Ediție provizorie
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL ATHANASIOS RANTOS
prezentate la 25 aprilie 2024(1)
Cauza C‑446/21
Maximilian Schrems
împotriva
Meta Platforms Ireland Limited, fostă Facebook Ireland Limited
[cerere de decizie preliminară formulată de Oberster Gerichtshof (Curtea Supremă, Austria)]
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Rețele sociale – Articolul 5 alineatul (1) litera (b) – Principiul «limitărilor legate de scop» – Articolul 5 alineatul (1) litera (e) – Principiul «reducerii la minimum a datelor» – Articolul 9 alineatul (1) și alineatul (2) litera (e) – Prelucrare a unor categorii speciale de date cu caracter personal – Date cu caracter personal care sunt făcute publice în mod manifest de către persoana vizată – Publicitate personalizată – Date privind orientarea sexuală”
Introducere
1. Prezenta cerere de decizie preliminară a fost adresată de Oberster Gerichtshof (Curtea Supremă, Austria) în cadrul unui litigiu între domnul Maximilian Schrems (denumit în continuare „reclamantul”), un utilizator al rețelei sociale „Facebook”, pe de o parte, și Meta Platforms Ireland Limited, fostă Facebook Ireland Limited (denumită în continuare „Meta Platforms Ireland” sau „pârâta”), pe de altă parte, în legătură cu prelucrarea pretins ilegală de către această societate a datelor sale cu caracter personal.
2. Întrebările preliminare adresate în cadrul prezentei cauze privesc, pe de o parte, aplicarea principiului „reducerii la minimum a datelor” prevăzut la articolul 5 alineatul (1) litera (c) din Regulamentul (UE) 2016/679(2) și, pe de altă parte, interpretarea noțiunii de „date cu caracter personal care sunt făcute publice în mod manifest de către persoana vizată”, prevăzută la articolul 9 alineatul (2) litera (e) din acest regulament, coroborată cu articolul 5 alineatul (1) litera (b) din regulamentul menționat, care introduce principiul „limitărilor legate de scop”. În esență instanța de trimitere solicită să se stabilească, pe de o parte, dacă principiul reducerii la minimum a datelor permite prelucrarea datelor cu caracter personal fără limitare în timp sau în funcție de natura datelor și, pe de altă parte, dacă afirmațiile unei persoane referitoare la propria orientare sexuală făcute în cursul unei mese rotunde autorizează prelucrarea altor date privind orientarea sexuală a acestei persoane în scopul publicității personalizate.
Cadrul juridic
3. Articolul 4 din RGPD, intitulat „Definiții”, prevede la punctul 11:
„În sensul prezentului regulament:
[…]
11. «consimțământ» al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate”.
4. Articolul 5 din acest regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede la alineatele (1) și (2):
„(1) Datele cu caracter personal sunt:
(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);
(b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri; […]
(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);
[…]
(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”
5. Articolul 6 din regulamentul menționat, intitulat „Legalitatea prelucrării”, prevede la alineatele (1) și (3):
„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:
(a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
(b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
[…]
(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.
Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.
[…]
(3) Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:
(a) dreptul Uniunii; sau
(b) dreptul intern care se aplică operatorului.
[…]
[…] Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.”
6. Articolul 7 din același regulament, intitulat „Condiții privind consimțământul”, are următorul cuprins:
„(1) În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.
[…]
(3) Persoana vizată are dreptul să își retragă în orice moment consimțământul. Retragerea consimțământului nu afectează legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia. Înainte de acordarea consimțământului, persoana vizată este informată cu privire la acest lucru. Retragerea consimțământului se face la fel de simplu ca acordarea acestuia.
(4) Atunci când se evaluează dacă consimțământul este dat în mod liber, se ține seama cât mai mult de faptul că, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract.”
7. Articolul 9 alineatele (1) și (2) din RGPD, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, prevede:
„(1) Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.
