CELEX:62021CJ0446: Hotărârea Curții (Camera a patra) din 4 octombrie 2024.#Maximilian Schrems împotriva Meta Platforms Ireland Limited.#Cerere de decizie preliminară formulată de Oberster Gerichtshof.#Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Rețele sociale online – Condiții generale de utilizare referitoare la contractele încheiate între o platformă digitală și un utilizator – Publicitate personalizată – Articolul 5 alineatul (1) litera (b) – Principiul limitărilor legate de scop – Articolul 5 alineatul (1) litera (c) – Principiul reducerii la minimum a datelor – Articolul 9 alineatele (1) și (2) – Prelucrare a unor categorii speciale de date cu caracter personal – Date privind orientarea sexuală – Date făcute publice de către persoana vizată.#Cauza C-446/21.

–

pentru domnul Maximilian Schrems, de K. Raabe‑Stuppnig, Rechtsanwältin;

–

pentru Meta Platforms Ireland Ltd, de K. Hanschitz, H.‑G. Kamann, S. Khalil, B. Knötzl și A. Natterer, Rechtsanwälte;

–

pentru guvernul austriac, de A. Posch, J. Schmoll, C. Gabauer, G. Kunnert și E. Riedl, în calitate de agenți;

–

pentru guvernul francez, de R. Bénard și A.‑L. Desjonquères, în calitate de agenți;

–

pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de E. De Bonis, avvocato dello Stato;

–

pentru guvernul portughez, de P. Barros da Costa, A. Pimenta, J. Ramos și C. Vieira Guerra, în calitate de agenți;

–

pentru Comisia Europeană, de A. Bouchagiar, F. Erlbacher, M. Heller și H. Kranenborg, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea articolului 5 alineatul (1) literele (b) și (c), a articolului 6 alineatul (1) literele (a) și (b) și a articolului 9 alineatul (1) și alineatul (2) litera (e) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

2

Această cerere a fost prezentată în cadrul unui litigiu între domnul Maximilian Schrems, un utilizator al rețelei sociale Facebook, pe de o parte, și Meta Platforms Ireland Ltd, fostă Facebook Ireland Ltd, al cărei sediu social se află în Irlanda, pe de altă parte, cu privire la prelucrarea pretins ilicită de către această societate a datelor cu caracter personal ale acestui utilizator.

3

Considerentele (1), (4), (39), (42), (43), (50) și (51) ale RGPD au următorul cuprins:

[…]

[…]

[…]

[…]

4

Articolul 4 din acest regulament prevede:

„În sensul prezentului regulament:

[…]

[…]

[…]

[…]”

5

Articolul 5 din regulamentul menționat, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede la alineatele (1) și (2):

„(1)   Datele cu caracter personal sunt:

[…]

(2)   Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

6

Articolul 6 din același regulament, intitulat „Legalitatea prelucrării”, prevede următoarele:

„(1)   Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

(4)   În cazul în care prelucrarea în alt scop decât cel pentru care datele cu caracter personal au fost colectate nu se bazează pe consimțământul persoanei vizate sau pe dreptul Uniunii sau dreptul intern, care constituie o măsură necesară și proporțională într‑o societate democratică pentru a proteja obiectivele menționate la articolul 23 alineatul (1), operatorul, pentru a stabili dacă prelucrarea în alt scop este compatibilă cu scopul pentru care datele cu caracter personal au fost colectate inițial, ia în considerare, printre altele:

7

Articolul 7 din RGPD, intitulat „Condiții privind consimțământul”, prevede:

„(1)   În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.

[…]

(3)   Persoana vizată are dreptul să își retragă în orice moment consimțământul. Retragerea consimțământului nu afectează legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia. Înainte de acordarea consimțământului, persoana vizată este informată cu privire la acest lucru. Retragerea consimțământului se face la fel de simplu ca acordarea acestuia.

(4)   Atunci când se evaluează dacă consimțământul este dat în mod liber, se ține seama cât mai mult de faptul că, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract.”

8

Articolul 9 din acest regulament, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, prevede:

„(1)   Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.

(2)   Alineatul (1) nu se aplică în următoarele situații:

[…]

[…]”

9

Articolul 13 din regulamentul menționat, referitor la „[i]nformații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede următoarele:

„(1)   În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

[…]

[…]

(3)   În cazul în care operatorul intenționează să prelucreze ulterior datele cu caracter personal într‑un alt scop decât cel pentru care acestea au fost obținute, operatorul furnizează persoanei vizate, înainte de această prelucrare ulterioară, informații privind scopul secundar respectiv și orice informații suplimentare relevante, în conformitate cu alineatul (2).

[…]”

10

Articolul 25 alineatul (2) din același regulament prevede:

„Operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Respectiva obligație se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare și accesibilității lor. În special, astfel de măsuri asigură că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane.”

11

Meta Platforms Ireland, care administrează oferta de servicii a rețelei sociale online Facebook în Uniune, este operatorul de date cu caracter personal ale utilizatorilor acestei rețele sociale în Uniune. Aceasta nu are o sucursală în Austria. Meta Platforms Ireland promovează, în special la adresa www.facebook.com, servicii care, până la 5 noiembrie 2023, au fost furnizate gratuit utilizatorilor privați. Începând cu 6 noiembrie 2023, aceste servicii au continuat să fie gratuite numai pentru utilizatorii care au acceptat ca datele lor cu caracter personal să fie colectate și utilizate pentru a le adresa publicitate personalizată, utilizatorii având posibilitatea de a subscrie un abonament cu plată pentru a avea acces la o versiune a serviciilor menționate fără a primi publicitate țintită.

