Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. ATHANASIOS RANTOS
presentadas el 25 de abril de 2024 (1)
Asunto C‑446/21
Maximilian Schrems
contra
Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited
[Petición de decisión prejudicial planteada por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria)]
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Redes sociales — Artículo 5, apartado 1, letra b) — Principio de “limitación de la finalidad” — Artículo 5, apartado 1, letra e) — Principio de “minimización de datos” — Artículo 9, apartados 1 y 2, letra e) — Tratamiento de categorías especiales de datos personales — Datos personales que el interesado ha hecho manifiestamente públicos — Publicidad personalizada — Datos relativos a la orientación sexual»
Introducción
1. La presente petición de decisión prejudicial ha sido planteada por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria) en el contexto de un litigio entre el Sr. Maximilian Schrems (en lo sucesivo, «demandante»), un usuario de la red social Facebook, y Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited (en lo sucesivo, «Meta Platforms Ireland» o «demandada»), relativo al tratamiento supuestamente ilícito de los datos personales de aquel realizado por esta sociedad.
2. Las cuestiones prejudiciales formuladas en el marco del presente asunto versan, por un lado, sobre la aplicación del principio de «minimización de datos» contemplado en el artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679 (2) y, por otro lado, sobre la interpretación del concepto de «datos personales que el interesado ha hecho manifiestamente públicos» recogido en el artículo 9, apartado 2, letra e), de dicho Reglamento, en relación con su artículo 5, apartado 1, letra b), que introduce el principio de «limitación de la finalidad». En esencia, el órgano jurisdiccional remitente pregunta, por un lado, si el principio de minimización de datos permite tratar datos personales sin restricciones de carácter temporal o en función de su naturaleza y, por otro, si lo declarado por una persona acerca de su orientación sexual en un debate público autoriza a que se traten otros datos relativos a su orientación sexual con el fin de proponer publicidad personalizada.
Marco jurídico
3. El artículo 4 del RGPD, titulado «Definiciones», enuncia, en su punto 11:
«A efectos del presente Reglamento se entenderá por:
[…]
11) “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen».
4. El artículo 5 de dicho Reglamento, titulado «Principios relativos al tratamiento», dispone lo siguiente en sus apartados 1 y 2:
«1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; […]
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
[…]
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»
5. El artículo 6 de dicho Reglamento, titulado «Licitud del tratamiento», en sus apartados 1 y 3, establece que:
«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
[…]
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
[…]
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
[…]
[…] El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.»
6. El artículo 7 del mismo Reglamento, titulado «Condiciones para el consentimiento», está redactado en los siguientes términos:
«1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
[…]
3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.»
7. El artículo 9, apartados 1 y 2, del RGPD, titulado «Tratamiento de categorías especiales de datos personales», dispone:
«1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
[…]
e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
[…]».
8. El artículo 13 de dicho Reglamento, relativo a la «información que deberá facilitarse cuando los datos personales se obtengan del interesado», dispone lo siguiente en su apartado 1:
«Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
[…]
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
[…]».
Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
9. Meta Platforms Ireland, una sociedad irlandesa, gestiona la red cerrada de comunicación Facebook, la cual constituye, en esencia, una red social en línea para compartir contenidos. (3) Su modelo de negocio persigue en esencia ofrecer servicios de red social gratuitos a sus usuarios particulares y vender publicidad en línea, incluida la publicidad personalizada en función de los usuarios. (4) Esta publicidad se basa principalmente en la creación automatizada de perfiles relativamente detallados de los usuarios de esta red social. (5)
10. En 2018, tras la entrada en vigor del RGPD, Meta Platforms Ireland presentó las nuevas condiciones del servicio de Facebook a sus usuarios en la Unión Europea para obtener su consentimiento, lo cual es, además, necesario para poder registrarse o acceder a las cuentas y a los servicios prestados por Facebook. (6) Estas nuevas condiciones del servicio también permiten a los usuarios conocer y controlar los datos conservados. (7)
11. El demandante es un usuario de Facebook que aceptó las nuevas condiciones del servicio presentadas por Facebook. Como se desprende de la resolución de remisión, ha hecho pública su homosexualidad, pero nunca ha hecho mención de su orientación sexual ni ha publicado dato sensible alguno en su perfil de Facebook. (8) Tampoco ha autorizado a la demandada a utilizar, a efectos de proponer publicidad personalizada, los campos de su perfil relativos a su situación sentimental, su empleador, su empleo o su formación.
12. No obstante, según la resolución de remisión, al demandante se le mostró un anuncio de una política, se le dirigió esta publicidad partiendo de un análisis según el cual el demandante se parecía a otros «clientes» que habían etiquetado con «Me gusta» a aquella persona, y recibía regularmente anuncios dirigidos a personas homosexuales e invitaciones a los actos correspondientes, aunque previamente nunca había mostrado interés por los eventos concretos y no conocía el lugar en que estos se desarrollaban. Esta publicidad o dichas invitaciones no se basaban directamente en la orientación sexual del demandante o de sus «amigos» en la red social, sino en un análisis de sus intereses. (9) Además, Meta Platforms Ireland almacenaba todos los datos relativos al demandante, incluidos los obtenidos mediante terceros o «plugins», para conservarlos durante un período de tiempo indefinido.