(2) Alineatul (1) nu se aplică în următoarele situații:
(a) persoana vizată și‑a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepția cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicția prevăzută la alineatul (1) să nu poată fi ridicată prin consimțământul persoanei vizate;
(b) prelucrarea este necesară în scopul îndeplinirii obligațiilor și al exercitării unor drepturi specifice ale operatorului sau ale persoanei vizate în domeniul ocupării forței de muncă și al securității sociale și protecției sociale, în măsura în care acest lucru este autorizat de dreptul Uniunii sau de dreptul intern ori de un acord colectiv de muncă încheiat în temeiul dreptului intern care prevede garanții adecvate pentru drepturile fundamentale și interesele persoanei vizate;
[…]
(e) prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de către persoana vizată;
[…]”
8. Articolul 13 din acest regulament, referitor la „[i]nformații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede la alineatul (1):
„În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:
[…]
(c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;
(d) în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță;
[…]”
Litigiul principal, întrebările preliminare și procedura în fața Curții
9. Meta Platforms Ireland, o societate de drept irlandez, administrează rețeaua închisă de comunicare „Facebook”, care constituie în esență o rețea socială online de partajare de conținuturi(3). Modelul său economic constă în special în a oferi utilizatorilor săi privați servicii gratuite de rețea socială și în vânzarea de publicitate online, inclusiv publicitate țintită către utilizatorii săi(4). Această publicitate se bazează în principal pe crearea automată de profiluri relativ detaliate ale utilizatorilor rețelei sociale menționate(5).
10. În cursul anului 2018, după intrarea în vigoare a RGPD, Meta Platforms Ireland a prezentat utilizatorilor săi din Uniunea Europeană noile condiții de utilizare a Facebook solicitându-le consimțământul, care este, de altfel, necesar pentru a se putea înregistra sau a putea accesa conturile și serviciile furnizate de Facebook(6). Noile condiții de utilizare le permit de asemenea utilizatorilor să aibă o imagine de ansamblu și un control asupra datelor stocate(7).
11. Reclamantul este un utilizator al Facebook care a acceptat noile condiții de utilizare transmise de Facebook. După cum reiese din decizia de trimitere, el și-a declarat public homosexualitatea, dar, pe profilul său Facebook, nu și‑ar fi menționat niciodată orientarea sexuală și nu ar fi publicat date sensibile(8). De asemenea, reclamantul nu ar fi permis pârâtei să utilizeze, în scopul publicității țintite, câmpurile profilului său privind statutul relației sale, angajatorul său, locul său de muncă sau formarea sa.
12. Cu toate acestea, reclamantul ar fi primit o reclamă pentru o politiciană, iar această publicitate i‑a fost adresată pe baza unei analize potrivit căreia el se asemăna cu alți „clienți” care i‑au acordat acesteia aprecierea „Îmi place”; el ar fi primit în mod regulat reclame care vizau persoanele homosexuale și invitații la evenimente corespunzătoare, deși nu se interesase înainte de aceste evenimente și nici măcar nu cunoștea locurile în care ele se desfășurau. Reclamele sau invitațiile menționate nu s‑ar întemeia în mod direct pe orientarea sexuală a reclamantului și a „prietenilor” săi de pe rețeaua socială, ci pe o analiză a intereselor acestora(9). Pe de altă parte, Meta Platforms Ireland ar înregistra toate datele privind reclamantul, inclusiv pe cele obținute prin intermediul terților sau al pluginurilor, pentru a le păstra pe o perioadă nedeterminată.
13. În aceste condiții, reclamantul a formulat în fața Landesgericht für Zivilsachen Wien (Tribunalul Regional în Materie Civilă din Viena, Austria) o acțiune în executare, în constatare și în încetare referitoare la prelucrarea pretins ilegală de către Meta Platforms Ireland a datelor sale cu caracter personal(10).
