Rgdp, l’identità di genere del cliente non è dato necessario per acquistare il biglietto del treno
Neanche la finalità di personalizzare le comunicazioni commerciali dell’impresa di trasporto verso il pubblico è giustificazione sufficiente al trattamento di un dato personale che può generare discriminazioni
L’indicazione del genere sessuale della persona che acquista un titolo di trasporto tramite l’appellativo signora o signore (se non anche altro) è dato personale che non è necessario allo svolgimento del servizio acquistato e non risulta indispensabile neanche per la personalizzazione di comunicazioni commerciali da parte dell’impresa di trasporto.
Per tali motivi la Corte Ue - con la sentenza sulla causa C-394/23 - ha ritenuto illegittima la raccolta di dati relativi all’identità di genere del cliente in base alle norme del regolamento europeo sulla privacy (Rgdp) nell’ambito del trasporto ferroviario e anche per la finalità legittima perseguita dalle imprese di settore ai fini di una personalizzazione delle comunicazioni commerciali. Non è quindi un dato necessario per l’acquisto di un titolo di trasporto l’indicazione dell’identità di genere del consumatore e non è indispensabile per la comunicazione commerciale sul mercato.
Il caso a quo francese
Un’associazione aveva contestato dinanzi all’autorità francese per la protezione dei dati personali (Cnil) la prassi dell’impresa ferroviaria francese (Sncf) con cui si obbliga sistematicamente la clientela a indicare oltre nome e cognome l’appellativo «Signore» o «Signora» al momento dell’acquisto on line del titolo di trasporto.
Tale associazione riteneva che l’obbligo violasse il principio di minimizzazione dell’uso dei dati personali recato dal Regolamento generale sulla protezione dei dati. In particolare perché l’indicazione - che corrisponde a un’identità di genere - non risulta essere necessaria per l’acquisto di un titolo di trasporto ferroviario. L’Authority francese aveva però respinto il reclamo.
Da ciò la domanda di annullamento di tale decisione posta all’attenzione del Consiglio di Stato francese, che ha rinviato la questione pregiudiziale alla Corte di giustizia dell’Unione europea.
La risposta della Cgue
La Corte ricorda che, conformemente al principio di minimizzazione dei dati, che costituisce espressione del principio di proporzionalità, i dati raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
E il Regolamento generale europeo fissa due indicazioni in base alle quali un trattamento di dati personali può essere considerato lecito:
1) se necessario all’esecuzione di un contratto di cui l’interessato è parte,
2) se necessario per il perseguimento del legittimo interesse del titolare del trattamento o di soggetti terzi.
L’esecuzione di un contratto
Per quanto riguarda la prima di queste due giustificazioni, la Corte ricorda che, affinché un trattamento di dati possa essere considerato necessario all’esecuzione di un contratto, tale trattamento deve essere oggettivamente indispensabile al fine di consentire la corretta esecuzione di tale contratto.
E in tale contesto, la Corte ritiene che una personalizzazione della comunicazione commerciale fondata su un’identità di genere presunta in funzione dell’appellativo del cliente non sembri essere oggettivamente indispensabile per consentire la corretta esecuzione di un contratto di trasporto ferroviario. Secondo la Cgue, infatti, l’impresa ferroviaria potrebbe optare per una comunicazione basata su formule di cortesia generiche, inclusive e prive di correlazione con la presunta identità di genere dei clienti, il che costituirebbe una soluzione praticabile e meno invasiva.
L’interesse legittimo al trattamento
Per quanto riguarda la seconda giustificazione al trattamento di un certo dato personale, la Corte precisa che l’appellativo relativo all’identità di genere dei clienti di un’impresa di trasporto non è dato personale necessario al fine di garantire l’interesse legittimo di un’impresa a effettuare comunicazioni commerciali personalizzate.
A tal fine la Cgue indica tre ipotesi in cui la raccolta e il trattamento di dati personali non è giustificato:
a) qualora il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati;
b) qualora il trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse;
c) qualora, alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di tali clienti possano prevalere sul legittimo interesse a effettuare comunicazioni commerciali personalizzate, se vi è rischio di discriminazione fondata sull’identità di genere.
