Edição provisória
CONCLUSÕES DO ADVOGADO‑GERAL
ATHANASIOS RANTOS
apresentadas em 25 de abril de 2024 (1)
Processo C‑446/21
Maximilian Schrems
contra
Meta Platforms Ireland Limited, anteriormente Facebook Ireland Ltd.,
[pedido de decisão prejudicial apresentado pelo Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria)]
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Redes sociais — Artigo 5.°, n.° 1, alínea b) — Princípio da “limitação das finalidades” — Artigo 5.°, n.° 1, alínea e) — Princípio da “minimização dos dados” — Artigo 9.°, n.os 1 e 2, alínea e) — Tratamento de categorias especiais de dados pessoais — Dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular — Publicidade personalizada — Dados relativos à orientação sexual»
Introdução
1. O presente pedido de decisão prejudicial foi dirigido ao Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria) no âmbito de um litígio que opõe Maximilian Schrems (a seguir «demandante»), um utilizador da rede social «Facebook», à Meta Platforms Ireland Limited, anteriormente Facebook Ireland Ltd. (a seguir «Meta Platforms Ireland» ou a «demandada»), a respeito do tratamento alegadamente ilícito, por essa sociedade, dos seus dados pessoais.
2. As questões prejudiciais submetidas no âmbito do presente processo dizem respeito, por um lado, à aplicação do princípio da «minimização dos dados» previsto no artigo 5.°, n.° 1, alínea c), do Regulamento (UE) 2016/679 (2) e, por outro, à interpretação do conceito de «dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular» referido no artigo 9.°, n.° 2, alínea e), deste regulamento, em conjugação com o artigo 5.°, n.° 1, alínea b), do referido regulamento, que introduz o princípio da «limitação das finalidades». Em substância, o órgão jurisdicional de reenvio pergunta, por um lado, se o princípio da minimização dos dados permite tratar dados pessoais sem limitação no tempo ou em função da natureza dos dados e, por outro, se as afirmações de uma pessoa, relativas à sua própria orientação sexual, feitas durante uma mesa redonda, autorizam o tratamento de outros dados relativos à orientação sexual dessa pessoa para efeitos de publicidade personalizada.
Quadro jurídico
3. O artigo 4.° do RGPD, sob a epígrafe «Definições», estabelece, no seu ponto 11:
«Para efeitos do presente regulamento, entende‑se por:
[...]
11) “consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e inequívoca, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento.»
4. O artigo 5.° do referido regulamento, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», dispõe, nos seus n.os 1 e 2:
«1. Os dados pessoais são:
a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);
b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; [...]
c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);
[...]
2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.° 1 e tem de poder comprová‑lo (“responsabilidade”).»
5. O artigo 6.° do referido regulamento, sob a epígrafe «Licitude do tratamento», prevê, nos seus n.os 1 e 3:
«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;
b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;
[...]
f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.
O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.
[...]
3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:
a) Pelo direito da União; ou
b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.
[...]
[...] O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.»
6. O artigo 7.° do mesmo regulamento, com a epígrafe «Condições aplicáveis ao consentimento», tem a seguinte redação:
«1. Quando o tratamento for realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais.
[...]
3. O titular dos dados tem o direito de retirar o seu consentimento a qualquer momento. A retirada do consentimento não compromete a licitude do tratamento efetuado com base no consentimento previamente dado. Antes de dar o seu consentimento, o titular dos dados é informado desse facto. O consentimento deve ser tão fácil de retirar quanto de dar.
4. Ao avaliar se o consentimento é dado livremente, há que verificar com a máxima atenção se, designadamente, a execução de um contrato, inclusive a prestação de um serviço, está subordinada ao consentimento para o tratamento de dados pessoais que não é necessário para a execução desse contrato.»
7. O artigo 9.°, n.os 1 e 2, do RGPD, sob a epígrafe «Tratamento de categorias especiais de dados pessoais», estabelece:
«1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.
2. O disposto no n.° 1 não se aplica se se verificar um dos seguintes casos:
a) Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou mais finalidades específicas, exceto se o direito da União ou de um Estado‑Membro previr que a proibição a que se refere o n.° 1 não pode ser anulada pelo titular dos dados;
b) Se o tratamento for necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laborai, de segurança social e de proteção social, na medida em que esse tratamento seja permitido pelo direito da União ou dos Estados‑Membros ou ainda por uma convenção coletiva nos termos do direito dos Estados‑Membros que preveja garantias adequadas dos direitos fundamentais e dos interesses do titular dos dados;
[...]
e) Se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular;
[...]»
