CJUE impune limitări semnificative privind prelucrarea datelor personale de către rețelele sociale în scopuri publicitare

Cauza a fost inițiată de activistul pentru protecția datelor Maximilian Schrems împotriva Meta Platforms Ireland (anterior Facebook Ireland), operatorul serviciilor Facebook în UE. Schrems a contestat legalitatea prelucrării datelor sale personale de către Facebook, în special în ceea ce privește utilizarea acestora pentru publicitate personalizată, argumentând că nu a dat consimțământul necesar pentru utilizarea acestora în scopuri de publicitate. Decizia în cauza C‑446/21 a venit vinerea trecută și este una este semnificativă, având în vedere implicațiile sale asupra modului în care datele utilizatorilor sunt colectate, prelucrate și utilizate în acest sens.

Principalele aspecte stabilite de CJUE:

• Limitarea prelucrării datelor în timp și domeniu

CJUE a interpretat principiul minimizării datelor prevăzut la art. 5 alin. (1) lit. c) din GDPR, statuând că acesta se opune prelucrării nelimitate în timp și fără distincție a tuturor datelor personale ale utilizatorilor în scopuri publicitare.

Curtea a subliniat că operatorii de rețele sociale trebuie să limiteze perioada de colectare a datelor personale la ceea ce este strict necesar pentru scopul prelucrării, iar cu cât datele sunt stocate mai mult timp, cu atât crește impactul asupra vieții private a persoanei vizate și cu atât mai stricte devin cerințele privind legalitatea stocării. Stocarea nelimitată în timp a datelor personale ale utilizatorilor unei platforme de social media în scopuri publicitare este considerată o ingerință disproporționată în drepturile garantate de GDPR.

• Prelucrarea datelor sensibile și consimțământul

CJUE a clarificat interpretarea art. 9 alin. (2) lit. e) din GDPR, care permite prelucrarea datelor sensibile atunci când acestea au fost făcute publice în mod manifest de persoana vizată.

Faptul că o persoană și-a dezvăluit public orientarea sexuală (de exemplu, într-o dezbatere publică) nu permite operatorului unei rețele sociale să prelucreze alte date privind orientarea sexuală a acelei persoane, obținute din alte surse, pentru publicitate personalizată. Dezvăluirea publică a unor date sensibile nu echivalează cu un consimțământ pentru prelucrarea altor date de aceeași natură.

De asemenea, instanța a subliniat că, în cazul în care datele sunt colectate de la terți, operatorul trebuie să demonstreze că aceste date sunt prelucrate legal. Aceasta înseamnă că utilizatorii nu pot fi supuși unei supravegheri continue fără a fi conștienți de acest lucru și fără a-și da acordul.

Implicațiile deciziei

Pentru utilizatori, această decizie reprezintă o victorie în lupta pentru protecția vieții private în era digitală și, implicit, ar trebui să însemne reducerea riscului creării de profile detaliate fără consimțământul explicit al utilizatorului.  

Rețelele sociale și platformele online vor trebui să-și revizuiască practicile de prelucrare a datelor și politicile de confidențialitate, să implementeze mecanisme pentru limitarea în timp a stocării și prelucrării datelor.

Este de așteptat ca această decizie să genereze discuții ample în rândul specialiștilor în dreptul tehnologiei și protecția datelor, precum și să influențeze viitoarele reglementări și practici în domeniul publicității online și al economiei digitale.