12

Modelul de afaceri al rețelei sociale online Facebook se bazează pe finanțarea prin publicitate online, care este adresată în mod țintit utilizatorilor individuali ai rețelei sociale, în special în funcție de atitudinile lor de consum, de interesele lor și de situația lor personală. O astfel de publicitate este posibilă din punct de vedere tehnic prin alcătuirea automată a unor profiluri detaliate ale utilizatorilor rețelei și a serviciilor online oferite la nivelul grupului Meta.

13

Pentru a prelucra datele cu caracter personal ale utilizatorilor rețelei sociale Facebook, Meta Platforms Ireland se întemeiază pe contractul de utilizare la care aceștia aderă prin activarea butonului „Înregistrare” și prin care acceptă condițiile generale stabilite de această societate. La data faptelor din litigiul principal, acceptarea acestor condiții era necesară pentru a putea utiliza rețeaua socială Facebook. În ceea ce privește prelucrarea datelor cu caracter personal ale utilizatorilor, condițiile generale fac trimitere la politicile de utilizare a datelor și a modulelor cookie stabilite de societatea respectivă. În temeiul acestora, Meta Platforms Ireland colectează date referitoare la utilizatori și la dispozitivele acestora din urmă privind activitățile utilizatorilor atât în cadrul, cât și în afara rețelei sociale și asociază aceste date conturilor Facebook ale utilizatorilor respectivi. Datele referitoare la activitățile desfășurate în afara rețelei sociale (denumite în continuare și „datele off Facebook”) provin, pe de o parte, din consultarea unor pagini de internet și a unor aplicații terțe, care sunt conectate la Facebook prin intermediul interfețelor de programare, și, pe de altă parte, din utilizarea celorlalte servicii online care aparțin grupului Meta, printre care în special Instagram și WhatsApp.

14

Înainte de intrarea în vigoare a RGPD, utilizatorii Facebook își dădeau consimțământul explicit pentru prelucrarea datelor lor în conformitate cu condițiile de utilizare ale pârâtei aplicabile acestei perioade. Având în vedere intrarea în vigoare a RGPD la 25 mai 2018, Meta Platforms Ireland a adoptat, la 19 aprilie 2018, noi condiții de utilizare și le‑a prezentat spre aprobare utilizatorilor săi. Întrucât contul său fusese blocat, domnul Schrems a acceptat aceste noi condiții de utilizare pentru a putea continua să utilizeze Facebook. Acest consimțământ era necesar pentru a putea păstra accesul la contul său și a utiliza serviciile aferente.

15

Meta Platforms Ireland a introdus mai multe „instrumente” (tools) pentru a le permite utilizatorilor să aibă o imagine de ansamblu și un control asupra datelor lor stocate. Nu toate datele prelucrate sunt vizibile în aceste instrumente, ci numai cele care, potrivit acestei societăți, prezintă un interes și relevanță pentru utilizatori. Astfel, este posibil pentru utilizatorul care solicită acest lucru să vadă, de exemplu, că a deschis o aplicație prin intermediul profilului său Facebook, a vizitat un site internet, a efectuat o căutare determinată sau o achiziție ori a făcut click pe o publicitate.

16

Meta Platforms Ireland utilizează „cookies” [module cookie], „social plugins” [pluginuri sociale] și pixeli, astfel cum indică condițiile de utilizare și directivele sale. Prin intermediul „cookies‑urilor”, aceasta poate stabili sursa consultărilor. În lipsa activării „cookies‑urilor”, multe servicii furnizate de Meta Platforms Ireland nu pot fi utilizate. Pluginurile sociale ale Facebook sunt „inserate” de administratorii unor site‑uri internet terțe pe paginile lor. Cel mai răspândit este butonul „Îmi place” al Facebook. La fiecare consultare a paginilor de internet care conțin acest buton, „cookies‑urile” instalate pe aparatul utilizat, URL‑ul paginii vizitate și alte date, precum adresa IP sau ora, sunt transmise către Meta Platforms Ireland. În acest scop, nu este necesar ca utilizatorul să fi făcut click pe butonul „Îmi place”, dat fiind că simplul fapt de a vizualiza o pagină de internet care conține un astfel de „plugin” este suficient pentru ca datele respective să fie transmise ulterior acestei societăți.

17

Din decizia de trimitere reiese că „plugins” se află de asemenea pe paginile de internet ale partidelor politice și pe pagini destinate unui public homosexual pe care domnul Schrems le‑a vizitat. Ca urmare a acestor „plugins”, Meta Platforms Ireland a putut urmări comportamentul domnului Schrems pe internet, ceea ce a declanșat colectarea anumitor date cu caracter personal sensibile.

18

La fel ca „social plugins”, pixelii pot fi integrați pe paginile site‑urilor internet și permit colectarea unor informații privind utilizatorii care au vizitat aceste pagini în scopul, printre altele, de a măsura și de a optimiza publicitatea pe acestea. De exemplu, prin integrarea unui pixel Facebook pe propriile pagini de internet, administratorii acesteia pot obține de la Meta Platforms Ireland rapoarte asupra numărului de persoane care au văzut publicitatea lor pe Facebook și care s‑au conectat apoi pe propria pagină de internet pentru a o consulta sau a efectua o achiziție.

