Prima dichiarazione. Il parere dell'AG (C-446/21) è stato appena pubblicato. Si prega di aggiornare questa pagina per eventuali aggiornamenti. Anche se stiamo ancora analizzando i dettagli, ci auguriamo che la reazione iniziale di seguito riportata colga i punti chiave.
- Comunicati stampa della CGUE (cercare C-446/21 - Schrems)
- Parere completo dell'AG (potrebbe comparire solo nel corso della giornata)
Prima dichiarazione. Il parere dell'AG (C-446/21) è stato appena pubblicato. Si prega di aggiornare questa pagina per eventuali aggiornamenti. Anche se stiamo ancora analizzando i dettagli, ci auguriamo che la reazione iniziale di seguito riportata colga i punti chiave:
Katharina Raabe-Stuppnig, avvocato che rappresenta Schrems: "Siamo molto soddisfatti del parere, anche se questo risultato era molto atteso"
L'uso dei dati per la pubblicità deve essere limitato dal tempo, dal tipo e dalla fonte. Finora Meta utilizza tutti i dati che ha raccolto per la pubblicità. Ad esempio, i dati degli utenti di Facebook possono risalire fino al 2004. Per evitare tali pratiche, il GDPR ha stabilito il principio della "minimizzazione dei dati" nell'articolo 5(1)(c) del GDPR. Finora Meta ha semplicemente ignorato questo principio e non ha previsto alcun periodo di cancellazione. L'applicazione del "principio di minimizzazione dei dati" limita radicalmente l'uso dei dati personali per la pubblicità, anche se gli utenti hanno acconsentito agli annunci. Il principio si applica indipendentemente dalla base giuridica utilizzata per il trattamento, quindi anche un utente che acconsente alla pubblicità personalizzata non può utilizzare i propri dati personali all'infinito. Mentre l'AG afferma che il tribunale nazionale dovrà decidere sui dettagli, i fattori possono essere il tipo di dati personali (come l'età -v- i dati comportamentali), la fonte (come i dati forniti attivamente -v- il tracciamento tecnico passivo) o il contesto della raccolta (come su un social network -v- su pagine terze).
Katharina Raabe-Stuppnig: "Meta sta costruendo da 20 anni un enorme bacino di dati sugli utenti, che cresce ogni giorno. Il diritto dell'UE, tuttavia, richiede la "minimizzazione dei dati". Se la Corte seguirà il parere, solo una piccola parte di questo pool potrà essere utilizzata per la pubblicità, anche se gli utenti hanno dato il loro consenso"
Limiti allo "scraping" dei dati personali, anche se "palesemente resi pubblici". Nel contesto delle informazioni altamente personali raccolte da Meta sul sig. Schrems (tramite i partner pubblicitari), si è discusso se la successiva critica pubblica di tali pratiche potesse portare a una "rinuncia" del diritto alla privacy del sig. Schrems rispetto al trattamento inizialmente illegale. Il sig. Schrems ha sempre concordato sul fatto di aver reso pubbliche tali informazioni, che rientrano in generale nell'articolo 9, paragrafo 2, lettera e), del GDPR ("principalmente rese pubbliche"), mentre alcuni Stati membri, dinanzi alla CGUE, hanno messo in discussione questo elemento. Sebbene si tratti di una situazione molto specifica di un singolo utente, l'interpretazione della legge è rilevante nel contesto più ampio del "web scraping", in cui le informazioni disponibili al pubblico vengono semplicemente prelevate ed elaborate per altri scopi. Schrems ha sostenuto che il principio della "limitazione delle finalità" di cui all'articolo 5, paragrafo 1, del GDPR deve essere applicato in parallelo. Questo è quanto sostiene ora anche l'Avvocato generale.
Katharina Raabe-Stuppnig: "Solo perché alcune informazioni sono pubbliche, non significa che possano essere utilizzate per altri scopi. Se fate un commento politico sui social media, non può essere usato per indirizzarvi pubblicità politica. Se gli utenti perdessero tutti i loro diritti sulle informazioni pubblicate, si avrebbe un enorme effetto di contenimento della libertà di parola"
Di cosa si tratta in questo caso? Il caso riguarda un procedimento civile tra Max Schrems, in qualità di persona fisica, e Meta Ireland Platforms Limited (in qualità di gestore di "Facebook") presso i tribunali austriaci. Il caso è stato dibattuto per la prima volta in Austria nel 2020 e riguarda un gran numero di violazioni del GDPR, tra cui la mancanza di una base giuridica per la pubblicità e simili. La Corte Suprema austriaca ha rinviato quattro questioni alla CGUE nel 2021. Tuttavia, poiché un'altra causa (C-252/21 Bundeskartellamt) riguardava in parte questioni simili, la CGUE ha "messo in pausa" la causa tra Schrems e Meta fino al 2024. Le questioni iniziali 1 e 3 sono state (indirettamente) "vinte" perché la CGUE si è schierata con il punto di vista di Schrems nella causa C-252/21 Bundeskartellamt. Il resto della causa è stato quindi discusso a Lussemburgo l'8 febbraio 2024, ma limitatamente alle due questioni rimanenti (le questioni iniziali 2 e 4) che non erano già state decise nella causa C-252/21 Bundeskartellamt. Le questioni rimanenti sono:
- Questione originaria n. 2: se l'articolo 5, paragrafo 1, lettera c), del GDPR (minimizzazione dei dati) debba essere interpretato nel senso che tutti i dati personali in possesso di una piattaforma come quella di cui al procedimento principale (per il tramite, in particolare, dell'interessato o di terzi all'interno e all'esterno della piattaforma) possono essere aggregati, analizzati e trattati ai fini di una pubblicità mirata senza limitazioni di tempo o di tipo di dati
- Questione originale n. 4: se l'articolo 5, paragrafo 1, lettera b), del GDPR, in combinato disposto con l'articolo 9, paragrafo 2, lettera e), del medesimo, debba essere interpretato nel senso che una dichiarazione rilasciata da una persona in merito al proprio orientamento sessuale ai fini di una tavola rotonda consenta il trattamento di altri dati relativi all'orientamento sessuale ai fini dell'aggregazione e dell'analisi dei dati ai fini della pubblicità personalizzata
Minimizzazione dei dati. La domanda iniziale 2 riguarda l'approccio di Meta, che sostiene che tutti i dati personali finiscono essenzialmente in un grande "pool di dati" e possono essere utilizzati per la pubblicità personale a tempo indeterminato - senza alcuna limitazione - in quanto ciò sembra essere un'evidente violazione del principio di minimizzazione dei dati. Mentre in alcuni casi esiste un chiaro limite per la cancellazione (ad esempio, quando termina un obbligo legale di conservazione dei dati), la questione è più complessa quando si tratta di pubblicità.
Katharina Raabe-Stuppnig: "Al momento, il settore della pubblicità online archivia tutto per sempre. La legge è chiara: il trattamento deve cessare dopo pochi giorni o settimane. Per Meta, questo significherebbe che gran parte delle informazioni raccolte negli ultimi dieci anni diventerebbero tabù per la pubblicità"
Ulteriore utilizzo di dati sensibili. La domanda originale n. 4 riguarda l'argomentazione del Tribunale di primo grado (e in parte di Meta) secondo cui il sig. Schrems avrebbe menzionato il suo orientamento sessuale a un evento a Vienna e potrebbe quindi aver (implicitamente) acconsentito al trattamento di qualsiasi dato personale relativo all'orientamento sessuale (e in effetti alla vita sessuale, che è protetta separatamente dall'articolo 9 del GDPR) per la pubblicità che ha avuto luogo anni prima della dichiarazione pubblica. Vi è accordo sul fatto che tali dichiarazioni siano state rese pubbliche. Tuttavia, il sig. Schrems nega che Meta possa aver trattato altri dati - altamente personali - negli anni precedenti. Schrems sottolinea che il principio della "limitazione delle finalità" si applica parallelamente e che le informazioni condivise allo scopo di criticare un trattamento illecito da parte di Meta non possono consentire (retroattivamente) l'uso dei dati personali per uno scopo completamente diverso, come la pubblicità.
Katharina Raabe-Stuppnig: "La questione è estremamente rilevante per chiunque faccia una dichiarazione pubblica. Si può rinunciare retroattivamente al diritto alla privacy anche per informazioni del tutto estranee, oppure solo la dichiarazione stessa può essere utilizzata per lo scopo previsto dall'oratore? Se la Corte interpreta questo fatto come una "rinuncia" generale ai propri diritti, ciò rischia di bloccare qualsiasi discorso online su Instagram, Facebook o Twitter"