1.

La présente demande de décision préjudicielle a été adressée par l’Oberster Gerichtshof (Cour suprême, Autriche) dans le cadre d’un litige opposant M. Maximilian Schrems (ci-après le « demandeur »), un utilisateur du réseau social « Facebook », à Meta Platforms Ireland Limited, anciennement Facebook Ireland Limited (ci-après « Meta Platforms Ireland » ou la « défenderesse »), au sujet du traitement prétendument illicite, par cette société, de ses données à caractère personnel.

2.

Les questions préjudicielles posées dans le cadre de la présente affaire concernent, d’une part, l’application du principe de la « minimisation des données » prévu à l’article 5, paragraphe 1, sous c), du règlement (UE) 2016/679 ( 2 ) et, d’autre part, l’interprétation de la notion de « données à caractère personnel qui sont manifestement rendues publiques par la personne concernée » visée à l’article 9, paragraphe 2, sous e), de ce règlement, lue en combinaison avec l’article 5, paragraphe 1, sous b), dudit règlement, qui introduit le principe de la « limitation des finalités ». En substance, la juridiction de renvoi demande, d’une part, si le principe de la minimisation des données permet de traiter des données à caractère personnel sans limitation dans le temps ou en fonction de la nature des données et, d’autre part, si les propos d’une personne, relatifs à sa propre orientation sexuelle, tenus au cours d’une table ronde, autorisent le traitement d’autres données portant sur l’orientation sexuelle de cette personne aux fins de la publicité personnalisée.

3.

L’article 4 du RGPD, intitulé « Définitions », énonce, à son point 11 :

« Aux fins du présent règlement, on entend par :

[…]

4.

L’article 5 de ce règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit, à ses paragraphes 1 et 2 :

« 1. Les données à caractère personnel doivent être :

[…]

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

5.

L’article 6 dudit règlement, intitulé « Licéité du traitement », dispose, à ses paragraphes 1 et 3 :

« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[…]

Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.

[…]

3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

[…]

[…] Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi. »

6.

L’article 7 du même règlement, intitulé « Conditions applicables au consentement », est ainsi libellé :

« 1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.

[…]

3. La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.

4. Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. »

7.

L’article 9, paragraphes 1 et 2, du RGPD, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », énonce :

« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.

2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :

[…]

[…] »

8.

L’article 13 de ce règlement, relatif aux « [i]nformations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », prévoit, à son paragraphe 1 :

« Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

[…]

[…] »

9.

Meta Platforms Ireland, une société de droit irlandais, gère le réseau de communication fermé « Facebook » qui constitue, en substance, un réseau social en ligne de partage de contenus ( 3 ). Son modèle économique vise essentiellement à offrir des services de réseau social gratuits à ses utilisateurs privés et à vendre de la publicité en ligne, y compris de la publicité ciblée sur ses utilisateurs ( 4 ). Cette publicité repose principalement sur l’établissement automatisé de profils relativement détaillés des utilisateurs de ce réseau social ( 5 ).

10.

Au cours de l’année 2018, après l’entrée en vigueur du RGPD, Meta Platforms Ireland a présenté de nouvelles conditions d’utilisation de Facebook à ses utilisateurs dans l’Union européenne pour recueillir leur consentement, lequel est, par ailleurs, nécessaire pour pouvoir s’inscrire ou accéder aux comptes et aux services fournis par Facebook ( 6 ). Ces nouvelles conditions d’utilisation permettent également aux utilisateurs d’avoir un aperçu et un contrôle sur les données stockées ( 7 ).

11.

Le demandeur est un utilisateur de Facebook qui a accepté les nouvelles conditions d’utilisation soumises par Facebook. Ainsi qu’il ressort de la décision de renvoi, il a publiquement fait état de son homosexualité, mais il n’aurait jamais mentionné son orientation sexuelle et n’aurait publié aucune donnée sensible sur son profil Facebook ( 8 ). Le demandeur n’aurait pas non plus autorisé la défenderesse à utiliser, aux fins de la publicité ciblée, les champs de son profil portant sur sa situation amoureuse, son employeur, son emploi ou sa formation.

12.

