El artículo 9 del Reglamento General de Protección de Datos (RGPD) prohíbe, como norma general, el tratamiento de datos personales que revelen información especialmente sensible, como origen étnico, opiniones políticas, creencias religiosas, salud u orientación sexual, a menos que se cumpla alguna de las excepciones previstas. Una de ellas es la contenida en el artículo 9.2.e), que permite su tratamiento cuando estos datos han sido hechos manifiestamente públicos por el propio interesado.
En el caso de Maximilian Schrems vs. Meta Platforms Ireland, se analizó si Meta podía tratar datos sensibles sobre la orientación sexual basándose en esta excepción. Los hechos indican que Schrems había mencionado públicamente su orientación sexual durante una mesa redonda en Viena el 12 de febrero de 2019, organizada por la Representación de la Comisión Europea en Austria. En ese evento, criticó el uso que Facebook hacía de los datos personales, incluida su propia información. Sin embargo, como indicó el propio Schrems, nunca publicó ese dato en su perfil de Facebook, lo que plantea una cuestión crucial: ¿pueden considerarse estos datos «hechos manifiestamente públicos» en el sentido del RGPD?
La interpretación del Abogado General
El Abogado General señaló que, aunque los datos sensibles hechos públicos por el interesado pierdan su protección especial, esto no significa que puedan ser tratados para cualquier fin. La excepción del artículo 9.2.e) permite su uso sin la protección reforzada, pero el tratamiento sigue sujeto a las disposiciones del RGPD, como la necesidad de una base legal para su utilización y el cumplimiento de los principios de licitud, transparencia y proporcionalidad.
El Abogado General también subrayó que el propósito original para el cual el interesado hace públicos estos datos no debe ser desvirtuado. En otras palabras, las empresas no pueden aprovecharse de esta información para fines distintos sin que exista una justificación adicional.
La posición del TJUE
El TJUE confirmó esta postura en su sentencia y añadió que los datos sensibles, aunque sean públicos, deben ser tratados con las mismas cautelas que los datos personales ordinarios. El Tribunal explicó que hacer públicos datos sensibles, como la orientación sexual, no implica que puedan ser utilizados para cualquier propósito sin restricciones. En particular, insistió en que estos datos solo pueden ser tratados de acuerdo con los principios establecidos en el artículo 5 del RGPD, que incluyen la limitación de la finalidad, la minimización de datos y la transparencia.
El TJUE también señaló que Meta no podía justificar el uso de estos datos sensibles para publicidad personalizada sin contar con el consentimiento explícito del usuario o una base legal adicional. Por ejemplo, si un usuario publica información sobre su orientación sexual con la finalidad de apoyar una causa social en su perfil, Meta no podría utilizar estos datos para mostrarle publicidad de servicios médicos o productos sin su autorización explícita.
Conclusión
La sentencia del TJUE establece un marco claro para el tratamiento de datos sensibles hechos manifiestamente públicos: aunque estos datos pierdan su protección especial, su tratamiento posterior sigue estando sujeto a los principios del RGPD. Las empresas deben asegurarse de respetar los fines originales y no usarlos para otros propósitos sin una base legal adecuada.