19

„Social plugins” și pixelii, împreună cu „cookies‑urile”, constituie astfel un element esențial al publicității pe internet, dat fiind că marea majoritate a conținuturilor disponibile pe internet sunt finanțate prin publicitate. În special, pluginurile permit prezentarea către utilizatori a anunțurilor relevante, iar pixelii sunt utilizați de autorii anunțurilor pentru a măsura performanțele campaniilor publicitare, precum și pentru a obține informații cu privire la grupuri‑țintă de utilizatori.

20

În speță, din decizia de trimitere reiese că domnul Schrems nu a autorizat Meta Platforms Ireland să prelucreze datele sale cu caracter personal, pe care aceasta le obține de la autorii anunțurilor și de la alți parteneri, cu privire la activitățile domnului Schrems în afara Facebook în scopuri de publicitate personalizată. Cu toate acestea, anumite date referitoare la domnul Schrems ar fi fost obținute de Meta Platforms Ireland datorită unor „cookies”, unor „social plugins” și unor tehnologii comparabile integrate pe site‑urile internet ale unor terți și ar fi fost utilizate de această societate pentru a ameliora produsele Facebook și pentru a trimite domnului Schrems publicitate personalizată.

21

În plus, reiese de asemenea din această decizie că domnul Schrems nu a indicat nicio dată sensibilă pe profilul său Facebook, că doar „prietenii” săi îi puteau vizualiza activitățile sau informațiile care figurau pe „timeline‑ul” său [cronologie] și că „lista de prieteni” nu este publică. Domnul Schrems a optat de asemenea să nu autorizeze Meta Platforms Ireland să utilizeze, în scopul unei publicități țintite, câmpurile din profilul său referitoare la situația sa amoroasă, angajatorul său, locul său de muncă și formarea sa.

22

Cu toate acestea, având în vedere datele aflate la dispoziția sa, Meta Platforms Ireland poate identifica de asemenea interesul pe care domnul Schrems îl are cu privire la subiecte sensibile, precum sănătatea, orientarea sexuală, grupurile etnice și partidele politice, ceea ce permite să îi adreseze publicitate țintită cu privire la o anumită orientare sexuală sau o anumită convingere politică, de exemplu.

23

Astfel, pe de o parte, domnul Schrems a primit o publicitate privind o politiciană austriacă, publicitate bazată pe analiza efectuată de Meta Platforms Ireland potrivit căreia domnul Schrems avea puncte în comun cu alți utilizatori care au marcat această politiciană cu mențiunea „Îmi place”. Pe de altă parte, domnul Schrems a primit de asemenea în mod regulat publicitate care viza un public homosexual și invitații la evenimente corespunzătoare, deși el nu se interesase niciodată înainte despre aceste evenimente și nu cunoștea locul evenimentelor respective. Aceste anunțuri publicitare și invitații nu s‑ar baza în mod direct pe orientarea sexuală a reclamantului din litigiul principal și a „prietenilor” săi, ci pe o analiză a centrelor lor de interes, în speță pe faptul că unul dintre prietenii domnului Schrems ar fi marcat un produs apăsând butonul „Îmi place”.

24

Domnul Schrems a efectuat o analiză privind deducțiile care puteau fi desprinse din lista sa de prieteni și, în urma acesteia, a reieșit că el efectuase serviciul civil la Crucea Roșie în Salzburg și că era homosexual. În plus, pe lista activităților sale desfășurate în afara Facebook, deținută de Meta Platforms Ireland, figurează printre altele aplicații și site‑uri internet de întâlnire pentru homosexuali, precum și site‑ul internet al unui partid politic austriac. Printre datele stocate ale reclamantului din litigiul principal figurează de asemenea o adresă de e‑mail care nu era indicată în profilul său Facebook, dar pe care a utilizat‑o pentru a adresa cereri societății Meta Platforms Ireland.

25

Din decizia de trimitere mai rezultă că domnul Schrems comunică public faptul că este homosexual. Cu toate acestea, el nu a menționat niciodată orientarea sa sexuală pe profilul său Facebook.

26

Domnul Schrems a susținut în fața Landesgericht für Zivilrechtssachen Wien (Tribunalul Regional în Materie Civilă din Viena, Austria) că prelucrarea datelor sale cu caracter personal efectuată de Meta Platforms Ireland încălca mai multe dispoziții ale RGPD. În această privință, el a considerat că consimțământul său cu privire la condițiile de utilizare a platformei digitale a pârâtei din litigiul principal nu era conform cu cerințele articolului 6 alineatul (1) și ale articolului 7 din acest regulament. În plus, Meta Platforms Ireland ar prelucra date sensibile ale reclamantului din litigiul principal, în sensul articolului 9 din regulamentul menționat, în lipsa consimțământului necesar în acest scop, în temeiul articolului 7 din același regulament. De asemenea, nu ar exista niciun consimțământ valabil în ceea ce privește prelucrarea datelor cu caracter personal ale domnului Schrems pe care Meta Platforms Ireland le‑ar fi primit din partea unor terți. În acest context, domnul Schrems a solicitat printre altele obligarea pârâtei să înceteze prelucrarea datelor sale cu caracter personal în scopuri de publicitate personalizată, precum și utilizarea acestor date care decurg din consultarea unor site‑uri internet ale unor terți și obținute de terți.

27

Meta Platforms Ireland a considerat, în schimb, că prelucrarea datelor domnului Schrems a fost efectuată în conformitate cu condițiile de utilizare a rețelei sociale online, care ar fi compatibile cu cerințele RGPD. Această prelucrare a datelor ar fi legală și nu s‑ar întemeia pe consimțământul reclamantului din litigiul principal impus de articolul 6 alineatul (1) litera (a) din acest regulament, ci pe alte justificări, printre care în principal caracterul necesar al acestei prelucrări în scopul executării contractului încheiat între acesta din urmă și pârâta din litigiul principal, în sensul articolului 6 alineatul (1) litera (b) din regulamentul menționat.

28

În cauza principală, o cerere de decizie preliminară a fost deja adresată Curții și a condus la pronunțarea Hotărârii din 25 ianuarie 2018, Schrems (C‑498/16, EU:C:2018:37). Ca urmare a acestei hotărâri, prin hotărârea din 30 iunie 2020, Landesgericht für Zivilrechtssachen Wien (Tribunalul Regional în Materie Civilă din Viena, Austria) a respins cererile domnului Schrems. De asemenea, Oberlandesgericht Wien (Tribunalul Regional Superior din Viena, Austria), sesizat în apel, a respins calea de atac introdusă de domnul Schrems împotriva acestei hotărâri în special pentru motivul că prelucrarea datelor cu caracter personal ale acestuia din urmă, în calitate de utilizator al platformei online, inclusiv publicitatea personalizată, ar face parte integrantă din contractul de utilizare a acestei platforme încheiat între părți. Prin urmare, prelucrarea acestor date ar fi necesară pentru executarea acestui contract, în sensul articolului 6 alineatul (1) litera (b) din RGPD.

29

Sesizată cu recurs de domnul Schrems, Oberster Gerichtshof (Curtea Supremă, Austria) observă că modelul de afaceri al Meta Platforms Ireland constă în generarea de venituri prin publicitate țintită și prin conținuturi comerciale care se întemeiază pe preferințele și interesele utilizatorilor Facebook, prelucrând datele personale ale acestor utilizatori. Or, în măsura în care permite Facebook să ofere gratuit servicii utilizatorilor săi, această prelucrare ar putea fi considerată necesară pentru executarea contractului încheiat cu utilizatorii menționați, în sensul articolului 6 alineatul (1) litera (b) din RGPD.

30

Cu toate acestea, potrivit instanței menționate, această dispoziție, care trebuie interpretată restrictiv, nu ar trebui să permită o astfel de prelucrare a datelor fără consimțământul persoanei vizate.

31

În plus, instanța menționată observă că Meta Platforms Ireland prelucrează date cu caracter personal care pot fi clasificate ca fiind „sensibile”, în temeiul articolului 9 alineatul (1) din RGPD.

32

În speță, Meta Plaforms Ireland prelucrează date referitoare la convingerile politice și la orientarea sexuală a domnului Schrems. Potrivit constatărilor făcute de Oberster Gerichtshof (Austria), domnul Schrems comunică public cu privire la orientarea sa sexuală. În special, în cadrul unei mese rotunde la care a participat la Viena la 12 februarie 2019, la invitația Reprezentanței Comisiei Europene în Austria, domnul Schrems a făcut referire la orientarea sa sexuală pentru a critica prelucrarea datelor cu caracter personal efectuată de Facebook, inclusiv prelucrarea propriilor sale date. Cu toate acestea și așa cum a declarat de asemenea cu această ocazie, domnul Schrems nu a menționat niciodată acest aspect al vieții sale private în profilul său Facebook.

33

Potrivit acestei instanțe, se ridică astfel problema dacă utilizatorul în cauză a făcut publice în mod manifest date cu caracter personal sensibile care îl privesc și a autorizat astfel prelucrarea acestora, în temeiul articolului 9 alineatul (2) litera (e) din RGPD.

34

În aceste împrejurări, Oberster Gerichtshof (Curtea Supremă, Austria) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

35

Prin decizia din 7 aprilie 2022, președintele Curții a suspendat prezenta procedură în așteptarea deciziei prin care se finalizează judecata în cauza C‑252/21, Meta Platforms și alții.

36

Prin decizia din 7 iulie 2023, președintele Curții a notificat instanței de trimitere din prezenta cauză Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C‑252/21, EU:C:2023:537), întrebând‑o dacă, ținând seama de această hotărâre, dorea să își mențină cererea de decizie preliminară, în tot sau în parte, și, în cazul retragerii parțiale a acestei cereri, să expună motivele menținerii unei părți a acesteia.

37

Prin ordonanța din 19 iulie 2023, primită la grefa Curții la 9 august 2023, această instanță și‑a retras prima și a treia întrebare preliminară, arătând că hotărârea respectivă răspundea la aceste întrebări. În schimb, instanța menționată și‑a menținut a doua și a patra întrebare preliminară, arătând că aceeași hotărâre nu răspunsese deplin la acestea.

38

Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 5 alineatul (1) litera (c) din RGPD trebuie interpretat în sensul că principiul „reducerii la minimum a datelor” pe care îl prevede se opune ca ansamblul datelor cu caracter personal care au fost obținute de un operator, precum administratorul unei platforme de rețea socială online, de la persoana vizată sau de la terți și care au fost colectate atât pe această platformă, cât și în afara ei să fie agregate, analizate și prelucrate în scopuri de publicitate țintită, fără limitare în timp și fără distincție în funcție de natura acestor date.

39

Pârâta din litigiul principal susține că această întrebare este inadmisibilă pentru motivul, pe de o parte, că instanța de trimitere nu a explicat motivele pentru care un răspuns la întrebarea menționată ar fi util pentru soluționarea litigiului principal și, pe de altă parte, că această instanță s‑a întemeiat pe o premisă factuală inexactă, considerând în mod eronat că pârâta din litigiul principal utilizează în scopuri publicitare toate datele cu caracter personal de care dispune fără limitare în timp și fără distincție în funcție de natura acestor date.

40

În ceea ce privește, în primul rând, argumentul potrivit căruia instanța de trimitere nu a prezentat motivele pentru care consideră că un răspuns la a doua întrebare este util pentru soluționarea litigiului principal, trebuie subliniată importanța indicării de către instanța națională a motivelor exacte care au determinat‑o să își pună problema interpretării dreptului Uniunii și să considere necesar să adreseze Curții întrebări preliminare [Hotărârea din 6 decembrie 2005, ABNA și alții, C‑453/03, C‑11/04, C‑12/04 și C‑194/04, EU:C:2005:741, punctul 46, și Hotărârea din 29 februarie 2024, Staatssecretaris van Justitie en Veiligheid (Încredere reciprocă în caz de transfer), C‑392/22, EU:C:2024:195, punctul 85]. În speță, reiese totuși din considerentele cererii de decizie preliminară că instanța de trimitere urmărește să stabilească dacă, presupunând că prelucrarea în scopuri publicitare în discuție în litigiul principal este justificată în temeiul articolului 6 alineatul (1) primul paragraf litera (b) din RGPD, întinderea datelor astfel prelucrate de pârâta din litigiul principal respectă principiul reducerii la minimum a datelor sau dacă, dimpotrivă, o prelucrare atât de extinsă încalcă obligațiile care se impun operatorului, în temeiul articolului 5 din RGPD. Motivele pentru care răspunsul la această întrebare se dovedește util pentru soluționarea litigiului principal reies, așadar, în mod suficient din cererea de decizie preliminară.

41

În ceea ce privește, în al doilea rând, argumentul potrivit căruia instanța de trimitere s‑a întemeiat pe o premisă factuală inexactă, este adevărat că a doua întrebare preliminară se întemeiază pe premisa potrivit căreia, pe de o parte, după cum s‑a arătat la punctul 20 din prezenta hotărâre, deși domnul Schrems nu a autorizat Meta Platforms Ireland să prelucreze datele sale cu caracter personal referitoare la activitățile sale realizate în afara Facebook, această societate a prelucrat totuși unele dintre aceste date pe care le‑ar fi obținut de la terți parteneri, pe baza acceptării de către domnul Schrems a condițiilor generale de utilizare a rețelei sociale, datorită în special „cookies‑urilor” și „social plugins” ale Facebook integrate pe site‑urile de internet ale acestor terți și, pe de altă parte, aceste date cu caracter personal sunt prelucrate de Meta Platforms Ireland fără limitare în timp și fără distincție în funcție de natura datelor menționate.

42

Or, trebuie amintit că, potrivit unei jurisprudențe constante, articolul 267 TFUE instituie o procedură de cooperare directă între Curte și instanțele statelor membre. În cadrul acestei proceduri, întemeiată pe o separare clară a funcțiilor între instanțele naționale și Curte, orice apreciere a situației de fapt din cauză este de competența instanței naționale, care trebuie să aprecieze, luând în considerare particularitățile cauzei, atât necesitatea unei decizii preliminare pentru a fi în măsură să pronunțe propria hotărâre, cât și pertinența întrebărilor pe care le adresează Curții, în timp ce Curtea este abilitată să se pronunțe numai asupra interpretării sau a validității unui text al Uniunii pornind de la faptele care îi sunt indicate de instanța națională (a se vedea în special Hotărârea din 25 octombrie 2017, Polbud – Wykonawstwo, C‑106/16, EU:C:2017:804, punctul 27 și jurisprudența citată).

43

În consecință, este necesar să se răspundă la întrebarea adresată pe baza acestei premise, a cărei temeinicie trebuie însă verificată de instanța de trimitere.

44

Prin urmare, a doua întrebare preliminară este admisibilă.

45

În primul rând, trebuie amintit că obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, constă printre altele în asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE (Hotărârea din 7 martie 2024, IAB Europe, C‑604/22, EU:C:2024:214, punctul 53 și jurisprudența citată).

46

În acest scop, capitolele II și, respectiv, III din acest regulament enunță principiile ce reglementează prelucrările datelor cu caracter personal, precum și drepturile persoanei vizate pe care trebuie să le respecte orice prelucrare de date cu caracter personal. În particular, sub rezerva derogărilor prevăzute la articolul 23 din regulamentul menționat, orice prelucrare a datelor cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile menționate la articolul 5 din același regulament referitoare la prelucrarea unor astfel de date și să îndeplinească condițiile de legalitate enumerate la articolul 6 din acesta și, pe de altă parte, să respecte drepturile persoanei vizate prevăzute la articolele 12-22 din RGPD [Hotărârea din 11 iulie 2024, Meta Platforms Ireland (Acțiune reprezentativă), C‑757/22, EU:C:2024:598, punctul 49 și jurisprudența citată].

47

După cum a precizat deja Curtea, principiile referitoare la prelucrarea datelor cu caracter personal, prevăzute la articolul 5 din RGPD, sunt aplicabile cumulativ (Hotărârea din 20 octombrie 2022, Digi, C‑77/21, EU:C:2022:805, punctul 47).

