Rivelare i propri dati sensibili durante una conferenza pubblica non significa autorizzare indiscriminatamente l’uso di tali dati. Facebook, pertanto, non può utilizzare le informazioni degli orientamenti sessuali di un utente per l’invio di pubblicità personalizzata senza il consenso dell’interessato.
Rivelare i propri dati sensibili in pubblico non significa autorizzare chiunque a usarli a piacimento e senza limiti di tempo pertanto, Facebook non può utilizzare in modo indiscriminato le informazioni degli orientamenti sessuali di un utente per inviargli pubblicità personalizzata senza il suo consenso. Queste le conclusioni dell'Avvocato generale della Corte di giustizia dell'UE nella decisione della causa C-446/21, che coinvolge Meta. La vicenda ha avuto inizio quando l'Avv. Maximilian Schrems, attivista nel campo della protezione dei dati e presidente onorario dell'associazione noyb, aveva adito i giudici austriaci affermando di aver ricevuto regolarmente pubblicità rivolte agli omosessuali, lamentando di non aver mai fatto nessun cenno durante la sua attività sulla rete social riguardo al proprio orientamento sessuale, a cui aveva fatto solamente riferimento durante una conferenza pubblica, e sostenendo quindi che tali avvisi pubblicitari non si basavano direttamente sull'orientamento sessuale, ma su una analisi dei suoi particolari interessi. Contestando la condotta del social network, l'Avv. Schrems aveva intentato una causa che si fondava, quindi, sulla esatta interpretazione dell'articolo 9 del GDPR, per la quale la Corte suprema austriaca aveva rimandato alla Corte di giustizia dell'UE e su cui il 25 aprile 2024 l'avvocato generale ha presentato le sue conclusioni non vincolanti in attesa della sentenza definitiva. Il problema riguardava la lett. e del paragrafo 2 dell'articolo 9 in cui il GDPR prevede in modo ambiguo che non si applica il divieto di trattamento dei dati sensibili se il trattamento riguarda dati “resi manifestamente pubblici dall'interessato”, come avrebbe fatto Schrems nel corso del convegno a cui aveva partecipato come relatore. L'Avvocato generale della Corte UE propone una lettura restrittiva del testo dell'articolo 9 se uno manifesta le proprie preferenze sessuali in pubblico, ciò implica che l'interessato renda pubbliche queste notizie tuttavia, ciò non significa che quei dati diventino liberamente utilizzabili. Anzi, per poterli usare occorre rispettare ulteriori norme del GDPR come l'articolo 5 riguardante la correttezza e la liceità, e l'articolo 6 sul consenso o altra valida base giuridica. Nel comunicato stampa della Corte UE, l'Avvocato generale Athanasios Rantos ha ricordato che obiettivo della protezione assicurata dal GDPR è evitare che la persona interessata sia esposta a conseguenze pregiudizievoli, derivanti da una percezione negativa, «da un punto di vista sociale o economico, delle situazioni elencate». Tale disposizione prevede, dunque, una particolare protezione di tali dati personali tramite un divieto di principio non assoluto, la cui applicazione nel caso di specie è subordinata alla valutazione dell'interessato, e che, se del caso, può rinunciare a tale protezione o non avvalersene, con piena cognizione di causa, rendendo manifestamente pubblica, di tale regolamento, la propria situazione e, in particolare, il proprio orientamento sessuale. E il fatto che il ricorrente si sia espresso sul proprio orientamento sessuale nel contesto di una tavola rotonda, benchè possa condurre alla conclusione che, nelle circostanze del caso di specie, tale persona abbia reso “manifestamente pubblici”, di per sé non può giustificare il trattamento di dati personali che rivelino l'orientamento sessuale di tale persona. Sul sito di noyb, Katharina Raabe-Stuppnig, legale che rappresenta Schrems in tale procedimento ha spiegato l'uso dei dati per la pubblicità deve essere limitato dal tempo, dal tipo e dalla fonte. Tra le altre, al fine di evitare tali pratiche, diffuse tra le diverse piattaforme social, il GDPR ha stabilito il principio della minimizzazione dei dati. «Finora Meta ha semplicemente ignorato tale principio non prevedendo alcun periodo di cancellazione. L'applicazione del principio di minimizzazione dei dati limita radicalmente l'uso dei dati personali per la pubblicità, anche se gli utenti hanno acconsentito agli annunci. Il principio si applica indipendentemente dalla base giuridica utilizzata per il trattamento quindi anche un utente che, ad esempio, acconsente alla pubblicità personalizzata non può utilizzare i propri dati all'infinito».