L’associazione Mousse ha contestato dinanzi all’autorità francese per la protezione dei dati personali (la CNIL) 1 la prassi dell’impresa ferroviaria francese SNCF Connect che obbliga sistematicamente i suoi clienti a indicare il loro appellativo («Signore» o «Signora») al momento dell’acquisto di titoli di trasporto online. Tale associazione ritiene che detto obbligo violi il regolamento generale sulla protezione dei dati (RGPD) 2, in particolare sotto il profilo del principio di minimizzazione dei dati, in quanto l’indicazione dell’appellativo, che corrisponde a un’identità di genere, non sembra essere necessaria per l’acquisto di un titolo di trasporto ferroviario. Nel 2021 la CNIL ha deciso di respingere tale reclamo, ritenendo che detta prassi non costituisse una violazione del RGPD.
Disapprovando tale decisione, la Mousse ha adito il Conseil d’État (Consiglio di Stato, Francia) per ottenerne l’annullamento. Il Conseil d’État (Consiglio di Stato) chiede alla Corte di giustizia, in particolare, se la raccolta dei dati relativi all’appellativo dei clienti, limitata ai termini «Signore» e «Signora», possa essere qualificata come lecita e conforme, in particolare, al principio di minimizzazione dei dati, quando tale raccolta sia diretta a consentire una comunicazione commerciale personalizzata nei confronti di tali clienti, conformemente agli usi comunemente ammessi in materia.
Dati raccolti devono essere adeguati
La Corte ricorda che, conformemente al principio di minimizzazione dei dati, che costituisce espressione del principio di proporzionalità, i dati raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
Inoltre, la Corte ricorda che il RGPD prevede un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito: ciò si verifica, in particolare, quando i) è necessario all’esecuzione di un contratto di cui l’interessato è parte, o ii) è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi 3.
Trattamento deve essere indispensabile
Per quanto riguarda la prima di queste due giustificazioni, la Corte ricorda che, affinché un trattamento di dati possa essere considerato necessario all’esecuzione di un contratto, tale trattamento deve essere oggettivamente indispensabile al fine di consentire la corretta esecuzione di tale contratto. In tale contesto, la Corte ritiene che una personalizzazione della comunicazione commerciale fondata su un’identità di genere presunta in funzione dell’appellativo del cliente non sembri essere oggettivamente indispensabile per consentire la corretta esecuzione di un contratto di trasporto ferroviario. Infatti, l’impresa ferroviaria potrebbe optare per una comunicazione basata su formule di cortesia generiche, inclusive e prive di correlazione con la presunta identità di genere dei clienti, il che costituirebbe una soluzione praticabile e meno invasiva.
Tutto nei limiti dello stretto necessario
Per quanto riguarda la seconda giustificazione, la Corte, pur richiamando la sua costante giurisprudenza in materia, relativo alla protezione delle persone fisiche precisa che il trattamento di dati relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non può essere considerato necessario (i) qualora il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati; (ii) qualora il trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse; oppure (iii) qualora, alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di tali clienti possano prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull’identità di genere.
