
SOMMARIO: 1. Massima. 2. Antefatto della causa. 3. Le motivazioni della pronuncia della Corte di giustizia.
Massima
GDPR e trasporto ferroviario: l’identità di genere del cliente non è un’informazione essenziale per l’acquisto di un biglietto, soprattutto quando è finalizzata unicamente a personalizzare le comunicazioni commerciali.
Antefatto della causa
L’associazione Mousse ha presentato una denuncia all’autorità francese per la protezione dei dati personali, la Commission nationale de l’informatique et des libertés (CNIL), contestando la prassi dell’impresa ferroviaria SNCF Connect, che obbliga i clienti ad indicare il proprio appellativo (“Signore” o “Signora”) durante l’acquisto online di biglietti. Secondo l’associazione, questa pratica viola il Regolamento generale sulla protezione dei dati (GDPR), specificamente il principio di minimizzazione dei dati, poiché l’indicazione dell’appellativo, strettamente legata all’identità di genere, non sarebbe necessaria per l’acquisto del servizio di trasporto. Inoltre, l’associazione Mousse ha evidenziato che tale raccolta potrebbe risultare contraria ai principi di liceità, trasparenza e informazione sanciti dall’articolo 13 del GDPR.
Con una decisione del 23 marzo 2021, la CNIL ha stabilito che il trattamento dei dati era conforme al GDPR. La raccolta dell’appellativo è stata ritenuta lecita in quanto necessaria per l’esecuzione del contratto di fornitura del servizio di trasporto, come previsto dall’articolo 6, paragrafo 1, lettera b) del GDPR. La CNIL ha inoltre valutato che la pratica rispettava il principio di minimizzazione dei dati.
Non condividendo tale decisione, il 21 maggio 2021 l’associazione Mousse ha proposto un ricorso dinanzi al Conseil d’État (Consiglio di Stato, Francia) per chiedere l’annullamento della decisione della CNIL. Mousse ha sostenuto che l’obbligo di indicare l’appellativo non solo non era essenziale per l’esecuzione del contratto, ma poteva anche violare il diritto alla privacy e creare un rischio di discriminazione basata sull’identità di genere.
In questo contesto, il Conseil d’État, giudice del rinvio, ha sollevato una questione pregiudiziale dinanzi alla Corte di giustizia. Il giudice del rinvio si è chiesto, in particolare, se la raccolta dell’appellativo, limitata ai termini “Signore” e “Signora”, potesse essere considerata necessaria al fine di consentire una comunicazione personalizzata con i clienti, tenendo conto degli usi generalmente ammessi nelle comunicazioni commerciali e amministrative. Inoltre, si è interrogato sulla rilevanza del diritto dei clienti di opporsi successivamente all’utilizzo di tali dati, come previsto dall’articolo 21 del GDPR.
La decisione
La Corte di giustizia ha affrontato il tema del trattamento dei dati personali in relazione al principio di minimizzazione dei dati e alla necessità di tale trattamento per specifiche finalità previste dal GDPR. Tale principio, espressione del principio di proporzionalità, impone che i dati raccolti siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
La Corte di giustizia ha ricordato che l’articolo 6 del GDPR prevede un elenco esaustivo di circostanze in cui il trattamento dei dati personali può essere considerato lecito. Con riguardo alla (1) necessità per l’esecuzione di un contratto, nella misura in cui il trattamento deve essere oggettivamente indispensabile per consentire la corretta esecuzione del contratto. Nel caso di specie, l’uso dei dati per personalizzare comunicazioni commerciali basate su una presunta identità di genere non risulta oggettivamente indispensabile per la corretta esecuzione di un contratto di trasporto ferroviario. La Corte di giustizia ha suggerito che una comunicazione basata su formule generiche e inclusive sarebbe una soluzione meno invasiva e comunque adeguata. La personalizzazione fondata sull’identità di genere non è essenziale per fornire il servizio principale, ossia il trasporto ferroviario, che implica comunicazioni strettamente legate alla trasmissione di biglietti, eventuali modifiche al viaggio e l’assistenza post-vendita. Per quanto attiene al (2) legittimo interesse del titolare del trattamento o di terzi, tale trattamento deve soddisfare tre condizioni. Innanzitutto, il titolare del trattamento deve indicare chiaramente gli interessi perseguiti. Ad esempio, la personalizzazione della pubblicità potrebbe rientrare nella prospezione commerciale. Inoltre, la necessità del trattamento deve essere valutata alla luce del principio di minimizzazione dei dati. Nel caso specifico, il trattamento del nome e del cognome appare sufficiente, rendendo superfluo l’uso di informazioni legate al titolo o all’identità di genere. Infine, spetta al giudice nazionale verificare se il trattamento in questione comporti un rischio di discriminazione, in particolare sulla base dell’identità di genere. A al proposito, la Corte di giustizia ha richiamato la Direttiva 2004/113/CE del Consiglio, del 13 dicembre 2004, che attua il principio della parità di trattamento tra uomini e donne per quanto riguarda l’accesso a beni e servizi e la loro fornitura (GU 2004, L 373, pag. 37) e che mira a prevenire qualsiasi forma di discriminazione, anche derivante da cambiamenti nell’identità di genere.
La Corte di giustizia ha inoltre sottolineato che il titolare del trattamento deve considerare alternative praticabili e meno invasive per raggiungere i propri obiettivi. Nel caso di specie, l’adozione di formule di cortesia generiche e inclusive rappresenta un mezzo efficace per rispettare il principio di minimizzazione dei dati. Per di più, l’eventuale esistenza di un diritto di opposizione, ai sensi dell’articolo 21 del GDPR, presuppone che il trattamento sia già considerato lecito. Tuttavia, la sua liceità dipende dalla dimostrazione della stretta necessità per il legittimo interesse perseguito. Pertanto, l’esistenza di un diritto di opposizione non influisce sulla valutazione preliminare della necessità e proporzionalità del trattamento.
Conclusioni
Alla luce delle considerazioni precedenti, la Corte di giustizia ha concluso che il trattamento dei dati personali relativi all’identità di genere dei clienti, finalizzato alla personalizzazione delle comunicazioni commerciali, non può essere considerato necessario quando il legittimo interesse perseguito non è stato chiaramente indicato al momento della raccolta dei dati, il trattamento non è strettamente necessario per conseguire tale interesse e i diritti e le libertà fondamentali dei clienti rischiano di prevalere sull’interesse legittimo perseguito, in particolare a causa di possibili discriminazioni.
Pertanto, i titolari del trattamento devono adottare misure rispettose dei diritti fondamentali, garantendo trasparenza e minimizzazione nel trattamento dei dati personali.