13. En estas circunstancias, el demandante ejercitó ante el Landesgericht für Zivilsachen Wien (Tribunal Regional de lo Civil de Viena, Austria) una acción declarativa y de cesación del tratamiento supuestamente ilícito de sus datos personales por Meta Platforms Ireland. (10)
14. A continuación, con motivo de un debate público organizado por la Representación de la Comisión Europea en Viena (Austria), (11) que se celebró el 12 de febrero de 2019, el demandante mencionó su orientación sexual en una intervención mediante la cual pretendía denunciar el tratamiento supuestamente ilegal, por parte de Meta Platforms Ireland, de los datos relativos a tal orientación sexual. (12)
15. Al haber sido desestimada su demanda por el órgano jurisdiccional de primera instancia, mediante sentencia de 30 de junio de 2020 y, en la instancia de apelación, por el Oberlandesgericht Wien (Tribunal Regional Superior de Viena, Austria), mediante sentencia de 7 de diciembre de 2020, (13) el demandante interpuso recurso de casación ante el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal), el órgano jurisdiccional remitente.
16. En este contexto, el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal) decidió suspender el procedimiento y plantear al Tribunal de Justicia cuatro cuestiones prejudiciales. (14) Dado que las cuestiones prejudiciales primera y tercera han sido retiradas a raíz de la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), (15)el presente asunto tiene por objeto las cuestiones prejudiciales segunda y cuarta, que están formuladas en los términos siguientes:
«2) ¿Debe interpretarse el artículo 5, apartado 1, letra c), del RGPD (minimización de datos) en el sentido de que todos los datos personales de que dispone una plataforma como la del litigio principal (en particular, a través del interesado o de terceros en o fuera de la plataforma) pueden ser agregados, analizados y tratados para fines de una publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos?
4) ¿Debe interpretarse el artículo 5, apartado 1, letra b), en relación con el artículo 9, apartado 2, letra e), del RGPD, en el sentido de que una manifestación sobre la propia orientación sexual para los fines de un debate público permite el tratamiento de otros datos relativos a la orientación sexual a efectos de agregación y análisis de datos con fines de publicidad personalizada?»
17. Han presentado observaciones escritas el demandante, Meta Platforms Ireland, los Gobiernos austriaco, francés, italiano y portugués y la Comisión. Han formulado observaciones orales el demandante, Meta Platforms Ireland, el Gobierno austriaco y la Comisión en la vista celebrada el 8 de febrero de 2024.
Análisis
Sobre la segunda cuestión prejudicial
18. Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 5, apartado 1, letra c), del RGPD, que establece el principio de minimización de datos, debe interpretarse en el sentido de que los datos personales de que dispone una red como Facebook, en particular a través del interesado o de terceros en dicha plataforma y fuera de ella, pueden ser agregados, analizados y tratados con el fin de proponer publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos.
19. Con carácter previo, ha de recordarse que todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos al tratamiento de datos enunciados en el artículo 5 del RGPD y, por otra, con alguno de los principios relativos a la licitud del tratamiento, enumerados en el artículo 6 de dicho Reglamento. (16)
20. En lo tocante, más concretamente, a los principios relativos al tratamiento de datos personales, el Tribunal de Justicia ha precisado, en particular, que el principio de minimización de datos que figura en el artículo 5, apartado 1, letra c), del RGPD dispone que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, lo cual refleja, en esencia, el principio de proporcionalidad. (17) Así, el principio de minimización de datos persigue reducir al mínimo las limitaciones al derecho a la protección de datos personales a que da lugar el tratamiento en cuestión.
21. En el caso de autos, me parece evidente que la posible falta de toda limitación, tal como supone el órgano jurisdiccional remitente, sería, por definición, contraria a la aplicación del principio de minimización de datos. Ahora bien, de los autos remitidos al Tribunal de Justicia no se desprende ningún elemento que pueda confirmar o excluir tal suposición, que, en cualquier caso, corresponde apreciar al órgano jurisdiccional remitente. No obstante, procuraré proporcionar a dicho órgano jurisdiccional algunas indicaciones útiles sobre la interpretación de la disposición examinada que puedan permitirle pronunciarse sobre el asunto de que conoce.
22. Por un lado, en lo tocante a la limitación del tratamiento de datos personales en el tiempo, considero que, a falta de una disposición específica a este respecto en el RGPD, el juez de la Unión no puede fijar de manera imperativa un período límite para la conservación de estos datos. Además, el Tribunal de Justicia ha declarado que incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con el artículo 5, apartado 1, letras c) a e), del RGPD cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. (18) Corresponde, pues, al órgano jurisdiccional remitente apreciar, teniendo en cuenta las circunstancias del caso de autos y aplicando el principio de proporcionalidad, (19) en qué medida el período de conservación de los datos personales por parte de Meta Platforms Ireland está justificado en relación con el objetivo legítimo del tratamiento de estos datos a efectos de proponer publicidad personalizada.
23. En lo tocante, por otro lado, a la limitación del tratamiento de datos personales en función de la naturaleza de los datos, corresponde igualmente al órgano jurisdiccional remitente determinar, en las circunstancias del asunto, los datos personales cuyo tratamiento puede considerarse legítimo, respetando el principio de proporcionalidad.
24. Por otro lado, las referencias contenidas en el tenor del artículo 5, apartado 1, letra c), del RGPD a condiciones muy genéricas, como la «adecuación», la «pertinencia» y la «necesidad», demuestran, a mi juicio, que el legislador de la Unión ha pretendido dejar un amplio margen de apreciación a las autoridades competentes al aplicar esta disposición, pues dichas condiciones solo pueden interpretarse caso por caso, teniendo en cuenta las circunstancias del asunto.
25. Dicho esto, considero, tal como la Comisión subraya en sus observaciones escritas, que pueden establecerse algunas distinciones en función del grado de injerencia que suponen las diversas formas de tratamiento en los derechos del interesado. Así pues, si lo considera adecuado, el órgano jurisdiccional remitente podría, por un lado, establecer una distinción entre la utilización de datos «estáticos» de la persona interesada (como la edad (20) o el sexo) y la utilización de datos «conductuales» (como el seguimiento de los hábitos de navegación de los usuarios). Esta última utilización supone, por regla general, una intrusión mayor en los derechos del interesado. En lo que atañe, más particularmente, a los datos «conductuales», podría establecerse una distinción adicional entre la recogida de datos relativos a un comportamiento «activo» (como la acción de hacer clic en el botón «Me gusta») y la recogida de datos relativos a un comportamiento «pasivo» (como la simple visita a un sitio de Internet), pues esta última es más intrusiva para el usuario. Por otro lado, también puede establecerse una distinción entre el tratamiento de datos personales recogidos en la plataforma de Facebook y los recogidos fuera de ella, esto es, en páginas de Internet, en aplicaciones distintas de Facebook o en los dispositivos de los usuarios. Este último es más intrusivo que el primero. (21)
26. En el marco de este análisis, me parece igualmente importante tener en cuenta las expectativas razonables de los interesados. (22)
27. Además, en una situación como la que existía antes de la entrada en vigor del RGPD, en la que el tratamiento de datos recogidos fuera de la plataforma Facebook no se basaba en el consentimiento, sino, más bien, en la necesidad del tratamiento para la ejecución del contrato en virtud del artículo 6, apartado 1, letra b), de dicho Reglamento, (23) ha de tenerse en cuenta la interpretación estricta que el Tribunal de Justicia ha realizado de esta disposición. (24) Por consiguiente, es importante, como subraya el Gobierno italiano en sus observaciones escritas, evitar que una interpretación amplia del principio de minimización de datos, recogido en el artículo 5 de dicho Reglamento, pueda permitir a los responsables del tratamiento extender las categorías de datos personales consideradas necesarias para la ejecución del contrato en el sentido del artículo 6, apartado 1, letra b), de este mismo Reglamento.
28. Habida cuenta de cuanto precede, propongo responder a la segunda cuestión prejudicial que el artículo 5, apartado 1, letra c), del RGPD debe interpretarse en el sentido de que se opone a que los datos personales sean tratados con el fin de proponer publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos, y de que corresponde al órgano jurisdiccional remitente apreciar, teniendo en cuenta las circunstancias del asunto y aplicando el principio de proporcionalidad, en qué medida el período de conservación de los datos y la cantidad de datos tratados están justificados en relación con el objetivo legítimo del tratamiento de estos datos a efectos de proponer publicidad personalizada.
Sobre la cuarta cuestión prejudicial
29. Mediante su cuarta cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 5, apartado 1, letra b), del RGPD, en relación con su artículo 9, apartado 2, letra e), debe interpretarse en el sentido de que el hecho de que una persona se haya manifestado sobre su orientación sexual en un debate público permite a Meta Platforms Ireland el tratamiento de otros datos relativos a su orientación sexual para proporcionarle publicidad personalizada. Con carácter más general, este órgano jurisdiccional se pregunta sobre el alcance de esta última disposición y plantea, más concretamente, la cuestión del modo en que el público debe haber obtenido los datos sensibles de esta persona para que sea aplicable el artículo 9, apartado 2, del RGPD.
Sobre la pertinencia de la cuestión prejudicial
30. Meta Platforms Ireland ha señalado en sus observaciones escritas y orales, sin que las demás partes la hayan rebatido en la vista, que en ningún momento del procedimiento ante los órganos jurisdiccionales nacionales invocó la excepción contemplada en el artículo 9, apartado 2, letra e), del RGPD como base jurídica para el tratamiento de datos en cuestión. (25)
31. Pues bien, en tal supuesto, la cuarta cuestión prejudicial carecería manifiestamente de pertinencia, puesto que esta excepción no sería aplicable en el presente asunto. (26)
32. Dicho esto, ha de recordarse que, en el marco del procedimiento previsto en el artículo 267 TFUE, basado en una clara separación de las funciones entre los órganos jurisdiccionales nacionales y el Tribunal de Justicia, las cuestiones relativas a la interpretación del Derecho de la Unión planteadas por el juez nacional en el marco fáctico y normativo definido bajo su responsabilidad (27) y cuya exactitud no corresponde verificar al Tribunal de Justicia disfrutan de una presunción de pertinencia. (28)
33. Por tanto, en los puntos siguientes propondré una respuesta a la cuarta cuestión prejudicial planteada por el órgano jurisdiccional remitente, sin perjuicio de la decisión del Tribunal de Justicia en cuanto a su pertinencia.