14. Ulterior, cu ocazia unei mese rotunde organizate de Reprezentanța Comisiei Europene la Viena (Austria)(11), care a avut loc la 12 februarie 2019, reclamantul a menționat care este orientarea sa sexuală în cadrul unei intervenții în care urmărea să denunțe prelucrarea pretins ilegală de către Meta Platforms Ireland a datelor privind această orientare sexuală(12).
15. Întrucât acțiunea i‑a fost respinsă în primă instanță prin hotărârea din 30 iunie 2020 și, în apel, de Oberlandesgericht Wien (Tribunalul Regional Superior din Viena, Austria), prin hotărârea din 7 decembrie 2020(13), reclamantul a formulat recurs în fața Oberster Gerichtshof (Curtea Supremă), instanța de trimitere.
16. În acest context, Oberster Gerichtshof (Curtea Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții patru întrebări preliminare(14). Întrucât prima și a treia întrebare preliminară au fost retrase în urma Hotărârii din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale)(15), prezenta cauză are ca obiect a doua și a patra întrebare, care sunt formulate după cum urmează:
„2) Articolul 5 alineatul (1) litera (c) din RGPD (reducerea la minimum a datelor) trebuie să fie interpretat în sensul că toate datele cu caracter personal de care dispune o platformă precum cea în discuție în litigiul principal (în special prin intermediul persoanei vizate sau al unor terți pe platformă și în afara platformei) pot fi agregate, analizate și prelucrate în scopul publicității țintite fără limitare în timp sau în funcție de natura datelor?
4) Articolul 5 alineatul (1) litera (b) coroborat cu articolul 9 alineatul (2) litera (e) din RGPD trebuie să fie interpretat în sensul că o afirmație referitoare la propria orientare sexuală în cadrul unei mese rotunde autorizează prelucrarea altor date privind orientarea sexuală în scopul agregării și analizei datelor în scopul publicității personalizate?”
17. Reclamantul, Meta Platforms Ireland, guvernele austriac, francez, italian și portughez, precum și Comisia au depus observații scrise. Reclamantul, Meta Platforms Ireland, guvernul austriac, precum și Comisia au prezentat observații orale în ședința de audiere a pledoariilor care a avut loc la 8 februarie 2024.
Analiză
Cu privire la a doua întrebare preliminară
18. Prin intermediul celei de a doua întrebări preliminare, instanța de trimitere solicită în esență să se stabilească dacă articolul 5 alineatul (1) litera (c) din RGPD, care consacră principiul reducerii la minimum a datelor, trebuie interpretat în sensul că toate datele cu caracter personal de care dispune o rețea precum Facebook, în special prin intermediul persoanei vizate sau al unor terți pe platformă și în afara acestei platforme, pot fi agregate, analizate și prelucrate în scopul publicității țintite, fără o limitare în timp sau în funcție de natura datelor.
19. Cu titlu introductiv, trebuie amintit că orice prelucrare de date cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile referitoare la prelucrarea datelor enunțate la articolul 5 din RGPD și, pe de altă parte, să răspundă uneia dintre condițiile referitoare la legalitatea prelucrării enumerate la articolul 6 din acest regulament(16).
20. În ceea ce privește, în special, principiile referitoare la prelucrarea datelor cu caracter personal, Curtea a precizat printre altele că principiul reducerii la minimum a datelor care figurează la articolul 5 alineatul (1) litera (c) din RGPD prevede că datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate, ceea ce reflectă în esență principiul proporționalității(17). Astfel, principiul reducerii la minimum a datelor urmărește să minimizeze limitările aduse dreptului la protecția datelor cu caracter personal ocazionate de prelucrarea în discuție.
21. În speță, considerăm că este evident că eventuala lipsă a oricărei limitări, astfel cum a presupus instanța de trimitere, ar fi, prin definiție, contrară aplicării principiului reducerii la minimum a datelor. Or, din dosarul prezentat Curții nu reiese niciun element care să poată confirma sau exclude o asemenea presupunere, aspect care ține, în orice caz, de aprecierea instanței de trimitere. Vom încerca totuși să furnizăm instanței menționate câteva indicații utile cu privire la interpretarea dispoziției examinate, care i-ar putea permite să se pronunțe asupra cauzei pendinte în fața sa.
22. În ceea ce privește, pe de o parte, limitarea prelucrării datelor cu caracter personal în timp, apreciem că, în lipsa unei dispoziții specifice în această privință în RGPD, instanța Uniunii nu poate stabili în mod imperativ o perioadă-limită pentru stocarea acestor date. Pe de altă parte, Curtea a statuat că chiar o prelucrare inițial legală a unor date exacte poate deveni cu timpul incompatibilă printre altele cu articolul 5 alineatul (1) literele (c)-(e) din RGPD atunci când datele respective nu mai sunt necesare în raport cu scopurile pentru care au fost colectate sau prelucrate(18). Prin urmare, revine instanței de trimitere sarcina de a aprecia, ținând seama de împrejurările cauzei și aplicând principiul proporționalității(19), în ce măsură perioada de stocare a datelor cu caracter personal de către Meta Platforms Ireland este justificată în raport cu obiectivul legitim de prelucrare a acestor date în scopul publicității personalizate.
23. În ceea ce privește, pe de altă parte, limitarea prelucrării datelor cu caracter personal în funcție de natura datelor, revine de asemenea instanței de trimitere sarcina de a identifica, în împrejurările cauzei, datele cu caracter personal a căror prelucrare poate fi considerată legitimă, cu respectarea principiul proporționalității.
24. De altfel, referirile, în textul articolului 5 alineatul (1) litera (c) din RGPD, la condiții foarte generice, precum „caracterul adecvat”, „relevanța” și „necesitatea”, demonstrează, în opinia noastră, că legiuitorul Uniunii a intenționat să lase o marjă largă de apreciere autorităților competente în aplicarea acestei dispoziții, condițiile menționate neputând fi aplicate decât de la caz la caz, ținând seama de împrejurările cauzei.
25. Acestea fiind precizate, apreciem, după cum subliniază Comisia în observațiile sale scrise, că anumite distincții pot fi făcute în funcție de gradul de ingerință în drepturile persoanei vizate pe care îl prezintă diversele forme de prelucrare. Prin urmare, instanța de trimitere ar putea, atunci când apreciază că este adecvat, pe de o parte, să facă distincție între utilizarea datelor „statice” ale persoanei vizate (precum vârsta(20) sau sexul) și utilizarea datelor „comportamentale” (precum monitorizarea obiceiurilor de navigare ale utilizatorilor), această din urmă utilizare fiind, de regulă, mai intruzivă în drepturile persoanei vizate. În ceea ce privește, în special, datele „comportamentale”, s‑ar putea face o distincție ulterioară între colectarea de date care privesc un comportament „activ” (precum acțiunea de a face click pe butonul „Îmi place”) și colectarea de date care privesc un comportament „pasiv” (precum simpla vizită a unui site internet), aceasta din urmă fiind în mod normal mai intruzivă pentru utilizator. Pe de altă parte, s‑ar putea face distincție și între prelucrarea datelor cu caracter personal colectate pe platforma Facebook și în afara acesteia, și anume pe pagini de internet, pe alte aplicații decât Facebook sau pe dispozitivele utilizatorilor, aceasta din urmă fiind mai intruzivă decât prima(21).
26. În cadrul acestei analize, este important totodată, în opinia noastră, să se țină seama de așteptările rezonabile ale persoanelor vizate(22).
27. Pe de altă parte, într‑o situație precum cea existentă înainte de intrarea în vigoare a RGPD, în care prelucrarea datelor colectate în afara platformei Facebook nu se întemeia pe consimțământ, ci mai degrabă pe caracterul necesar al prelucrării pentru executarea contractului în virtutea articolului 6 alineatul (1) litera (b) din acest regulament(23), trebuie să se țină seama de interpretarea strictă pe care Curtea a dat‑o acestei dispoziții(24). În consecință, astfel cum subliniază guvernul italian în observațiile sale scrise, trebuie să se evite ca o interpretare largă a principiului reducerii la minimum a datelor în temeiul articolului 5 din regulamentul menționat să poată permite operatorilor să extindă categoriile de date cu caracter personal considerate ca fiind necesare pentru executarea contractului în temeiul articolului 6 alineatul (1) litera (b) din același regulament.
28. Ținând seama de cele ce precedă, propunem să se răspundă la a doua întrebare preliminară că articolul 5 alineatul (1) litera (c) din RGPD trebuie interpretat în sensul că se opune ca datele cu caracter personal să poată fi prelucrate în scopul publicității țintite fără o limitare timp sau în funcție de natura datelor și că revine instanței de trimitere sarcina de a aprecia, ținând seama de împrejurările cauzei și aplicând principiul proporționalității, în ce măsură perioada de stocare a datelor și cantitatea de date prelucrate sunt justificate în raport cu obiectivul legitim de prelucrare a acestor date în scopul publicității personalizate.
Cu privire la a patra întrebare preliminară
29. Prin intermediul celei de a patra întrebări preliminare, instanța de trimitere solicită în esență să se stabilească dacă dispozițiile coroborate ale articolului 5 alineatul (1) litera (b) și ale articolului 9 alineatul (2) litera (e) din RGPD trebuie interpretate în sensul că împrejurarea potrivit căreia o persoană s‑a exprimat cu privire la orientarea sa sexuală în cadrul unei mese rotunde permite prelucrarea de către Meta Platforms Ireland a altor date privind orientarea sa sexuală pentru a‑i oferi publicitate personalizată. Într‑un mod mai general, instanța respectivă ridică problema domeniului de aplicare al acestei din urmă dispoziții și, în special, problema modului în care publicul a avut acces la datele sensibile ale acestei persoane pentru ca articolul 9 alineatul (2) din RGPD să fie aplicabil.
Cu privire la pertinența întrebării preliminare
30. Meta Platforms Ireland a precizat în observațiile sale scrise și orale, fără ca celelalte părți să conteste acest lucru în ședință, că, în cursul procedurii în fața instanțelor naționale, ea nu a invocat în niciun moment excepția prevăzută la articolul 9 alineatul (2) litera (e) din RGPD ca temei juridic al prelucrării datelor în cauză(25).
31. Or, într‑o asemenea situație, a patra întrebare preliminară ar fi în mod clar lipsită de pertinență, din moment ce această excepție nu ar fi aplicabilă în prezenta cauză(26).
32. Cu toate acestea, trebuie amintit că, potrivit unei jurisprudențe constante a Curții, în cadrul procedurii prevăzute la articolul 267 TFUE, întemeiată pe o separare clară a funcțiilor între instanțele naționale și Curte, întrebările referitoare la interpretarea dreptului Uniunii adresate de instanța națională în cadrul factual și normativ pe care îl definește aceasta sub propria răspundere(27) și a cărui exactitate Curtea nu are competența să o verifice beneficiază de o prezumție de pertinență(28).
33. Prin urmare, la punctele următoare, vom propune un răspuns la a patra întrebare preliminară adresată de instanța de trimitere, fără a aduce atingere deciziei Curții în ceea ce privește pertinența acestei întrebări.
Cu privire la fondul întrebării preliminare
34. Cu titlu introductiv, amintim că, în conformitate cu articolul 5 alineatul (1) litera (b) din RGPD, care consacră principiul limitărilor legate de scop, datele cu caracter personal sunt colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri. Potrivit articolului 9 alineatul (1) din acest regulament, se interzice prelucrarea de date cu caracter personal privind printre altele viața sexuală sau orientarea sexuală ale unei persoane fizice, cu excepția cazului în care o astfel de prelucrare intră în domeniul de aplicare al uneia dintre excepțiile prevăzute la articolul 9 alineatul (2) din regulamentul menționat(29).
35. Mai precis, în conformitate cu articolul 9 alineatul (2) litera (e) din RGPD, interdicția de prelucrare a datelor sensibile cu caracter personal nu se aplică în cazul în care prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de persoana vizată. După cum am arătat în Concluziile noastre prezentate în cauza Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale)(30), utilizarea în formularea acestei dispoziții a adverbului „manifest” și faptul că dispoziția respectivă constituie o excepție de la principiul interzicerii generale a prelucrării datelor sensibile cu caracter personal necesită o aplicare deosebit de strictă a acestei excepții, din cauza riscurilor semnificative pentru drepturile și libertățile fundamentale ale persoanelor vizate(31). Pentru ca excepția menționată să se aplice, utilizatorul trebuie, în opinia noastră, să fie pe deplin conștient de faptul că, printr‑un act explicit, face accesibile oricui date cu caracter personal care îl privesc(32).
36. În cauza principală, datele sensibile privind orientarea sexuală a reclamantului au fost divulgate în afara platformei Facebook („în afara site‑ului”) și a oricărei alte platforme sau aplicații informatice, în cadrul unei mese rotunde organizate de Comisie(33) și în scopul denunțării prelucrării pretins ilegale de către Meta Platforms Ireland a datelor privind această orientare sexuală(34).
37. În această privință, Curtea a avut deja ocazia să se pronunțe cu privire la utilizarea datelor „în afara site‑ului” în cadrul altor platforme în Hotărârea Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale)(35). Cu această ocazie, Curtea a declarat că articolul 9 alineatul (2) litera (e) din RGPD trebuie interpretat în sensul că, atunci când consultă site‑uri internet sau aplicații în legătură cu una sau mai multe dintre categoriile de date menționate la articolul 9 alineatul (1) din RGPD, un utilizator al unei rețele sociale online nu face publice în mod manifest, în sensul primei dintre aceste dispoziții, datele referitoare la consultarea menționată, colectate de operatorul acestei rețele sociale online prin intermediul modulelor „cookie” sau al tehnologiilor de stocare similare și că, atunci când introduce date pe astfel de site‑uri internet sau în astfel de aplicații sau atunci când acționează butoane de selecție integrate în aceste site‑uri și aplicații, cum ar fi butoanele „Îmi place” sau „Distribuie” sau butoanele care permit utilizatorului să se identifice pe aceste site‑uri sau aplicații cu ajutorul datelor de acces legate de contul său de utilizator al rețelei sociale, al numărului său de telefon sau al adresei de e‑mail, un astfel de utilizator nu face publice în mod manifest, în sensul acestui articol 9 alineatul (2) litera (e) din RGPD, datele astfel introduse sau care rezultă din acționarea acestor butoane, cu excepția cazului în care și‑a exprimat în mod explicit opțiunea în prealabil, eventual pe baza unei configurări individuale efectuate în deplină cunoștință de cauză, de a face datele care îl privesc accesibile unui număr nelimitat de persoane(36).
38. Cu toate acestea, instanța de trimitere a apreciat necesar să își mențină a patra întrebare preliminară pentru motivul că actele examinate de Curte în această din urmă cauză aveau legătură cu consultarea unor site‑uri internet sau a unor aplicații, precum și cu acționarea unor butoane care sunt integrate în acestea, în timp ce, în speță, este vorba despre o declarație făcută de persoana vizată cu privire la orientarea sa sexuală cu ocazia unei mese rotunde. În această privință, instanța menționată consideră că dintr‑o asemenea declarație nu se poate deduce un consimțământ în sensul respectivului articol 9 alineatul (2) litera (e) din RGPD.
39. În această privință, apreciem oportun să se facă distincție între, pe de o parte, întrebarea prealabilă dacă declarația reclamantului cu privire la orientarea sa sexuală constituie un act prin care acesta face publică în mod manifest respectiva orientare în sensul articolului 9 alineatul (2) litera (e) din RGPD și, pe de altă parte, în cazul unui răspuns afirmativ la această întrebare, întrebarea dacă faptul de a fi făcut publică în mod manifest orientarea sa sexuală permite prelucrarea datelor privind această orientare sexuală în scopul publicității personalizate, în special în sensul articolelor 5 și 6 din acest regulament.
40. În ceea ce privește, în primul rând, calificarea care trebuie dată declarației reclamantului în sensul articolului 9 alineatul (2) litera (a) din RGPD, în lipsa unor indicații utile care să reiasă din geneza acestei dispoziții și din aplicarea sa jurisprudențială(37), arătăm că excepția prevăzută la articolul 9 alineatul (2) litera (e) din acest regulament impune în esență să fie îndeplinite cumulativ două condiții, și anume, pe de o parte, o condiție „obiectivă”, potrivit căreia datele cu caracter personal în cauză trebuie să fie „făcute publice în mod manifest” și, pe de altă parte, o condiție „subiectivă”, potrivit căreia „persoana vizată” să fie cea care să facă publice aceste date în mod manifest.
41. În cauza principală, sub rezerva verificărilor care revin instanței de trimitere, considerăm că aceste două condiții sunt îndeplinite. Astfel, deși divulgată în mod incident în cadrul unui discurs mai larg și critic în raport cu prelucrarea datelor sensibile de către Meta Platforms Ireland, apreciem că declarația făcută de reclamant constituie un act prin care, în deplină cunoștință de cauză, acesta face publică în mod manifest orientarea sa sexuală.
42. În ceea ce privește prima condiție, considerăm că este foarte probabil ca, ținând seama de caracterul deschis al mesei rotunde, difuzată în direct și ulterior retransmisă în streaming(38), precum și de interesul publicului pentru tema care era abordată în cadrul acesteia, declarația reclamantului a putut ajunge la un public nedefinit, mult mai mare decât cel care a fost prezent în sală(39).
43. În ceea ce privește a doua condiție, în opinia noastră, este perfect posibil să se presupună că, menționând în mod deschis orientarea sa sexuală în împrejurările în speță (în special în cadrul unui eveniment deschis și accesibil presei), reclamantul, dacă nu a avut intenția, cel puțin a fost pe deplin conștient că face „publică în mod manifest” această orientare în sensul jurisprudenței citate la punctul 35 din prezentele concluzii(40).
44. De altfel, obiectivul protecției conferite de articolul 9 alineatul (1) din RGPD este, în opinia noastră, de a evita ca persoana vizată să fie expusă unor consecințe prejudiciabile (cum ar fi printre altele oprobriul public sau acte discriminatorii) care decurg printre altele dintr‑o percepție negativă din punct de vedere social sau economic a situațiilor enumerate în acesta(41). Dispoziția menționată prevede, așadar, o protecție specială a acestor date cu caracter personal prin intermediul unei interdicții de principiu neabsolute, a cărei aplicare în speță este supusă aprecierii persoanei vizate, care este cea mai în măsură să aprecieze consecințele prejudiciabile ce ar putea decurge din divulgarea datelor în discuție și care poate, dacă este cazul, să renunțe la această protecție sau să nu se prevaleze de ea în cunoștință de cauză, făcând publică în mod manifest, în sensul articolului 9 alineatul (2) litera (e) din acest regulament, situația sa și, în special, orientarea sa sexuală.
45. În ceea ce privește, în al doilea rând, examinarea consecințelor care decurg din faptul că a făcut publică în mod manifest orientarea sa sexuală, pe planul prelucrării acestor date sensibile de către Meta Platforms Ireland în sensul articolelor 5 și 6 din RGPD, apreciem că faptul de a face publice în mod manifest date în sensul articolului 9 alineatul (2) litera (e) din acest regulament nu permite, ca atare, efectuarea unei prelucrări a datelor respective în sensul regulamentului menționat.
46. Astfel, aplicarea acestei din urmă dispoziții are drept consecință doar ridicarea „protecției speciale” conferite anumitor date cu caracter personal deosebit de sensibile. Odată ce protecția respectivă a fost înlăturată în mod voit de însăși persoana vizată (care le‑a făcut publice în mod manifest), aceste date cu caracter personal inițial „protejate” devin date „obișnuite” (adică, nu sunt sensibile), care, la fel ca orice alte date cu caracter personal, pot face obiectul unei prelucrări legale numai în condițiile prevăzute în special la articolele 6 și 7 din RGPD și cu respectarea principiilor consacrate în special la articolul 5 din acest regulament(42), inclusiv a principiului limitărilor legate de scop prevăzut la articolul 5 alineatul (1) litera (b) din regulamentul menționat, care impune ca datele cu caracter personal să fie colectate în scopuri determinate, explicite și legitime, împrejurare care trebuie demonstrată de către operator, în virtutea alineatului (2) al dispoziției în cauză(43).
47. Prin urmare, faptul că reclamantul s‑a exprimat cu privire la orientarea sa sexuală în cadrul unei mese rotunde, deși acest lucru poate conduce la concluzia că, în împrejurările cauzei, persoana respectivă a „făcut publice în mod manifest” respectivele date în sensul articolului 9 alineatul (2) litera (e) din RGPD, nu poate justifica, în sine, prelucrarea datelor cu caracter personal care dezvăluie orientarea sexuală a acestei persoane(44).
48. Ținând seama de cele ce precedă, propunem să se răspundă la a patra întrebare preliminară că dispozițiile coroborate ale articolului 5 alineatul (1) litera (b) și ale articolului 9 alineatul (2) litera (e) din RGPD trebuie interpretate în sensul că faptul de a se fi exprimat cu privire la propria orientare sexuală în cadrul unei mese rotunde deschise publicului, deși poate constitui un act prin care persoana în cauză a „făcut publice în mod manifest” aceste date în sensul articolului 9 alineatul (2) litera (e) din regulamentul amintit, nu permite, ca atare, prelucrarea datelor menționate sau a altor date privind orientarea sexuală a respectivei persoane în vederea agregării și a analizei datelor în scopul publicității personalizate.
Concluzie
49. Având în vedere considerațiile care precedă, propunem Curții să răspundă la a doua și la a patra întrebare preliminară adresate de Oberster Gerichtshof (Curtea Supremă, Austria) după cum urmează:
1) Articolul 5 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că
– se opune ca datele cu caracter personal să poată fi prelucrate în scopul publicității țintite fără o limitare în timp sau în funcție de natura datelor și
– revine instanței de trimitere sarcina de a aprecia, ținând seama de împrejurările cauzei și aplicând principiul proporționalității, în ce măsură perioada de stocare a datelor și cantitatea de date prelucrate sunt justificate în raport cu obiectivul legitim de prelucrare a acestor date în scopul publicității personalizate.
2) Dispozițiile coroborate ale articolului 5 alineatul (1) litera (b) și ale articolului 9 alineatul (2) litera (e) din Regulamentul 2016/679
trebuie interpretate în sensul că
– faptul de a se fi exprimat cu privire la propria orientare sexuală în cadrul unei mese rotunde deschise publicului, deși poate constitui un act prin care persoana în cauză a „făcut publice în mod manifest” aceste date în sensul articolului 9 alineatul (2) litera (e) din regulamentul amintit, nu permite, ca atare, prelucrarea datelor menționate sau a altor date privind orientarea sexuală a respectivei persoane în vederea agregării și a analizei datelor în scopul publicității personalizate.