Tratamiento de datos personales relativos a la orientación sexual hechos públicos por el interesado en una red social. Publicidad personalizada
Tratamiento de datos personales. Redes sociales. Publicidad personalizada. Principios de limitación de la finalidad y de minimización de datos. Datos relativos a la orientación sexual hechos públicos por el interesado.
Los principios relativos al tratamiento de datos personales enunciados en el artículo 5 del RGPD son aplicables de forma acumulativa y, en consecuencia, deben ser tratados de manera lícita, leal y transparente en relación con el interesado y deben recogerse con fines determinados, explícitos y legítimos y no ser tratados ulteriormente de manera incompatible con dichos fines. Así, el llamado principio de «minimización de datos», que es un reflejo del principio de proporcionalidad, establece que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Además, en virtud de este principio de minimización de datos, el responsable del tratamiento está obligado a limitar a lo estrictamente necesario, a la luz del objetivo perseguido con el tratamiento, el período de recogida de los datos personales de que se trate y a mantenerlos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos.
En consecuencia, la conservación, durante un período ilimitado, de los datos personales de los usuarios de una plataforma de red social con el fin de proponerles publicidad específica debe considerarse una injerencia desproporcionada en los derechos garantizados a estos usuarios por el RGPD.
Conforme al principio de responsabilidad proactiva, el responsable del tratamiento debe ser capaz de demostrar que los datos personales se recogen y se tratan cumpliendo los principios enunciados en el apartado 1 del mencionado artículo 5. Además, cuando se obtengan de un interesado datos personales relativos a él, incumbe al responsable del tratamiento informarlo sobre los fines del tratamiento a que se destinan esos datos y sobre la base jurídica de este.
El artículo 9.1 del RGPD establece el principio de prohibición del tratamiento de categorías especiales de datos personales que menciona. Se trata, en particular, de datos que revelan el origen étnico o racial, las opiniones políticas o las convicciones religiosas, o de datos relativos a la salud, a la vida sexual o a la orientación sexual de una persona física. Esta prohibición es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta y de que el responsable del tratamiento actúe con el fin de obtener información comprendida en alguna de las categorías especiales contempladas en dicha disposición. Sin embargo, la prohibición, que debe interpretarse de manera restrictiva, no se aplica en el supuesto de que el tratamiento se refiera a datos personales que el interesado ha hecho manifiestamente públicos. Sería contrario a la interpretación restrictiva considerar que todos los datos relativos a la orientación sexual de una persona quedan excluidos de la protección referida por la mera circunstancia de que el interesado haya hecho manifiestamente público un dato personal relativo a su orientación sexual. Por otra parte, la circunstancia de que una persona haya hecho manifiestamente público un dato relativo a su orientación sexual no permite considerar que esa persona haya dado su consentimiento al tratamiento por parte del operador de una plataforma de red social en línea de otros datos relativos a su orientación sexual.
En virtud de lo expuesto, el Tribunal de Justicia declara que:
- El artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que el principio de «minimización de datos» que en él se recoge se opone a que todos los datos personales que un responsable del tratamiento, como el operador de una plataforma de red social en línea, haya obtenido del interesado o de terceros y que hayan sido recogidos tanto en dicha plataforma como fuera de esta se agreguen, se analicen y se traten a efectos de proponer publicidad específica, sin limitación temporal y sin distinción en función de la naturaleza de esos datos.
- El artículo 9, apartado 2, letra e), del Reglamento 2016/679 debe interpretarse en el sentido de que el hecho de que una persona se haya manifestado sobre su orientación sexual en una mesa redonda abierta al público no autoriza al operador de una plataforma de red social en línea a tratar otros datos relativos a la orientación sexual de esa persona obtenidos, en su caso, fuera de dicha plataforma a partir de aplicaciones y de sitios de Internet de terceros asociados, con el fin de agregar y de analizar tales datos para proponerle publicidad personalizada.