8. O artigo 13.° deste regulamento, relativo às «[i]nformações a facultar quando os dados pessoais são recolhidos junto do titular», prevê, no seu n.° 1:
«Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:
[...]
c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;
d) Se o tratamento dos dados se basear no artigo 6.°, n.° 1, alínea f), os interesses legítimos do responsável pelo tratamento ou de um terceiro;
[...]»
Litígio no processo principal, questões prejudiciais e tramitação processual no Tribunal de Justiça
9. A Meta Platforms Ireland, uma sociedade de direito irlandês, gere a rede de comunicação fechada «Facebook» que constitui, em substância, uma rede social em linha de partilha de conteúdos (3). O seu modelo económico visa essencialmente oferecer serviços de rede social gratuitos aos seus utilizadores privados e vender publicidade em linha, incluindo a publicidade direcionada para os seus utilizadores (4). Essa publicidade assenta principalmente na elaboração automatizada de perfis relativamente detalhados dos utilizadores dessa rede social (5).
10. Durante o ano de 2018, após a entrada em vigor do RGPD, a Meta Platforms Ireland apresentou novas condições de utilização do Facebook aos seus utilizadores na União Europeia para obter o seu consentimento, que é, de resto, necessário para se poderem registar ou aceder às contas e aos serviços prestados pelo Facebook (6). Estas novas condições de utilização também permitem aos utilizadores ter uma visão geral e um controlo dos dados armazenados (7).
11. O demandante é um utilizador do Facebook que aceitou as novas condições de utilização apresentadas pela rede Facebook. Como resulta da decisão de reenvio, referiu publicamente a sua homossexualidade, mas nunca mencionou a sua orientação sexual e não publicou nenhum dado sensível no seu perfil Facebook (8). O demandante também não teria autorizado a demandada a utilizar, para efeitos de publicidade orientada, os campos do seu perfil relativos à sua situação amorosa, ao seu empregador ou à sua formação.
12. No entanto, o demandante recebeu publicidade a uma política, publicidade que lhe foi dirigida com base na análise segundo a qual se assemelhava a outros «clientes» que tinham atribuído a menção «Gosto» a essa política, e recebeu regularmente publicidade dirigida a pessoas homossexuais e convites para eventos correspondentes, quando anteriormente nunca se tinha interessado por esses eventos e nem sequer conhecia os locais em que estes tinham lugar. Essas publicidades ou esses convites não se baseavam diretamente na orientação sexual do demandante e dos seus «amigos» na rede social, mas numa análise dos seus centros de interesse (9). Por outro lado, a Meta Platforms Ireland regista todos os dados relativos ao demandante, incluindo as obtidas por intermédio de terceiros ou de plugins, para os conservar durante um período indeterminado.
13. É nestas circunstâncias que o demandante intentou, no Landesgericht für Zivilsachen Wien (Tribunal Regional Cível de Viena, Áustria), uma ação executiva, tendo por objeto a declaração e a cessação do tratamento alegadamente ilícito dos seus dados pessoais pela Meta Platforms Ireland (10).
14. Em seguida, por ocasião de uma mesa redonda, organizada pela representação da Comissão Europeia em Viena (Áustria) (11), que se realizou em 12 de fevereiro de 2019, o demandante mencionou a sua orientação sexual numa intervenção que visava denunciar o tratamento alegadamente ilegal, pela Meta Platforms Ireland, de dados relativos a esta orientação sexual (12).
15. Tendo sido negado provimento, em primeira instância, ao seu recurso interposto por Decisão de 30 de junho de 2020 e, em sede de recurso, pelo Oberlandesgericht Wien (Tribunal Regional Superior de Viena, Áustria), por Sentença de 7 de dezembro de 2020 (13), o demandante interpôs recurso de Revision para o Oberster Gerichtshof (Supremo Tribunal de Justiça), o órgão jurisdicional de reenvio.