Cependant, le demandeur aurait reçu une publicité pour une femme politique, et cette publicité lui a été adressée sur la base d’une analyse selon laquelle il ressemblait à d’autres « clients » qui avaient attribué la mention « j’aime » à celle-ci ; il aurait régulièrement reçu des publicités visant des personnes homosexuelles et des invitations à des événements correspondants, alors même qu’il ne s’était auparavant jamais intéressé à ces événements et qu’il ne connaissait même pas les lieux dans lesquels ceux-ci se déroulaient. Ces publicités ou ces invitations ne seraient pas directement fondées sur l’orientation sexuelle du demandeur et de ses« amis » sur le réseau social, mais sur une analyse de leurs centres d’intérêt ( 9 ). Par ailleurs, Meta Platforms Ireland enregistrerait toutes les données concernant le demandeur, y compris celles obtenues par l’intermédiaire de tiers ou de plugins, pour les conserver pendant une durée indéterminée.

13.

C’est dans ces conditions que le demandeur a formé, devant le Landesgericht für Zivilsachen Wien (tribunal régional des affaires civiles de Vienne, Autriche), un recours en exécution, en constatation et en cessation visant le traitement prétendument illicite de ses données à caractère personnel par Meta Platforms Ireland ( 10 ).

14.

Par la suite, à l’occasion d’une table ronde, organisée par la représentation de la Commission européenne à Vienne (Autriche) ( 11 ) et qui s’est tenue le 12 février 2019, le demandeur a mentionné son orientation sexuelle lors d’une intervention qui visait à dénoncer le traitement prétendument illégal, par Meta Platforms Ireland, de données relatives à cette orientation sexuelle ( 12 ).

15.

Son recours ayant été rejeté, en première instance, par jugement du 30 juin 2020 et, en appel, par l’Oberlandesgericht Wien (tribunal régional supérieure de Vienne, Autriche), par un arrêt du 7 décembre 2020 ( 13 ), le demandeur a formé un pourvoi en Revision devant l’Oberster Gerichtshof (Cour suprême), la juridiction de renvoi.

16.

Dans ce contexte, l’Oberster Gerichtshof (Cour suprême) a décidé de surseoir à statuer et d’adresser à la Cour quatre questions préjudicielles ( 14 ). Les première et troisième questions préjudicielles ayant été retirées à la suite de l’arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) ( 15 ), la présente affaire a pour objet les deuxième et quatrième questions, qui sont formulées dans les termes suivants :

17.

Des observations écrites ont été déposées par le requérant, Meta Platforms Ireland, les gouvernements autrichien, français, italien et portugais, ainsi que par la Commission. Des observations orales ont été présentées par le requérant, Meta Platforms Ireland, le gouvernement autrichien, ainsi que par la Commission lors de l’audience de plaidoiries qui s’est tenue le 8 février 2024.

18.

Par sa deuxième question préjudicielle, la juridiction de renvoi demande, en substance, si l’article 5, paragraphe 1, sous c), du RGPD, consacrant le principe de la minimisation des données, doit être interprété en ce sens que toutes les données personnelles dont dispose un réseau tel que Facebook, notamment par l’intermédiaire de la personne concernée ou de tiers sur et en dehors de cette plateforme, peuvent être agrégées, analysées et traitées à des fins de publicité ciblée, sans limitation dans le temps ou en fonction de la nature des données.

19.

À titre liminaire, il importe de rappeler que tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs au traitement des données énoncés à l’article 5 du RGPD et, d’autre part, répondre à l’une des conditions relatives à la licéité du traitement, énumérées à l’article 6 de ce règlement ( 16 ).

20.

S’agissant, plus particulièrement, des principes relatifs au traitement des données à caractère personnel, la Cour a notamment précisé que le principe de la minimisation des données figurant à l’article 5, paragraphe 1, sous c), du RGPD prévoit que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, ce qui traduit, en substance, le principe de proportionnalité ( 17 ). Ainsi, le principe de la minimisation des données vise à minimiser les limitations au droit à la protection des données à caractère personnel occasionnées par le traitement en question.

21.

En l’espèce, il me paraît évident que l’absence éventuelle de toute limitation, telle que supposée par la juridiction de renvoi, serait, par définition, contraire à l’application du principe de la minimisation des données. Or, il ne ressort du dossier soumis à la Cour aucun élément qui puisse confirmer ou exclure une telle supposition, qui relève, en tout état de cause, de l’appréciation de la juridiction de renvoi. Je tâcherai néanmoins de fournir à cette juridiction quelques indications utiles quant à l’interprétation de la disposition examinée, qui pourront lui permettre de statuer sur l’affaire pendante devant elle.

