Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. ATHANASIOS RANTOS
presentadas el 25 de abril de 2024 (1)
Asunto C‑446/21
Maximilian Schrems
contra
Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited
[Petición de decisión prejudicial planteada por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria)]
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Redes sociales — Artículo 5, apartado 1, letra b) — Principio de “limitación de la finalidad” — Artículo 5, apartado 1, letra e) — Principio de “minimización de datos” — Artículo 9, apartados 1 y 2, letra e) — Tratamiento de categorías especiales de datos personales — Datos personales que el interesado ha hecho manifiestamente públicos — Publicidad personalizada — Datos relativos a la orientación sexual»
Introducción
1. La presente petición de decisión prejudicial ha sido planteada por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria) en el contexto de un litigio entre el Sr. Maximilian Schrems (en lo sucesivo, «demandante»), un usuario de la red social Facebook, y Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited (en lo sucesivo, «Meta Platforms Ireland» o «demandada»), relativo al tratamiento supuestamente ilícito de los datos personales de aquel realizado por esta sociedad.
2. Las cuestiones prejudiciales formuladas en el marco del presente asunto versan, por un lado, sobre la aplicación del principio de «minimización de datos» contemplado en el artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679 (2) y, por otro lado, sobre la interpretación del concepto de «datos personales que el interesado ha hecho manifiestamente públicos» recogido en el artículo 9, apartado 2, letra e), de dicho Reglamento, en relación con su artículo 5, apartado 1, letra b), que introduce el principio de «limitación de la finalidad». En esencia, el órgano jurisdiccional remitente pregunta, por un lado, si el principio de minimización de datos permite tratar datos personales sin restricciones de carácter temporal o en función de su naturaleza y, por otro, si lo declarado por una persona acerca de su orientación sexual en un debate público autoriza a que se traten otros datos relativos a su orientación sexual con el fin de proponer publicidad personalizada.
Marco jurídico
3. El artículo 4 del RGPD, titulado «Definiciones», enuncia, en su punto 11:
«A efectos del presente Reglamento se entenderá por:
[…]
11) “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen».
4. El artículo 5 de dicho Reglamento, titulado «Principios relativos al tratamiento», dispone lo siguiente en sus apartados 1 y 2:
«1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; […]
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
[…]
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»
5. El artículo 6 de dicho Reglamento, titulado «Licitud del tratamiento», en sus apartados 1 y 3, establece que:
«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
[…]
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
[…]
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
[…]
[…] El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.»
6. El artículo 7 del mismo Reglamento, titulado «Condiciones para el consentimiento», está redactado en los siguientes términos:
«1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
[…]
3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.»
7. El artículo 9, apartados 1 y 2, del RGPD, titulado «Tratamiento de categorías especiales de datos personales», dispone:
«1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
[…]
e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
[…]».
8. El artículo 13 de dicho Reglamento, relativo a la «información que deberá facilitarse cuando los datos personales se obtengan del interesado», dispone lo siguiente en su apartado 1:
«Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
[…]
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
[…]».
Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
9. Meta Platforms Ireland, una sociedad irlandesa, gestiona la red cerrada de comunicación Facebook, la cual constituye, en esencia, una red social en línea para compartir contenidos. (3) Su modelo de negocio persigue en esencia ofrecer servicios de red social gratuitos a sus usuarios particulares y vender publicidad en línea, incluida la publicidad personalizada en función de los usuarios. (4) Esta publicidad se basa principalmente en la creación automatizada de perfiles relativamente detallados de los usuarios de esta red social. (5)
10. En 2018, tras la entrada en vigor del RGPD, Meta Platforms Ireland presentó las nuevas condiciones del servicio de Facebook a sus usuarios en la Unión Europea para obtener su consentimiento, lo cual es, además, necesario para poder registrarse o acceder a las cuentas y a los servicios prestados por Facebook. (6) Estas nuevas condiciones del servicio también permiten a los usuarios conocer y controlar los datos conservados. (7)
11. El demandante es un usuario de Facebook que aceptó las nuevas condiciones del servicio presentadas por Facebook. Como se desprende de la resolución de remisión, ha hecho pública su homosexualidad, pero nunca ha hecho mención de su orientación sexual ni ha publicado dato sensible alguno en su perfil de Facebook. (8) Tampoco ha autorizado a la demandada a utilizar, a efectos de proponer publicidad personalizada, los campos de su perfil relativos a su situación sentimental, su empleador, su empleo o su formación.
