El Tribunal de Justicia de la UE limita el procesamiento de datos para la publicidad personalizada

info@josefelgueroso.com

2024-11-28

El Tribunal de Justicia de la Unión Europea ha impuesto restricciones a la capacidad de Meta para procesar datos personales para publicidad personalizada. El caso, presentado por el activista de privacidad Maximilian Schrems, aborda dos aspectos críticos de la protección de datos: el alcance de los requisitos de minimización de datos y el procesamiento de datos personales sensibles que se han hecho públicos.

Antecedentes

Meta Platforms Ireland, que gestiona los servicios de Facebook en la Unión Europea, operó bajo un cambio significativo en su modelo de negocio a finales de 2023. Hasta el 5 de noviembre de 2023, los servicios de Facebook se proporcionaban de forma gratuita a los usuarios privados. A partir del 6 de noviembre de 2023, Meta introdujo un modelo de "pagar o consentir": los usuarios deben consentir que sus datos personales sean recopilados y procesados para publicidad personalizada para mantener el acceso gratuito o pagar una suscripción sin publicidad.

El modelo de negocio principal de la plataforma se basa en la publicidad en línea adaptada a usuarios individuales según sus actitudes como consumidores, intereses y circunstancias personales. Esta personalización se logra mediante la creación automatizada de perfiles detallados de usuarios, analizando datos recopilados a través de múltiples fuentes:

Datos proporcionados por el usuario a través de la plataforma Facebook
Datos fuera de Facebook a través de cookies, píxeles y complementos sociales integrados en sitios web de terceros
Datos de otros servicios del grupo Meta, incluidos Instagram y WhatsApp

Schrems impugnó las prácticas de procesamiento de datos de Meta ante los tribunales austriacos, argumentando que la empresa incumplía varias disposiciones del Reglamento General de Protección de Datos. Específicamente, cuestionó el procesamiento de sus datos personales por parte de Meta para publicidad personalizada sin consentimiento válido y el manejo de la empresa de datos sensibles que revelaban sus creencias políticas y orientación sexual.

El caso avanzó a través de múltiples tribunales: primero el Tribunal Regional de Asuntos Civiles de Viena, luego el Tribunal Regional Superior de Viena, y finalmente llegó al Tribunal Supremo austriaco. Ante las preguntas sobre la interpretación de disposiciones clave del Reglamento de Protección de Datos, particularmente en relación con los requisitos de minimización de datos y el procesamiento de datos de categorías especiales, el Tribunal Supremo austriaco remitió varias cuestiones al Tribunal de la UE para una decisión preliminar.

Análisis

1. Minimización de Datos

El Tribunal examinó si las prácticas de procesamiento de datos de Meta cumplían con el principio de minimización de datos, que exige que los datos personales sean "adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados."

La sentencia aclaró que la agregación y análisis de datos personales por parte de Meta para publicidad personalizada —sin limitaciones de tiempo, tipo o necesidad— vulnera el Reglamento de Protección de Datos. El Tribunal enfatizó que la recopilación indiscriminada de datos, incluyendo actividades tanto dentro como fuera de Facebook, como el comportamiento de navegación rastreado a través de complementos sociales y píxeles, representa una interferencia desproporcionada con los derechos fundamentales de los usuarios a la privacidad y la protección de datos.

Limitaciones Temporales: El Tribunal reiteró que los datos deben procesarse solo durante el tiempo estrictamente necesario para el propósito del procesamiento. El almacenamiento o procesamiento prolongado para fines publicitarios, como en este caso, contraviene el Reglamento de Protección de Datos.
Proporcionalidad: Incluso el procesamiento de datos inicialmente lícito puede volverse incompatible con el Reglamento de Protección de Datos si los datos ya no son necesarios para el propósito para el que fueron recopilados. La retención de datos de usuarios por parte de Meta por un período indefinido se consideró excesiva.
Monitoreo Integral: El Tribunal destacó la naturaleza extensiva del procesamiento de datos de Meta, que cubre casi todas las actividades en línea de un usuario, e indicó que afectaba la vida privada de los usuarios y creaba una sensación de vigilancia constante.

En definitiva, el Tribunal concluyó que el principio de minimización de datos prohíbe la agregación de todos los datos personales obtenidos por una plataforma como Meta para fines de publicidad personalizada sin restricciones apropiadas. Los responsables del tratamiento de datos deben limitar estrictamente la recopilación y el procesamiento de datos a lo que es genuinamente necesario para sus propósitos declarados.