Sobre el fondo de la cuestión prejudicial
34. Con carácter preliminar, ha de recordarse que, de conformidad con el artículo 5, apartado 1, letra b), del RGPD, que consagra el principio de limitación de la finalidad, los datos personales deben ser recogidos con fines determinados, explícitos y legítimos y no deben ser tratados ulteriormente de manera incompatible con dichos fines. A tenor del artículo 9, apartado 1, del citado Reglamento, queda prohibido el tratamiento de datos personales relativos, en particular, a la vida sexual o a la orientación sexual de una persona física, salvo si tal tratamiento queda comprendido en el ámbito de aplicación de una de las excepciones contempladas en el artículo 9, apartado 2, de dicho Reglamento. (29)
35. Más concretamente, en virtud del artículo 9, apartado 2, letra e), del RGPD, la prohibición del tratamiento de datos personales sensibles no se aplica si el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos. Como observé en mis conclusiones presentadas en el asunto Meta Platforms y otros (Condiciones generales del servicio de una red social), (30) el empleo, en el tenor de esta disposición, del adverbio «manifiestamente» y el hecho de que dicha disposición constituya una excepción al principio de prohibición del tratamiento de datos personales sensibles exigen una aplicación particularmente estricta de esta excepción, debido a los importantes riesgos para los derechos fundamentales y las libertades fundamentales de los interesados. (31) Para que pueda aplicarse esta excepción, el usuario debe, a mi modo de ver, ser plenamente consciente de que, mediante un acto explícito, hace accesibles a cualquier persona datos personales que le conciernen. (32)
36. En el asunto principal, los datos sensibles relativos a la orientación sexual del demandante fueron publicados fuera de la plataforma de Facebook («fuera del sitio») y de cualquier otra plataforma o aplicación informática, en el contexto de un debate público organizado por la Comisión (33) y con el objetivo de denunciar el tratamiento supuestamente ilícito por parte de Meta Platforms Ireland de datos relativos a tal orientación sexual. (34)
37. A este respecto, el Tribunal de Justicia ya ha tenido oportunidad de pronunciarse sobre la utilización de datos «fuera del sitio», en el marco de otras plataformas, en la sentencia Meta Platforms y otros (Condiciones generales del servicio de una red social). (35) En tal ocasión, el Tribunal de Justicia declaró que el artículo 9, apartado 2, letra e), del RGPD debe interpretarse en el sentido de que, cuando un usuario de una red social en línea consulta sitios de Internet o aplicaciones en relación con una o con varias de las categorías de datos contempladas en el artículo 9, apartado 1, de este Reglamento, no hace manifiestamente públicos, con arreglo a la primera de esas disposiciones, los datos relativos a dicha consulta recogidos por el operador de esa red social en línea a través de «cookies» o de tecnologías de almacenamiento similares, y que, cuando ese usuario introduce datos en tales sitios de Internet o en tales aplicaciones o cuando activa botones de selección integrados en esos sitios y en esas aplicaciones, como son los botones «Me gusta» o «Compartir» o los botones que permiten al usuario identificarse en esos sitios o aplicaciones utilizando los identificadores de conexión vinculados a su cuenta de usuario de la red social, su número de teléfono o su dirección de correo electrónico, tal usuario no hace manifiestamente públicos, en el sentido de dicho artículo 9, apartado 2, letra e), los datos así introducidos o resultantes de la activación de esos botones, a menos que haya manifestado explícitamente su opción previamente, en su caso sobre la base de una configuración individual, efectuada con pleno conocimiento de causa, de que los datos que le conciernen resulten accesibles públicamente a un número ilimitado de personas. (36)
38. Dicho esto, el órgano jurisdiccional remitente consideró necesario mantener su cuarta cuestión prejudicial debido a que los actos examinados por el Tribunal de Justicia en este último asunto versaban sobre la consulta de sitios de internet o de aplicaciones, así como sobre la activación de botones integrados en aquellas, mientras que, en el caso de autos, se está en presencia de una declaración realizada por el interesado sobre su orientación sexual con motivo de un debate público. A este respecto, dicho órgano jurisdiccional considera que no cabe deducir de tal declaración un consentimiento en el sentido del citado artículo 9, apartado 2, letra e), del RGPD.
39. En relación con esto, me parece oportuno establecer una distinción entre, por un lado, la cuestión previa de si la declaración del demandante sobre su orientación sexual constituye un acto en virtud del cual este hace manifiestamente pública dicha orientación en el sentido del artículo 9, apartado 2, letra e), del RGPD y, por otro lado, en caso de respuesta afirmativa a esta cuestión, la de si el haber hecho manifiestamente pública su orientación sexual autoriza el tratamiento de datos relativos a tal orientación a efectos de proponer publicidad personalizada en el sentido, en particular, de los artículos 5 y 6 de dicho Reglamento.
40. En lo que atañe, en primer lugar, a la calificación que debe tener la declaración del demandante a los efectos del artículo 9, apartado 2, letra a), del RGPD, a falta de indicaciones útiles que deriven de la génesis de esta disposición y de su aplicación jurisprudencial, (37) ha de señalarse que la excepción contemplada en el artículo 9, apartado 2, letra e), de este Reglamento exige, en esencia, que concurran dos requisitos cumulativos, a saber, por un lado, un requisito «objetivo», según el cual los datos personales en cuestión deben haberse «hecho manifiestamente públicos», y, por otro lado, un requisito «subjetivo», según el cual es el «interesado» quien debe hacer manifiestamente públicos esos datos.
41. En el asunto principal, sin perjuicio de las comprobaciones que corresponde efectuar al órgano jurisdiccional remitente, me parece que se cumplen estos dos requisitos. En efecto, pese a que se ha divulgado de forma incidental en el contexto de un discurso más amplio y crítico con el tratamiento de datos sensibles por parte de Meta Platforms Ireland, considero que la declaración realizada por el demandante constituye un acto en virtud del cual, con pleno conocimiento de causa, este hace manifiestamente pública su orientación sexual.
42. Por lo que respecta al primer requisito, me parece muy probable que, teniendo en cuenta el carácter abierto del debate público, que fue emitido en directo y después retransmitido en streaming, (38) así como el interés del público en el asunto que se abordaba en dicho debate, la declaración del demandante haya podido llegar a un público indefinido, mucho más amplio que el que estaba presente en la sala. (39)
43. En cuanto al segundo requisito, es ciertamente posible, a mi juicio, que, al mencionar abiertamente su orientación sexual en las circunstancias del caso de autos (en particular, en un acto abierto y accesible a la prensa), el demandante, si no tenía el propósito, sí tenía cuando menos plena consciencia de estar haciendo tal orientación «manifiestamente pública», en el sentido de la jurisprudencia citada en el punto 35 de las presentes conclusiones. (40)
44. Además, el objetivo de la protección que confiere el artículo 9, apartado 1, del RGPD es, a mi juicio, evitar que el interesado se vea expuesto a consecuencias perjudiciales (como, entre otras, el oprobio público o los actos discriminatorios) derivadas, en particular, de una percepción negativa, desde el punto de vista social o económico, de las situaciones enumeradas en dicho artículo. (41) Esta disposición establece, pues, una protección particular de estos datos personales por medio de una prohibición en principio no absoluta, cuya aplicación al caso de autos está sujeta a la valoración del interesado, que está en la mejor posición para apreciar las consecuencias perjudiciales que podrían derivarse de la publicación de los datos en cuestión y que, en su caso, puede renunciar a tal protección o no acogerse a ella, con pleno conocimiento de causa, haciendo manifiestamente pública, en el sentido del artículo 9, apartado 2, letra e), de dicho Reglamento, su situación y, en particular, su orientación sexual.
