Corte di Giustizia UE: i principi di minimizzazione nella profilazione pubblicitaria

1. Il fatto

   Secondo quanto riportato dalla stampa di settore, la controversia trae origine dall'azione giudiziaria promossa dall'attivista Maximilian Schrems contro Meta Platforms Ireland Ltd. Schrems lamentava che Meta utilizzasse sistematicamente ogni dato personale raccolto, sia all'interno sia all'esterno della piattaforma Facebook, per l'invio di pubblicità mirata, includendovi informazioni sensibili relative al proprio orientamento sessuale. Tali informazioni erano state rese pubbliche dallo stesso Schrems nel corso di una tavola rotonda; tuttavia, l'interessato contestava che tale circostanza attribuisse alla piattaforma il diritto di trattarle illimitatamente per finalità di targeting. La vicenda è giunta all'esame della Corte di Giustizia UE a seguito del rinvio pregiudiziale disposto dalla Corte Suprema austriaca. I giudici europei sono stati chiamati a chiarire se il GDPR consenta a un titolare del trattamento di aggregare dati senza limiti di tempo né di natura per scopi commerciali.

2. 

   Le norme in gioco

   1. Articolo 5 del GDPR: sancisce il principio di minimizzazione, obbligando i titolari a trattare esclusivamente dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite.
   2. Articolo 9 del GDPR: vieta il trattamento delle categorie particolari di dati salvo eccezioni tassative, tra cui la manifesta pubblicazione da parte dell'interessato, la quale deve tuttavia essere oggetto di interpretazione restrittiva.
   3. Articolo 83 del GDPR: stabilisce che le violazioni di tali principi possono comportare sanzioni amministrative pecuniarie fino al 4% del fatturato mondiale totale annuo dell'impresa.

3. Cosa dice la giurisprudenza

   La giurisprudenza europea ha consolidato un orientamento rigoroso a tutela della riservatezza digitale. I giudici hanno chiarito che il principio di minimizzazione osta a che una piattaforma social conservi e utilizzi tutti i dati personali raccolti per scopi pubblicitari, senza alcuna distinzione di natura o limiti temporali. Secondo l'orientamento espresso, la circostanza che un utente renda pubblico un dato sensibile non autorizza il titolare a reimpiegarlo in contesti differenti o per una durata eccedente la finalità originaria. La giurisprudenza ha altresì ribadito che l'onere della prova circa la necessità del trattamento grava interamente sul titolare, il quale deve dimostrare che ciascun dato trattato sia strettamente indispensabile per il servizio offerto.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Implementare procedure di data retention che prevedano la cancellazione automatica dei dati di profilazione al decorso di un termine prestabilito.
   2. Separare sul piano tecnico i flussi di dati ordinari da quelli suscettibili di rivelare orientamenti personali o dettagli sullo stato di salute, ancorché tratti da fonti accessibili al pubblico.
   3. Raccomandare ai titolari del trattamento la redazione di una specifica valutazione d'impatto sulla protezione dei dati (DPIA) per ciascuna campagna pubblicitaria che impieghi dati aggregati provenienti da fonti terze.

Riferimenti: Regolamento UE 2016/679 (GDPR) Art. 5Regolamento UE 2016/679 (GDPR) Art. 9Regolamento UE 2016/679 (GDPR) Art. 82Regolamento UE 2016/679 (GDPR) Art. 83

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 15 ottobre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica