Acórdão do Tribunal de Justiça da União Europeia
Processo C-446/21

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Quarta Secção)

4 de outubro de 2024 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Redes sociais em linha — Condições gerais de utilização relativas aos contratos celebrados entre uma plataforma digital e um utilizador — Publicidade personalizada — Artigo 5.°, n.° 1, alínea b) — Princípio da limitação das finalidades — Artigo 5.°, n.° 1, alínea c) — Princípio da minimização dos dados — Artigo 9.°, n.os 1 e 2 — Tratamento de categorias especiais de dados pessoais — Dados relacionados com a orientação sexual — Dados tornados públicos pelo seu titular »

No processo C‑446/21,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria), por Decisão de 23 de junho de 2021, que deu entrada no Tribunal de Justiça em 20 de julho de 2021, no processo

Maximillian Schrems

contra

Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited,

O TRIBUNAL DE JUSTIÇA (Quarta Secção),

composto por: C. Lycourgos, presidente de secção, O. Spineanu‑Matei, J.‑C. Bonichot, S. Rodin e L. S. Rossi (relatora), juízes,

advogado‑geral: A. Rantos,

secretário: N. Mundhenke, administradora,

vistos os autos e após a audiência de 8 de fevereiro de 2024,

vistas as observações apresentadas:

– em representação de Maximilian Schrems, por A. Egger, rechtsanwalt, e K. Raabe‑Stuppnig, rechtsanwältin,

– em representação da Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited, por H.‑G. Kamann e A. Natterer, rechtsanwalt, e por K. Hanschitz, S. Khalil e B. Knötzl, rechtsanwältin,

– em representação do Governo Austríaco, por A. Posch, C. Gabauer, G. Kunnert, E. Riedl e J. Schmoll, na qualidade de agentes,

– em representação do Governo Francês, por R. Bénard e A.‑L. Desjonquères, na qualidade de agentes,

– em representação do Governo Italiano, por G. Palmieri, na qualidade de agente, assistida por E. De Bonis, avvocato dello Stato,

– em representação do Governo Português, por P. Barros da Costa, A. Pimenta, J. Ramos e C. Vieira Guerra, advogados,

– em representação da Comissão Europeia, por A. Bouchagiar, F. Erlbacher, M. Heller e H. Kranenborg, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 25 de abril de 2024,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 5.°, n.° 1, alíneas b) e c), do artigo 6.°, n.° 1, alíneas a) e b), e do artigo 9.°, n.os 1 e 2, alínea e), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1) (a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe Maximilian Schrems, um utilizador da rede social Facebook, à Meta Platforms Ireland Ltd, anteriormente Facebook Ireland Ltd, com sede social na Irlanda, relativo ao tratamento alegadamente ilícito, por esta sociedade, de dados pessoais deste utilizador.

Quadro jurídico

Direito da União

3 Os considerandos 1, 4, 39, 42, 43, 50 e 51 do RGPD enunciam:

«(1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia [a seguir “Carta”] e o artigo 16.°, n.° 1, [TFUE] estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

[...]

(4) O tratamento dos dados pessoais deverá ser concebido para servir as pessoas. O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdade e os princípios reconhecidos na Carta, consagrados nos Tratados, nomeadamente o respeito pela vida privada e familiar, pelo domicílio e pelas comunicações, a proteção dos dados pessoais, a liberdade de pensamento, de consciência e de religião, a liberdade de expressão e de informação, a liberdade de empresa, o direito à ação e a um tribunal imparcial, e a diversidade cultural, religiosa e linguística.

[...]

(39) O tratamento de dados pessoais deverá ser efetuado de forma lícita e equitativa. Deverá ser transparente para as pessoas singulares que os dados pessoais que lhes dizem respeito são recolhidos, utilizados, consultados ou sujeitos a qualquer outro tipo de tratamento e a medida em que os dados pessoais são ou virão a ser tratados. [...] As pessoas singulares a quem os dados dizem respeito deverão ser alertadas para os riscos, regras, garantias e direitos associados ao tratamento dos dados pessoais e para os meios de que dispõem para exercer os seus direitos relativamente a esse tratamento. Em especial, as finalidades específicas do tratamento dos dados pessoais deverão ser explícitas e legítimas e ser determinadas aquando da recolha dos dados pessoais. Os dados pessoais deverão ser adequados, pertinentes e limitados ao necessário para os efeitos para os quais são tratados. Para isso, é necessário assegurar que o prazo de conservação dos dados seja limitado ao mínimo. Os dados pessoais apenas deverão ser tratados se a finalidade do tratamento não puder ser atingida de forma razoável por outros meios. A fim de assegurar que os dados pessoais sejam conservados apenas durante o período considerado necessário, o responsável pelo tratamento deverá fixar os prazos para o apagamento ou a revisão periódica. [...]

[...]

(42) Sempre que o tratamento for realizado com base no consentimento do titular dos dados, o responsável pelo tratamento deverá poder demonstrar que o titular deu o seu consentimento à operação de tratamento dos dados. [...] Para que o consentimento seja dado com conhecimento de causa, o titular dos dados deverá conhecer, pelo menos, a identidade do responsável pelo tratamento e as finalidades a que o tratamento se destina. Não se deverá considerar que o consentimento foi dado de livre vontade se o titular dos dados não dispuser de uma escolha verdadeira ou livre ou não puder recusar nem retirar o consentimento sem ser prejudicado.

(43) A fim de assegurar que o consentimento é dado de livre vontade, este não deverá constituir fundamento jurídico válido para o tratamento de dados pessoais em casos específicos em que exista um desequilíbrio manifesto entre o titular dos dados e o responsável pelo seu tratamento, nomeadamente quando o responsável pelo tratamento é uma autoridade pública pelo que é improvável que o consentimento tenha sido dado de livre vontade em todas as circunstâncias associadas à situação específica em causa. Presume‑se que o consentimento não é dado de livre vontade se não for possível dar consentimento separadamente para diferentes operações de tratamento de dados pessoais, ainda que seja adequado no caso específico, ou se a execução de um contrato, incluindo a prestação de um serviço, depender do consentimento apesar de o consentimento não ser necessário para a mesma execução.

[...]

(50) O tratamento de dados pessoais para outros fins que não aqueles para os quais os dados pessoais tenham sido inicialmente recolhidos apenas deverá ser autorizado se for compatível com as finalidades para as quais os dados pessoais tenham sido inicialmente recolhidos. Nesse caso, não é necessário um fundamento jurídico distinto do que permitiu a recolha dos dados pessoais. [...]