45. En lo que atañe, en segundo lugar, al examen de las consecuencias derivadas de haber hecho manifiestamente pública su orientación sexual desde el punto de vista del tratamiento de estos datos sensibles por parte de Meta Platforms Ireland, en el sentido de los artículos 5 y 6 del RGPD, considero que el hacer manifiestamente públicos una serie de datos en el sentido del artículo 9, apartado 2, letra e), de este Reglamento no permite por sí solo efectuar un tratamiento de tales datos en el sentido del citado Reglamento.
46. En efecto, la aplicación de esta última disposición tiene simplemente como consecuencia retirar la «protección especial» conferida a determinados datos personales particularmente sensibles. Una vez que el propio interesado (que los ha hecho manifiestamente públicos) ha renunciado conscientemente a esta protección, estos datos personales, en origen «protegidos», devienen datos «ordinarios» (esto es, no sensibles) que, al igual que los demás datos personales, solo pueden ser tratados lícitamente en las condiciones previstas, entre otros, en los artículos 6 y 7 del RGPD y respetando los principios contemplados, en particular, en el artículo 5 de este Reglamento, (42) incluido el principio de limitación de la finalidad recogido en el artículo 5, apartado 1, letra b), de dicho Reglamento, que exige que los datos personales sean recogidos para unos fines determinados, explícitos y legítimos, lo cual corresponde demostrar al responsable del tratamiento en virtud del apartado 2 de esa misma disposición. (43)
47. Por tanto, el hecho de que el demandante se haya manifestado sobre su orientación sexual en un debate público, pese a que ello pueda llevar a la conclusión de que, en las circunstancias del caso de autos, esta persona ha «hecho manifiestamente públicos» estos datos en el sentido del artículo 9, apartado 2, letra e), del RGPD, no puede justificar por sí solo el tratamiento de datos personales relativos a la orientación sexual de esta persona. (44)
48. Habida cuenta de cuanto precede, propongo responder a la cuarta cuestión prejudicial que el artículo 5, apartado 1, letra b), del RGPD, en relación con su artículo 9, apartado 2, letra e), debe interpretarse en el sentido de que una manifestación sobre la propia orientación sexual en el contexto de un debate público, aun cuando pueda constituir un acto mediante el cual el interesado ha «hecho manifiestamente público» este dato en el sentido del artículo 9, apartado 2, letra e), de dicho Reglamento, no permite por sí mismo el tratamiento de tales datos o de otros datos relativos a la orientación sexual de esa persona para la agregación y el análisis de datos con el fin de proponer publicidad personalizada.
Conclusión
49. A la vista de las consideraciones que preceden, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales segunda y cuarta planteadas por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria) del modo siguiente:
«1) El artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que
– se opone a que los datos personales sean tratados con el fin de proponer publicidad específica, sin restricciones de carácter temporal o en función de la naturaleza de los datos, y de que
– corresponde al órgano jurisdiccional remitente apreciar, teniendo en cuenta las circunstancias del asunto y aplicando el principio de proporcionalidad, en qué medida el período de conservación de los datos y la cantidad de datos tratados están justificados en relación con el objetivo legítimo del tratamiento de estos datos a efectos de proponer publicidad personalizada.
2) El artículo 5, apartado 1, letra b), del Reglamento 2016/679, en relación con su artículo 9, apartado 2, letra e),
debe interpretarse en el sentido de que
– una manifestación sobre la propia orientación sexual en el contexto de un debate público, aun cuando pueda constituir un acto mediante el cual el interesado ha “hecho manifiestamente público” este dato en el sentido del artículo 9, apartado 2, letra e), de dicho Reglamento, no permite por sí mismo el tratamiento de tales datos o de otros datos relativos a la orientación sexual de esa persona para la agregación y el análisis de datos con el fin de proponer publicidad personalizada.»
1 Lengua original: francés.
2 Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 2, y en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).
3 Esta red social permite subir y compartir contenidos de manera personalizada, en función de los ajustes seleccionados previamente por el usuario, así como comunicarse directamente con otros usuarios o intercambiar datos.
4 Más concretamente, esta publicidad tiene por objeto presentar al usuario los productos y servicios que podrían interesarle, en particular en función de sus comportamientos personales de consumo, intereses, poder adquisitivo y situación personal (lugar, edad, sexo, etc.). Al mismo tiempo, las «Facebook Business Tools» (herramientas de Facebook para empresas) permiten a los anunciantes elaborar anuncios publicitarios personalizados y comprobar la eficacia de su publicidad mediante sistemas de análisis basados en algoritmos que buscan correlaciones y modelos para extraer de ellos las conclusiones pertinentes.
5 A tal fin, la demandada emplea tecnologías como las «cookies» (testigos), que permiten utilizar «Social Plugins» (complementos sociales, como el botón «Me gusta») o «píxeles de seguimiento», que son herramientas informáticas instaladas en el sitio de Facebook, en los sitios de Internet y en las aplicaciones de terceros. Estas herramientas permiten, en esencia, recoger determinados datos de un usuario que visita estos sitios de Internet o que utiliza aplicaciones que los contienen y agregarlos, creando así un perfil de usuario a partir del cual se le puede proponer publicidad personalizada.