48

În această privință, trebuie arătat că, în temeiul articolului 5 alineatul (1) litera (a) din RGPD, datele cu caracter personal sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată și că, în conformitate cu litera (b) a acestui articol 5 alineatul (1), datele respective sunt colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri.

49

În plus, articolul 5 alineatul (1) litera (c) din acest regulament, care consacră principiul numit al „reducerii la minimum a datelor”, prevede că datele cu caracter personal trebuie să fie „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate” [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 109, precum și jurisprudența citată].

50

Acest principiu, astfel cum a statuat deja Curtea, este o expresie a principiului proporționalității [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 98 și jurisprudența citată, și Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punctul 41].

51

În conformitate cu principiul responsabilității prevăzut la articolul 5 alineatul (2) din RGPD, operatorul trebuie să poată demonstra că datele cu caracter personal sunt colectate și prelucrate cu respectarea principiilor stabilite la alineatul (1) al acestui articol (a se vedea în acest sens Hotărârea din 20 octombrie 2022, Digi, C‑77/21, EU:C:2022:805, punctul 24). În plus, conform articolului 13 alineatul (1) litera (c) din acest regulament, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, revine operatorului sarcina de a o informa pe aceasta cu privire la scopurile în care sunt prelucrate datele respective, precum și cu privire la temeiul juridic al prelucrării menționate [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 95].

52

În al doilea rând, în ceea ce privește limitarea temporală a unei prelucrări de date cu caracter personal precum cea în discuție în litigiul principal, trebuie amintit că Curtea a statuat deja că, ținând seama de principiul reducerii la minimum a datelor, operatorul este obligat să limiteze la strictul necesar, în lumina obiectivului prelucrării avute în vedere, perioada de colectare a datelor cu caracter personal în cauză [Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale), C‑175/20, EU:C:2022:124, punctul 79].

53

În plus, cu cât stocarea acestor date este mai lungă, cu atât consecințele asupra intereselor și asupra vieții private ale persoanei vizate sunt mai importante și cu atât cerințele referitoare la legalitatea stocării datelor menționate sunt mai ridicate [a se vedea în acest sens Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 95].

54

În plus, trebuie arătat că, potrivit articolului 5 alineatul (1) litera (e) din RGPD, datele cu caracter personal sunt păstrate într‑o formă care permite identificarea persoanelor vizate pentru o perioadă care nu depășește perioada necesară realizării scopurilor în care sunt prelucrate datele.

55

Reiese, așadar, fără ambiguitate din modul de redactare a acestui articol că principiul „limitării legate de stocare” pe care îl consacră impune ca operatorul să fie în măsură să demonstreze, în conformitate cu principiul responsabilității amintit la punctul 51 din prezenta hotărâre, că datele cu caracter personal sunt stocate numai pentru perioada necesară realizării scopurilor pentru care au fost colectate sau pentru care au fost prelucrate ulterior (a se vedea în acest sens Hotărârea din 20 octombrie 2022, Digi, C‑77/21, EU:C:2022:805, punctul 53).

56

Rezultă de aici, după cum a statuat deja Curtea, că inclusiv o prelucrare inițial legală a datelor poate deveni, cu timpul, incompatibilă cu dispozițiile RGPD atunci când aceste date nu mai sunt necesare în raport cu scopurile pentru care au fost colectate sau prelucrate ulterior și că datele amintite trebuie șterse atunci când scopurile menționate au fost realizate (a se vedea în acest sens Hotărârea din 20 octombrie 2022, Digi, C‑77/21, EU:C:2022:805, punctul 54 și jurisprudența citată).

57

În aceste condiții, după cum a arătat în esență domnul avocat general la punctul 22 din concluzii, revine instanței naționale sarcina de a aprecia, ținând seama de ansamblul elementelor relevante și aplicând principiul proporționalității, amintit la articolul 5 alineatul (1) litera (c) din RGPD, în ce măsură perioada de stocare a datelor cu caracter personal de către operator este justificată în mod rezonabil în raport cu obiectivul constând în a permite difuzarea de publicitate personalizată.

58

În orice caz, păstrarea, pentru o perioadă nelimitată, a datelor cu caracter personal ale utilizatorilor unei platforme de rețea socială în scopuri de publicitate direcționată trebuie considerată o ingerință disproporționată în drepturile garantate acestor utilizatori de RGPD.

59

În al treilea rând, în ceea ce privește împrejurarea că datele cu caracter personal în discuție în litigiul principal ar fi colectate, agregate, analizate și prelucrate în scopuri de publicitate țintită, fără distincție în funcție de natura acestor date, trebuie amintit că Curtea a statuat deja că, având în vedere principiul reducerii la minimum a datelor, prevăzut la articolul 5 alineatul (1) litera (c) din RGPD, operatorul nu poate efectua colectarea de date cu caracter personal în mod generalizat și nediferențiat și trebuie să se abțină de la colectarea datelor care nu sunt strict necesare în raport cu scopurile prelucrării [Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale), C‑175/20, EU:C:2022:124, punctul 74].

60

Trebuie arătat de asemenea că articolul 25 alineatul (2) din acest regulament impune operatorului să pună în aplicare măsuri adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Potrivit acestei dispoziții, o astfel de cerință se aplică în special volumului de date cu caracter personal colectate, gradului de prelucrare a acestora, precum și perioadei lor de stocare.

