Corte di giustizia, Sentenza C-446/21

Pubblicità mirata su social network, minimizzazione dei dati e dati sensibili

La Corte di giustizia, nella causa C-446/21, ha esaminato un rinvio pregiudiziale dell’Oberster Gerichtshof (Austria) nell’ambito di una controversia tra Maximilian Schrems e Meta Platforms Ireland Ltd relativa al trattamento dei dati personali su Facebook per finalità di pubblicità personalizzata.

Fatti e procedimento principale

Il giudice del rinvio ha descritto un modello di business fondato sulla pubblicità online mirata, basata sulla creazione di profili dettagliati degli utenti e sull’uso di dati raccolti sia all’interno sia all’esterno del social network tramite cookies, social plugins e pixels. Il sig. Schrems contestava la liceità del trattamento, sostenendo che il consenso raccolto tramite le condizioni generali non fosse valido e che Meta trattasse anche dati sensibili, in particolare relativi all’orientamento sessuale e alle convinzioni politiche.

Questioni pregiudiziali mantenute dalla Corte

Dopo la sentenza Meta Platforms e a. (C-252/21), il giudice del rinvio ha ritirato la prima e la terza questione. Sono rimaste:

• la seconda, relativa all’interpretazione dell’articolo 5, paragrafo 1, lettera c), RGPD e al principio di minimizzazione dei dati;
• la quarta, relativa all’articolo 9, paragrafo 2, lettera e), RGPD e all’eventuale effetto di una dichiarazione pubblica dell’interessato sul proprio orientamento sessuale.

Normativa rilevante

La Corte richiama, in particolare, gli articoli 5, 6, 7, 9, 13 e 25 del RGPD, oltre ai considerando 1, 4, 39, 42, 43, 50 e 51. Vengono inoltre evocati gli articoli 7 e 8 della Carta dei diritti fondamentali e l’articolo 16, paragrafo 1, TFUE.

Ragionamento della Corte sulla seconda questione: minimizzazione dei dati

La Corte ricorda che i principi dell’articolo 5 RGPD si applicano cumulativamente e che il principio di minimizzazione impone che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento. In applicazione anche dell’articolo 25, paragrafo 2, il titolare deve trattare per impostazione predefinita solo i dati necessari per ciascuna specifica finalità.

La Corte afferma che un trattamento come quello descritto dal giudice nazionale, che riguarda dati raccolti su Facebook e fuori da Facebook, anche tramite tracciamento su siti e app terzi, è particolarmente esteso e ha un notevole impatto sulla sfera privata dell’utente. Per questa ragione:

• la conservazione illimitata dei dati per finalità pubblicitarie è sproporzionata;
• l’utilizzo indifferenziato di tutti i dati personali disponibili, senza distinzione per natura o sensibilità, non è proporzionato;
• il giudice nazionale deve comunque verificare in concreto, alla luce di tutti gli elementi rilevanti, la ragionevolezza del periodo di conservazione.

Ragionamento della Corte sulla quarta questione: dati manifestamente resi pubblici

La Corte precisa che l’articolo 9, paragrafo 1, RGPD vieta in linea di principio il trattamento di categorie particolari di dati personali, tra cui quelli relativi all’orientamento sessuale. L’eccezione dell’articolo 9, paragrafo 2, lettera e), è di stretta interpretazione e richiede che l’interessato abbia reso il dato "manifestamente pubblico" con un atto esplicito e positivo.

Nel caso concreto, la dichiarazione resa in una tavola rotonda aperta al pubblico potrebbe, in astratto, integrare una divulgazione manifesta del dato relativo all’orientamento sessuale, ma ciò non implica che:

• tutti gli altri dati relativi allo stesso orientamento escano dalla protezione dell’articolo 9, paragrafo 1;
• la piattaforma sia autorizzata a trattare ulteriori dati sensibili analoghi, anche se raccolti da terzi o fuori dalla piattaforma;
• la pubblica dichiarazione valga come consenso al trattamento ex articolo 9, paragrafo 2, lettera a).

Dispositivo

La Corte ha dichiarato che:

• l’articolo 5, paragrafo 1, lettera c), RGPD osta al trattamento indifferenziato e senza limiti temporali di tutti i dati personali disponibili per pubblicità mirata;
• l’articolo 9, paragrafo 2, lettera e), RGPD non consente di trattare altri dati relativi all’orientamento sessuale dell’interessato, raccolti anche da terzi e fuori dalla piattaforma, solo perché egli abbia pubblicamente parlato del proprio orientamento sessuale.

Implicazioni pratiche

La pronuncia conferma che i social network non possono fondare la pubblicità comportamentale su una raccolta e profilazione generalizzata dei dati degli utenti. Per gli operatori, ciò impone una verifica rigorosa di proporzionalità, necessità e limitazione delle finalità, nonché una gestione molto prudente dei dati sensibili e delle eventuali informazioni rese pubbliche dall’utente.