6 Meta Platforms Ireland ha precisado en sus observaciones escritas y orales que durante el período anterior a la entrada en vigor del RGPD, por un lado, el tratamiento, con el fin de proponer publicidad personalizada, de datos personales recogidos en su plataforma no se basaba en el consentimiento del demandante, sino que se justificaba principalmente con que el tratamiento de estos datos era necesario para la ejecución del contrato, y, por otro lado, el tratamiento de datos personales recogidos en sitios o aplicaciones ajenos a su red se basaba en el consentimiento del usuario, de modo que este podía excluir estos últimos datos del tratamiento, sin, no obstante, tener que renunciar a los servicios de Facebook. En el caso de autos, esta sociedad no podía tratar datos personales del demandante recogidos fuera de su plataforma debido a que, en el momento en que se registró en la red social Facebook, en 2008, el demandante no había dado su consentimiento al respecto. En cambio, a partir de la entrada en vigor del RGPD, Facebook ha recabado el consentimiento para el tratamiento, a efectos de proponer publicidad personalizada, de datos personales recogidos tanto en su red como en sitios de Internet o aplicaciones externos y, a falta de tal consentimiento, ha permitido al usuario no autorizar el tratamiento de todos sus datos a efectos de proponerle publicidad personalizada a cambio del pago de una tasa. Por cuanto parece, la legalidad de las nuevas condiciones del servicio en el sentido del RGPD constituye actualmente el objeto de un examen por parte de las autoridades de protección de datos de algunos Estados miembros.
7 Como se desprende de la resolución de remisión, Meta Platforms Ireland no proporciona acceso a todos los datos tratados, sino únicamente a los que, según su apreciación, revisten un interés pertinente para los usuarios. Además, esta sociedad permite eliminar ciertos contenidos (como mensajes, fotografías o publicaciones) de una cuenta de Facebook.
8 Además, solo sus «amigos», cuya lista no se ha hecho pública, podían ver las publicaciones que aparecían en su muro o sus publicaciones futuras.
9 Según el órgano jurisdiccional remitente, el demandante realizó un análisis a partir del cual se podían extraer conclusiones de su lista de amigos. Dicho análisis reveló que había realizado la prestación social sustitutoria del servicio militar en la Cruz Roja de Salzburgo (Austria) y que es homosexual. En la lista de sitios por los que se interesaba, además de Facebook, figuraban, entre otras, aplicaciones o sitios de Internet de encuentros para homosexuales, así como un sitio de un partido político austriaco. Entre los datos conservados del demandante figuraba en particular una dirección de correo electrónico inexistente y otra que no aparecía indicada en su perfil de Facebook, pero que había utilizado para remitir sus solicitudes a la demandada.
10 En esencia, el demandante solicitó al órgano jurisdiccional de primera instancia, en primer lugar, que se obligase a la demandada a celebrar un contrato por escrito relativo a la utilización de sus datos personales en la red Facebook y, con carácter subsidiario, que se declarase la inexistencia de tal contrato y de su consentimiento a las condiciones de uso; en segundo lugar, que se obligase a la demandada a no tratar sus datos personales a efectos de proponer publicidad personalizada o para agregar y analizar datos con fines publicitarios; en tercer lugar, que se declarase la inexistencia de un consentimiento válido al tratamiento con los fines descritos en la antigua versión de las directivas en materia de tratamiento de datos, en lo que atañe a sus datos personales que la demandada había obtenido de terceros, y, en cuarto lugar, que se obligase a la demandada a no utilizar ni a tratar sus datos relativos a las visitas y al uso de páginas de terceros a falta de un consentimiento válido al tratamiento. En esencia, el demandante alegó que la aceptación de las condiciones del servicio y de las directrices asociadas, relativas al uso de datos, no constituye un consentimiento para el tratamiento de datos personales válido concedido al responsable del tratamiento. Asimismo, subrayó que Meta Platforms Ireland trata datos sensibles que le conciernen, como datos relativos a sus convicciones políticas y a su orientación sexual, pese a que dichos datos no aparecen mencionados en su perfil de Facebook.
11 Como se desprende de las observaciones escritas y orales de las partes, este debate estaba abierto al público, que podía obtener gratuitamente una entrada, con el límite de los asientos disponibles, en la plataforma Eventbrite (finalmente se inscribieron 189 personas), y fue transmitido en directo. Además, después se hizo pública una grabación de dicho debate en forma de pódcast, así como en el canal de YouTube de la Comisión.
12 Como se desprende de la resolución de remisión y de los escritos presentados por el demandante, este realizó la siguiente declaración: «Voy a ponerles ahora un ejemplo muy banal: ustedes podrán deducir mi orientación sexual de mi lista de amigos. Jamás he mencionado en Facebook que soy homosexual. Desde que tenía 14 años, es algo que he “sacado del armario” y no me estresa ni nada que se le parezca. Pero no se trata de algo que yo vaya contando por todas partes y todo el tiempo en público, porque me digo a mí mismo, bien, dedícate a hablar de la protección de los datos o de otro modo te vas a ver encerrado otra vez en ese armario. Y eso, precisamente, es lo que distrae la atención de la protección de los datos».
13 Estos dos órganos jurisdiccionales nacionales consideraron, en esencia, que el tratamiento de datos personales realizado por Meta Platforms Ireland era necesario para la ejecución del contrato, en el sentido del artículo 6, apartado 1, letra b), del RGPD.
