perintah tidak dijalankan.

Meta memiliki waktu hingga pertengahan Januari 2027 untuk memenuhi kewajiban pertama dan kedua. Sementara itu, proses banding diperkirakan akan memakan waktu berbulan-bulan, bahkan bertahun-tahun, di pengadilan Italia.

Dampak bagi pengguna dan industri

Bagi sekitar 20 juta pengguna Android di Italia, keputusan ini berpotensi mengubah cara Facebook meminta izin akses galeri. Jika Meta mematuhi perintah, fitur saran galeri tidak akan aktif secara default, dan pengguna akan diminta memberikan izin terpisah dengan penjelasan yang lebih jelas.

Dampaknya bisa meluas ke seluruh Uni Eropa. Meski Garante bertindak berdasarkan hukum Italia, keputusan ini menambah tekanan bagi regulator lain untuk meninjau praktik serupa. Desain izin tunggal yang mencakup banyak fungsi menjadi sorotan utama.

Bagi industri aplikasi, kasus ini menegaskan bahwa akses ke penyimpanan ponsel tidak bisa dibungkus dalam izin umum. Persetujuan harus spesifik, terinformasi, dan dapat ditarik kembali. Praktik “dark pattern” dalam permintaan izin semakin berisiko.

Meta sendiri menghadapi risiko reputasi dan finansial. Denda €805 juta memang kecil dibandingkan pendapatan global, tetapi preseden hukumnya bisa memicu gelombang keluhan serupa di negara lain.

Garante juga membuka pintu pemeriksaan fitur baru yang memproses konten galeri di cloud. Jika fitur itu dianggap melanggar aturan yang sama, bukan tidak mungkin ada denda lanjutan.

Bagi pengguna, langkah pencegahan tetap sederhana: periksa izin aplikasi di pengaturan ponsel, matikan akses galeri yang tidak diperlukan, dan waspadai pembaruan aplikasi yang mengubah default.

Analisis Redaksi: denda yang menguji batas persetujuan digital

Keputusan Garante bukan sekadar soal nominal. Inti persoalan ada pada desain persetujuan yang membuat pengguna menyerahkan akses luas tanpa benar-benar memahami konsekuensinya. Satu izin untuk banyak fungsi adalah cara halus mengaburkan tujuan sebenarnya.

Meta beralasan fitur hanya bekerja setelah izin diberikan dan bisa dicabut kapan saja. Argumen itu terdengar masuk akal, tetapi mengabaikan kenyataan bahwa pengguna jarang membaca detail izin. Ketika fitur aktif secara default dan penjelasannya tidak spesifik, persetujuan menjadi formalitas belaka.

Yang menarik, Garante menolak argumen one-stop-shop Irlandia. Ini menunjukkan bahwa aturan ePrivacy memberi ruang bagi regulator nasional untuk bertindak sendiri, terutama dalam hal akses perangkat. Bagi perusahaan teknologi, fragmentasi regulasi seperti ini menambah beban kepatuhan, tetapi juga menjadi pengingat bahwa hukum lokal tidak bisa diabaikan.

Denda 0,47% dari pendapatan global mungkin tidak membuat Meta gentar secara finansial. Namun perintah untuk mematikan fitur secara default dan meminta izin terpisah bisa memangkas jumlah pengguna yang mengaktifkan fitur. Di situlah kerugian sebenarnya: data dan keterlibatan pengguna yang selama ini mengalir tanpa hambatan.

Kasus ini juga menyoroti pentingnya peran organisasi konsumen. CTCU di Bolzano, kota kecil di Italia utara, berhasil memicu investigasi yang berujung pada denda ratusan juta euro. Bukti bahwa keluhan lokal bisa berdampak global.

Ke depan, mata akan tertuju pada fitur cloud yang lebih baru. Jika Garante konsisten, Meta harus siap menghadapi babak berikutnya. Sementara itu, pengguna di seluruh dunia sebaiknya tidak menunggu regulator bertindak. Memeriksa izin aplikasi adalah langkah kecil yang berdampak besar.

Sumber: thehackernews.com, reuters.com