(51) Merecem proteção específica os dados pessoais que sejam, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e liberdades fundamentais, dado que o contexto do tratamento desses dados poderá implicar riscos significativos para os direitos e liberdades fundamentais. [...] Tais dados pessoais não deverão ser objeto de tratamento, salvo se essa operação for autorizada em casos específicos definidos no presente regulamento [...]. Para além dos requisitos específicos para este tipo de tratamento, os princípios gerais e outras disposições do presente regulamento deverão ser aplicáveis, em especial no que se refere às condições para o tratamento lícito. Deverão ser previstas de forma explícita derrogações à proibição geral de tratamento de categorias especiais de dados pessoais, por exemplo, se o titular dos dados der o seu consentimento expresso ou para ter em conta necessidades específicas […]»

4 O artigo 4.° deste regulamento prevê:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); [...]

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado‑Membro;

[...]

11) “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

[...]

23) “Tratamento transfronteiriço”:

a) O tratamento de dados pessoais que ocorre no contexto das atividades de estabelecimentos em mais do que um Estado‑Membro de um responsável pelo tratamento ou um subcontratante na União, caso o responsável pelo tratamento ou o subcontratante esteja estabelecido em mais do que um Estado‑Membro; ou

b) O tratamento de dados pessoais que ocorre no contexto das atividades de um único estabelecimento de um responsável pelo tratamento ou de um subcontratante, mas que afeta substancialmente, ou é suscetível de afetar substancialmente, titulares de dados em mais do que um [Estado‑Membro];

[...]»

5 O artigo 5.° do referido regulamento, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», dispõe, nos seus n.os 1 e 2:

«1. Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; [...] (“limitação das finalidades”);

c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

[...]

e) Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; [...] (“limitação da conservação”)

2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.° 1 e tem de poder comprová‑lo (“responsabilidade”).»

6 O artigo 6.° deste regulamento, sob a epígrafe «Licitude do tratamento», tem a seguinte redação:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;

[...]

4. Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.°, n.° 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em conta:

a) Qualquer ligação entre a finalidade para a qual os dados pessoais foram recolhidos e a finalidade do tratamento posterior;

b) O contexto em que os dados pessoais foram recolhidos, em particular no que respeita à relação entre os titulares dos dados e o responsável pelo seu tratamento;

c) A natureza dos dados pessoais, em especial se as categorias especiais de dados pessoais forem tratadas nos termos do artigo 9.o, ou se os dados pessoais relacionados com condenações penais e infrações forem tratados nos termos do artigo 10.o;

d) As eventuais consequências do tratamento posterior pretendido para os titulares dos dados;

e) A existência de salvaguardas adequadas, que podem ser a cifragem ou a pseudonimização.»

7 O artigo 7.° do RGPD, sob a epígrafe «Condições aplicáveis ao consentimento», prevê:

«1. Quando o tratamento for realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais.

[...]

3. O titular dos dados tem o direito de retirar o seu consentimento a qualquer momento. A retirada do consentimento não compromete a licitude do tratamento efetuado com base no consentimento previamente dado. Antes de dar o seu consentimento, o titular dos dados é informado desse facto. O consentimento deve ser tão fácil de retirar quanto de dar.

4. Ao avaliar se o consentimento é dado livremente, há que verificar com a máxima atenção se, designadamente, a execução de um contrato, inclusive a prestação de um serviço, está subordinada ao consentimento para o tratamento de dados pessoais que não é necessário para a execução desse contrato.»

8 O artigo 9.° deste regulamento, sob a epígrafe «Tratamento de categorias especiais de dados pessoais», dispõe:

«1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

2. O disposto no n.° 1 não se aplica se se verificar um dos seguintes casos:

a) Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou mais finalidades específicas, exceto se o direito da União ou de um Estado‑Membro previr que a proibição a que se refere o n.° 1 não pode ser anulada pelo titular dos dados;

[...]

e) Se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular;

[...]»

9 O artigo 13.° do referido regulamento, relativo às «[i]nformações a facultar quando os dados pessoais são recolhidos junto do titular», prevê o seguinte:

«1. Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:

[...]

c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;

[...]

3. Quando o responsável pelo tratamento pessoais tiver a intenção de proceder ao tratamento posterior dos dados pessoais para um fim que não seja aquele para o qual os dados tenham sido recolhidos, antes desse tratamento o responsável fornece ao titular dos dados informações sobre esse fim e quaisquer outras informações pertinentes, nos termos do n.° 2.

[...]»

10 O artigo 25.°, n.° 2, deste regulamento dispõe:

«O responsável pelo tratamento aplica medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica‑se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. Em especial, essas medidas asseguram que, por defeito, os dados pessoais não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.»

Litígio no processo principal e questões prejudiciais

11 A Meta Platforms Ireland, que gere a oferta dos serviços da rede social em linha Facebook na União, é a responsável pelo tratamento de dados pessoais dos utilizadores desta rede social na União. Não tem uma sucursal na Áustria. A Meta Platforms Ireland promove, nomeadamente no endereço www.facebook.com, serviços que, até 5 de novembro de 2023, foram prestados gratuitamente aos utilizadores privados. A partir de 6 de novembro de 2023, estes serviços continuaram a ser gratuitos apenas para os utilizadores que aceitaram que os seus dados pessoais sejam recolhidos e utilizados para que lhes seja apresentada publicidade personalizada, podendo os mesmos aderir a uma subscrição paga para aceder a uma versão dos referidos serviços sem receber publicidade direcionada.

12 O modelo de negócio da rede social em linha Facebook assenta no financiamento através da publicidade em linha, que é adaptada aos utilizadores individuais da rede social em função, nomeadamente, dos seus hábitos de consumo, dos seus interesses, do seu poder de compra e da sua situação pessoal. Esta publicidade é possível tecnicamente mediante a criação automatizada de perfis pormenorizados dos utilizadores da rede e dos serviços em linha oferecidos pelo Grupo Meta.

13 Para tratar os dados pessoais dos utilizadores da rede social Facebook, a Meta Platforms Ireland baseia‑se no contrato de utilização a que estes aderem ao selecionarem o botão «registar» e mediante o qual aceitam as condições gerais definidas por esta sociedade. À data dos factos no processo principal, era necessário aceitar estas condições para poder utilizar a rede social Facebook. No que diz respeito ao tratamento dos dados pessoais dos utilizadores, as condições gerais remetem para as políticas de utilização dos dados e dos cookies estabelecidas pela referida sociedade. De acordo com estas últimas, a Meta Platforms Ireland recolhe dados dos utilizadores e dos respetivos dispositivos, relacionados com a atividade dos utilizadores, tanto dentro como fora da rede social, e cruza estes dados com as contas Facebook dos utilizadores em causa. Os dados relativos à atividade fora da rede social (a seguir também designados «dados off‑Facebook») resultam, por um lado, da consulta de páginas Internet e de aplicações de terceiros, que estão ligadas ao Facebook através de interfaces de programação e, por outro, da utilização dos restantes serviços em linha que pertencem ao Grupo Meta, entre os quais, nomeadamente, o Instagram e o WhatsApp.

14 Antes da entrada em vigor do RGPD, os utilizadores do Facebook davam o seu consentimento explícito para o tratamento dos seus dados em conformidade com as condições de utilização da recorrida então aplicáveis. Com a entrada em vigor do RGPD em 25 de maio de 2018, a Meta Platforms Ireland adotou novas condições de utilização, em 19 de abril de 2018, e apresentou‑as para serem aceites pelos seus utilizadores. M. Schrems aceitou estas novas condições de utilização para poder continuar a utilizar o Facebook, visto que a sua conta tinha sido bloqueada. Este consentimento era necessário para poder conservar o acesso à sua conta e utilizar os serviços correspondentes.

15 A Meta Platforms Ireland implementou várias «ferramentas» (tools) para permitir que os utilizadores tenham uma visão geral e um controlo sobre os seus dados armazenados. Nem todos os dados tratados são visíveis nestas ferramentas, mas apenas os que, no entender desta sociedade, têm interesse e relevância para os utilizadores. Assim, o utilizador que o solicitar pode, por exemplo, ver que acedeu a uma aplicação através do seu perfil do Facebook, visitou um sítio Internet, efetuou uma determinada pesquisa ou compra, ou ainda que clicou num anúncio publicitário.

16 A Meta Platforms Ireland utiliza cookies [testemunhos], social plugins [módulos de extensão sociais] e pixels conforme referido nas suas condições de utilização e nas suas normas. A Meta Platforms Ireland pode identificar a fonte das pesquisas através dos cookies. Se os cookies não forem ativados, não é possível utilizar vários dos serviços prestados pela Meta Platforms Ireland. Os social plugins do Facebook são «inseridos» pelos operadores de sítios Internet terceiros nas suas páginas. O mais comum é o botão «Gosto» do Facebook. Cada vez que é consultada uma página Internet que contém este botão, os cookies instalados no dispositivo utilizado, o URL da página visitada e outros dados, como o endereço IP ou a hora, são transmitidos à Meta Platforms Ireland. Para o efeito, não é necessário que o utilizador tenha clicado no botão «Gosto», uma vez que o simples facto de visualizar uma página Internet que contém este plugin é suficiente para que estes dados sejam em seguida transmitidos a esta sociedade.

17 Resulta da decisão de reenvio que as páginas Internet dos partidos políticos e as páginas direcionadas a um público homossexual que M. Schrems visitou também contêm plugins. Por causa destes plugins, a Meta Platforms Ireland pôde seguir o comportamento de M. Schrems na Internet, o que desencadeou a recolha de alguns dados pessoais sensíveis.

18 À semelhança dos social plugins, os pixels podem ser integrados nas páginas de sítios Internet e permitem recolher informações sobre os utilizadores que tenham visitado estas páginas para, nomeadamente, medir e otimizar a publicidade nas mesmas. Por exemplo, ao integrarem um pixel Facebook nas suas páginas Internet, os respetivos operadores podem obter relatórios da Meta Platforms Ireland sobre o número de pessoas que visualizaram a sua publicidade no Facebook e que, em seguida, acederam à sua página Internet para consultar ou efetuar uma compra.

19 Os social plugins e os pixels, conjuntamente com os cookies, constituem, deste modo, um elemento essencial da publicidade na Internet, uma vez que a grande maioria dos conteúdos disponíveis na Internet são financiados pela publicidade. Em particular, os plugins permitem apresentar anúncios relevantes aos utilizadores e os pixels são utilizados pelos anunciantes para medir o desempenho das campanhas publicitárias e obter informações sobre grupos‑alvo de utilizadores.

20 No caso em apreço, resulta da decisão de reenvio que M. Schrems não autorizou a Meta Platforms Ireland a tratar os seus dados pessoais, que esta obtém de anunciantes e de outros parceiros, relacionados com a atividade de M. Schrems fora do Facebook para efeitos de publicidade personalizada. No entanto, alguns dados relativos a M. Schrems foram obtidos pela Meta Platforms Ireland com recurso a cookies, a social plugins e a tecnologias semelhantes integradas nos sítios Internet de terceiros e foram utilizadas por esta sociedade para melhorar os produtos do Facebook e apresentar publicidade personalizada a M. Schrems.

21 Além disso, desta decisão também resulta que M. Schrems não colocou nenhum dado sensível no seu perfil do Facebook, que só os seus «amigos» podem visualizar as suas atividades ou as informações que figuram na sua timeline (cronologia) e que a sua «lista de amigos» não é pública. M. Schrems também optou por não autorizar a Meta Platforms Ireland a utilizar, para efeitos de publicidade direcionada, os campos do seu perfil relativos ao seu estado civil, ao seu empregador, ao seu trabalho e à sua formação.

22 No entanto, com base nos dados que tem à sua disposição, a Meta Platforms Ireland também pode identificar o interesse de M. Schrems em assuntos sensíveis, como a saúde, a orientação sexual, grupos étnicos e partidos políticos, o que permite dirigir‑lhe, por exemplo, publicidade direcionada relativa a essa orientação sexual ou essa convicção política.

23 Assim, por um lado, M. Schrems recebeu publicidade relativa a uma figura política austríaca, baseada na análise efetuada pela Meta Platforms Ireland segundo a qual M. Schrems tem pontos em comum com outros utilizadores que tinham «gostado» desta figura política. Por outro lado, M. Schrems também recebeu regularmente publicidade direcionada a um público homossexual e convites para eventos correspondentes, apesar de antes nunca se ter interessado por estes eventos e de não conhecer o local onde se realizavam. Estes anúncios publicitários e convites não se baseiam diretamente na orientação sexual do recorrente no processo principal nem dos seus «amigos», baseando‑se antes numa análise dos seus centros de interesse, neste caso, no facto de um dos amigos de M. Schrems ter «gostado» de um produto.