22.

S’agissant, d’une part, de la limitation du traitement des données à caractère personnel dans le temps, j’estime que, en l’absence d’une disposition spécifique à cet égard dans le RGPD, le juge de l’Union ne saurait fixer, de manière impérative, une période limite pour la conservation de ces données. Par ailleurs, la Cour a jugé que même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible notamment avec l’article 5, paragraphe 1, sous c) à e), du RGPD lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées ( 18 ). Il appartient donc à la juridiction de renvoi d’apprécier, compte tenu des circonstances de l’espèce et en faisant application du principe de proportionnalité ( 19 ), dans quelle mesure la période de conservation de données à caractère personnel par Meta Platforms Ireland est justifiée par rapport à l’objectif légitime de traitement de ces données aux fins de la publicité personnalisée.

23.

S’agissant, d’autre part, de la limitation du traitement des données à caractère personnel en fonction de la nature des données, il appartient également à la juridiction de renvoi de déterminer, dans les circonstances de l’espèce, les données à caractère personnel dont le traitement peut être considéré comme légitime, dans le respect du principe de proportionnalité.

24.

D’ailleurs, les références, dans le libellé de l’article 5, paragraphe 1, sous c), du RGPD, à des conditions très génériques, telles que l’« adéquation », la « pertinence » et la « nécessité », démontrent, à mon avis, que le législateur de l’Union a entendu laisser une large marge d’appréciation aux autorités compétentes dans l’application de cette disposition, ces conditions ne pouvant être interprétées qu’au cas par cas, compte tenu des circonstances de l’espèce.

25.

Cela étant précisé, j’estime, ainsi que la Commission le fait remarquer dans ses observations écrites, que certaines distinctions peuvent être établies en fonction du degré d’ingérence que présentent les diverses formes de traitement dans les droits de la personne concernée. La juridiction de renvoi pourrait donc, lorsqu’elle l’estime approprié, d’une part, effectuer une distinction entre l’utilisation de données « statiques » de la personne concernée (telles que l’âge ( 20 ) ou le sexe) et l’utilisation de données « comportementales » (telles que le suivi des habitudes de navigation des utilisateurs), cette dernière utilisation étant, en règle générale, plus intrusive quant aux droits de la personne concernée. En ce qui concerne, plus particulièrement, les données « comportementales », une distinction ultérieure pourrait être effectuée entre la collecte de données qui portent sur un comportement « actif » (tel que l’action de cliquer sur le bouton « j’aime ») et la collecte de données qui portent sur un comportement « passif » (tel que la simple visite d’un site Internet), cette dernière étant normalement plus intrusive pour l’utilisateur. D’autre part, une distinction pourrait être également effectuée entre le traitement des données à caractère personnel collectées sur la plateforme Facebook et en dehors de celle-ci, à savoir sur des pages Internet, des applications autres que Facebook ou sur les appareils des utilisateurs, ce dernier étant plus intrusif que le premier ( 21 ).

26.

Dans le cadre de cette analyse, il est également important, selon moi, de tenir compte des attentes raisonnables des personnes concernées ( 22 ).

27.

Par ailleurs, dans une situation telle que celle existant avant l’entrée en vigueur du RGPD, où le traitement des données collectées en dehors de la plateforme Facebook se fondait non pas sur le consentement mais plutôt sur le caractère nécessaire du traitement à l’exécution du contrat en vertu de l’article 6, paragraphe 1, sous b), de ce règlement ( 23 ), il convient de tenir compte de l’interprétation stricte que la Cour a donnée de cette disposition ( 24 ). Il est par conséquent important, ainsi que le souligne le gouvernement italien dans ses observations écrites, d’éviter qu’une interprétation large du principe de la minimisation des données au titre de l’article 5 dudit règlement puisse permettre aux responsables du traitement d’étendre les catégories de données à caractère personnel considérées comme nécessaires à l’exécution du contrat au titre de l’article 6, paragraphe 1, sous b), du même règlement.

28.

