Nueva sentencia del TJUE contra Meta

Este caso se refiere a un procedimiento civil entre Max Schrems, como particular, y Meta Ireland Platforms Limited (como operador de "Facebook") ante los tribunales austriacos. El caso se presentó por primera vez en 2014 y se vio por primera vez en su totalidad en Austria en 2020 y se refiere a un gran número de violaciones del Reglamento General de Protección de Datos (RGPD). El Tribunal Supremo austriaco remitió cuatro cuestiones al Tribunal de Justicia de la Unión Europea (TJUE) en 2021, y este octubre de 2024 se han resuelto dos de estas cuestiones que se exponen a continuación.

Primera cuestión: ¿Debe interpretarse el principio de minimización de datos en el sentido de que todos los datos personales que obren en poder de una plataforma (a través, del interesado o de terceros dentro y fuera de la plataforma) pueden ser agregados, analizados y tratados con fines de publicidad dirigida sin restricción en cuanto al tiempo o sin distinción del tipo de datos?

El TJUE deja claro que el uso de datos para publicidad debe "minimizarse". Meta recoge los datos personales de los usuarios de Facebook, que se tratan de las actividades de estos tanto en dicha red social como fuera de ella. Se trata, en particular, de datos relativos a la plataforma en línea, así como de páginas de Internet y de aplicaciones de terceros. Para ello, Meta utiliza cookies, social plug-ins y píxeles de seguimiento insertados en las páginas de Internet de que se trata.

Según el TJUE, el principio de «minimización de datos», recogido en el RGPD, se opone a que todos los datos personales que un responsable del tratamiento, como el operador de una plataforma de red social en línea, haya obtenido del interesado o de terceros, y que hayan sido recogidos tanto en dicha plataforma como fuera de esta, se agreguen, se analicen y se traten a efectos de proponer publicidad específica, sin limitación temporal y sin distinción en función de la naturaleza de esos datos. 

Desde el TJUE, ha resaltado que el principio de "minimizar el uso de datos” no ha sido implementado por Meta, ya que almacena de forma indefinida los datos: "Incluso si un usuario autoriza que se use publicidad personalizada, la empresa no puede tener sus datos indefinidamente", se lee en la sentencia.

Tras esta resolución, lo anterior aplica también a cualquier otra empresa de publicidad en línea que no aplique prácticas estrictas de supresión de datos.

Segunda cuestión: ¿Debe interpretarse que una declaración realizada por una persona sobre su propia orientación sexual en un entorno abierto (como una mesa redonda) permita a Meta el tratamiento de otros datos relativos a la orientación sexual con el fin de agregarlos y analizarlos a efectos de publicidad personalizada?

En 2014 Max Schrems denunció en Austria que Facebook había recopilado para su perfil de datos su condición sexual porque había declarado públicamente en una conferencia dicha condición sexual. Desde la red social se defendía que había sido el activista quien había hecho público el dato.

Más concretamente, el órgano jurisdiccional de Austria trasladó la pregunta al TJUE para que determinara si, a raíz de la declaración realizada por el Sr. Schrems con motivo de una mesa redonda, este ya no tiene derecho a la protección conferida por el art.9.1, del RGPD y si, por consiguiente, Facebook tenía derecho a tratar otros datos relativos a su orientación sexual (diferentes a los que declaró en la mesa redonda).

Según el TJUE no se excluye que, mediante su declaración durante la mesa redonda en cuestión, el Sr. Schrems haya hecho manifiestamente pública su orientación sexual. Corresponde al Tribunal Supremo de lo Civil y Penal austriaco valorarlo.

Por otro lado, el TJUE indica que el hecho de que un interesado haya hecho manifiestamente público un dato sobre su orientación sexual tiene como consecuencia que este dato pueda ser objeto de tratamiento, respetando las disposiciones del RGPD. Por otra parte, también afirma que la circunstancia de que una persona haya hecho manifiestamente público un dato relativo a su orientación sexual no permite considerar que esa persona haya dado su consentimiento al tratamiento por parte del operador de una plataforma de red social en línea de otros datos relativos a su orientación sexual, obtenidos fuera de dicha plataforma a partir de aplicaciones y de sitios de Internet de terceros asociados, con el fin de agregar y de analizar tales datos para proponerle publicidad personalizada. 

Sería contrario a la interpretación del RGPD considerar que todos los datos relativos a la orientación sexual de una persona quedan excluidos de la protección que ofrece el RGPD por la mera circunstancia de que el interesado haya hecho manifiestamente público un dato personal relativo a su orientación sexual.

En relación con todo lo anterior, las empresas de publicidad en línea deberán aplicar estas consideraciones del TJUE a sus prácticas de negocio para dar cumplimiento al principio de minimización establecido en el RGPD, a los efectos de que los tratamientos de datos para fines publicitarios sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.