Edizione provvisoria
CONCLUSIONI DELL’AVVOCATO GENERALE
ATHANASIOS RANTOS
presentate il 25 aprile 2024 (1)
Causa C‑446/21
Maximilian Schrems
contro
Meta Platforms Ireland Limited, già Facebook Ireland Limited
[domanda di pronuncia pregiudiziale proposta dall’Oberster Gerichtshof (Corte suprema, Austria)]
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Reti sociali – Articolo 5, paragrafo 1, lettera b) – Principio della “limitazione della finalità” – Articolo 5, paragrafo 1, lettera e) – Principio della “minimizzazione dei dati” – Articolo 9, paragrafi 1 e 2, lettera e) – Trattamento relativo a categorie particolari di dati personali – Dati personali resi manifestamente pubblici dall’interessato – Pubblicità personalizzata – Dati relativi all’orientamento sessuale»
Introduzione
1. La domanda di pronuncia pregiudiziale in esame è stata presentata dall’Oberster Gerichtshof (Corte suprema, Austria) nell’ambito di una controversia tra il sig. Maximilian Schrems (in prosieguo: il «ricorrente»), un utente del social network «Facebook», e la Meta Platforms Ireland Limited, già Facebook Ireland Limited (in prosieguo: la «Meta Platforms Ireland» o la «resistente»), riguardo al trattamento asseritamente illecito dei suoi dati personali da parte di tale società.
2. Le questioni pregiudiziali sollevate nell’ambito della presente causa riguardano, da un lato, l’applicazione del principio della «minimizzazione dei dati» previsto all’articolo 5, paragrafo 1, lettera c), del regolamento (UE) 2016/679 (2) e, dall’altro lato, l’interpretazione della nozione di «dati personali resi manifestamente pubblici dall’interessato» di cui all’articolo 9, paragrafo 2, lettera e), di tale regolamento, in combinato disposto con l’articolo 5, paragrafo 1, lettera b), di detto regolamento, che introduce il principio della «limitazione della finalità». In sostanza, il giudice del rinvio chiede, da un lato, se il principio della minimizzazione dei dati permetta di trattare dati personali senza limiti di tempo oppure di tipologia di dati e, dall’altro lato, se le affermazioni di una persona, relative al proprio orientamento sessuale, fatte nel corso di una tavola rotonda, autorizzino il trattamento di altri dati relativi all’orientamento sessuale di tale persona finalizzato alla pubblicità personalizzata.
Contesto normativo
3. L’articolo 4 del RGPD, intitolato «Definizioni», al punto 11 enuncia quanto segue:
«Ai fini del presente regolamento s’intende per:
(...)
11) “consenso dell’interessato”: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento».
4. L’articolo 5 di tale regolamento, intitolato «Principi applicabili al trattamento di dati personali», ai paragrafi 1 e 2 prevede quanto segue:
«1. I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (...)
c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazionedei dati”);
(...)
2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».
5. L’articolo 6 di detto regolamento, intitolato «Liceità del trattamento», ai paragrafi 1 e 3 così dispone:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
b) il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso;
(...)
f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.
La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti.
(...)
3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
a) dal diritto dell’Unione; o
b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento.
(...)
(...) Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito».
6. L’articolo 7 del medesimo regolamento, intitolato «Condizioni per il consenso», è così formulato:
«1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.
(...)
3. L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di prestare il proprio consenso, l’interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato.
4. Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l’eventualità, tra le altre, che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto».
7. L’articolo 9, paragrafi 1 e 2, del RGPD, intitolato «Trattamento di categorie particolari di dati personali», enuncia quanto segue:
«1. È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi:
a) l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell’Unione o degli Stati membri dispone che l’interessato non possa revocare il divieto di cui al paragrafo 1;
b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato;
(...)
e) il trattamento riguarda dati personali resi manifestamente pubblici dall’interessato;
(...)».
8. L’articolo 13 di tale regolamento, relativo alle «[i]nformazioni da fornire qualora i dati personali siano raccolti presso l’interessato», al paragrafo 1 prevede quanto segue:
«In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
(...)
c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
(...)».
Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte
9. La Meta Platforms Ireland, una società di diritto irlandese, gestisce la rete di comunicazione chiusa «Facebook» che costituisce, in sostanza, un social network online di condivisione di contenuti (3). Il suo modello economico mira essenzialmente a offrire servizi di social network gratuiti ai propri utenti privati e a vendere pubblicità online, inclusa pubblicità mirata per i suoi utenti (4). Tale pubblicità si basa principalmente sulla creazione automatizzata di profili relativamente dettagliati degli utenti di detto social network (5).
10. Nel corso del 2018, dopo l’entrata in vigore del RGPD, la Meta Platforms Ireland ha presentato ai propri utenti nell’Unione europea nuove condizioni per l’uso di Facebook per ottenere il loro consenso, il quale, peraltro, è necessario per poter iscriversi o accedere agli «account» e ai servizi forniti da Facebook (6). Queste nuove condizioni d’uso consentono inoltre agli utenti di avere una visione d’insieme e un controllo sui dati memorizzati (7).
11. Il ricorrente è un utente di Facebook che ha accettato le nuove condizioni d’uso presentate da Facebook. Come risulta dalla decisione di rinvio, egli ha dichiarato pubblicamente la propria omosessualità, ma non avrebbe mai menzionato il proprio orientamento sessuale e non avrebbe pubblicato alcun dato sensibile sul suo profilo Facebook (8). Il ricorrente non avrebbe neppure autorizzato la resistente a utilizzare, ai fini della pubblicità mirata, i campi del suo profilo relativi alla sua situazione sentimentale, al suo datore di lavoro, alla sua occupazione o alla sua formazione.
12. Il ricorrente, tuttavia, avrebbe ricevuto la pubblicità di una donna politica e tale pubblicità gli è stata inviata sulla base dell’analisi secondo cui somigliava ad altri «clienti» che avevano assegnato a quest’ultima un «mi piace»; egli avrebbe ricevuto regolarmente pubblicità rivolte a persone omosessuali e inviti a eventi corrispondenti, sebbene in precedenza non si fosse mai interessato a tali eventi e non conoscesse neppure i luoghi in cui si svolgevano. Tali pubblicità o inviti non si baserebbero direttamente sull’orientamento sessuale del ricorrente e dei suoi «amici» sul social network, bensì sull’analisi dei loro centri d’interesse (9). Peraltro, la Meta Platforms Ireland registrerebbe tutti i dati relativi al ricorrente, inclusi quelli ottenuti tramite terzi o plugin, per conservarli a tempo indeterminato.
13. In tale contesto, il ricorrente ha proposto dinanzi al Landesgericht für Zivilsachen Wien (Tribunale civile del Land di Vienna, Austria) un ricorso per esecuzione, accertamento e cessazione relativo al trattamento asseritamente illecito dei suoi dati personali da parte della Meta Platforms Ireland (10).
14. Successivamente, in occasione di una tavola rotonda organizzata dalla rappresentanza della Commissione europea a Vienna (Austria) (11), tenutasi il 12 febbraio 2019, il ricorrente ha menzionato il proprio orientamento sessuale nel corso di un intervento volto a denunciare il presunto trattamento illegittimo, da parte della Meta Platforms Ireland, di dati relativi a tale orientamento sessuale (12).
15. Poiché il suo ricorso è stato respinto, in primo grado, con sentenza del 30 giugno 2020 e, in appello, dall’Oberlandesgericht Wien (Tribunale superiore del Land di Vienna, Austria), con sentenza del 7 dicembre 2020 (13), il ricorrente ha proposto un ricorso per cassazione (Revision) dinanzi all’Oberster Gerichtshof (Corte suprema), giudice del rinvio.
16. In tale contesto, l’Oberster Gerichtshof (Corte suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte quattro questioni pregiudiziali (14). Poiché la prima e la terza questione pregiudiziale sono state ritirate a seguito della sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network) (15), la presente causa ha ad oggetto la seconda e la quarta questione, le quali sono così formulate:
«2) Se l’articolo 5, paragrafo 1, lettera c), del RGPD (minimizzazione dei dati) debba essere interpretato nel senso che tutti i dati personali di cui dispone una piattaforma come quella di cui trattasi nel procedimento principale (in particolare, tramite gli interessati o terzi su detta piattaforma o al di fuori di essa) possono essere aggregati, analizzati e trattati senza limiti di tempo oppure di tipologia di dati ai fini di pubblicità mirate.
4) Se l’articolo 5, paragrafo 1, lettera b), in combinato disposto con l’articolo 9, paragrafo 2, lettera e), del RGPD debba essere interpretato nel senso che una dichiarazione circa il proprio orientamento sessuale effettuata nell’ambito di una tavola rotonda permetta il trattamento di altri dati relativi all’orientamento sessuale per la loro aggregazione e analisi finalizzate alla pubblicità personalizzata».
17. Hanno depositato osservazioni scritte il ricorrente, la Meta Platforms Ireland, i governi austriaco, francese, italiano e portoghese, nonché la Commissione. Il ricorrente, la Meta Platforms Ireland, il governo austriaco, nonché la Commissione hanno svolto osservazioni orali all’udienza tenutasi l’8 febbraio 2024.
Analisi
Sulla seconda questione pregiudiziale
18. Con la seconda questione pregiudiziale, il giudice del rinvio chiede, in sostanza, se l’articolo 5, paragrafo 1, lettera c), del RGPD, che sancisce il principio della minimizzazione dei dati, debba essere interpretato nel senso che tutti i dati personali di cui dispone una rete come Facebook, in particolare tramite la persona interessata o terzi su tale piattaforma e al di fuori di essa, possono essere aggregati, analizzati e trattati ai fini di pubblicità mirate, senza limiti di tempo oppure di tipologia di dati.
19. In via preliminare, occorre ricordare che ogni trattamento di dati personali deve, da un lato, essere conforme ai principi relativi al trattamento dei dati elencati all’articolo 5 del RGPD e, dall’altro, rispondere a una delle condizioni relative alla liceità del trattamento dati, elencate all’articolo 6 di detto regolamento (16).
20. Per quanto attiene, più specificamente, ai principi relativi al trattamento dei dati personali, la Corte ha precisato in particolare che il principio della minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), del RGPD prevede che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati, il che dà espressione, in sostanza, al principio di proporzionalità (17). Il principio della minimizzazione dei dati mira quindi a minimizzare le limitazioni del diritto alla protezione dei dati personali causate dal trattamento in questione.
21. Nel caso di specie, mi sembra evidente che l’eventuale assenza di qualsiasi limitazione, come ipotizzata dal giudice del rinvio, sarebbe, per definizione, in contrasto con l’applicazione del principio della minimizzazione dei dati. Orbene, dal fascicolo sottoposto alla Corte non emerge alcun elemento che possa confermare o escludere una simile supposizione, che, in ogni caso, rientra nell’ambito della valutazione del giudice del rinvio. Tenterò nondimeno di fornire a tale giudice alcune indicazioni utili riguardo all’interpretazione della disposizione in esame, che potranno consentirgli di statuire sulla causa pendente dinanzi a esso.
22. Per quanto attiene, da un lato, alla limitazione del trattamento dei dati personali nel tempo, ritengo che, in assenza nel RGPD di una disposizione specifica in proposito, il giudice dell’Unione non possa fissare imperativamente un periodo limite per la conservazione di tali dati. Peraltro, la Corte ha dichiarato che anche un trattamento inizialmente lecito di dati esatti può divenire, con il tempo, incompatibile in particolare con l’articolo 5, paragrafo 1, lettere da c) a e), del RGPD qualora tali dati non siano più necessari in rapporto alle finalità per le quali sono stati raccolti o trattati (18). Compete dunque al giudice del rinvio valutare, tenuto conto delle circostanze del caso di specie e applicando il principio di proporzionalità (19), in che misura il periodo di conservazione di dati personali da parte della Meta Platforms Ireland sia giustificato alla luce dell’obiettivo legittimo di trattamento di tali dati ai fini della pubblicità personalizzata.
23. Per quanto attiene, dall’altro lato, alla limitazione del trattamento dei dati personali in base alla tipologia dei dati, compete parimenti al giudice del rinvio individuare, nelle circostanze del caso di specie, i dati personali il cui trattamento può essere considerato legittimo, nel rispetto del principio di proporzionalità.
24. Del resto, i riferimenti, contenuti nella formulazione dell’articolo 5, paragrafo 1, lettera c), del RGPD, a condizioni assai generiche, quali l’«adeguatezza», la «pertinenza» e la «necessità», a mio avviso dimostrano che il legislatore dell’Unione ha voluto lasciare un ampio margine di discrezionalità alle autorità competenti in sede di applicazione della disposizione in parola, considerato che tali condizioni sono interpretabili soltanto caso per caso, tenuto conto delle circostanze di specie.