12. No obstante, según la resolución de remisión, al demandante se le mostró un anuncio de una política, se le dirigió esta publicidad partiendo de un análisis según el cual el demandante se parecía a otros «clientes» que habían etiquetado con «Me gusta» a aquella persona, y recibía regularmente anuncios dirigidos a personas homosexuales e invitaciones a los actos correspondientes, aunque previamente nunca había mostrado interés por los eventos concretos y no conocía el lugar en que estos se desarrollaban. Esta publicidad o dichas invitaciones no se basaban directamente en la orientación sexual del demandante o de sus «amigos» en la red social, sino en un análisis de sus intereses. (9) Además, Meta Platforms Ireland almacenaba todos los datos relativos al demandante, incluidos los obtenidos mediante terceros o «plugins», para conservarlos durante un período de tiempo indefinido.
13. En estas circunstancias, el demandante ejercitó ante el Landesgericht für Zivilsachen Wien (Tribunal Regional de lo Civil de Viena, Austria) una acción declarativa y de cesación del tratamiento supuestamente ilícito de sus datos personales por Meta Platforms Ireland. (10)
14. A continuación, con motivo de un debate público organizado por la Representación de la Comisión Europea en Viena (Austria), (11) que se celebró el 12 de febrero de 2019, el demandante mencionó su orientación sexual en una intervención mediante la cual pretendía denunciar el tratamiento supuestamente ilegal, por parte de Meta Platforms Ireland, de los datos relativos a tal orientación sexual. (12)
15. Al haber sido desestimada su demanda por el órgano jurisdiccional de primera instancia, mediante sentencia de 30 de junio de 2020 y, en la instancia de apelación, por el Oberlandesgericht Wien (Tribunal Regional Superior de Viena, Austria), mediante sentencia de 7 de diciembre de 2020, (13) el demandante interpuso recurso de casación ante el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal), el órgano jurisdiccional remitente.
16. En este contexto, el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal) decidió suspender el procedimiento y plantear al Tribunal de Justicia cuatro cuestiones prejudiciales. (14) Dado que las cuestiones prejudiciales primera y tercera han sido retiradas a raíz de la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), (15)el presente asunto tiene por objeto las cuestiones prejudiciales segunda y cuarta, que están formuladas en los términos siguientes:
«2) ¿Debe interpretarse el artículo 5, apartado 1, letra c), del RGPD (minimización de datos) en el sentido de que todos los datos personales de que dispone una plataforma como la del litigio principal (en particular, a través del interesado o de terceros en o fuera de la plataforma) pueden ser agregados, analizados y tratados para fines de una publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos?
4) ¿Debe interpretarse el artículo 5, apartado 1, letra b), en relación con el artículo 9, apartado 2, letra e), del RGPD, en el sentido de que una manifestación sobre la propia orientación sexual para los fines de un debate público permite el tratamiento de otros datos relativos a la orientación sexual a efectos de agregación y análisis de datos con fines de publicidad personalizada?»
17. Han presentado observaciones escritas el demandante, Meta Platforms Ireland, los Gobiernos austriaco, francés, italiano y portugués y la Comisión. Han formulado observaciones orales el demandante, Meta Platforms Ireland, el Gobierno austriaco y la Comisión en la vista celebrada el 8 de febrero de 2024.