Compte tenu de ce qui précède, je propose de répondre à la deuxième question préjudicielle que l’article 5, paragraphe 1, sous c), du RGPD doit être interprété en ce sens qu’il s’oppose à ce que des données à caractère personnel puissent être traitées à des fins de publicité ciblée sans limitation dans le temps ou en fonction de la nature des données et qu’il appartient à la juridiction de renvoi d’apprécier, compte tenu des circonstances de l’espèce et en faisant application du principe de proportionnalité, dans quelle mesure la période de conservation des données et la quantité de données traitées sont justifiées par rapport à l’objectif légitime de traitement de ces données aux fins de la publicité personnalisée.

29.

Par sa quatrième question préjudicielle, la juridiction de renvoi demande, en substance, si les dispositions combinées de l’article 5, paragraphe 1, sous b), et de l’article 9, paragraphe 2, sous e), du RGPD doivent être interprétées en ce sens que la circonstance selon laquelle une personne se soit exprimée sur son orientation sexuelle dans le cadre d’une table ronde permet le traitement par Meta Platforms Ireland d’autres données relatives à son orientation sexuelle aux fins de lui proposer de la publicité personnalisée. De façon plus générale, cette juridiction s’interroge sur la portée de cette dernière disposition et soulève, plus précisément, la question de savoir de quelle manière le public doit avoir obtenu les données sensibles de cette personne pour que l’article 9, paragraphe 2, du RGPD soit applicable.

30.

Meta Platforms Ireland a précisé, dans ses observations écrites et orales, sans que les autres parties le contestent lors de l’audience, que, au cours de la procédure devant les juridictions nationales, elle n’a à aucun moment invoqué l’exception prévue à l’article 9, paragraphe 2, sous e), du RGPD comme base juridique du traitement des données en cause ( 25 ).

31.

Or, dans un tel cas de figure, la quatrième question préjudicielle apparaîtrait clairement dénuée de pertinence, dès lors que cette exception ne serait pas applicable dans la présente affaire ( 26 ).

32.

Cela étant, il convient de rappeler que, selon une jurisprudence constante de la Cour, dans le cadre de la procédure prévue à l’article 267 TFUE, fondée sur une nette séparation des fonctions entre les juridictions nationales et la Cour, les questions relatives à l’interprétation du droit de l’Union posées par le juge national dans le cadre réglementaire et factuel qu’il définit sous sa propre responsabilité ( 27 ), et dont il n’appartient pas à la Cour de vérifier l’exactitude, bénéficient d’une présomption de pertinence ( 28 ).

33.

Partant, dans les points suivants, je proposerai une réponse à la quatrième question préjudicielle posée par la juridiction de renvoi, sans préjudice de la décision de la Cour quant à la pertinence de cette question.

34.

À titre liminaire, je rappelle que, conformément à l’article 5, paragraphe 1, sous b), du RGPD, qui consacre le principe de la limitation des finalités, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne doivent pas être traitées ultérieurement d’une manière incompatible avec ces finalités. Aux termes de l’article 9, paragraphe 1, de ce règlement, le traitement des données à caractère personnel concernant, notamment, la vie sexuelle ou l’orientation sexuelle d’une personne physique est interdit, sauf si un tel traitement entre dans le champ d’application d’une des exceptions prévues à l’article 9, paragraphe 2, dudit règlement ( 29 ).

35.

Plus particulièrement, en vertu de l’article 9, paragraphe 2, sous e), du RGPD, l’interdiction du traitement de données à caractère personnel sensibles ne s’applique pas si le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée. Ainsi que je l’ai fait remarquer dans mes conclusions dans l’affaire Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) ( 30 ), l’emploi, dans le libellé de cette disposition, de l’adverbe « manifestement » et le fait que cette disposition constitue une exception au principe d’interdiction générale du traitement des données à caractère personnel sensibles imposent une application particulièrement stricte de cette exception, en raison des risques importants pesant sur les droits fondamentaux et les libertés fondamentales des personnes concernées ( 31 ). Pour que ladite exception puisse s’appliquer, l’utilisateur doit avoir, à mon sens, pleinement conscience que, par un acte explicite, il rend des données à caractère personnel le concernant accessibles à quiconque ( 32 ).

36.

Dans l’affaire au principal, les données sensibles relatives à l’orientation sexuelle du demandeur ont été divulguées, en dehors de la plateforme Facebook (« hors site ») et de toute autre plateforme ou application informatique, dans le cadre d’une table ronde organisée par la Commission ( 33 ) et dans le but de dénoncer le traitement prétendument illicite par Meta Platforms Ireland de données relatives à cette orientation sexuelle ( 34 ).