16. Neste contexto, o Oberster Gerichtshof (Supremo Tribunal de Justiça) decidiu suspender a instância e submeter ao Tribunal de Justiça quatro questões prejudicais (14). Uma vez que a primeira e a terceira questões prejudiciais foram retiradas na sequência do Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (15), o presente processo tem por objeto a segunda e quarta questões, que são formuladas nos seguintes termos:
«2) Deve o artigo 5.°, n.° 1, alínea c), do RGPD (minimização dos dados) ser interpretado no sentido de que todos os dados pessoais que estão à disposição de uma plataforma como a que está em causa no processo principal (em especial por terem sido fornecidos pelo titular dos dados ou por terceiros dentro ou fora da plataforma), podem ser agregados, analisados e tratados sem restrições temporais ou quanto ao tipo de dados, para efeitos de apresentação de publicidade direcionada?
4) Deve o artigo 5.°, n.° 1, alínea b), em conjugação com o artigo 9.°, n.° 2, alínea e), do RGPD ser interpretado no sentido de que um comentário acerca da própria orientação sexual, no quadro de um painel de debate, permite o tratamento de outros dados relativos à orientação sexual com vista à agregação e análise de dados para efeitos de apresentação de publicidade personalizada?»
17. Foram apresentadas observações escritas pelo demandante, pela Meta Platforms Ireland, pelos Governos Austríaco, Francês, Italiano e Português, e pela Comissão. Foram apresentadas observações orais pelo demandante, pela Meta Platforms Ireland, pelo Governo Austríaco e pela Comissão na audiência de alegações realizada em 8 de fevereiro de 2024.
Análise
Quanto à segunda questão prejudicial
18. Com a sua segunda questão prejudicial, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 5.°, n.° 1, alínea c), do RGPD, que consagra o princípio da minimização dos dados, deve ser interpretado no sentido de que todos os dados pessoais que estão à disposição de uma plataforma como a rede Facebook, designadamente por intermédio do titular dos dados ou por terceiros dentro ou fora da plataforma, podem ser agregados, analisados e tratados sem restrições temporais ou quanto ao tipo de dados, para efeitos de apresentação de publicidade direcionada.
19. A título preliminar, importa recordar que qualquer tratamento de dados pessoais deve, por um lado, respeitar os princípios relativos ao tratamento de dados enunciados no artigo 5.° do RGPD e, por outro, preencher uma das condições relativas à licitude do tratamento enumeradas no artigo 6.° deste regulamento (16).
20. No que respeita, mais especialmente, aos princípios relativos ao tratamento de dados pessoais, o Tribunal de Justiça especificou designadamente que o princípio da minimização dos dados que figura no artigo 5.°, n.° 1, alínea c), do RGPD prevê que os dados pessoais devem ser adequados, pertinentes e limitados ao que é necessário à luz das finalidades para que são tratados, o que traduz, em substância, o princípio da proporcionalidade (17). Assim, o princípio da “minimização dos dados” visa minimizar as limitações ao direito à proteção dos dados pessoais ocasionadas pelo tratamento em questão.
21. No caso em apreço, parece‑me evidente que a eventual inexistência de qualquer limitação, como pressuposta pelo órgão jurisdicional de reenvio, seria, por definição, contrária à aplicação do princípio da minimização dos dados. Ora, não resulta dos autos submetidos ao Tribunal de Justiça nenhum elemento que possa confirmar ou excluir tal suposição, que é, em todo o caso, deixada à apreciação do órgão jurisdicional de reenvio. No entanto, procurarei fornecer a esse órgão jurisdicional algumas indicações úteis quanto à interpretação da disposição em análise, que lhe permitam decidir o processo nele pendente.
22. No que respeita, por um lado, à limitação do tratamento dos dados pessoais no tempo, considero que, na falta de uma disposição específica a este respeito no RGPD, o juiz da União não pode fixar, de forma imperativa, um período limite para a conservação desses dados. Por outro lado, o Tribunal de Justiça declarou que mesmo um tratamento inicialmente lícito de dados exatos se pode tornar, com o tempo, incompatível nomeadamente com o artigo 5.°, n.° 1, alíneas c) a e), do RGPD quando esses dados já não sejam necessários à luz das finalidades para que foram recolhidos ou tratados (18). Cabe, portanto, ao órgão jurisdicional de reenvio apreciar, tendo em conta as circunstâncias do caso em apreço e aplicando o princípio da proporcionalidade (19), em que medida o período de conservação de dados pessoais pela Meta Platforms Ireland é justificado em relação ao objetivo legítimo de tratamento destes dados para efeitos de publicidade personalizada.