24 M. Schrems encomendou uma análise das conclusões que podem ser retiradas da sua lista de amigos, da qual resulta que fez o seu serviço cívico na Cruz Vermelha em Salzburgo e que é homossexual. Além disso, na lista das suas atividades fora do Facebook, mantida pela Meta Platforms Ireland, figuram, nomeadamente, aplicações e sítios Internet de encontros para homossexuais e o sítio Internet de um partido político austríaco. Dos dados armazenados do recorrente no processo principal consta igualmente um endereço de correio eletrónico que não figura no seu perfil do Facebook, mas que utilizou para apresentar pedidos à Meta Platforms Ireland.

25 Resulta ainda da decisão de reenvio que M. Schrems assume publicamente que é homossexual. Contudo, nunca mencionou a sua orientação sexual no seu perfil do Facebook.

26 M. Schrems alegou perante o Landesgericht für Zivilrechtssachen Wien (Tribunal Cível Regional de Viena, Áustria) que o tratamento dos seus dados pessoais pela Meta Platforms Ireland viola várias disposições do RGPD. A este respeito, considera que o seu consentimento para as condições de utilização da plataforma digital da recorrida no processo principal não cumpre os requisitos do artigo 6.°, n.° 1, e do artigo 7.° deste regulamento. Acresce que a Meta Platforms Ireland trata os dados sensíveis do recorrente no processo principal, na aceção do artigo 9.° do referido regulamento, sem dispor do consentimento necessário para o efeito, ao abrigo do artigo 7.° deste regulamento. Do mesmo modo, a Meta Platforms Ireland não recebeu de terceiros nenhum consentimento válido para o tratamento de dados pessoais de M. Schrems. Neste contexto, M. Schrems pediu, entre outros, que a recorrida fosse condenada a cessar o tratamento dos seus dados pessoais para efeitos de publicidade personalizada, bem como a utilização desses dados resultante da consulta de sítios Internet de terceiros e obtidos por terceiros.

27 A Meta Platforms Ireland considera, em contrapartida, que o tratamento dos dados de M. Schrems foi efetuado em conformidade com as condições de utilização da rede social em linha, que são compatíveis com os requisitos do RGPD. Este tratamento de dados é lícito e não se baseia no consentimento do recorrente no processo principal exigido pelo artigo 6.°, n.° 1, alínea a), deste regulamento, baseando‑se noutras justificações, entre as quais, principalmente, na necessidade desse tratamento para a execução do contrato celebrado entre este último e a recorrida no processo principal, na aceção do artigo 6.°, n.° 1, alínea b), do referido regulamento.

28 No processo principal em causa, já foi submetido um pedido de decisão prejudicial ao Tribunal de Justiça que deu origem ao Acórdão de 25 de janeiro de 2018, Schrems (C‑498/16, EU:C:2018:37). Na sequência desse acórdão, o Landesgericht für Zivilrechtssachen Wien (Tribunal Cível Regional de Viena, Áustria) julgou improcedentes os pedidos de M. Schrems por decisão de 30 de junho de 2020. Do mesmo modo, o Oberlandesgericht Wien (Tribunal Regional Superior de Viena, Áustria), interpelado em sede de recurso, negou provimento ao recurso interposto por M. Schrems dessa sentença, por considerar, nomeadamente, que o tratamento dos dados pessoais deste último, enquanto utilizador da plataforma em linha, incluindo a publicidade personalizada, faz parte do contrato de utilização desta plataforma celebrado entre as partes. Consequentemente, o tratamento destes dados é necessário para a execução deste contrato, na aceção do artigo 6.°, n.° 1, alínea b), do RGPD.

29 O Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria) observa, no âmbito de um recurso de «Revision» interposto por M. Schrems, que o modelo de negócio da Meta Platforms Ireland consiste em gerar receitas através da publicidade direcionada e de conteúdos comerciais que assentam nas preferências e nos interesses dos utilizadores do Facebook mediante o tratamento dos dados pessoais destes utilizadores. Ora, este tratamento, uma vez que permite à Facebook oferecer gratuitamente serviços aos seus utilizadores, pode ser considerado necessário para a execução do contrato celebrado com os referidos utilizadores, na aceção do artigo 6.°, n.° 1, alínea b), do RGPD.

30 No entanto, segundo aquele órgão jurisdicional, esta disposição, que deve ser interpretada restritivamente, não deve permitir semelhante tratamento de dados sem o consentimento do titular.

31 Além disso, o referido órgão jurisdicional nota que a Meta Platforms Ireland trata dados pessoais que podem ser qualificados de «sensíveis», ao abrigo do artigo 9.°, n.° 1, do RGPD.

32 No caso em apreço, a Meta Plaforms Ireland trata dados relativos às convicções políticas e à orientação sexual de M. Schrems. Segundo as conclusões do Oberster Gerichtshof (Supremo Tribunal de Justiça), M. Schrems assume publicamente a sua orientação sexual. Em particular, no âmbito de um painel de debate no qual participou em Viena, em 12 de fevereiro de 2019, a convite da representação da Comissão Europeia na Áustria, M. Schrems aludiu à sua orientação sexual para criticar o tratamento de dados pessoais efetuado pela Facebook, incluindo o tratamento dos seus dados. No entanto, e como também declarou nessa ocasião, M. Schrems nunca mencionou este aspeto da sua vida privada no seu perfil do Facebook.

33 No entender daquele órgão jurisdicional, surge, assim, a questão de saber se o utilizador em causa tornou manifestamente públicos dados pessoais sensíveis que lhe dizem respeito autorizando, deste modo, o tratamento dos mesmos, ao abrigo do artigo 9.°, n.° 2, alínea e), do RGPD.

34 Nestas circunstâncias, o Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1. Devem as disposições do artigo 6.°, n.° 1, alíneas a) e b), do [RGPD], ser interpretadas no sentido de que a licitude de estipulações contratuais contidas em condições gerais de uso relativas a contratos de utilização de plataformas, como as que estão em causa no processo principal (em especial estipulações contratuais tais como “Em vez de pagares […] ao utilizares os Produtos do Facebook abrangidos por estes Termos, concordas que te podemos apresentar anúncios […] Utilizamos os teus dados pessoais […] para te apresentar anúncios que sejam mais relevantes para ti”) e que têm por objeto o tratamento de dados pessoais para agregação e análise de dados para efeitos de apresentação de publicidade personalizada, deve ser apreciada à luz dos requisitos formulados no artigo 6.°, n.° 1, alínea a), em conjugação com o artigo 7.° do RGPD, sem que se possa recorrer ao disposto no artigo 6.°, n.° 1, alínea b), do RGPD?