25. Precisato ciò, ritengo, come sottolineato dalla Commissione nelle sue osservazioni scritte, che sia possibile fare alcune distinzioni in base al grado d’ingerenza che le varie forme di trattamento presentano sui diritti della persona interessata. Qualora lo ritenga appropriato, il giudice del rinvio potrebbe dunque, da un lato, distinguere tra l’uso di dati «statici» della persona interessata (quali l’età (20) o il sesso) e l’uso di dati «comportamentali» (come il monitoraggio delle abitudini di navigazione degli utenti), atteso che, di regola, quest’ultimo utilizzo è più intrusivo per quanto riguarda i diritti della persona interessata. Per quanto concerne, più specificamente, i dati «comportamentali», potrebbe essere effettuata un’ulteriore distinzione tra la raccolta di dati relativi a un comportamento «attivo» (come l’azione di cliccare sul pulsante «mi piace») e la raccolta di dati che vertono su un comportamento «passivo» (come la semplice visita di un sito Internet), ove quest’ultima è normalmente più intrusiva per l’utente. Dall’altro lato, si potrebbe anche distinguere fra il trattamento dei dati personali raccolti sulla piattaforma Facebook e al di fuori di essa, ossia su pagine Internet, applicazioni diverse da Facebook o sui dispositivi degli utenti, ove quest’ultimo è più intrusivo del primo (21).
26. Nell’ambito di tale analisi, a mio avviso, è altresì importante tener conto delle ragionevoli aspettative delle persone interessate (22).
27. Peraltro, in una situazione come quella esistente prima dell’entrata in vigore del RGPD, in cui il trattamento dei dati raccolti al di fuori della piattaforma Facebook non si basava sul consenso, ma piuttosto sulla necessità del trattamento per l’esecuzione del contratto in forza dell’articolo 6, paragrafo 1, lettera b), di tale regolamento (23), si deve tener conto dell’interpretazione restrittiva della disposizione in parola fornita dalla Corte (24). Di conseguenza, come sottolineato dal governo italiano nelle sue osservazioni scritte, è importante evitare che un’interpretazione estensiva del principio della minimizzazione dei dati ai sensi dell’articolo 5 di detto regolamento possa permettere ai titolari del trattamento di ampliare le categorie di dati personali considerati necessari all’esecuzione del contratto ai sensi dell’articolo 6, paragrafo 1, lettera b), del medesimo regolamento.
28. Tenuto conto di quanto precede, propongo di rispondere alla seconda questione pregiudiziale dichiarando che l’articolo 5, paragrafo 1, lettera c), del RGPD dev’essere interpretato nel senso che osta a che alcuni dati personali possano essere trattati afini di pubblicità mirate senza limiti di tempo oppure di tipologia di dati e che compete al giudice del rinvio valutare, tenuto conto delle circostanze del caso di specie e applicando il principio di proporzionalità, in che misura il periodo di conservazione dei dati e la quantità di dati trattati siano giustificati rispetto all’obiettivo legittimo di trattamento di tali dati a fini di pubblicità personalizzata.
Sulla quarta questione pregiudiziale
29. Con la quarta questione pregiudiziale, il giudice del rinvio chiede, in sostanza, se il combinato disposto dell’articolo 5, paragrafo 1, lettera b), e dell’articolo 9, paragrafo 2, lettera e), del RGPD debba essere interpretato nel senso che la circostanza che una persona si sia espressa circa il proprio orientamento sessuale nell’ambito di una tavola rotonda permette il trattamento da parte della Meta Platforms Ireland di altri dati relativi al suo orientamento sessuale al fine di proporle pubblicità personalizzata. Più in generale, tale giudice si interroga sulla portata di quest’ultima disposizione e chiede, più precisamente, in che modo il pubblico debba aver ottenuto i dati sensibili di tale persona affinché l’articolo 9, paragrafo 2, del RGPD sia applicabile.
Sulla rilevanza della questione pregiudiziale
30. Nelle proprie osservazioni scritte e orali la Meta Platforms Ireland ha precisato, senza che ciò fosse contestato dalle altre parti in udienza, che, nel corso del procedimento dinanzi ai giudici nazionali, non ha mai fatto valere l’eccezione prevista all’articolo 9, paragrafo 2, lettera e), del RGPD quale fondamento giuridico del trattamento dei dati in questione (25).
31. Orbene, in una simile ipotesi, la quarta questione pregiudiziale apparirebbe chiaramente inconferente, dal momento che tale eccezione non sarebbe applicabile nella presente causa (26).
32. Ciò premesso, si deve ricordare che, secondo una costante giurisprudenza della Corte, nell’ambito del procedimento previsto dall’articolo 267 TFUE, fondato su una netta separazione delle funzioni tra i giudici nazionali e la Corte, le questioni relative all’interpretazione del diritto dell’Unione sollevate dal giudice nazionale nel contesto di diritto e di fatto che esso definisce sotto la propria responsabilità (27), e del quale non spetta alla Corte verificare l’esattezza, sono assistite da una presunzione di rilevanza (28).
33. Pertanto, nei seguenti paragrafi, proporrò una risposta alla quarta questione pregiudiziale sollevata dal giudice del rinvio, fatta salva la decisione della Corte in ordine alla rilevanza di tale questione.
Sul merito della questione pregiudiziale
34. In via preliminare, ricordo che, conformemente all’articolo 5, paragrafo 1, lettera b), del RGPD, che sancisce il principio della limitazione della finalità, i dati personali sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità. Ai sensi dell’articolo 9, paragrafo 1, di tale regolamento, il trattamento dei dati personali relativi, in particolare, alla vita sessuale o all’orientamento sessuale di una persona fisica è vietato, salvo qualora un simile trattamento rientri nell’ambito di applicazione di una delle eccezioni previste all’articolo 9, paragrafo 2, di detto regolamento (29).
35. Più precisamente, in forza dell’articolo 9, paragrafo 2, lettera e), del RGPD, il divieto di trattamento di dati personali sensibili non si applica se il trattamento riguarda dati personali resi manifestamente pubblici dall’interessato. Come ho osservato nelle mie conclusioni nella causa Meta Platforms e a. (Condizioni generali di utilizzo di una rete sociale) (30), l’uso, nel testo della citata disposizione, dell’avverbio «manifestamente» e il fatto che la disposizione medesima costituisca un’eccezione al principio del divieto generale di trattamento dei dati personali sensibili impongono un’applicazione particolarmente restrittiva dell’eccezione in parola, a causa dei rischi significativi per i diritti e le libertà fondamentali degli interessati (31). Affinché detta eccezione sia applicabile, l’utente, a mio avviso, dev’essere pienamente consapevole che, con un atto esplicito, rende accessibili a chiunque dati personali che lo riguardano (32).
36. Nel procedimento principale, i dati sensibili relativi all’orientamento sessuale del ricorrente sono stati divulgati, al di fuori della piattaforma Facebook («fuori sito») e di ogni altra piattaforma o applicazione informatica, nel contesto di una tavola rotonda organizzata dalla Commissione (33) e allo scopo di denunciare il presunto trattamento illecito da parte della Meta Platforms Ireland di dati relativi a tale orientamento sessuale (34).
37. In proposito, la Corte ha già avuto occasione di pronunciarsi sull’uso di dati «fuori sito», nel contesto di altre piattaforme, nella sentenza Meta Platforms e a. (Condizioni generali di utilizzo di una rete sociale) (35). In tale occasione, la Corte ha dichiarato che l’articolo 9, paragrafo 2, lettera e), del RGPD deve essere interpretato nel senso che un utente di una rete sociale online, allorché consulta siti Internet oppure applicazioni correlati ad una o più delle categorie di dati menzionate all’articolo 9, paragrafo 1, del RGPD, non rende manifestamente pubblici, ai sensi della prima di tali disposizioni, i dati relativi a tale consultazione, raccolti dall’operatore di detta rete sociale online mediante «cookie» o simili tecnologie di registrazione e che, quando inserisce dati in tali siti Internet o applicazioni nonché quando attiva pulsanti di selezione integrati in questi ultimi, come i pulsanti «Mi piace» o «Condividi» o i pulsanti che consentono all’utente di identificarsi su un sito Internet o su un’applicazione utilizzando gli identificativi di connessione collegati al suo «account» di utente della rete sociale, il suo numero di telefono o il suo indirizzo di posta elettronica, tale utente non rende manifestamente pubblici, ai sensi di detto articolo 9, paragrafo 2, lettera e), del RGPD, i dati così inseriti o risultanti dall’attivazione di tali pulsanti a meno che abbia esplicitamente espresso preliminarmente, se del caso sulla base di un’impostazione individuale di parametri, effettuata con piena cognizione di causa, la sua scelta di rendere i dati che lo riguardano pubblicamente accessibili a un numero illimitato di persone (36).
38. Ciò posto, il giudice del rinvio ha ritenuto necessario mantenere la sua quarta questione pregiudiziale per il motivo che gli atti esaminati dalla Corte in quest’ultima causa riguardavano la consultazione di siti Internet o di applicazioni nonché l’attivazione di pulsanti in essi integrati, mentre, nel caso di specie, si tratta di una dichiarazione resa dalla persona interessata riguardo al proprio orientamento sessuale in occasione di una tavola rotonda. In proposito, tale giudice considera che non si può dedurre da una simile dichiarazione un consenso ai sensi di detto articolo 9, paragrafo 2, lettera e), del RGPD.
39. In proposito, mi sembra opportuno distinguere, da un lato, la questione preliminare se la dichiarazione del ricorrente relativa al suo orientamento sessuale costituisca un atto con il quale egli rende manifestamente pubblico tale orientamento ai sensi dell’articolo 9, paragrafo 2, lettera e), del RGPD e, dall’altro lato, nell’ipotesi di risposta affermativa a tale questione, la questione se l’aver reso manifestamente pubblico il proprio orientamento sessuale autorizzi il trattamento di dati relativi a tale orientamento sessuale ai fini della pubblicità personalizzata ai sensi, in particolare, degli articoli 5 e 6 di tale regolamento.
40. Per quanto riguarda, in primo luogo, la qualificazione che deve rivestire la dichiarazione del ricorrente ai sensi dell’articolo 9, paragrafo 2, lettera a), del RGPD, in assenza di indicazioni utili risultanti dalla genesi di tale disposizione e dalla sua applicazione giurisprudenziale (37), rilevo che l’eccezione prevista all’articolo 9, paragrafo 2, lettera e), di tale regolamento richiede, in sostanza, che siano soddisfatte cumulativamente due condizioni, ossia da un lato, una condizione «oggettiva» secondo la quale i dati personali di cui trattasi devono essere «resi manifestamente pubblici» e, dall’altro lato, una condizione «soggettiva» secondo cui è l’«interessato» a dover rendere tali dati manifestamente pubblici.
41. Nel procedimento principale, fatte salve le verifiche spettanti al giudice del rinvio, mi sembra che queste due condizioni siano soddisfatte. Infatti, benché sia stata divulgata incidentalmente nell’ambito di un discorso più ampio e critico rispetto al trattamento dei dati sensibili da parte della Meta Platforms Ireland, ritengo che la dichiarazione resa dal ricorrente costituisca un atto mediante il quale, con piena cognizione di causa, egli rende manifestamente pubblico il proprio orientamento sessuale.
42. Per quanto riguarda la prima condizione, mi sembra assai probabile che, tenuto conto della natura aperta della tavola rotonda, trasmessa in diretta e successivamente ritrasmessa in streaming (38), nonché dell’interesse del pubblico per il tema in essa affrontato, la dichiarazione del ricorrente abbia potuto raggiungere un pubblico indefinito, ben più numeroso di quello presente in sala (39).
43. Per quanto attiene alla seconda condizione, a mio avviso è perfettamente possibile supporre che, menzionando apertamente il proprio orientamento sessuale nelle circostanze del caso di specie (in particolare nel contesto di un evento aperto e accessibile alla stampa), il ricorrente abbia avuto, se non l’intenzione, almeno la piena consapevolezza di rendere tale orientamento «manifestamente pubblico» ai sensi della giurisprudenza citata al paragrafo 35 delle presenti conclusioni (40).
44. Del resto, l’obiettivo della protezione conferita dall’articolo 9, paragrafo 1, del RGPD, a mio avviso, è evitare che la persona interessata sia esposta a conseguenze pregiudizievoli (quali in particolare il disprezzo pubblico o atti discriminatori) derivanti, segnatamente, da una percezione negativa, da un punto di vista sociale o economico, delle situazioni ivi elencate (41). La disposizione in parola prevede dunque una particolare protezione di tali dati personali tramite un divieto di principio non assoluto, la cui applicazione nel caso di specie è subordinata alla valutazione dell’interessato, che è colui che meglio di tutti può valutare le conseguenze pregiudizievoli che potrebbero derivare dalla divulgazione dei dati in questione e che, se del caso, può rinunciare a tale protezione o non avvalersene, con piena cognizione di causa, rendendo manifestamente pubblica, ai sensi dell’articolo 9, paragrafo 2, lettera e), di tale regolamento, la propria situazione e, in particolare, il proprio orientamento sessuale.