61

În speță, din decizia de trimitere reiese că Meta Platforms Ireland colectează datele cu caracter personal ale utilizatorilor Facebook, printre care domnul Schrems, privind activitățile acestor utilizatori atât pe această rețea socială, cât și în afara acesteia, printre care în special datele referitoare la consultarea platformei online, precum și a paginilor de internet și a unor aplicații terțe, și urmărește de asemenea comportamentul de navigație al utilizatorilor pe aceste pagini prin intermediul „social plugins” și al „pixels” inserate pe paginile de internet în cauză.

62

Or, astfel cum Curtea a statuat deja, o asemenea prelucrare este deosebit de extinsă din moment ce privește date potențial nelimitate și are un impact important asupra utilizatorului, ale cărui activități online, în mare parte sau chiar în cvasitotalitatea lor, sunt monitorizate de Meta Platforms Ireland, ceea ce îi poate suscita acestuia senzația unei supravegheri continue a vieții sale private [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 118].

63

În aceste condiții, prelucrarea datelor în discuție în litigiul principal se caracterizează printr‑o ingerință gravă în drepturile fundamentale ale persoanelor vizate, în special în drepturile lor la respectarea vieții private și la protecția datelor cu caracter personal garantate la articolele 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene, care nu pare, sub rezerva verificărilor pe care trebuie să le efectueze instanța de trimitere, justificată în mod rezonabil în raport cu obiectivul care constă în a permite difuzarea de publicitate țintită.

64

În orice caz, utilizarea nediferențiată a ansamblului datelor cu caracter personal deținute de o platformă de rețea socială în scopuri publicitare, indiferent de gradul de sensibilitate al acestor date, nu este o ingerință proporțională în drepturile garantate utilizatorilor acestei platforme de RGPD.

65

Având în vedere ceea ce precedă, trebuie să se răspundă la a doua întrebare că articolul 5 alineatul (1) litera (c) din RGPD trebuie interpretat în sensul că principiul „reducerii la minimum a datelor” pe care îl prevede se opune ca ansamblul datelor cu caracter personal care au fost obținute de un operator, precum administratorul unei platforme de rețea socială online, de la persoana vizată sau de la terți și care au fost colectate atât pe această platformă, cât și în afara acesteia să fie agregate, analizate și prelucrate în scopuri de publicitate țintită, fără limitare în timp și fără distincție în funcție de natura acestor date.

66

Prin intermediul acestei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 9 alineatul (2) litera (e) din RGPD trebuie interpretat în sensul că împrejurarea că o persoană s‑a exprimat cu privire la orientarea sa sexuală cu ocazia unei mese rotunde deschise publicului autorizează administratorul unei platforme de rețea socială online să prelucreze alte date referitoare la orientarea sexuală a acestei persoane, obținute, dacă este cazul, în afara acestei platforme pornind de la aplicații și de la site‑uri internet ale unor terți parteneri, în vederea agregării și a analizei acestora, pentru a‑i propune publicitate personalizată.

67

Mai precis, instanța de trimitere urmărește să se stabilească dacă, prin declarația făcută de domnul Schrems cu ocazia unei mese rotunde, acesta nu mai are dreptul la protecția conferită de articolul 9 alineatul (1) din RGPD și dacă, în consecință, Facebook avea dreptul să prelucreze alte date referitoare la orientarea sa sexuală.

68

Cu titlu introductiv, trebuie arătat că masa rotundă evocată de instanța de trimitere, în cadrul căreia domnul Schrems a făcut o declarație cu privire la orientarea sa sexuală, a avut loc la 12 februarie 2019 și că, după cum reiese din decizia de trimitere, la această dată, Meta Platforms Ireland prelucra deja date cu caracter personal privind orientarea sexuală a domnului Schrems, astfel încât această declarație ar fi ulterioară în raport cu începutul unei asemenea prelucrări de date.

69

Rezultă că a patra întrebare adresată de instanța de trimitere trebuie înțeleasă în sensul că privește numai eventualele prelucrări de date referitoare la orientarea sexuală a domnului Schrems care ar fi fost realizate de Meta Platforms Ireland după 12 februarie 2019. Revine însă instanței de trimitere sarcina de a verifica dacă astfel de prelucrări au avut loc efectiv după această dată, în conformitate cu jurisprudența amintită la punctul 42 din prezenta hotărâre.

70

Pentru a răspunde la această întrebare, trebuie, în primul rând, amintit că, potrivit considerentului (51) al RGPD, datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale necesită o protecție specifică, deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale. Acest considerent precizează că asemenea date cu caracter personal nu ar trebui prelucrate, cu excepția cazului în care prelucrarea este permisă în cazuri specifice prevăzute de regulamentul menționat.

71

În acest context, articolul 9 alineatul (1) din RGPD stabilește principiul interzicerii prelucrării unor categorii speciale de date cu caracter personal pe care le menționează. Acestea includ printre altele date care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase, precum și datele privind sănătatea, viața sexuală sau orientarea sexuală a unei persoane fizice.

72

În scopul aplicării articolului 9 alineatul (1) din RGPD, trebuie să se verifice, în cazul unei prelucrări de date cu caracter personal efectuate de operatorul unei rețele sociale online, dacă aceste date pot dezvălui informații care se încadrează în una dintre categoriile menționate de această dispoziție, indiferent dacă aceste informații privesc un utilizator al acestei rețele sau orice altă persoană fizică. În cazul unui răspuns afirmativ, o astfel de prelucrare a datelor cu caracter personal este atunci interzisă, sub rezerva derogărilor prevăzute la articolul 9 alineatul (2) din RGPD.