37.

À cet égard, la Cour a déjà eu l’occasion de se prononcer sur l’utilisation de données « hors site », dans le cadre d’autres plateformes, dans l’arrêt Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) ( 35 ). À cette occasion, la Cour a dit pour droit que l’article 9, paragraphe 2, sous e), du RGPD doit être interprété en ce sens que, lorsqu’un utilisateur d’un réseau social en ligne consulte des sites Internet ou des applications en lien avec une ou plusieurs des catégories de données visées à l’article 9, paragraphe 1, du RGPD, il ne rend pas manifestement publiques, au sens de la première de ces dispositions, les données relatives à cette consultation, collectées par l’opérateur de ce réseau social en ligne à travers des « cookies » ou des technologies d’enregistrement similaires et que, lorsqu’il insère des données dans de tels sites Internet ou dans de telles applications ou lorsqu’il active des boutons de sélection intégrés à ces sites et à ces applications, tels que les boutons « j’aime » ou « partager » ou les boutons permettant à l’utilisateur de s’identifier sur ces sites ou ces applications en utilisant les identifiants de connexion liés à son compte d’utilisateur du réseau social, son numéro de téléphone ou son adresse électronique, un tel utilisateur ne rend pas manifestement publiques, au sens de cet article 9, paragraphe 2, sous e), du RGPD, les données ainsi insérées ou résultant de l’activation de ces boutons à moins qu’il ait explicitement exprimé son choix au préalable, le cas échéant sur la base d’un paramétrage individuel, effectué en toute connaissance de cause, de rendre les données le concernant publiquement accessibles à un nombre illimité de personnes ( 36 ).

38.

Cela étant, la juridiction de renvoi a estimé nécessaire de maintenir sa quatrième question préjudicielle au motif que les actes examinés par la Cour dans cette dernière affaire avaient trait à la consultation de sites Internet ou d’applications ainsi qu’à l’activation de boutons qui y sont intégrés, alors que, en l’occurrence, il s’agit d’une déclaration effectuée par la personne concernée sur son orientation sexuelle à l’occasion d’une table ronde. À cet égard, cette juridiction considère que l’on ne saurait déduire d’une telle déclaration un consentement au sens dudit article 9, paragraphe 2, sous e), du RGPD.

39.

À cet égard, il me semble opportun d’opérer une distinction entre, d’une part, la question préalable de savoir si la déclaration du demandeur sur son orientation sexuelle constitue un acte par lequel celui-ci rend manifestement publique cette orientation au sens de l’article 9, paragraphe 2, sous e), du RGPD et, d’autre part, en cas de réponse affirmative à cette question, celle de savoir si le fait d’avoir rendu manifestement publique son orientation sexuelle autorise le traitement de données relatives à cette orientation sexuelle aux fins de la publicité personnalisée au sens, notamment, des articles 5 et 6 de ce règlement.

40.

S’agissant, en premier lieu, de la qualification que doit revêtir la déclaration du requérant au sens de l’article 9, paragraphe 2, sous a), du RGPD, en l’absence d’indications utiles qui ressortiraient de la genèse de cette disposition et de son application jurisprudentielle ( 37 ), je relève que l’exception inscrite à l’article 9, paragraphe 2, sous e), de ce règlement requiert, en substance, que deux conditions soient cumulativement réunies, à savoir d’une part, une condition« objective » selon laquelle les données à caractère personnel en question doivent être « manifestement rendues publiques » et, d’autre part, une condition « subjective » selon laquelle c’est la « personne concernée » qui doit rendre ces données manifestement publiques.

41.

Dans l’affaire au principal, et sous réserve des vérifications incombant à la juridiction de renvoi, il me semble que ces deux conditions sont réunies. En effet, bien que divulguée de façon incidente dans le cadre d’un discours plus large et critique par rapport au traitement des données sensibles de la part de Meta Platforms Ireland, j’estime que la déclaration faite par le requérant constitue un acte par lequel, en toute connaissance de cause, celui-ci rend manifestement publique son orientation sexuelle.

42.

Pour ce qui est de la première condition, il me semble fort probable que, compte tenu du caractère ouvert de la table ronde, diffusée en direct puis retransmise en streaming ( 38 ), ainsi que de l’intérêt du public pour le thème qui y était abordé, la déclaration du requérant ait pu atteindre un public indéfini, bien plus important que celui qui était présent en salle ( 39 ).

43.

Pour ce qui est de la seconde condition, il est, à mon avis, tout à fait possible de supposer que, en mentionnant ouvertement son orientation sexuelle dans les circonstances de l’espèce (notamment dans le cadre d’un événement ouvert et accessible à la presse), le requérant ait eu, sinon l’intention, du moins pleinement conscience de rendre cette orientation « manifestement publique » au sens de la jurisprudence citée au point 35 des présentes conclusions ( 40 ).

44.

D’ailleurs, l’objectif de la protection conférée par l’article 9, paragraphe 1, du RGPD est, à mon sens, d’éviter que la personne concernée soit exposée à des conséquences préjudiciables (telles que notamment l’opprobre public ou des actes discriminatoires) dérivant, notamment, d’une perception négative, d’un point de vue social ou économique, des situations qui y sont énumérées ( 41 ). Cette disposition prévoit donc une protection particulière de ces données personnelles à travers une interdiction de principe non absolue, dont l’application au cas d’espèce est soumise à l’appréciation de la personne concernée, qui est la mieux placée pour apprécier les conséquences préjudiciables qui pourraient découler de la divulgation des données en question et qui peut, le cas échéant, renoncer à cette protection ou ne pas s’en prévaloir, en toute connaissance de cause, en rendant manifestement publique, au sens de l’article 9, paragraphe 2, sous e), de ce règlement, sa situation, et notamment son orientation sexuelle.

45.

S’agissant, en second lieu, de l’examen des conséquences, découlant du fait d’avoir manifestement rendue publique son orientation sexuelle, sur le plan du traitement de ces données sensibles par Meta Platforms Ireland au sens des articles 5 et 6 du RGPD, j’estime que le fait de rendre manifestement publiques des données au sens de l’article 9, paragraphe 2, sous e), de ce règlement ne permet pas, à lui seul, d’effectuer un traitement de ces données au sens dudit règlement.

46.

En effet, l’application de cette dernière disposition a simplement pour conséquence de lever la « protection spéciale » conférée à certaines données à caractère personnel particulièrement sensibles. Une fois cette protection sciemment écartée par la personne concernée elle-même (qui les a manifestement rendues publiques), ces données à caractère personnel, à l’origine « protégées », deviennent des données « ordinaires » (à savoir non sensibles) qui, comme toutes autres données à caractère personnel, ne peuvent faire l’objet d’un traitement licite que dans les conditions prévues notamment aux articles 6 et 7 du RGPD et dans le respect des principes consacrés notamment à l’article 5 de ce règlement ( 42 ), y compris du principe de la limitation des finalités inscrit à l’article 5, paragraphe 1, sous b), dudit règlement, qui impose que les données à caractère personnel soient collectées pour des finalités déterminées, explicites et légitimes, ce qu’il incombe au responsable du traitement de démontrer, en vertu du paragraphe 2 de la disposition en question ( 43 ).

47.

Partant, le fait que le demandeur se soit exprimé sur son orientation sexuelle dans le cadre d’une table ronde, bien que cela puisse conduire à la conclusion que, dans les circonstances de l’espèce, cette personne a « manifestement rendues publiques » ces données au sens de l’article 9, paragraphe 2, sous e), du RGPD, ne peut pas, en soi, justifier le traitement de données personnelles qui révèlent l’orientation sexuelle de cette personne ( 44 ).

48.

Compte tenu de ce qui précède, je propose de répondre à la quatrième question préjudicielle que les dispositions combinées de l’article 5, paragraphe 1, sous b), et de l’article 9, paragraphe 2, sous e), du RGPD doivent être interprétées en ce sens que le fait de s’être exprimé sur sa propre orientation sexuelle pour les besoins d’une table ronde ouverte au public, tout en étant susceptible de constituer un acte par lequel l’intéressé a « manifestement rendues publiques » cette donnée au sens de l’article 9, paragraphe 2, sous e), de ce règlement, n’autorise pas, en soi, le traitement desdites données ou d’autres données relatives à l’orientation sexuelle de cette personne en vue de l’agrégation et de l’analyse des données à des fins de publicité personnalisée.

49.

Au vu des considérations qui précèdent, je propose à la Cour de répondre aux deuxième et quatrième questions préjudicielles posées par l’Oberster Gerichtshof (Cour suprême, Autriche) de la manière suivante :