45. Per quanto attiene, in secondo luogo, all’esame delle conseguenze derivanti dall’aver reso manifestamente pubblico il proprio orientamento sessuale, sul piano del trattamento di tali dati sensibili da parte della Meta Platforms Ireland ai sensi degli articoli 5 e 6 del RGPD, ritengo che il fatto che alcuni dati siano stati resi manifestamente pubblici ai sensi dell’articolo 9, paragrafo 2, lettera e), di tale regolamento non permetta, di per sé, di effettuare un trattamento di tali dati ai sensi di detto regolamento.
46. L’applicazione di quest’ultima disposizione, infatti, ha semplicemente come conseguenza la rimozione della «protezione speciale» attribuita a taluni dati personali particolarmente sensibili. Una volta che tale protezione è stata consapevolmente esclusa dallo stesso interessato (che li ha resi manifestamente pubblici), tali dati personali, in origine «protetti», diventano dati «ordinari» (ossia non sensibili) che, come tutti gli altri dati personali, possono essere oggetto di un trattamento lecito soltanto alle condizioni previste in particolare agli articoli 6 e 7 del RGPD e nel rispetto dei principi sanciti segnatamente all’articolo 5 di tale regolamento (42), incluso il principio della limitazione della finalità previsto all’articolo 5, paragrafo 1, lettera b), di detto regolamento, il quale impone che i dati personali siano raccolti per finalità determinate, esplicite e legittime, cosa che spetta al titolare del trattamento dimostrare, in forza del paragrafo 2 della disposizione in parola (43).
47. Pertanto, il fatto che il ricorrente si sia espresso sul proprio orientamento sessuale nel contesto di una tavola rotonda, benché possa condurre alla conclusione che, nelle circostanze del caso di specie, tale persona ha reso «manifestamente pubblici» detti dati ai sensi dell’articolo 9, paragrafo 2, lettera e), del RGPD, di per sé non può giustificare il trattamento di dati personali che rivelino l’orientamento sessuale di tale persona (44).
48. Tenuto conto di quanto precede, propongo di rispondere alla quarta questione pregiudiziale dichiarando che il combinato disposto dell’articolo 5, paragrafo 1, lettera b), e dell’articolo 9, paragrafo 2, lettera e), del RGPD dev’essere interpretato nel senso che il fatto che l’interessato si sia espresso sul proprio orientamento sessuale nell’ambito di una tavola rotonda aperta al pubblico, pur potendo costituire un atto tramite il quale l’interessato ha «res[o] manifestamente pubblic[o]» tale dato ai sensi dell’articolo 9, paragrafo 2, lettera e), di tale regolamento, di per sé non autorizza il trattamento di detti dati o di altri dati relativi all’orientamento sessuale di tale persona in vista dell’aggregazione e dell’analisi dei dati a fini di pubblicità personalizzata.
Conclusione
49. Alla luce delle precedenti considerazioni, propongo alla Corte di rispondere alla seconda e alla quarta questione pregiudiziale sollevate dall’Oberster Gerichtshof (Corte suprema, Austria) nel modo seguente:
1) L’articolo 5, paragrafo 1, lettera c), del regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
dev’essere interpretato nel senso che:
– osta a che alcuni dati personali possano essere trattati a fini di pubblicità mirata senza limiti di tempo o di tipologia dei dati e
– compete al giudice del rinvio valutare, tenuto conto delle circostanze del caso di specie e applicando il principio di proporzionalità, in che misura il periodo di conservazione dei dati e la quantità di dati trattati siano giustificati rispetto all’obiettivo legittimo di trattamento di tali dati a fini di pubblicità personalizzata.
2) Il combinato disposto dell’articolo 5, paragrafo 1, lettera b), e dell’articolo 9, paragrafo 2, lettera e), del regolamento 2016/679
dev’essere interpretato nel senso che:
– il fatto che l’interessato si sia espresso sul proprio orientamento sessuale nell’ambito di una tavola rotonda aperta al pubblico, pur potendo costituire un atto tramite il quale l’interessato ha «res[o] manifestamente pubblic[o]» tale dato ai sensi dell’articolo 9, paragrafo 2, lettera e), di tale regolamento, di per sé non autorizza il trattamento di detti dati o di altri dati relativi all’orientamento sessuale di tale persona in vista dell’aggregazione e dell’analisi dei dati a fini di pubblicità personalizzata.