2. Deve o artigo 5.°, n.° 1, alínea c), do RGPD (minimização dos dados) ser interpretado no sentido de que todos os dados pessoais que estão à disposição de uma plataforma como a que está em causa no processo principal (em especial por terem sido fornecidos pelo titular dos dados ou por terceiros dentro ou fora da plataforma), podem ser agregados, analisados e tratados sem restrições temporais ou quanto ao tipo de dados, para efeitos de apresentação de publicidade direcionada?

3. Deve o artigo 9.°, n.° 1, do RGPD ser interpretado no sentido de que é aplicável ao tratamento de dados que permita uma filtragem específica de certas categorias de dados pessoais, como convicções políticas ou orientação sexual (nomeadamente para efeitos publicitários), ainda que o responsável pelo tratamento não faça distinção entre estes dados?

4. Deve o artigo 5.°, n.° 1, alínea b), em conjugação com o artigo 9.°, n.° 2, alínea e), do RGPD ser interpretado no sentido de que um comentário acerca da própria orientação sexual, no quadro de um painel de debate, permite o tratamento de outros dados relativos à orientação sexual com vista à agregação e análise de dados para efeitos de apresentação de publicidade personalizada?»

Tramitação processual no Tribunal de Justiça

35 Por Decisão de 7 de abril de 2022, o presidente do Tribunal de Justiça suspendeu a instância enquanto se aguardava pela decisão que pusesse termo à instância no processo C‑252/21, Meta Platforms e o.

36 Por Decisão de 7 de julho de 2023, o presidente do Tribunal de Justiça notificou o órgão jurisdicional de reenvio no presente processo do Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (C‑252/21, EU:C:2023:537), e perguntou‑lhe se, tendo em conta este acórdão, pretendia manter o seu pedido de decisão prejudicial, no todo ou em parte, e, em caso de retirada parcial deste pedido, pediu‑lhe que apresentasse as razões pelas quais pretendia manter uma parte do mesmo.

37 Por Despacho de 19 de julho de 2023, que deu entrada na Secretaria do Tribunal de Justiça em 9 de agosto de 2023, aquele órgão jurisdicional retirou a sua primeira e terceira questões prejudiciais, sustentando que o referido acórdão respondia a estas questões. Em contrapartida, o referido órgão jurisdicional manteve a sua segunda e quarta questões prejudiciais, por considerar que aquele acórdão não tinha respondido plenamente às mesmas.

Quanto à segunda questão

38 Com a sua segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 5.°, n.° 1, alínea c), do RGPD deve ser interpretado no sentido de que o princípio da «minimização dos dados» nele previsto se opõe a que todos os dados pessoais que tenham sido obtidos por um responsável pelo tratamento, como o operador de uma plataforma de rede social em linha, junto do titular dos dados ou de terceiros e que foram recolhidos tanto nessa plataforma como fora dela, sejam agregados, analisados e tratados sem restrições temporais e sem distinção em função da natureza desses dados, para efeitos de apresentação de publicidade direcionada.

Quanto à admissibilidade

39 A recorrida no processo principal sustenta que esta questão é inadmissível porque, por um lado, o órgão jurisdicional de reenvio não expôs as razões pelas quais uma resposta à referida questão seria útil para resolver o litígio no processo principal e, por outro, porque este órgão jurisdicional se baseou numa premissa factual incorreta, ao considerar, erradamente, que a recorrida no processo principal utiliza, para efeitos publicitários, todos os dados pessoais de que dispõe sem restrições temporais e sem distinção em função da natureza desses dados.

40 No que respeita, em primeiro lugar, ao argumento segundo o qual o órgão jurisdicional de reenvio não expôs as razões pelas quais considera que uma resposta à sua segunda questão seria útil para resolver o litígio no processo principal, cumpre sublinhar a importância da indicação, pelo órgão jurisdicional nacional, das razões precisas que o levaram a interrogar‑se sobre a interpretação do direito da União e a considerar necessário submeter questões prejudiciais ao Tribunal de Justiça (Acórdãos de 6 de dezembro de 2005, ABNA e o., C‑453/03, C‑11/04, C‑12/04 e C‑194/04, EU:C:2005:741, n.° 46, e de 29 de fevereiro de 2024, Staatssecretaris van Justitie en Veiligheid (Confiança mútua em caso de transferência), C‑392/22, EU:C:2024:195, n.° 85). No caso em apreço, resulta, contudo, das observações do pedido de decisão prejudicial que o órgão jurisdicional de reenvio pretende apurar se, assumindo que o tratamento para efeitos publicitários em causa no processo principal é justificado ao abrigo do artigo 6.°, n.° 1, primeiro parágrafo, alínea b), do RGPD, a extensão dos dados tratados deste modo pela recorrida no processo principal respeita o princípio da minimização dos dados ou se, pelo contrário, um tratamento tão amplo viola as obrigações que recaem sobre o responsável pelo tratamento, por força do artigo 5.° do RGPD. Consequentemente, as razões pelas quais a resposta a esta questão seria útil para resolver o litígio no processo principal resultam suficientemente evidentes do pedido de decisão prejudicial.

41 No que respeita, em segundo lugar, ao argumento de que o órgão jurisdicional de reenvio se baseou numa premissa factual incorreta, é verdade que a segunda questão prejudicial assenta na premissa de que, por um lado, como foi referido no n.° 20 do presente acórdão, embora M. Schrems não tenha autorizado a Meta Platforms Ireland a tratar os seus dados pessoais relacionados com a sua atividade fora do Facebook, esta sociedade tratou, contudo, alguns desses dados que obteve de terceiros parceiros, com base na aceitação por M. Schrems das condições gerais de utilização da rede social, através, nomeadamente, dos cookies e dos social plugins do Facebook integrados nos sítios Internet destes terceiros e, por outro, que estes dados pessoais são tratados pela Meta Platforms Ireland sem restrições temporais e sem distinção em função da natureza dos referidos dados.

42 Não obstante, há que recordar que, segundo jurisprudência constante, o artigo 267.° TFUE institui um processo de cooperação direta entre o Tribunal de Justiça e os órgãos jurisdicionais dos Estados‑Membros. No quadro desse processo, que se baseia numa nítida separação de funções entre os órgãos jurisdicionais nacionais e o Tribunal de Justiça, qualquer apreciação dos factos da causa é da competência do juiz nacional, ao qual compete apreciar, tendo em conta as especificidades do processo, tanto a necessidade de uma decisão prejudicial para poder proferir a sua decisão como a pertinência das questões que submete ao Tribunal de Justiça, tendo o Tribunal de Justiça apenas competência para se pronunciar sobre a interpretação ou a validade de um diploma da União com base nos factos que lhe são indicados pelo órgão jurisdicional nacional (Acórdão de 25 de outubro de 2017, Polbud — Wykonawstwo, C‑106/16, EU:C:2017:804, n.° 27 e jurisprudência referida).

43 Consequentemente, há que responder à questão submetida com base nesta premissa, cuja exatidão deve, contudo, ser verificada pelo órgão jurisdicional de reenvio.

44 Por conseguinte, a segunda questão prejudicial é admissível.

Quanto ao mérito

45 Em primeiro lugar, importa recordar que o objetivo prosseguido pelo RGPD, conforme resulta do artigo 1.° e dos considerandos 1 e 10, consiste, nomeadamente, em garantir um elevado nível de proteção das liberdades e dos direitos fundamentais das pessoas singulares, em particular, do seu direito à vida privada no que diz respeito ao tratamento de dados pessoais, consagrado no artigo 8.o, n.° 1, da Carta e no artigo 16.o, n.° 1, TFUE (Acórdão de 7 de março de 2024, IAB Europe, C‑604/22, EU:C:2024:214, n.° 53 e jurisprudência referida).

46 Para esse efeito, os capítulos II e III deste regulamento enunciam, respetivamente, os princípios que regem o tratamento de dados pessoais e os direitos do titular dos dados que qualquer tratamento de dados pessoais deve respeitar. Especialmente, e sem prejuízo das derrogações previstas no artigo 23.° do referido regulamento, qualquer tratamento de dados pessoais deve, por um lado, respeitar os princípios relativos ao tratamento desses dados, enunciados no artigo 5.° do mesmo regulamento, e preencher os requisitos de licitude enumerados no seu artigo 6.o, e, por outro, respeitar os direitos do titular dos dados que figuram nos artigos 12.° a 22.° do RGPD [Acórdão de 11 de julho de 2024, Meta Platforms Ireland (Ação coletiva), C‑757/22, EU:C:2024:598, n.° 49 e jurisprudência referida].

47 Como o Tribunal de Justiça já esclareceu, os princípios relativos ao tratamento de dados pessoais enunciados no artigo 5.° do RGPD são aplicáveis cumulativamente (Acórdão de 20 de outubro de 2022, Digi, C‑77/21, EU:C:2022:805, n.° 47).

48 A este respeito, importa salientar que, de acordo com o artigo 5.°, n.° 1, alínea a), do RGPD, os dados pessoais são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados e que, em conformidade com a alínea b) deste artigo 5.°, n.° 1, estes dados devem ser recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades.

49 Além disso, o artigo 5.°, n.° 1, alínea c), deste regulamento, que consagra o denominado princípio da «minimização dos dados», prevê que os dados pessoais devem ser «adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados» [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 109 e jurisprudência referida].

50 Este princípio, conforme o Tribunal de Justiça já declarou, é uma expressão do princípio da proporcionalidade [v., neste sentido, Acórdãos de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.° 98 e jurisprudência referida, e de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.° 41].

51 Em conformidade com o princípio da responsabilidade enunciado no artigo 5.°, n.° 2, do RGPD, o responsável pelo tratamento deve poder comprovar que os dados pessoais são recolhidos e tratados em conformidade com os princípios estabelecidos no n.° 1 deste artigo (v., neste sentido, Acórdão de 20 de outubro de 2022, Digi, C‑77/21, EU:C:2022:805, n.° 24). Por outro lado, em conformidade com o artigo 13.°, n.° 1, alínea c), deste regulamento, quando os dados pessoais forem recolhidos junto do titular dos dados, incumbe ao responsável pelo tratamento informá‑lo das finalidades do tratamento a que os dados pessoais se destinam, bem como do fundamento jurídico para esse tratamento [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 95].

52 Em segundo lugar, no que respeita à restrição temporal de um tratamento de dados pessoais como o que está em causa no processo principal, importa recordar que o Tribunal de Justiça já declarou que, tendo em conta o princípio da minimização dos dados, o responsável pelo tratamento está igualmente obrigado a limitar ao estritamente necessário, à luz do objetivo do tratamento previsto, o período de recolha dos dados pessoais em causa [Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento dos dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.° 79].

53 Com efeito, quanto mais prolongada for a conservação desses dados, mais significativas são as consequências para os interesses e a vida privada do titular dos dados e maiores são as exigências relativas à licitude da conservação dos referidos dados [v., neste sentido, Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 95].

54 Além disso, importa salientar que, nos termos do artigo 5.°, n.° 1, alínea e), do RGPD, os dados pessoais devem ser conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados.

55 Assim, resulta inequivocamente da redação deste artigo que o princípio da «limitação da conservação» nele consagrado exige que o responsável pelo tratamento possa comprovar, em conformidade com o princípio da responsabilidade recordado no n.° 51 do presente acórdão, que os dados pessoais só são conservados durante o período necessário para a realização das finalidades para que foram recolhidos ou para que foram posteriormente tratados (v., neste sentido, Acórdão de 20 de outubro de 2022, Digi, C‑77/21, EU:C:2022:805, n.° 53).

56 Daqui resulta que, conforme o Tribunal de Justiça já declarou, mesmo um tratamento inicialmente lícito de dados pode tornar‑se, com o tempo, contrário às disposições do RGPD quando esses dados já não sejam necessários tendo em conta as finalidades para que foram recolhidos ou posteriormente tratados e que os referidos dados devem ser eliminados após a realização dessas finalidades (v., neste sentido, Acórdão de 20 de outubro de 2022, Digi, C‑77/21, EU:C:2022:805, n.° 54 e jurisprudência referida).

57 Nestas condições, como salientou, em substância, o advogado‑geral no n.° 22 das suas conclusões, cabe ao órgão jurisdicional nacional apreciar, tendo em conta todos os elementos relevantes e aplicando o princípio da proporcionalidade, recordado no artigo 5.°, n.° 1, alínea c), do RGPD, se o prazo de conservação dos dados pessoais pelo responsável pelo tratamento é razoavelmente justificado à luz do objetivo que consiste em permitir a difusão de anúncios publicitários personalizados.

58 Em todo o caso, a conservação, por um período ilimitado, dos dados pessoais dos utilizadores de uma plataforma de rede social para efeitos de publicidade direcionada deve ser considerada uma ingerência desproporcionada nos direitos que o RGPD garante a estes utilizadores.

59 Em terceiro lugar, no que respeita à circunstância de os dados pessoais em causa no processo principal serem recolhidos, agregados, analisados e tratados para efeitos de publicidade direcionada, sem distinção em função da natureza desses dados, importa recordar que o Tribunal de Justiça já declarou que, tendo em conta o princípio da minimização dos dados, previsto no artigo 5.°, n.° 1, alínea c), do RGPD, o responsável pelo tratamento não pode proceder, de forma generalizada e indiferenciada, à recolha de dados pessoais e deve abster‑se de recolher dados que não são estritamente necessários à luz das finalidades do tratamento [Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.° 74].

60 Cumpre igualmente salientar que o artigo 25.°, n.° 2, deste regulamento exige que o responsável pelo tratamento aplique as medidas adequadas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. De acordo com esta disposição, esta exigência aplica‑se, nomeadamente, à quantidade de dados pessoais recolhidos, à extensão do seu tratamento e ao seu prazo de conservação.

61 No caso em apreço, resulta da decisão de reenvio que a Meta Platforms Ireland recolhe os dados pessoais dos utilizadores do Facebook, designadamente os de M. Schrems, relativos à atividade desses utilizadores tanto nessa rede social como fora dela, entre os quais, nomeadamente, os dados relativos à consulta da plataforma em linha e de páginas Internet e de aplicações de terceiros, e acompanha igualmente os hábitos de navegação dos utilizadores nessas páginas através de social plugins e de pixels inseridos nas páginas Internet em causa.

62 Ora, como o Tribunal de Justiça já declarou, este tratamento é particularmente amplo, uma vez que incide sobre dados potencialmente ilimitados e tem um impacto importante no utilizador, cujas atividades em linha são, em grande parte ou mesmo quase na sua totalidade, monitorizadas pela Meta Platforms Ireland, o que pode suscitar no utilizador a sensação de uma vigilância contínua da sua vida privada [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 118].

63 Nestas condições, o tratamento de dados em causa no processo principal caracteriza‑se por uma ingerência grave nos direitos fundamentais dos titulares dos dados, particularmente nos seus direitos ao respeito pela vida privada e à proteção de dados pessoais garantidos pelos artigos 7.° e 8.° da Carta dos Direitos Fundamentais da União Europeia, que, sem prejuízo das verificações que incumbe ao órgão jurisdicional de reenvio efetuar, não se afigura razoavelmente justificada à luz do objetivo que consiste em permitir a difusão de anúncios publicitários direcionados.

64 Em todo o caso, a utilização indiferenciada de todos os dados pessoais de que dispõe uma plataforma de rede social para efeitos publicitários, independentemente do grau de sensibilidade desses dados, não se afigura uma ingerência proporcionada nos direitos garantidos aos utilizadores dessa plataforma pelo RGPD.

65 Tendo em conta o que precede, há que responder à segunda questão que o artigo 5.°, n.° 1, alínea c), do RGPD deve ser interpretado no sentido de que o princípio da «minimização dos dados» nele previsto se opõe a que todos os dados pessoais que tenham sido obtidos por um responsável pelo tratamento, como o operador de uma plataforma de rede social em linha, junto do titular dos dados ou de terceiros e que foram recolhidos tanto nessa plataforma como fora dela, sejam agregados, analisados e tratados sem restrições temporais e sem distinção em função da natureza desses dados, para efeitos de apresentação de publicidade direcionada.

Quanto à quarta questão

66 Com esta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 9.°, n.° 2, alínea e), do RGPD deve ser interpretado no sentido de que a circunstância de uma pessoa ter feito um comentário acerca da sua orientação sexual no âmbito de um painel de debate aberto ao público permite que o operador de uma plataforma de rede social em linha trate outros dados relativos à orientação sexual dessa pessoa, obtidos, eventualmente, fora dessa plataforma a partir de aplicações e de sítios Internet de terceiros parceiros, com vista à sua agregação e análise, para que lhe seja apresentada publicidade personalizada.

67 Mais concretamente, o órgão jurisdicional de reenvio pretende determinar se M. Schrems deixou de ter direito à proteção conferida pelo artigo 9.°, n.° 1, do RGPD devido à sua declaração no âmbito de um painel de debate e se, por conseguinte, a Facebook pode tratar outros dados relativos à sua orientação sexual.

68 A título preliminar, cumpre realçar que o painel de debate referido pelo órgão jurisdicional de reenvio, no âmbito do qual M. Schrems fez uma declaração relativa à sua orientação sexual, teve lugar em 12 de fevereiro de 2019 e que, como resulta da decisão de reenvio, nessa data, a Meta Platforms Ireland já tratava dados pessoais relativos à orientação sexual de M. Schrems, pelo que esta declaração é posterior ao início deste tratamento de dados.

69 Resulta do que precede que a quarta questão submetida pelo órgão jurisdicional de reenvio deve ser entendida no sentido de que diz respeito apenas aos eventuais tratamentos de dados relativos à orientação sexual de M. Schrems que foram realizados pela Meta Platforms Ireland após 12 de fevereiro de 2019. No entanto, cabe ao órgão jurisdicional de reenvio verificar se estes tratamentos ocorreram efetivamente após esta data, em conformidade com a jurisprudência recordada no n.° 42 do presente acórdão.

70 Para responder a esta questão, é necessário, em primeiro lugar, recordar que o considerando 51 do RGPD enuncia que merecem proteção específica os dados pessoais que sejam, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e liberdades fundamentais, dado que o contexto do tratamento desses dados poderá implicar riscos significativos para os direitos e liberdades fundamentais. Este considerando esclarece que tais dados pessoais não deverão ser objeto de tratamento, salvo se essa operação for autorizada em casos específicos definidos no referido regulamento.

71 Neste contexto, o artigo 9.°, n.° 1, do RGPD estabelece o princípio da proibição do tratamento relativo às categorias especiais de dados pessoais que refere. Trata‑se, nomeadamente, de dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas e os dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa singular.

72 Para efeitos de aplicação do artigo 9.°, n.° 1, do RGPD, importa verificar, no caso de um tratamento de dados pessoais efetuado pelo operador de uma rede social em linha, se esses dados permitem revelar informações abrangidas por uma das categorias referidas nesta disposição, quer essas informações digam respeito a um utilizador dessa rede ou a qualquer outra pessoa singular. Caso isto se verifique, este tratamento de dados pessoais é proibido, sem prejuízo das derrogações previstas no artigo 9.°, n.° 2, do RGPD.

73 Conforme o Tribunal de Justiça já declarou, esta proibição de princípio, prevista no artigo 9.°, n.° 1, do RGPD, é independente da questão de saber se a informação revelada pelo tratamento em causa é ou não exata e se o responsável pelo tratamento atua com o objetivo de obter informações abrangidas por uma das categorias especiais referidas nesta disposição. Com efeito, tendo em conta os riscos significativos para os direitos e liberdades fundamentais dos titulares dos dados, gerados por qualquer tratamento de dados pessoais abrangidos pelas categorias referidas no artigo 9.°, n.° 1, do RGPD, este tem por objetivo proibir esses tratamentos, independentemente da sua finalidade declarada [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.os 69 e 70].

74 Dito isto, embora este artigo 9.°, n.° 1, proíba, em princípio, o tratamento de dados relativos à orientação sexual, o n.° 2 do referido artigo prevê, nas suas alíneas a) a j), dez derrogações que são independentes umas das outras e que devem, por isso, ser apreciadas de forma autónoma. Daqui resulta que o facto de as condições de aplicação de uma das derrogações previstas nesse n.° 2 não estarem reunidas não obsta a que um responsável pelo tratamento possa invocar outra derrogação mencionada nessa disposição (Acórdão de 21 de dezembro de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, n.° 47).

75 No que respeita, em particular, à derrogação prevista no artigo 9.°, n.° 2, alínea e), do RGPD, há que recordar que, por força desta disposição, a proibição de princípio de qualquer tratamento que incida sobre categorias especiais de dados pessoais, imposta por este artigo 9.°, n.° 1, não se aplica se o tratamento for relativo a dados pessoais «manifestamente tornados públicos pelo seu titular».

76 Na medida em que prevê uma exceção ao princípio da proibição do tratamento de categorias especiais de dados pessoais, o artigo 9.°, n.° 2, do RGPD deve ser interpretado de forma restritiva [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 76 e jurisprudência referida].

77 Daqui resulta que, para efeitos da aplicação da exceção prevista no artigo 9.°, n.° 2, alínea e), do RGPD, importa verificar se o titular dos dados pretendeu, de forma explícita e através de um ato positivo claro, tornar os dados pessoais em questão acessíveis ao grande público [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 77].

78 No caso em apreço, resulta da decisão de reenvio que o painel de debate realizado em Viena em 12 de fevereiro de 2019, no âmbito do qual M. Schrems proferiu uma declaração relativa à sua orientação sexual, estava acessível ao público, que podia adquirir um bilhete para assistir presencialmente, consoante a disponibilidade de lugares, e que o mesmo foi transmitido em streaming. Além disso, foi posteriormente publicado um registo deste painel sob a forma de um podcast e no canal YouTube da Comissão.

79 Nestas condições, e sem prejuízo das verificações que incumbem ao órgão jurisdicional nacional, não se pode excluir que esta declaração, embora se enquadre num discurso mais amplo e efetuada apenas com o objetivo de criticar o tratamento de dados pessoais pela Facebook, constitua um ato pelo qual o interessado, com pleno conhecimento de causa, tornou manifestamente pública, na aceção do artigo 9.°, n.° 2, alínea e), do RGPD, a sua orientação sexual.

80 Em segundo lugar, embora a circunstância de o titular dos dados ter tornado manifestamente público um dado relativo à sua orientação sexual implique que esse dado pode ser objeto de tratamento, em derrogação da proibição prevista no artigo 9.°, n.° 1, do RGPD e em conformidade com os requisitos que decorrem das outras disposições deste regulamento [v., neste sentido, Acórdão de 24 de setembro de 2019, GC e o. (Supressão de referências a dados sensíveis), C‑136/17, EU:C:2019:773, n.° 64], esta circunstância não autoriza, por si só, contrariamente ao que a Meta Platforms Ireland alega, o tratamento de outros dados pessoais relativos à orientação sexual desse titular.

81 Assim, por um lado, seria contrário à interpretação restritiva de que deve ser objeto o artigo 9.°, n.° 2, alínea e), do RGPD considerar que todos os dados relativos à orientação sexual de uma pessoa não estão abrangidos pela proteção que decorre do n.° 1 deste artigo pelo simples facto de o titular dos dados ter tornado público um dado pessoal relacionado com a sua orientação sexual.

82 Por outro lado, o facto de uma pessoa ter manifestamente tornado público um dado relativo à sua orientação sexual não permite considerar que essa pessoa deu o seu consentimento, na aceção do artigo 9.°, n.° 2, alínea a), do RGPD, ao tratamento pelo operador de uma plataforma de rede social em linha de outros dados relativos à sua orientação sexual.

83 Tendo em conta o que precede, há que responder à quarta questão que o artigo 9.°, n.° 2, alínea e), do RGPD deve ser interpretado no sentido de que a circunstância de uma pessoa ter feito um comentário acerca da sua orientação sexual no âmbito de um painel de debate aberto ao público não permite que o operador de uma plataforma de rede social em linha trate outros dados relativos à orientação sexual dessa pessoa, obtidos, eventualmente, fora dessa plataforma a partir de aplicações e de sítios Internet de terceiros parceiros, com vista à sua agregação e análise, para que lhe seja apresentada publicidade personalizada.

Quanto às despesas

84 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Quarta Secção) declara:

1) O artigo 5.°, n.° 1, alínea c), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que:

o princípio da «minimização dos dados» nele previsto se opõe a que todos os dados pessoais que tenham sido obtidos por um responsável pelo tratamento, como o operador de uma plataforma de rede social em linha, junto do titular dos dados ou de terceiros e que tenham sido recolhidos tanto nessa plataforma como fora dela, sejam agregados, analisados e tratados sem restrições temporais e sem distinção em função da natureza desses dados, para efeitos de apresentação de publicidade direcionada.

2) O artigo 9.°, n.° 2, alínea e), do Regulamento 2016/679

deve ser interpretado no sentido de que:

a circunstância de uma pessoa ter feito um comentário acerca da sua orientação sexual no âmbito de um painel de debate aberto ao público não permite que o operador de uma plataforma de rede social em linha trate outros dados relativos à orientação sexual dessa pessoa, obtidos, eventualmente, fora dessa plataforma a partir de aplicações e de sítios Internet de terceiros parceiros, com vista à sua agregação e análise, para que lhe seja apresentada publicidade personalizada.

Assinaturas

* Língua do processo: alemão.