23. No que respeita, por outro lado, à limitação do tratamento dos dados pessoais em função da natureza dos dados, cabe igualmente ao órgão jurisdicional de reenvio determinar, nas circunstâncias do caso em apreço, quais são os dados pessoais cujo tratamento pode ser considerado legítimo, no respeito do princípio da proporcionalidade.
24. Além disso, as referências, na redação do artigo 5.°, n.° 1, alínea c), do RGPD, a condições muito genéricas, como a «adequação», a «pertinência» e a «necessidade», demonstram, na minha opinião, que o legislador da União pretendeu deixar uma ampla margem de apreciação às autoridades competentes na aplicação desta disposição, só podendo estes requisitos ser aplicados caso a caso, tendo em conta as circunstâncias do caso concreto.
25. Clarificado este aspeto, considero que, como a Comissão assinalou nas suas observações escritas, podem ser estabelecidas certas distinções em função dos diferentes graus de ingerência das diversas formas de tratamento nos direitos do titular. O órgão jurisdicional de reenvio pode, portanto, quando o considere adequado, por um lado, efetuar uma distinção entre a utilização de dados «estáticos» do titular dos dados (como a idade (20) ou o sexo) e a utilização de dados «comportamentais» (como o acompanhamento dos hábitos de navegação dos utilizadores), sendo esta última utilização, regra geral, mais intrusiva quanto aos direitos do titular. No que respeita, mais especificamente, aos dados «comportamentais», poderia ser feita uma distinção adicional entre a recolha de dados relativos a um comportamento «ativo» (como a ação de clicar no botão «Gosto») e a recolha de dados relativos a um comportamento «passivo» (como a simples visita de um sítio Internet), sendo esta última normalmente mais intrusiva para o utilizador. Por outro lado, pode ser igualmente feita uma distinção entre o tratamento dos dados pessoais recolhidos na plataforma Facebook e fora desta, a saber, em páginas Internet, aplicações diferentes do Facebook ou nos aparelhos dos utilizadores, sendo este último mais intrusivo do que o primeiro (21).
26. No âmbito desta análise, é igualmente importante, na minha opinião, ter em conta as expectativas razoáveis das pessoas em causa (22).
27. Além disso, numa situação como a que existia antes da entrada em vigor do RGPD, em que o tratamento dos dados recolhidos fora da plataforma Facebook não se baseava no consentimento, mas antes no caráter necessário do tratamento em execução do contrato por força do artigo 6.°, n.° 1, alínea b), desse regulamento (23), importa ter em conta a interpretação restrita que o Tribunal de Justiça fez dessa disposição (24). Por conseguinte, é importante, como o Governo Italiano sublinha nas suas observações escritas, evitar que uma interpretação lata do princípio da minimização dos dados nos termos do artigo 5.° do referido regulamento possa permitir aos responsáveis do tratamento estender as categorias de dados pessoais consideradas necessárias à execução do contrato ao abrigo do artigo 6.°, n.° 1, alínea b), do mesmo regulamento.
28. Tendo em conta o exposto, proponho que se responda à segunda questão prejudicial que o artigo 5.°, n.° 1, alínea c), do RGPD deve ser interpretado no sentido de que se opõe a que os dados pessoais possam ser tratados para fins de publicidade direcionada sem limitação no tempo ou em função da natureza dos dados e que cabe ao órgão jurisdicional de reenvio apreciar, tendo em conta as circunstâncias do caso em apreço e aplicando o princípio da proporcionalidade, em que medida o período de conservação dos dados e a quantidade de dados tratados são justificados relativamente ao objetivo legítimo de tratamento desses dados para efeitos de publicidade personalizada.
Quanto à quarta questão prejudicial
29. Com a sua quarta questão prejudicial, o órgão jurisdicional de reenvio pergunta, em substância, se as disposições conjugadas do artigo 5.°, n.° 1, alínea b), e do artigo 9.°, n.° 2, alínea e), do RGPD devem ser interpretadas no sentido de que a circunstância de uma pessoa se ter exprimido sobre a sua orientação sexual para efeitos de uma mesa redonda permite o tratamento pela Meta Platforms Ireland de outros dados relativos à sua orientação sexual para lhe propor publicidade personalizada. De forma mais geral, esse órgão jurisdicional interroga‑se sobre o alcance desta última disposição e suscita, mais precisamente, a questão de saber de que forma o público deve ter obtido os dados sensíveis dessa pessoa para que o artigo 9.°, n.° 2, do RGPD seja aplicável.
