La CGUE sull’uso di dati personali a fini di pubblicità mirata

La recente sentenza della Corte di Giustizia dell’Unione Europea (CGUE), emessa il 4 ottobre 2024 nella causa C-446/21, affronta questioni centrali riguardo alla protezione dei dati personali e alla pubblicità mirata. La decisione è rilevante sia per le piattaforme digitali, come Meta Platforms Ireland Ltd (precedentemente Facebook Ireland Ltd), sia per gli utenti, poiché ridefinisce limiti e obblighi legati all’uso e al trattamento dei dati personali. In questo contesto, il caso in esame ha al centro Maximilian Schrems, attivista per la privacy, che ha contestato l’utilizzo dei suoi dati da parte di Meta per fini pubblicitari senza un consenso conforme al GDPR.

Contesto e origine della controversia

Il caso trae origine da un’azione legale promossa da Schrems contro Meta Platforms Ireland, accusata di trattare dati personali degli utenti per finalità di pubblicità personalizzata senza un adeguato consenso, in violazione dei principi sanciti dal Regolamento (UE) 2016/679 (GDPR). Meta ha replicato sostenendo che tale trattamento fosse necessario per l’esecuzione del contratto di utilizzo della piattaforma, configurando così una base giuridica valida ai sensi dell’articolo 6, paragrafo 1, lettera b) del GDPR. La Corte Suprema austriaca ha quindi richiesto una pronuncia pregiudiziale alla CGUE su questioni chiave legate alla liceità del consenso e all’ambito di applicazione del principio di minimizzazione dei dati.

I Principi del GDPR: Liceità, Minimizzazione e Limitazione della Finalità

La Corte ha interpretato gli articoli 5 e 6 del GDPR, chiarendo che:

• liceità: il trattamento dei dati personali deve basarsi su una giustificazione giuridica chiara e definita;
• limitazione della finalità: i dati devono essere raccolti per scopi determinati, espliciti e legittimi, e non utilizzati per finalità incompatibili;
• minimizzazione dei dati: I dati raccolti devono essere adeguati e limitati a quanto necessario.

Secondo il principio di minimizzazione, non è consentito raccogliere e analizzare tutti i dati degli utenti senza una limitazione temporale o distinzione di tipologia, come Meta ha fatto integrando strumenti quali cookies, social plugins e pixels nelle pagine web esterne. La CGUE ha sottolineato che un trattamento dei dati senza limitazioni temporali e senza una chiara distinzione delle finalità rappresenta una violazione del principio di minimizzazione.

Il ruolo del consenso: articoli 6 e 9 del GDPR

La Corte ha chiarito che il consenso deve essere libero, informato e inequivocabile, e non può essere considerato validamente espresso se è subordinato all’accesso al servizio stesso. Di conseguenza, il consenso ottenuto da Meta tramite l’accettazione delle condizioni d’uso della piattaforma non soddisfa tali criteri, essendo condizionato alla possibilità di utilizzare il servizio.

Inoltre, l’articolo 9 del GDPR, che disciplina il trattamento di dati sensibili come quelli relativi all’orientamento sessuale o alle opinioni politiche, prevede un divieto generale per il loro trattamento, salvo specifiche eccezioni. In questo caso, la CGUE ha chiarito che, pur avendo Schrems reso pubblico il proprio orientamento sessuale in altre sedi, tale atto non autorizza automaticamente Meta a utilizzare tali informazioni per scopi pubblicitari, senza un consenso esplicito.

Implicazioni per la pubblicità mirata

La sentenza della Corte sottolinea che il modello di business basato su pubblicità mirata non giustifica automaticamente un trattamento dati così esteso. La CGUE ha stabilito che l’uso dei dati personali deve essere strettamente proporzionato alle finalità dichiarate e che l’uso illimitato dei dati personali per la profilazione pubblicitaria costituisce un’ingerenza sproporzionata nella privacy degli utenti. Questa decisione rappresenta un limite significativo per le piattaforme digitali, imponendo loro di adottare misure di tutela dei dati personali per impostazione predefinita (data protection by design and by default), come prescritto dall’articolo 25 del GDPR.

Conclusioni

La sentenza della Corte di Giustizia nella causa Schrems vs. Meta Platforms stabilisce un importante precedente in materia di tutela della privacy nell’era digitale. I gestori delle piattaforme devono ora garantire che:

1. il consenso sia chiaramente informato e libero;
2. i dati sensibili siano trattati esclusivamente nel rispetto delle specifiche deroghe dell’articolo 9 del GDPR;
3. la raccolta dei dati rispetti rigorosamente il principio di minimizzazione, evitando trattamenti indiscriminati e senza limiti temporali.

Questa decisione rinforza l’importanza di un approccio al trattamento dei dati proporzionato e rispettoso della privacy degli utenti, riaffermando il GDPR come una barriera essenziale contro le pratiche invasive di profilazione e pubblicità mirata.