14 Ha de recordarse que, en el asunto principal, el órgano jurisdiccional remitente ya envió al Tribunal de Justicia la petición de decisión prejudicial que constituyó el objeto de la sentencia de 25 de enero de 2018, Schrems (C‑498/16, EU:C:2018:37).
15 C‑252/21, en lo sucesivo, «sentencia Meta Platforms y otros (Condiciones generales del servicio de una red social)», EU:C:2023:537. El presente procedimiento prejudicial se había suspendido a la espera de dicha sentencia. Tras ser preguntado por el Tribunal de Justicia, el órgano jurisdiccional remitente respondió que la citada sentencia daba respuesta a sus cuestiones prejudiciales primera y tercera y que mantenía su petición en lo tocante a las cuestiones prejudiciales segunda y cuarta.
16 Véase la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartado 96 y jurisprudencia citada.
17 Véase, en este sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartado 98 y jurisprudencia citada.
18 Este será el caso, en particular, cuando sean inadecuados, no pertinentes o ya no pertinentes o sean excesivos en relación con estos fines y con el tiempo transcurrido [véase la sentencia de 24 de septiembre de 2019, GC y otros (Retirada de enlaces a datos sensibles) (C‑136/17, EU:C:2019:773), apartado 74 y jurisprudencia citada].
19 Véase la jurisprudencia citada en la nota 17 de las presentes conclusiones.
20 Sin perjuicio de que, de conformidad con el artículo 8 del RGPD, los menores de 16 años no pueden dar por sí solos su consentimiento en virtud del artículo 6, apartado 1, letra a), de dicho Reglamento en lo relativo a la oferta de servicios de la sociedad de la información.
21 A este respecto, ha de recordarse que, en el contexto del concepto de «consentimiento» a los efectos de los artículos 6, apartado 1, párrafo primero, letra a), y 9, apartado 2, letra a), del RGPD, el Tribunal de Justicia ha señalado, en particular, que un usuario no puede esperar razonablemente que datos distintos de los relativos a su comportamiento dentro la red social (en el caso de autos, Facebook) sean tratados por el operador de esta y ha declarado que puede darse un consentimiento separado para el tratamiento, por un lado, de estos últimos datos y, por otro, de los datos distintos a estos últimos [sentencia Meta Platforms y otros (Condiciones generales del servicio de una red social), apartado 151]. Del mismo modo, en mis conclusiones presentadas en ese mismo asunto, expresé mis dudas sobre el hecho de que la recogida y la utilización de datos personales fuera de la red social Facebook puedan ser necesarias para suministrar los servicios ofrecidos en el marco de esta red, de modo que el consentimiento dado inicialmente para acceder a dicha red (a saber, la creación de un perfil de Facebook) pueda comprender válidamente el tratamiento de datos personales del usuario fuera de esa red [conclusiones presentadas en el asunto Meta Platforms y otros (Condiciones generales del servicio de una red social) (C‑252/21, EU:C:2022:704), punto 56 y nota 81].
22 Por ejemplo, en cuanto atañe a los intereses legítimos del responsable del tratamiento como base jurídica de tal tratamiento, el considerando 47 del RGPD señala que la existencia de tal interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin.
23 Véase la nota 6 de las presentes conclusiones.
24 En efecto, el Tribunal de Justicia ha declarado en esencia que, con independencia de que el tratamiento de datos personales previsto en tal disposición se mencione en el contrato, el elemento determinante a efectos de aplicar la justificación prevista en dicha disposición es que el tratamiento en cuestión sea esencial para permitir la correcta ejecución del contrato celebrado entre el responsable del tratamiento y el interesado y, por lo tanto, que no existan otras soluciones practicables y menos intrusivas [véase, en este sentido, la sentencia Meta Platforms y otros (Condiciones generales del servicio de una red social), apartado 99].
25 Véase la nota 6 de las presentes conclusiones. Como se ha puesto de manifiesto en la vista, parece que, en el asunto principal, Meta Platforms Ireland hizo referencia al debate público para rebatir la alegación del demandante relativa al supuesto perjuicio derivado de la angustia psicológica en la que afirmaba encontrarse, debido a la publicidad personalizada, con el fin de demostrar que no tenía dificultad alguna en declarar públicamente su homosexualidad. Desde tal perspectiva, pues, el órgano jurisdiccional remitente no planteó la cuestión relativa a la interpretación del artículo 9, apartado 2, del RGPD para aplicar la excepción contemplada en esta disposición, sino en el contexto, por completo diferente, del examen del perjuicio invocado por el demandante a la luz de las alegaciones formuladas por Meta Platforms Ireland en su defensa.
26 En efecto, de conformidad con el artículo 5, apartado 2, del RGPD, la carga de la prueba de que los datos personales son tratados de conformidad con dicho Reglamento recae sobre el responsable del tratamiento.
27 Véase, por analogía, la sentencia de 4 de mayo de 2023, Glavna direktsia Pozharna bezopasnost i zashtita na naselenieto (Trabajo nocturno) (C‑529/21 a C‑536/21 y C‑732/21 a C‑738/21, EU:C:2023:374), apartado 57.
28 Véase, en este sentido, la sentencia de 13 de julio de 2023, Ferrovienord (C‑363/21 y C‑364/21, EU:C:2023:563), apartados 52 a 55 y jurisprudencia citada.
29 Como se señala en el considerando 51 de este mismo Reglamento, merecen especial protección los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para dichos derechos y libertades.
30 C‑252/21, EU:C:2022:704, punto 42.
31 Véase también, en este sentido, la sentencia Meta Platforms y otros (Condiciones generales del servicio de una red social), apartado 76 y jurisprudencia citada.