Quanto à pertinência da questão prejudicial
30. A Meta Platforms Ireland especificou, nas suas observações escritas e orais, sem que as outras partes o contestassem na audiência, que, na pendência do processo nos órgãos jurisdicionais nacionais, em nenhum momento invocou a exceção prevista no artigo 9.°, n.° 2, alínea e), do RGPD como base jurídica do tratamento dos dados em causa (25).
31. Ora, nesse caso, a quarta questão prejudicial afigura‑se claramente desprovida de pertinência, uma vez que esta exceção não é aplicável no presente processo (26).
32. Assim sendo, importa recordar que, segundo jurisprudência constante do Tribunal de Justiça, no âmbito do processo previsto no artigo 267.° TFUE, que se baseia numa nítida separação de funções entre os órgãos jurisdicionais nacionais e o Tribunal de Justiça, as questões relativas à interpretação do direito da União submetidas pelo juiz nacional no quadro regulamentar e factual que define sob a sua própria responsabilidade (27), e cuja exatidão não compete ao Tribunal de Justiça verificar, gozam de uma presunção de pertinência (28).
33. Por conseguinte, nos números seguintes, proponho uma resposta à quarta questão prejudicial submetida pelo órgão jurisdicional de reenvio, sem prejuízo da decisão do Tribunal de Justiça quanto à pertinência desta questão.
Quanto ao mérito da questão prejudicial
34. A título preliminar, recordo que, em conformidade com o artigo 5.°, n.° 1, alínea b), do RGPD, que consagra o princípio da limitação das finalidades, os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas e não ser posteriormente tratados de forma incompatível com essas finalidades. Nos termos do artigo 9.°, n.° 1, deste regulamento, é proibido o tratamento de dados pessoais relativos, nomeadamente, à vida sexual ou orientação sexual de uma pessoa, salvo se esse tratamento estiver abrangido por uma das exceções previstas no artigo 9.°, n.° 2, do referido regulamento (29).
35. Mais especialmente, por força do artigo 9.°, n.° 2, alínea e), do RGPD, a proibição do tratamento de dados pessoais sensíveis não se aplica se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular. Como referi nas minhas conclusões no processo Meta Platforms e o. (Condições gerais de utilização de uma rede social)(30), a referência, na redação dessa disposição, ao advérbio «manifestamente» e o facto de a referida disposição constituir uma exceção ao princípio da proibição do tratamento de dados pessoais sensíveis impõem uma aplicação especialmente estrita desta exceção, devido aos riscos significativos para os direitos e liberdades fundamentais dos titulares dos dados (31). Para que esta exceção possa ser aplicável, o utilizador deve ter, na minha opinião, plena consciência de que, através de um ato explícito, torna os seus dados pessoais acessíveis a qualquer pessoa (32).
36. No processo em apreço, os dados sensíveis relativos à orientação sexual do demandante foram divulgados, fora da plataforma Facebook («fora do sítio Internet») e de qualquer outra plataforma ou aplicação informática, no contexto de uma mesa redonda organizada pela Comissão (33) e com o objetivo de denunciar o tratamento alegadamente ilícito pela Meta Platforms Ireland de dados relativos a esta orientação sexual (34).
37. A este respeito, o Tribunal de Justiça já teve oportunidade de se pronunciar sobre a utilização de dados «fora do sítio Internet», no âmbito de outras plataformas, no Acórdão Meta Platforms e o. (Condições gerais de utilização de uma rede social)(35). Nessa ocasião, o Tribunal de Justiça declarou que o artigo 9.°, n.° 2, alínea e), do RGPD deve ser interpretado no sentido de que, quando um utilizador de uma rede social em linha consulta sítios Internet ou aplicações relacionadas com uma ou mais das categorias referidas no artigo 9.°, n.° 1, do RGPD, não torna manifestamente públicos, na aceção da primeira destas disposições, os dados relativos a essa consulta, recolhidos pelo operador dessa rede social em linha através de «cookies» ou de tecnologias de registo semelhantes e que, quando insere dados em tais sítios Internet ou em tais aplicações ou quando ativa botões de seleção integrados nesses sítios e nessas aplicações, como os botões «gosto» ou «partilhar» ou os botões que permitem ao utilizador identificar‑se nesses sítios ou aplicações utilizando as credenciais de conexão associadas à sua conta de utilizador da rede social, o seu número de telefone ou o seu endereço de correio eletrónico, esse utilizador só torna manifestamente públicos, na aceção deste artigo 9.°, n.° 2, alínea e), do RGPD os dados assim inseridos ou resultantes da ativação desses botões no caso de ter manifestado expressamente a sua escolha prévia, eventualmente com base numa parametrização individual efetuada com pleno conhecimento de causa, de tornar os dados que lhe dizem respeito publicamente acessíveis a um número ilimitado de pessoas (36).
