La raccolta sistematica della forma di indirizzo "signor" o "signora" da parte di un'azienda ferroviaria al momento dell'acquisto di biglietti online è compatibile con il Regolamento generale sulla protezione dei dati (GDPR) compatibile? Questa questione è stata affrontata dalla Corte di giustizia europea (CGUE) nella sentenza del 9 gennaio 2025 - e nel farlo, ha fatto riferimento principalmente al GDPR principio di ancoraggio di Minimizzazione dei dati concentrato.
„Signor“ o „Signora“ come dato obbligatorio al momento dell'acquisto del biglietto
L'associazione Mousse aveva presentato ricorso presso l'autorità francese per la protezione dei dati Commissione nazionale per l'informatica e le libertà (CNIL) a Reclamo contro la società ferroviaria francese SNCF Connect.
SNCF Connect vende online, tramite il proprio sito web e le proprie app, titoli di viaggio ferroviari quali biglietti, abbonamenti e tessere sconto. Al momento dell’acquisto online di tali titoli di viaggio tramite il sito web e le app, i clienti dell’azienda devono indicare il proprio titolo di cortesia selezionando „Signor“ o „Signora“.
Secondo l'associazione, quest'obbligo viola il diritto alla privacy. GDPRin particolare per quanto riguarda il principio di Minimizzazione dei dati. La forma di indirizzo corrispondente a un'identità di genere non dovrebbe essere un'indicazione necessaria per l'acquisto di un biglietto. Nel 2021, la CNIL ha respinto questa Reclamo in base al fatto che questa pratica non Violazione contro il GDPR rappresentare.
Mousse non era d’accordo con tale decisione e si è rivolta al Consiglio di Stato francese per ottenerne l’annullamento. Il Consiglio di Stato ha quindi sottoposto alla Corte di giustizia, in particolare, la questione se la raccolta di dati relativi al titolo dei clienti, limitata alle diciture „Signor“ o „Signora“, fosse legittima e, in particolare, conforme al principio di Minimizzazione dei dati può essere considerata compatibile se tale raccolta ha lo scopo di consentire una comunicazione commerciale personalizzata con tali clienti, in linea con le consuetudini generali del settore.
Suggerimento di lettura: L'EGC ordina alla Commissione UE di pagare i danni dovuti al login di Facebook
„La formula di saluto non è essenziale per l’adempimento del contratto"
Nella sentenza (C-394/23), la Corte di giustizia europea interpreta l'art. 6, par. 1, comma 1, lett. b e f, in combinato disposto con l'art. 5, par. 1, lett. c. GDPR che "il Elaborazione i dati personali relativi al saluto dei clienti di un vettore, che mira a personalizzare le comunicazioni commerciali sulla base della loro identità di genere, non appaiono oggettivamente indispensabili o essenziali per la corretta esecuzione di un contratto e pertanto non possono essere considerati necessari per l'esecuzione di tale contratto".
Perché secondo il principio di Minimizzazione dei dati nel GDPR può Dati personali essere trattati solo in misura appropriata, proporzionata e limitata a quanto necessario per lo scopo. La CGUE ha sottolineato che il GDPR un elenco esaustivo di giustificazioni per la Elaborazione dei dati personali. I seguenti sono particolarmente rilevanti Elaborazione per adempiere a un contratto o per proteggere i legittimi interessi del responsabile del trattamento o di una terza parte.
Il rischio di discriminazione prevale sull'interesse legittimo
Per quanto riguarda l’adempimento del contratto, la Corte ha stabilito che l’indicazione del titolo non è oggettivamente indispensabile per personalizzare la comunicazione commerciale. Per adempiere correttamente a un contratto di trasporto ferroviario, l’impresa potrebbe utilizzare formule di cortesia generiche che non facciano riferimento all’identità di genere dei clienti. Tali metodi di comunicazione alternativi sarebbero praticabili e interferirebbero in misura minore con i diritti delle persone interessate.
Per quanto riguarda l'interesse legittimo, la Corte ha sottolineato che la raccolta del saluto non è necessaria se i clienti non sono informati dello scopo della raccolta. Elaborazione sono informati o se il Elaborazione va oltre quanto necessario per raggiungere tale scopo. La Corte ha anche sottolineato che il rischio di discriminazione sulla base dell'identità di genere può svolgere un ruolo importante nella ponderazione degli interessi legittimi. Inoltre, la Elaborazione inammissibile se i diritti e le libertà fondamentali dell'interessato, in particolare a causa del rischio di discriminazione, prevalgono sul legittimo interesse dell'azienda.
Corte di giustizia europea: le aziende sono obbligate a ridurre al minimo i dati
Questa sentenza chiarisce che il Elaborazione dei dati personali deve soddisfare rigorosi requisiti legali. Il documento dimostra che, in casi simili, i tribunali nazionali e le autorità per la protezione dei dati hanno il dovere di prendere in considerazione soluzioni alternative che interferiscano meno con i diritti degli interessati e devono considerare più da vicino i principi di minimizzazione e proporzionalità dei dati.
Le aziende sono obbligate a prendere in considerazione soluzioni alternative e meno invasive, in particolare quando si tratta di Elaborazione dati sensibili come l'identità di genere.
I tribunali nazionali devono ora pronunciarsi sui casi concreti sulla base di questa sentenza, tenendo conto delle indicazioni della Corte di giustizia dell'Unione europea.
Fonte: Sentenza della Corte di giustizia dell’Unione europea del 9 gennaio 2025 (C‑394/23)
Avete bisogno di supporto per ottimizzare i vostri processi di protezione dei dati? Siamo a vostra disposizione. Contattateci e svilupperemo per voi soluzioni personalizzate nei seguenti settori Protezione dei dati e Conformità.
Mettetevi in contatto con noi:
Tel: +39 045 475 7198
E-mail: verona@2b-advice.com
German 
English 
Italian 
French