[doc. web n. 10198751]

Provvedimento del 13 novembre 2025

Registro dei provvedimenti
n. 693 del 13 novembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il cons. Angelo Fanizza, segretario generale;

VISTO il  Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”); 

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTO il reclamo presentato al Garante, in data 24 maggio 2024, da XX, cittadino italiano, nei confronti di Meta Platforms Ireland Ltd (di seguito anche “Meta” o la “Società” o il “Titolare”), a seguito dell’annuncio da parte della Società dell’intenzione di avviare attività di trattamento aventi ad oggetto i cd. first party data (1PD), vale a dire i dati pubblici condivisi dagli utenti sui social network Facebook ed Instagram, per finalità di addestramento dei modelli di intelligenza artificiale generativa di Meta;

RILEVATO che il reclamante ha lamentato la possibile violazione dell’art. 21 del Regolamento in considerazione del fatto che la procedura online per l’esercizio di tale diritto predisposta da Meta risultava particolarmente complessa e richiedeva, secondo il reclamante, di fornire una motivazione ai fini dell’opposizione al trattamento;

RILEVATO che, in data 31 luglio 2024, detto reclamo è stato trasmesso per competenza all’Autorità di controllo irlandese (di seguito anche “DPC”), autorità capofila, ai sensi e per gli effetti dell’art. 56 del Regolamento, in quanto il Titolare ha il suo stabilimento principale nell’Unione europea in Irlanda ed il caso è stato quindi sottoposto al meccanismo dello sportello unico, ai sensi degli artt. 60 e ss. del Regolamento;

VISTI gli atti della procedura di assistenza reciproca ai sensi dell’art. 61 del Regolamento con cui l’autorità capofila, nel dicembre 2024, ha comunicato al reclamante, tramite il Garante, che Meta aveva deciso, a far data dal 14 giugno 2024, di sospendere il programma di addestramento del suo modello linguistico di grandi dimensioni mediante l’utilizzo dei contenuti pubblici condivisi dagli utenti su Facebook ed Instagram, e, di conseguenza, che la Società non stava trattando dati dei cittadini dell’area SEE per le suddette finalità;

VISTA la versione preliminare del progetto di decisione trasmessa dalla DPC al reclamante, tramite il Garante, in cui è stato proposto il rigetto del reclamo e riconosciuto al reclamante il diritto di formulare eventuali osservazioni al riguardo; 

PRESO ATTO che, in data 15 maggio 2025, il reclamante ha fornito un circostanziato riscontro in cui, atteso che Meta ha comunicato di non procedere con i trattamenti oggetto di reclamo, ha dichiarato espressamente di accettare la proposta di rigetto formulata dalla DPC;

VISTI gli atti della procedura di cooperazione ai sensi dell’art. 60, par. 3, del Regolamento con cui l’autorità capofila ha trasmesso alle autorità di controllo che si sono dichiarate interessate, ai sensi dell’art. 4, par. 1, n. 22, del Regolamento, il progetto di decisione al fine di ottenere il loro parere;

RILEVATO che l’autorità capofila ha proposto l’archiviazione della procedura sulla base del fatto che la sospensione del progetto da parte del Titolare ha comportato il mancato trattamento dei dati personali degli utenti dell’area SEE per finalità di addestramento dei modelli di intelligenza artificiale generativa di Meta, pertanto la violazione dell’art. 21 del Regolamento ipotizzata dal reclamante non è stata integrata;

RILEVATO che i dati personali del reclamante non sono stati trattati nel caso di specie e che la DPC ha proposto il rigetto del reclamo ai sensi dell’art. 113, par. 2, lett. a), della legislazione irlandese (Data Protection Act del 2018) e dell’art. 57, par. 1, lett. f), del Regolamento in quanto non può essere configurata alcuna violazione della normativa in materia di protezione dei dati personali;   

PRESO ATTO che nessuna obiezione pertinente e motivata è stata sollevata rispetto a tale progetto di decisione e che, pertanto, tale atto è da ritenersi vincolante sia per l’autorità di controllo capofila che per le autorità di controllo interessate, ai sensi dell’art. 60, par. 6, del Regolamento;

RITENUTO, pertanto, versandosi in una ipotesi di rigetto del reclamo, che la competenza ad adottare la decisione finale, nel rispetto del principio di prossimità di cui all’art. 10, par. 3, del TUE, sia ravvisabile in capo al Garante, ai sensi dell’art. 60, par. 8, del Regolamento, in conformità del suddetto progetto di decisione vincolante;

VISTO l’art. 18, comma 5, del Regolamento del Garante n. 1/2019 secondo cui quando il Garante è autorità interessata in quanto destinataria di un reclamo, il procedimento si conclude, nel rispetto dell’art. 60, par. 8, del Regolamento, con provvedimento di cui agli artt. 14, 15 e 16 del Regolamento 1/2019;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO 

ai sensi dell’art. 60, par. 8, del Regolamento, per le motivazioni indicate in premessa, dispone il rigetto del reclamo presentato da XX in data 24 maggio 2024 nei confronti di Meta Platforms Ireland Ltd.

Ai sensi del combinato disposto degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente atto può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del medesimo ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 13 novembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Fanizza