TSUE: Tożsamość płciowa klienta nie należy do danych niezbędnych do zakupu biletu

Zbieranie danych dotyczących form grzecznościowych odnoszących się do klientów nie jest obiektywnie konieczne, zwłaszcza gdy ma ono na celu personalizację komunikacji handlowej - uznał Trybunał Sprawiedliwości Unii Europejskiej.

Stowarzyszenie Mousse zaskarżyło przed francuskim organem ochrony danych osobowych (CNIL) praktykę francuskiego przedsiębiorstwa kolejowego SNCF Connect, które w sposób systematyczny zobowiązuje swoich klientów do wskazywania odnoszącej się do nich formy grzecznościowej ("Pan" lub "Pani") podczas zakupu internetowego biletu na przejazd. Stowarzyszenie to ocenia, że obowiązek ów narusza ogólne rozporządzenie o ochronie danych (RODO), między innymi w świetle zasady minimalizacji danych. Wskazanie formy grzecznościowej, która odpowiada tożsamości płciowej nie wydaje się konieczne do zakupu biletu na przejazd koleją.

W 2021 r. CNIL odrzucił wspomnianą skargę, uznawszy, iż praktyka ta nie stanowi naruszenia RODO. Mousse, nie zgodzając się z tą decyzją, zwróciło się do Conseil d État o stwierdzenie jej nieważności. Rada stanu zwróciła się do Trybunału Sprawiedliwości z pytaniem w szczególności o to, czy zbieranie danych dotyczących form grzecznościowych odnoszących się do klientów, ograniczonych do wskazań "Pan" i "Pani", można uznać za zgodne z prawem oraz, między innymi, z zasadą minimalizacji danych, jeżeli zbieranie to ma na celu spersonalizowanie komunikacji handlowej z owymi klientami, zgodnie ze zwyczajami powszechnie przyjętymi w tej dziedzinie.

Trybunał przypomniał, że zgodnie z zasadą minimalizacji danych, która jest wyrazem zasady proporcjonalności, zbierane dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.

Poza tym Trybunał przypomniał, że RODO przewiduje wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem: jest to m.in. przypadek, gdy jest ono

• niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub
  
• niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.

Co się tyczy pierwszego z tych dwóch uzasadnień, Trybunał przypomniał, że aby przetwarzanie danych można było uznać za niezbędne do wykonania umowy, musi ono być obiektywnie konieczne do prawidłowego wykonania tej umowy. W tym kontekście Trybunał stwierdził, że personalizacja komunikacji handlowej oparta na zakładanej tożsamości płciowej w zależności od formy grzecznościowej odnoszącej się do klienta nie wydaje się obiektywnie konieczna do prawidłowego wykonania umowy przewozu koleją. Przedsiębiorstwo kolejowe mogłoby bowiem zdecydować się na komunikację opartą na ogólnych zwrotach grzecznościowych, inkluzywnych i bez korelacji z zakładaną tożsamością płciową klientów, co byłoby możliwym do zastosowania i mniej inwazyjnym rozwiązaniem.

Co się tyczy drugiego uzasadnienia, przypominając swoje utrwalone orzecznictwo w tej dziedzinie, Trybunał wyjaśnił, że przetwarzania danych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie można uznać za niezbędne, jeżeli o realizowanym prawnie uzasadnionym interesie nie poinformowano klientów w momencie zbierania tych danych, jeśli rzeczonego przetwarzania nie dokonano w granicach tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu lub jeżeli w świetle wszystkich istotnych okoliczności prawa podstawowe i wolności wspomnianych klientów mogą mieć nadrzędny charakter wobec rzeczonego prawnie uzasadnionego interesu, między innymi z uwagi na ryzyko dyskryminacji ze względu na tożsamość płciową.