32 A este respecto, ha de señalarse que, en la expresión «ha hecho manifiestamente públicos», la utilización del verbo «hacer» implica un comportamiento activo y consciente del interesado. Según el Comité Europeo de Protección de Datos (CEPD), «la palabra “manifiestamente” implica que debe haber un umbral elevado para acogerse a esta exención. El CEPD señala que la presencia de un solo elemento puede no ser siempre suficiente para establecer que el interesado haya hecho “manifiestamente” públicos los datos. En la práctica, es posible que haya que tener en cuenta una combinación de [elementos] para que los responsables del tratamiento demuestren que el interesado ha manifestado claramente su intención de hacer públicos los datos, y es necesario realizar una evaluación caso por caso» (CEPD, Directrices 8/2020, apartado 127). Asimismo, menciona, a título ejemplificativo, elementos tales como la configuración por defecto de la plataforma de medios sociales, la naturaleza de la plataforma de medios sociales, la accesibilidad de la página donde se publican los datos sensibles, la visibilidad de la información cuando se informa al interesado del carácter público de la información que publica, si el propio interesado ha publicado los datos sensibles o si, por el contrario, los datos han sido publicados por un tercero o inferidos. Véase asimismo Georgieva, L., y Kuner, C.: «Article 9. Processing of special categories of personal data», The EU General Data Protection Regulation (GDPR), Oxford, 2020, p. 378, según los cuales, «in this context, “making public” should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been “manifestly” made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result» («en este contexto, “hacer públicos” debe interpretarse en el sentido de que incluye la publicación de los datos en los medios de comunicación, su publicación en línea en plataformas de redes sociales o acciones similares. No obstante, los datos deben haber sido hechos públicos “manifiestamente”, lo cual requiere una actuación positiva por parte del interesado y que este haya comprendido que ese sería el resultado»).
33 Véase la nota 11 de las presentes conclusiones.
34 Véase la nota 13 de las presentes conclusiones.
35 Apartados 84 y 85 de la sentencia citada.
36 Véanse asimismo mis conclusiones presentadas en el asunto Meta Platforms y otros (Condiciones generales del servicio de una red social) (C‑252/21, EU:C:2022:704), punto 46.
37 Ha de recordarse que la disposición en cuestión se tomó, en los mismos términos, del artículo 8, apartado 2, letra e), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), y que, por otro lado, no se proporcionó explicación alguna con ocasión de la introducción de esta disposición en el marco de la Posición Común (CE) n.º 1/95 adoptada por el Consejo el 20 de febrero de 1995 con vistas a la adopción de la Directiva 95/.../CE del Parlamento Europeo y del Consejo, de..., relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, C 93, p. 1).
38 Véase la nota 11 de las presentes conclusiones.
39 Por ejemplo, como reconoce el propio demandante en sus observaciones escritas, su declaración era susceptible de ser divulgada, de modo por completo legítimo, mediante un artículo de prensa que cubriera el acto en cuestión.
40 A este respecto, ha de recordarse que el demandante ha sido el protagonista de un largo e importante litigio con Meta Platforms Ireland (anteriormente Facebook) relativo a la aplicación del RGPD y que, por tanto, es razonable suponer que estuviera perfectamente al corriente de las consecuencias de sus declaraciones a la luz de este Reglamento. Dicho esto, he de señalar la diferencia entre, por un lado, la voluntad de autorizar el tratamiento de datos «sensibles» que supone el consentimiento del tratamiento de dichos datos en el sentido del artículo 9, apartado 2, letra a), del RGPD y, por otro, el propósito o la plena conciencia de hacer manifiestamente públicos tales datos, lo cual entraña la no aplicación de la prohibición del tratamiento de estos datos en el sentido del artículo 9, apartado 1, de dicho Reglamento, pero no basta, por sí solo, para autorizar el tratamiento de estos, como explicaré en los puntos 45 a 47 de las presentes conclusiones.
41 Por ejemplo, una persona puede ser discriminada como consecuencia de su orientación política o sexual o incluso verse abocada a consecuencias económicas injustas por razón de su situación médica (en particular, en lo que atañe al seguro de enfermedad o a otras situaciones análogas).
42 En efecto, como se recuerda en el considerando 51 del RGPD, además de los requisitos específicos aplicables al tratamiento de datos personales particularmente sensibles, deben aplicarse los principios generales y otras normas del citado Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del tratamiento. Además, de conformidad con el artículo 22, apartado 4, de dicho Reglamento, las decisiones basadas exclusivamente en el tratamiento automatizado no se basarán en las categorías especiales de datos personales contempladas en el artículo 9, apartado 1, del mismo Reglamento, salvo que se aplique el artículo 9, apartado 2, letras a) o g), y se hayan tomado las medidas adecuadas para salvaguardar los derechos, libertades e intereses legítimos del interesado.
43 El Tribunal de Justicia se ha pronunciado recientemente en el mismo sentido respecto a la interpretación del artículo 9, apartado 2, letra h), del RGPD, en relación con los artículos 5, apartado 1, letra a), y 6, apartado 1, de dicho Reglamento, al señalar que un tratamiento de datos relativos a la salud basado en la primera disposición debe respetar, para ser lícito, tanto los requisitos que se derivan de esta como las obligaciones resultantes de estas dos últimas disposiciones y, en particular, cumplir al menos una de las condiciones de licitud establecidas en el artículo 6, apartado 1, de dicho Reglamento (sentencia de 21 de diciembre de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, apartado 78).
44 Ello es tanto más cierto cuanto que, en el asunto principal, el órgano jurisdiccional remitente se pregunta si la declaración realizada en el contexto del debate público en cuestión autoriza el tratamiento de otros datos personales, en particular los recabados a partir de aplicaciones de terceros.