Análisis
Sobre la segunda cuestión prejudicial
18. Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 5, apartado 1, letra c), del RGPD, que establece el principio de minimización de datos, debe interpretarse en el sentido de que los datos personales de que dispone una red como Facebook, en particular a través del interesado o de terceros en dicha plataforma y fuera de ella, pueden ser agregados, analizados y tratados con el fin de proponer publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos.
19. Con carácter previo, ha de recordarse que todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos al tratamiento de datos enunciados en el artículo 5 del RGPD y, por otra, con alguno de los principios relativos a la licitud del tratamiento, enumerados en el artículo 6 de dicho Reglamento. (16)
20. En lo tocante, más concretamente, a los principios relativos al tratamiento de datos personales, el Tribunal de Justicia ha precisado, en particular, que el principio de minimización de datos que figura en el artículo 5, apartado 1, letra c), del RGPD dispone que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, lo cual refleja, en esencia, el principio de proporcionalidad. (17) Así, el principio de minimización de datos persigue reducir al mínimo las limitaciones al derecho a la protección de datos personales a que da lugar el tratamiento en cuestión.
21. En el caso de autos, me parece evidente que la posible falta de toda limitación, tal como supone el órgano jurisdiccional remitente, sería, por definición, contraria a la aplicación del principio de minimización de datos. Ahora bien, de los autos remitidos al Tribunal de Justicia no se desprende ningún elemento que pueda confirmar o excluir tal suposición, que, en cualquier caso, corresponde apreciar al órgano jurisdiccional remitente. No obstante, procuraré proporcionar a dicho órgano jurisdiccional algunas indicaciones útiles sobre la interpretación de la disposición examinada que puedan permitirle pronunciarse sobre el asunto de que conoce.
22. Por un lado, en lo tocante a la limitación del tratamiento de datos personales en el tiempo, considero que, a falta de una disposición específica a este respecto en el RGPD, el juez de la Unión no puede fijar de manera imperativa un período límite para la conservación de estos datos. Además, el Tribunal de Justicia ha declarado que incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con el artículo 5, apartado 1, letras c) a e), del RGPD cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. (18) Corresponde, pues, al órgano jurisdiccional remitente apreciar, teniendo en cuenta las circunstancias del caso de autos y aplicando el principio de proporcionalidad, (19) en qué medida el período de conservación de los datos personales por parte de Meta Platforms Ireland está justificado en relación con el objetivo legítimo del tratamiento de estos datos a efectos de proponer publicidad personalizada.
23. En lo tocante, por otro lado, a la limitación del tratamiento de datos personales en función de la naturaleza de los datos, corresponde igualmente al órgano jurisdiccional remitente determinar, en las circunstancias del asunto, los datos personales cuyo tratamiento puede considerarse legítimo, respetando el principio de proporcionalidad.
24. Por otro lado, las referencias contenidas en el tenor del artículo 5, apartado 1, letra c), del RGPD a condiciones muy genéricas, como la «adecuación», la «pertinencia» y la «necesidad», demuestran, a mi juicio, que el legislador de la Unión ha pretendido dejar un amplio margen de apreciación a las autoridades competentes al aplicar esta disposición, pues dichas condiciones solo pueden interpretarse caso por caso, teniendo en cuenta las circunstancias del asunto.
25. Dicho esto, considero, tal como la Comisión subraya en sus observaciones escritas, que pueden establecerse algunas distinciones en función del grado de injerencia que suponen las diversas formas de tratamiento en los derechos del interesado. Así pues, si lo considera adecuado, el órgano jurisdiccional remitente podría, por un lado, establecer una distinción entre la utilización de datos «estáticos» de la persona interesada (como la edad (20) o el sexo) y la utilización de datos «conductuales» (como el seguimiento de los hábitos de navegación de los usuarios). Esta última utilización supone, por regla general, una intrusión mayor en los derechos del interesado. En lo que atañe, más particularmente, a los datos «conductuales», podría establecerse una distinción adicional entre la recogida de datos relativos a un comportamiento «activo» (como la acción de hacer clic en el botón «Me gusta») y la recogida de datos relativos a un comportamiento «pasivo» (como la simple visita a un sitio de Internet), pues esta última es más intrusiva para el usuario. Por otro lado, también puede establecerse una distinción entre el tratamiento de datos personales recogidos en la plataforma de Facebook y los recogidos fuera de ella, esto es, en páginas de Internet, en aplicaciones distintas de Facebook o en los dispositivos de los usuarios. Este último es más intrusivo que el primero. (21)
26. En el marco de este análisis, me parece igualmente importante tener en cuenta las expectativas razonables de los interesados. (22)
27. Además, en una situación como la que existía antes de la entrada en vigor del RGPD, en la que el tratamiento de datos recogidos fuera de la plataforma Facebook no se basaba en el consentimiento, sino, más bien, en la necesidad del tratamiento para la ejecución del contrato en virtud del artículo 6, apartado 1, letra b), de dicho Reglamento, (23) ha de tenerse en cuenta la interpretación estricta que el Tribunal de Justicia ha realizado de esta disposición. (24) Por consiguiente, es importante, como subraya el Gobierno italiano en sus observaciones escritas, evitar que una interpretación amplia del principio de minimización de datos, recogido en el artículo 5 de dicho Reglamento, pueda permitir a los responsables del tratamiento extender las categorías de datos personales consideradas necesarias para la ejecución del contrato en el sentido del artículo 6, apartado 1, letra b), de este mismo Reglamento.
28. Habida cuenta de cuanto precede, propongo responder a la segunda cuestión prejudicial que el artículo 5, apartado 1, letra c), del RGPD debe interpretarse en el sentido de que se opone a que los datos personales sean tratados con el fin de proponer publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos, y de que corresponde al órgano jurisdiccional remitente apreciar, teniendo en cuenta las circunstancias del asunto y aplicando el principio de proporcionalidad, en qué medida el período de conservación de los datos y la cantidad de datos tratados están justificados en relación con el objetivo legítimo del tratamiento de estos datos a efectos de proponer publicidad personalizada.
Sobre la cuarta cuestión prejudicial
29. Mediante su cuarta cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 5, apartado 1, letra b), del RGPD, en relación con su artículo 9, apartado 2, letra e), debe interpretarse en el sentido de que el hecho de que una persona se haya manifestado sobre su orientación sexual en un debate público permite a Meta Platforms Ireland el tratamiento de otros datos relativos a su orientación sexual para proporcionarle publicidad personalizada. Con carácter más general, este órgano jurisdiccional se pregunta sobre el alcance de esta última disposición y plantea, más concretamente, la cuestión del modo en que el público debe haber obtenido los datos sensibles de esta persona para que sea aplicable el artículo 9, apartado 2, del RGPD.
Sobre la pertinencia de la cuestión prejudicial
30. Meta Platforms Ireland ha señalado en sus observaciones escritas y orales, sin que las demás partes la hayan rebatido en la vista, que en ningún momento del procedimiento ante los órganos jurisdiccionales nacionales invocó la excepción contemplada en el artículo 9, apartado 2, letra e), del RGPD como base jurídica para el tratamiento de datos en cuestión. (25)
31. Pues bien, en tal supuesto, la cuarta cuestión prejudicial carecería manifiestamente de pertinencia, puesto que esta excepción no sería aplicable en el presente asunto. (26)
32. Dicho esto, ha de recordarse que, en el marco del procedimiento previsto en el artículo 267 TFUE, basado en una clara separación de las funciones entre los órganos jurisdiccionales nacionales y el Tribunal de Justicia, las cuestiones relativas a la interpretación del Derecho de la Unión planteadas por el juez nacional en el marco fáctico y normativo definido bajo su responsabilidad (27) y cuya exactitud no corresponde verificar al Tribunal de Justicia disfrutan de una presunción de pertinencia. (28)
33. Por tanto, en los puntos siguientes propondré una respuesta a la cuarta cuestión prejudicial planteada por el órgano jurisdiccional remitente, sin perjuicio de la decisión del Tribunal de Justicia en cuanto a su pertinencia.
Sobre el fondo de la cuestión prejudicial
34. Con carácter preliminar, ha de recordarse que, de conformidad con el artículo 5, apartado 1, letra b), del RGPD, que consagra el principio de limitación de la finalidad, los datos personales deben ser recogidos con fines determinados, explícitos y legítimos y no deben ser tratados ulteriormente de manera incompatible con dichos fines. A tenor del artículo 9, apartado 1, del citado Reglamento, queda prohibido el tratamiento de datos personales relativos, en particular, a la vida sexual o a la orientación sexual de una persona física, salvo si tal tratamiento queda comprendido en el ámbito de aplicación de una de las excepciones contempladas en el artículo 9, apartado 2, de dicho Reglamento. (29)
35. Más concretamente, en virtud del artículo 9, apartado 2, letra e), del RGPD, la prohibición del tratamiento de datos personales sensibles no se aplica si el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos. Como observé en mis conclusiones presentadas en el asunto Meta Platforms y otros (Condiciones generales del servicio de una red social), (30) el empleo, en el tenor de esta disposición, del adverbio «manifiestamente» y el hecho de que dicha disposición constituya una excepción al principio de prohibición del tratamiento de datos personales sensibles exigen una aplicación particularmente estricta de esta excepción, debido a los importantes riesgos para los derechos fundamentales y las libertades fundamentales de los interesados. (31) Para que pueda aplicarse esta excepción, el usuario debe, a mi modo de ver, ser plenamente consciente de que, mediante un acto explícito, hace accesibles a cualquier persona datos personales que le conciernen. (32)
36. En el asunto principal, los datos sensibles relativos a la orientación sexual del demandante fueron publicados fuera de la plataforma de Facebook («fuera del sitio») y de cualquier otra plataforma o aplicación informática, en el contexto de un debate público organizado por la Comisión (33) y con el objetivo de denunciar el tratamiento supuestamente ilícito por parte de Meta Platforms Ireland de datos relativos a tal orientación sexual. (34)
37. A este respecto, el Tribunal de Justicia ya ha tenido oportunidad de pronunciarse sobre la utilización de datos «fuera del sitio», en el marco de otras plataformas, en la sentencia Meta Platforms y otros (Condiciones generales del servicio de una red social). (35) En tal ocasión, el Tribunal de Justicia declaró que el artículo 9, apartado 2, letra e), del RGPD debe interpretarse en el sentido de que, cuando un usuario de una red social en línea consulta sitios de Internet o aplicaciones en relación con una o con varias de las categorías de datos contempladas en el artículo 9, apartado 1, de este Reglamento, no hace manifiestamente públicos, con arreglo a la primera de esas disposiciones, los datos relativos a dicha consulta recogidos por el operador de esa red social en línea a través de «cookies» o de tecnologías de almacenamiento similares, y que, cuando ese usuario introduce datos en tales sitios de Internet o en tales aplicaciones o cuando activa botones de selección integrados en esos sitios y en esas aplicaciones, como son los botones «Me gusta» o «Compartir» o los botones que permiten al usuario identificarse en esos sitios o aplicaciones utilizando los identificadores de conexión vinculados a su cuenta de usuario de la red social, su número de teléfono o su dirección de correo electrónico, tal usuario no hace manifiestamente públicos, en el sentido de dicho artículo 9, apartado 2, letra e), los datos así introducidos o resultantes de la activación de esos botones, a menos que haya manifestado explícitamente su opción previamente, en su caso sobre la base de una configuración individual, efectuada con pleno conocimiento de causa, de que los datos que le conciernen resulten accesibles públicamente a un número ilimitado de personas. (36)
38. Dicho esto, el órgano jurisdiccional remitente consideró necesario mantener su cuarta cuestión prejudicial debido a que los actos examinados por el Tribunal de Justicia en este último asunto versaban sobre la consulta de sitios de internet o de aplicaciones, así como sobre la activación de botones integrados en aquellas, mientras que, en el caso de autos, se está en presencia de una declaración realizada por el interesado sobre su orientación sexual con motivo de un debate público. A este respecto, dicho órgano jurisdiccional considera que no cabe deducir de tal declaración un consentimiento en el sentido del citado artículo 9, apartado 2, letra e), del RGPD.
39. En relación con esto, me parece oportuno establecer una distinción entre, por un lado, la cuestión previa de si la declaración del demandante sobre su orientación sexual constituye un acto en virtud del cual este hace manifiestamente pública dicha orientación en el sentido del artículo 9, apartado 2, letra e), del RGPD y, por otro lado, en caso de respuesta afirmativa a esta cuestión, la de si el haber hecho manifiestamente pública su orientación sexual autoriza el tratamiento de datos relativos a tal orientación a efectos de proponer publicidad personalizada en el sentido, en particular, de los artículos 5 y 6 de dicho Reglamento.
40. En lo que atañe, en primer lugar, a la calificación que debe tener la declaración del demandante a los efectos del artículo 9, apartado 2, letra a), del RGPD, a falta de indicaciones útiles que deriven de la génesis de esta disposición y de su aplicación jurisprudencial, (37) ha de señalarse que la excepción contemplada en el artículo 9, apartado 2, letra e), de este Reglamento exige, en esencia, que concurran dos requisitos cumulativos, a saber, por un lado, un requisito «objetivo», según el cual los datos personales en cuestión deben haberse «hecho manifiestamente públicos», y, por otro lado, un requisito «subjetivo», según el cual es el «interesado» quien debe hacer manifiestamente públicos esos datos.
41. En el asunto principal, sin perjuicio de las comprobaciones que corresponde efectuar al órgano jurisdiccional remitente, me parece que se cumplen estos dos requisitos. En efecto, pese a que se ha divulgado de forma incidental en el contexto de un discurso más amplio y crítico con el tratamiento de datos sensibles por parte de Meta Platforms Ireland, considero que la declaración realizada por el demandante constituye un acto en virtud del cual, con pleno conocimiento de causa, este hace manifiestamente pública su orientación sexual.
42. Por lo que respecta al primer requisito, me parece muy probable que, teniendo en cuenta el carácter abierto del debate público, que fue emitido en directo y después retransmitido en streaming, (38) así como el interés del público en el asunto que se abordaba en dicho debate, la declaración del demandante haya podido llegar a un público indefinido, mucho más amplio que el que estaba presente en la sala. (39)
43. En cuanto al segundo requisito, es ciertamente posible, a mi juicio, que, al mencionar abiertamente su orientación sexual en las circunstancias del caso de autos (en particular, en un acto abierto y accesible a la prensa), el demandante, si no tenía el propósito, sí tenía cuando menos plena consciencia de estar haciendo tal orientación «manifiestamente pública», en el sentido de la jurisprudencia citada en el punto 35 de las presentes conclusiones. (40)
44. Además, el objetivo de la protección que confiere el artículo 9, apartado 1, del RGPD es, a mi juicio, evitar que el interesado se vea expuesto a consecuencias perjudiciales (como, entre otras, el oprobio público o los actos discriminatorios) derivadas, en particular, de una percepción negativa, desde el punto de vista social o económico, de las situaciones enumeradas en dicho artículo. (41) Esta disposición establece, pues, una protección particular de estos datos personales por medio de una prohibición en principio no absoluta, cuya aplicación al caso de autos está sujeta a la valoración del interesado, que está en la mejor posición para apreciar las consecuencias perjudiciales que podrían derivarse de la publicación de los datos en cuestión y que, en su caso, puede renunciar a tal protección o no acogerse a ella, con pleno conocimiento de causa, haciendo manifiestamente pública, en el sentido del artículo 9, apartado 2, letra e), de dicho Reglamento, su situación y, en particular, su orientación sexual.
45. En lo que atañe, en segundo lugar, al examen de las consecuencias derivadas de haber hecho manifiestamente pública su orientación sexual desde el punto de vista del tratamiento de estos datos sensibles por parte de Meta Platforms Ireland, en el sentido de los artículos 5 y 6 del RGPD, considero que el hacer manifiestamente públicos una serie de datos en el sentido del artículo 9, apartado 2, letra e), de este Reglamento no permite por sí solo efectuar un tratamiento de tales datos en el sentido del citado Reglamento.
46. En efecto, la aplicación de esta última disposición tiene simplemente como consecuencia retirar la «protección especial» conferida a determinados datos personales particularmente sensibles. Una vez que el propio interesado (que los ha hecho manifiestamente públicos) ha renunciado conscientemente a esta protección, estos datos personales, en origen «protegidos», devienen datos «ordinarios» (esto es, no sensibles) que, al igual que los demás datos personales, solo pueden ser tratados lícitamente en las condiciones previstas, entre otros, en los artículos 6 y 7 del RGPD y respetando los principios contemplados, en particular, en el artículo 5 de este Reglamento, (42) incluido el principio de limitación de la finalidad recogido en el artículo 5, apartado 1, letra b), de dicho Reglamento, que exige que los datos personales sean recogidos para unos fines determinados, explícitos y legítimos, lo cual corresponde demostrar al responsable del tratamiento en virtud del apartado 2 de esa misma disposición. (43)
47. Por tanto, el hecho de que el demandante se haya manifestado sobre su orientación sexual en un debate público, pese a que ello pueda llevar a la conclusión de que, en las circunstancias del caso de autos, esta persona ha «hecho manifiestamente públicos» estos datos en el sentido del artículo 9, apartado 2, letra e), del RGPD, no puede justificar por sí solo el tratamiento de datos personales relativos a la orientación sexual de esta persona. (44)
48. Habida cuenta de cuanto precede, propongo responder a la cuarta cuestión prejudicial que el artículo 5, apartado 1, letra b), del RGPD, en relación con su artículo 9, apartado 2, letra e), debe interpretarse en el sentido de que una manifestación sobre la propia orientación sexual en el contexto de un debate público, aun cuando pueda constituir un acto mediante el cual el interesado ha «hecho manifiestamente público» este dato en el sentido del artículo 9, apartado 2, letra e), de dicho Reglamento, no permite por sí mismo el tratamiento de tales datos o de otros datos relativos a la orientación sexual de esa persona para la agregación y el análisis de datos con el fin de proponer publicidad personalizada.
Conclusión
49. A la vista de las consideraciones que preceden, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales segunda y cuarta planteadas por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria) del modo siguiente:
«1) El artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que
– se opone a que los datos personales sean tratados con el fin de proponer publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos, y de que
– corresponde al órgano jurisdiccional remitente apreciar, teniendo en cuenta las circunstancias del asunto y aplicando el principio de proporcionalidad, en qué medida el período de conservación de los datos y la cantidad de datos tratados están justificados en relación con el objetivo legítimo del tratamiento de estos datos a efectos de proponer publicidad personalizada.
2) El artículo 5, apartado 1, letra b), del Reglamento 2016/679, en relación con su artículo 9, apartado 2, letra e),
debe interpretarse en el sentido de que
– una manifestación sobre la propia orientación sexual en el contexto de un debate público, aun cuando pueda constituir un acto mediante el cual el interesado ha “hecho manifiestamente público” este dato en el sentido del artículo 9, apartado 2, letra e), de dicho Reglamento, no permite por sí mismo el tratamiento de tales datos o de otros datos relativos a la orientación sexual de esa persona para la agregación y el análisis de datos con el fin de proponer publicidad personalizada.»