38. Assim sendo, o órgão jurisdicional de reenvio considerou necessário manter a sua quarta questão prejudicial com o fundamento de que os atos examinados pelo Tribunal de Justiça neste último processo diziam respeito à consulta de sítios Internet ou de aplicações e à ativação de botões neles integrados, ao passo que, no caso em apreço, se trata de uma declaração efetuada pela pessoa em causa sobre a sua orientação sexual por ocasião de uma mesa redonda. A este respeito, esse órgão jurisdicional considera que não se pode deduzir dessa declaração um consentimento na aceção do referido artigo 9.°, n.° 2, alínea e), do RGPD.
39. A este propósito, parece‑me oportuno distinguir entre, por um lado, a questão prévia de saber se a declaração do demandante sobre a sua orientação sexual constitui um ato pelo qual este torna manifestamente pública essa orientação sexual para efeitos do artigo 9.°, n.° 2, alínea e), do RGPD e, por outro, em caso de resposta afirmativa a esta questão, a de saber se o facto de ter tornado manifestamente pública a sua orientação sexual autoriza o tratamento de dados relativos a essa orientação sexual para efeitos da publicidade personalizada na aceção, nomeadamente, dos artigos 5.° e 6.° deste regulamento.
40. No que respeita, em primeiro lugar, à qualificação que deve revestir a declaração do demandante na aceção do artigo 9.°, n.° 2, alínea a), do RGPD, na falta de indicações úteis que resultem da génese desta disposição e da sua aplicação jurisprudencial (37), saliento que a exceção prevista no artigo 9.°, n.° 2, alínea e), deste regulamento exige, em substância, o preenchimento de duas condições cumulativas, a saber, por um lado, a condição, que se poderia definir de «objetivo», segundo a qual os dados pessoais em questão são «manifestamente tornados públicos» e, por outro, a condição, que se poderia definir de «subjetiva», segundo a qual é o «titular» que torna esses dados manifestamente públicos.
41. No processo principal, sem prejuízo das verificações que incumbem ao órgão jurisdicional de reenvio, parece‑me que estas duas condições estão reunidas. Com efeito, embora divulgada incidentalmente no âmbito de um discurso mais amplo e crítico relativamente ao tratamento dos dados sensíveis por parte da Meta Platforms Ireland, considero que a declaração feita pelo demandante constitui um ato pelo qual, com pleno conhecimento de causa, torna manifestamente pública a sua orientação sexual.
42. No que respeita à primeira condição, parece‑me muito provável que, tendo em conta o caráter aberto da mesa redonda, difundida em direto e depois retransmitida em streaming (38), bem como o interesse do público no tema aí abordado, a declaração do demandante possa alcançar um público bem mais significativo do que o único público que estava presente em sala e potencialmente indefinido (39).
43. No que respeita à segunda condição, considero plausível pressupor que, ao mencionar abertamente a sua orientação sexual nas circunstâncias do caso em apreço (nomeadamente no âmbito de um evento aberto e acessível à imprensa), o demandante teve, se não a intenção, pelo menos plena consciência de tornar «manifestamente pública» a sua orientação sexual na aceção da jurisprudência referida no n.° 35 das presentes conclusões (40).
44. Além disso, o objetivo da proteção conferida pelo artigo 9.°, n.° 1, do RGPD é, na minha opinião, o de evitar que o titular seja exposto a consequências prejudiciais (como, designadamente o opróbrio público ou atos discriminatórios) que decorram, designadamente, de uma perceção negativa, de um ponto de vista social ou económico, das situações aí enumeradas (41). Essa disposição prevê, por isso, uma proteção especial desses dados pessoais através de uma proibição de princípio não absoluta, cuja aplicação ao caso concreto está sujeita à apreciação do titular, que é quem está em melhor posição para apreciar as consequências prejudiciais que poderiam decorrer da divulgação dos dados em questão e que pode, se for caso disso, renunciar a essa proteção ou não a invocar, com conhecimento de causa, tornando manifestamente público, na aceção do artigo 9.°, n.° 2, alínea e), deste regulamento, a sua situação e designadamente a sua orientação sexual.