73

Așa cum a statuat deja Curtea, această interdicție de principiu, prevăzută la articolul 9 alineatul (1) din RGPD, este independentă de aspectul dacă informația dezvăluită de prelucrarea în cauză este sau nu exactă și dacă operatorul acționează în scopul de a obține informații care se încadrează în una dintre categoriile speciale vizate de această dispoziție. Astfel, ținând seama de riscurile importante pentru libertățile fundamentale și drepturile fundamentale ale persoanelor vizate, generate de orice prelucrare a datelor cu caracter personal care se încadrează în categoriile vizate la articolul 9 alineatul (1) din RGPD, acesta are ca obiectiv interzicerea prelucrărilor respective, independent de scopul lor declarat [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctele 69 și 70].

74

În aceste condiții, deși acest articol 9 alineatul (1) interzice în principiu prelucrarea de date privind printre altele orientarea sexuală, alineatul (2) al articolului menționat prevede, la literele (a)-(j), zece derogări care sunt independente unele de altele și care trebuie, așadar, să fie apreciate în mod autonom. Rezultă că faptul că nu sunt întrunite condițiile de aplicare a uneia dintre derogările prevăzute la acest alineat (2) nu se poate opune posibilității unui operator de a invoca o altă derogare menționată la această dispoziție (Hotărârea din 21 decembrie 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punctul 47).

75

În ceea ce privește în special derogarea prevăzută la articolul 9 alineatul (2) litera (e) din RGPD, trebuie amintit că, în temeiul acestei dispoziții, interdicția de principiu a oricărei prelucrări a unor categorii speciale de date cu caracter personal, prevăzută la acest articol 9 alineatul (1), nu se aplică în ipoteza în care prelucrarea se referă la date cu caracter personal care sunt „făcute publice în mod manifest de către persoana vizată”.

76

În măsura în care prevede o excepție de la principiul interzicerii prelucrării categoriilor speciale de date cu caracter personal, articolul 9 alineatul (2) litera (e) din RGPD trebuie interpretat în mod restrictiv [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 76 și jurisprudența citată].

77

Rezultă că, în scopul aplicării excepției prevăzute la articolul 9 alineatul (2) litera (e) din RGPD, trebuie să se verifice dacă persoana vizată a înțeles, în mod explicit și printr‑o acțiune fără echivoc, să facă accesibile publicului larg datele cu caracter personal în discuție [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 77].

78

În speță, din decizia de trimitere reiese că masa rotundă organizată la Viena la 12 februarie 2019, în cadrul căreia domnul Schrems a făcut o declarație cu privire la orientarea sa sexuală, era accesibilă publicului, care putea obține un bilet pentru a asista la aceasta în limita locurilor disponibile, și că era difuzată în streaming. În plus, o înregistrare a acesteia ar fi fost publicată ulterior sub formă de podcast, precum și pe canalul YouTube al Comisiei.

79

În aceste condiții și sub rezerva verificărilor care revin instanței naționale, nu se poate exclude ca această declarație, deși înscrisă într‑un discurs mai larg și efectuată numai pentru a critica prelucrarea datelor cu caracter personal realizată de Facebook, să constituie un act prin care persoana interesată, în deplină cunoștință de cauză, a făcut publică în mod manifest, în sensul articolului 9 alineatul (2) litera (e) din RGPD, orientarea sa sexuală.

80

În al doilea rând, deși împrejurarea că persoana vizată a făcut publice în mod manifest date privind orientarea sa sexuală are drept consecință faptul că aceste date pot face obiectul unei prelucrări, prin derogare de la interdicția prevăzută la articolul 9 alineatul (1) din RGPD și în conformitate cu cerințele care decurg din celelalte dispoziții ale acestui regulament [a se vedea în acest sens Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 64], această împrejurare nu autorizează, în sine, contrar celor susținute de Meta Platforms Ireland, prelucrarea altor date cu caracter personal care se raportează la orientarea sexuală a acestei persoane.

81

Astfel, pe de o parte, ar fi contrar interpretării restrictive care trebuie dată articolului 9 alineatul (2) litera (e) din RGPD să se considere că ansamblul datelor referitoare la orientarea sexuală ale unei persoane nu intră sub incidența protecției care decurge din alineatul (1) al acestui articol pentru simplul motiv că persoana vizată a făcut în mod vădit publice date cu caracter personal care se raportează la orientarea sa sexuală.

82

Pe de altă parte, faptul că o persoană a făcut publice în mod manifest date cu privire la orientarea sa sexuală nu permite să se considere că această persoană și‑a dat consimțământul, în sensul articolului 9 alineatul (2) litera (a) din RGPD, pentru prelucrarea de către administratorul unei rețele sociale online a altor date privind orientarea sa sexuală.

83

Având în vedere ceea ce precedă, este necesar să se răspundă la a patra întrebare că articolul 9 alineatul (2) litera (e) din RGPD trebuie interpretat în sensul că împrejurarea că o persoană s‑a exprimat cu privire la orientarea sa sexuală cu ocazia unei mese rotunde deschise publicului nu autorizează administratorul unei platforme de rețea socială online să prelucreze alte date referitoare la orientarea sexuală a acestei persoane, obținute eventual în afara acestei platforme pornind de la aplicații și de la site‑uri internet ale unor terți parteneri, în vederea agregării și a analizei acestora, pentru a‑i propune publicitate personalizată.

84

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a patra) declară: