- El TJUE resolvió el 4 de octubre de 2024 (asunto C-446/21) que el principio de minimización de datos limita el uso publicitario de los datos personales.
- Conservar datos de forma ilimitada para publicidad dirigida es una injerencia desproporcionada.
- Que alguien haga pública una orientación sexual no autoriza a usar otros datos sensibles para publicidad.
El 4 de octubre de 2024 el Tribunal de Justicia de la Unión Europea dictó sentencia en el asunto C-446/21, una cuestión prejudicial planteada por el Tribunal Supremo de Austria en el litigio de un usuario contra Meta Platforms Ireland, la empresa que opera Facebook. El Tribunal responde que el principio de minimización del Reglamento General de Protección de Datos limita qué datos puede una red social utilizar para mostrar publicidad personalizada, y durante cuánto tiempo.
El demandante sostenía que Meta trataba, con fines publicitarios, datos sensibles obtenidos incluso fuera de Facebook, como sus ideas políticas o su orientación sexual, sin una base jurídica adecuada. La sentencia no solo afecta a una plataforma: fija una regla de interpretación del Reglamento que alcanza a cualquier empresa que use datos personales para marketing. Tampoco se limita a las redes sociales: el razonamiento del Tribunal parte de principios generales, aplicables a toda recogida y uso de datos.
Qué ha dicho el Tribunal
Según los análisis de la sentencia, el Tribunal declara que almacenar los datos de los usuarios de forma indefinida para publicidad dirigida es una injerencia desproporcionada en sus derechos. Añade que el uso indiscriminado de todos los datos personales que tiene una plataforma con fines publicitarios no es proporcionado, sea cual sea su sensibilidad, y que combinar la actividad dentro y fuera de la red resulta especialmente intrusivo.
El principio de minimización se aplica con independencia de la base jurídica: incluso quien ha consentido recibir publicidad personalizada no está dando permiso para un uso ilimitado en el tiempo o en el tipo de datos. Corresponde a los tribunales nacionales concretar los plazos y límites en cada caso, de modo que la sentencia fija el criterio, pero no una cifra única. Dicho de otro modo, la utilidad de una finalidad, como la publicidad, no justifica por sí sola tratar todo lo que se sabe de una persona.
Datos sensibles hechos públicos
El segundo punto se refiere a una persona que habló de su orientación sexual en una mesa redonda abierta al público, vídeo que luego se difundió en línea. El Tribunal admite que ese dato concreto puede haberse hecho público de forma manifiesta, pero advierte de que eso no autoriza a la plataforma a utilizar otros datos sobre esa materia, obtenidos fuera de la red, para dirigirle publicidad.
La idea de fondo es que el hecho de que una información sea accesible no la convierte en utilizable para cualquier finalidad. Esa lógica se aplica a los datos de categorías especiales, que el Reglamento protege de forma reforzada: salud, ideología, creencias, vida u orientación sexual, entre otros. Cada uso exige su propia base jurídica y su propio análisis de necesidad, y ni el consentimiento ni el carácter público del dato los sustituyen.
Qué conviene revisar en su empresa
Aunque la sentencia se refiere a una gran plataforma, su criterio es útil para cualquier negocio con una base de clientes. Conviene revisar durante cuánto tiempo se conservan los datos de clientes y de contactos comerciales, si existen plazos de supresión, y si realmente se usan todos los datos recogidos para cada finalidad de marketing o solo los necesarios.
También merece la pena comprobar si se cruzan datos de distintas fuentes, por ejemplo de la web, de tiendas físicas o de terceros, y si la información sobre ello que se da a los clientes es clara. Los datos de categorías especiales requieren especial prudencia. Una auditoría sencilla de datos y finalidades, con su asesor, ayuda a detectar riesgos antes de que los detecte una autoridad. Las autoridades de protección de datos aplican esta interpretación al valorar las campañas de marketing, y las sanciones del Reglamento pueden llegar a 20 millones de euros o al 4 % de la facturación mundial.
Tener datos no es lo mismo que poder usarlos siempre y para todo.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