45. No que respeita, em segundo lugar, ao exame das consequências decorrentes do facto de ter manifestamente tornado pública a sua orientação sexual no tratamento desses dados sensíveis pela Meta Platforms Ireland na aceção dos artigos 5.° e 6.° do RGPD, considero que a circunstância de tornar manifestamente públicos dados na aceção do artigo 9.°, n.° 2, alínea e), deste regulamento não legitima, por si só, um tratamento desses dados na aceção do referido regulamento.
46. Com efeito, a aplicação desta última disposição tem simplesmente por consequência eliminar a «proteção especial» conferida a certos dados pessoais particularmente sensíveis. Uma vez que esta proteção foi conscientemente afastada pelo próprio titular (que os tornou manifestamente públicos), esses dados pessoas, em princípio «protegidos», tornam‑se dados «normais» (ou seja, não sensíveis) que, como os demais dados pessoas, só podem ser objeto de um tratamento lícito nas condições previstas designadamente nos artigos 6.° e 7.° do RGPD e no respeito dos princípios consagrados designadamente no artigo 5.° desse regulamento (42), incluindo o princípio da limitação das finalidades previsto no artigo 5.°, n.° 1, alínea b), do referido regulamento, que impõe que os dados pessoais sejam recolhidos para finalidades determinadas, explícitas e legítimas, que incumbe ao responsável pelo tratamento demonstrar, por força do n.° 2 da disposição em questão (43).
47. Por conseguinte, o facto de o demandante se ter pronunciado sobre a sua orientação sexual no âmbito de uma mesa redonda, embora isso possa conduzir à conclusão de que, nas circunstâncias do caso concreto, essa pessoa «tornou manifestamente públicos» esses dados na aceção do artigo 9.°, n.° 2, alínea e), do RGPD, não pode, por si só, justificar o tratamento de dados pessoais que revelam a orientação sexual dessa pessoa (44).
48. Tendo em conta o exposto, proponho que se responda à quarta questão prejudicial que as disposições conjugadas do artigo 5.°, n.° 1, alínea b), e do artigo 9.°, n.° 2, alínea e), do RGPD devem ser interpretadas no sentido de que o facto de se ter pronunciado sobre a sua própria orientação sexual para efeitos de uma mesa redonda aberta ao público, ao mesmo tempo que é suscetível de constituir um ato pelo qual o interessado «tornou manifestamente público» este dado na aceção do artigo 9.°, n.° 2, alínea e), deste regulamento, não autoriza, por si só, o tratamento dos referidos dados ou de outros dados relativos à sua orientação sexual com vista à agregação e análise de dados para efeitos de publicidade personalizada.
Conclusão
49. À luz das considerações anteriores, proponho ao Tribunal de Justiça que responda às questões prejudiciais submetidas pelo Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria) do seguinte modo:
1) O artigo 5.°, n.° 1, alínea b), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
deve ser interpretado no sentido de que:
– se opõe a que os dados pessoais possam ser tratados para fins de publicidade direcionada sem limitação no tempo ou em função da natureza dos dados e
– cabe ao órgão jurisdicional de reenvio apreciar, tendo em conta as circunstâncias do caso em apreço e aplicando o princípio da proporcionalidade, em que medida o período de conservação dos dados e a quantidade de dados tratados são justificados relativamente ao objetivo legítimo de tratamento desses dados para efeitos de publicidade personalizada.
2) As disposições conjugadas do artigo 5.°, n.° 1, alínea b), e do artigo 9.°, n.° 2, alínea e), do Regulamento 2016/679
devem ser interpretadas no sentido de que:
– o facto de se ter pronunciado sobre a sua própria orientação sexual para efeitos de uma mesa redonda aberta ao público, ao mesmo tempo que é suscetível de constituir um ato pelo qual o interessado «tornou manifestamente público» este dado na aceção do artigo 9.°, n.° 2, alínea e), deste regulamento, não autoriza, por si só, o tratamento dos referidos dados ou de outros dados relativos à sua orientação sexual com vista à agregação e análise de dados para efeitos de publicidade personalizada.