2. Procesamiento de Categorías Especiales de Datos

El Tribunal evaluó el procesamiento de categorías especiales de datos personales según el Artículo 9 del Reglamento de Protección de Datos. La cuestión principal era si Meta estaba justificada en procesar datos sensibles relacionados con la orientación sexual de Schrems, derivados tanto de declaraciones públicas que él hizo como de fuentes de terceros, con el propósito de publicidad personalizada.

El Artículo 9(1) del Reglamento de Protección de Datos prohíbe el procesamiento de categorías especiales de datos personales, incluidos los datos que revelan la orientación sexual de un individuo, a menos que se aplique una excepción específica bajo el Artículo 9(2). Entre estas excepciones, el Artículo 9(2)(e) permite el procesamiento cuando los datos han sido "manifiestamente hechos públicos por el interesado."

El Tribunal examinó si la declaración de Schrems sobre su orientación sexual durante una mesa redonda en Viena el 12 de febrero de 2019 constituía un acto manifiesto de hacer públicos dichos datos según el Artículo 9(2)(e). El Tribunal señaló que la mesa redonda era accesible al público mediante entradas, se transmitió en directo y posteriormente se publicó como podcast y en el canal de YouTube de la Comisión. Si bien Schrems hizo esta declaración únicamente para criticar las prácticas de procesamiento de datos de Facebook, el Tribunal indicó que esto potencialmente podría calificar como hacer manifiestamente públicos los datos, aunque dejó la verificación final al tribunal nacional.

Sin embargo, el Tribunal rechazó firmemente el argumento de Meta de que esa divulgación pública autorizaría el procesamiento de todos los datos relacionados con la orientación sexual de Schrems. El Tribunal enfatizó que se requiere una interpretación restrictiva del Artículo 9(2)(e) - el hecho de que alguien haya hecho pública su orientación sexual no elimina la protección del Artículo 9(1) de todos los datos relacionados con esa orientación. Además, dicha divulgación pública no constituye consentimiento bajo el Artículo 9(2)(a) para procesar datos adicionales relacionados con la orientación sexual.

El Tribunal concluyó que el Artículo 9 del Reglamento de Protección de Datos prohíbe a Meta procesar datos adicionales sobre la orientación sexual de Schrems obtenidos a través de sitios web y aplicaciones de terceros para publicidad personalizada, incluso si él había revelado públicamente su orientación en otro contexto. Esta interpretación refuerza el propósito protector del Artículo 9(1) y asegura límites estrictos en el procesamiento de datos personales sensibles.

Papel del Tribunal Nacional en la Implementación de la Sentencia

El Tribunal de la UE remitió varias determinaciones clave al Tribunal Supremo austriaco como tribunal remitente, que debe verificar:

Si los períodos específicos de almacenamiento de datos personales están justificados bajo el principio de proporcionalidad para permitir la publicidad personalizada
Si Meta realmente procesó datos sobre la orientación sexual de Schrems después del 12 de febrero de 2019
Si la declaración de Schrems durante la mesa redonda constituye "hacer manifiestamente pública" su orientación sexual según el Artículo 9(2)(e) del Reglamento de Protección de Datos
Las circunstancias específicas de la mesa redonda y su naturaleza pública

Esta división de responsabilidades refleja el papel del Tribunal de la UE en la interpretación del derecho de la UE, mientras deja las determinaciones fácticas al tribunal nacional. El Tribunal Supremo austriaco debe ahora aplicar estas interpretaciones a las circunstancias específicas del caso de Schrems para alcanzar su sentencia final.

Impacto Práctico

La sentencia establece límites para el procesamiento de datos en la publicidad personalizada. Los responsables del tratamiento de datos personales ahora deben:

Justificar períodos específicos de retención para diferentes categorías de datos personales
Demostrar por qué tipos particulares de datos son necesarios para fines publicitarios
Abstenerse de la recopilación generalizada e indiscriminada de datos
Respetar limitaciones estrictas al procesar datos personales sensibles, incluso cuando alguna información relacionada se haya hecho pública

Fuentes

Maximilian Schrems v Meta Platforms Ireland Limited (Tribunal de Justicia de la Unión Europea, Sala Cuarta, 2024-10-04)

Reglamento General de Protección de Datos (RGPD)

Jose Felgueroso Abogado | Attorney