CEJ: Selectarea obligatorie a unui salut încalcă GDPR

Selectarea unei forme de adresă în procesul de comandă al unui magazin online este adesea etichetată ca fiind un câmp obligatoriu. CEJ (hotărârea din 9.1.2025 – C-394/23) a hotărât acum că colectarea sexului și selectarea salutului „domnule” sau „doamnă” doar pentru comunicarea personalizată încalcă GDPR.

Asociația Mousse a depus o plângere la Comisia Națională pentru Protecția Datelor cu Caracter Personal (CNIL) împotriva practicii companiei feroviare franceze SNCF Connect de a-și obliga sistematic clienții să își indice titlul („domnule” sau „doamnă”) atunci când cumpără bilete online. În opinia sa, această obligație este contrară GDPR, în special în ceea ce privește principiul minimizării datelor, deoarece forma de adresă corespunzătoare unei identități de gen nu ar trebui să fie o indicație necesară pentru achiziționarea unui bilet. În 2021, CNIL a respins această plângere pe motiv că această practică nu constituie o încălcare a GDPR. Asociația nu a fost de acord cu această decizie și a făcut apel la Consiliul de Stat francez pentru a obține anularea acesteia.

Consiliul de Stat a adresat apoi CJCE o întrebare preliminară cu privire la posibilitatea de a califica drept legală și, în special, compatibilă cu principiul minimizării datelor colectarea de date referitoare la salutul clienților, care se limitează la termenii „domnule” sau „doamnă”, în cazul în care această colectare urmărește să permită comunicarea comercială personalizată cu acești clienți, în conformitate cu obiceiul general în acest domeniu.

Decizia CEJ

CEJ a decis că colectarea sexului și selectarea unui salut în funcție de sex numai pentru un salut personalizat în comunicare încalcă principiul minimizării datelor în conformitate cu articolul 5 alineatul (1) litera c din RGPD. Colectarea este necesară pentru îndeplinirea contractului și există un interes legitim.

Salutul necesar pentru îndeplinirea contractului?

Potrivit art. 6 alin. 1 pct. 1 lit. b GDPR, prelucrarea datelor cu caracter personal este legală dacă este „necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a lua măsuri la cererea persoanei vizate înainte de încheierea unui contract”. În primul rând, CEJ a clarificat încă o dată în ce circumstanțe prelucrarea datelor cu caracter personal poate fi considerată necesară pentru executarea unui contract în sensul acestei dispoziții. Aceasta trebuie să fie considerată indispensabilă în mod obiectiv în acest scop.

Pentru ca prelucrarea datelor cu caracter personal să fie considerată necesară pentru executarea unui contract în sensul prezentei dispoziții, aceasta trebuie să fie obiectiv necesară pentru îndeplinirea unui scop care face parte integrantă din executarea contractului destinat persoanei vizate. Prin urmare, operatorul acestei prelucrări trebuie să poată demonstra în ce măsură scopul principal al contractului nu ar putea fi îndeplinit fără această prelucrare (Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C-17/22 și C-18/22, EU:C:2024:738, punctul 43 și jurisprudența citată).

Faptul că o astfel de prelucrare este menționată în contract sau este doar utilă pentru îndeplinirea acestuia este irelevant în sine. Factorul decisiv pentru aplicarea justificării menționate la articolul 6 alineatul (1) punctul 1 litera (b) din RGPD este faptul că prelucrarea datelor cu caracter personal de către operator este esențială pentru buna executare a contractului încheiat între operator și persoana vizată și că, prin urmare, nu există alternative practicabile și mai puțin intruzive [Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C-17/22 și C-18/22, EU:C:2024:738, punctul 44 și jurisprudența citată în aceasta].

Salutul nu este necesar pentru îndeplinirea contractului

În cazul de față, scopul colectării salutului a fost doar acela de a personaliza comunicarea comercială. Cu toate acestea, o astfel de personalizare nu era necesară pentru executarea contractului. Pârâtul putea, de asemenea, să utilizeze formule generale de curtoazie indiferent de sex.

Cu toate acestea, o astfel de comunicare nu trebuie neapărat să fie personalizată în funcție de identitatea de gen a clientului în cauză. Potrivit jurisprudenței, personalizarea conținutului nu pare a fi necesară pentru a furniza servicii unui client în cazul în care aceste servicii îi pot fi furnizate, după caz, sub forma unei alternative echivalente care nu implică o astfel de personalizare, astfel încât aceasta nu este indispensabilă în mod obiectiv pentru a atinge un scop care este o componentă necesară a acestor servicii (a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții [Condiții generale de utilizare a unei rețele sociale], C-252/21, EU:C:2023:537, punctul 102).

În ceea ce privește serviciile în discuție în litigiul principal, o personalizare a comunicărilor comerciale bazată pe o identitate de gen presupusă pe baza adresei nu pare a fi indispensabilă sau esențială în mod obiectiv pentru buna executare a contractului în cauză în sensul jurisprudenței citate la punctele 33 și 34 din prezenta hotărâre.

Într-adevăr, pare să existe o soluție practică și mai puțin intruzivă, întrucât întreprinderea în cauză ar putea opta – fie în ceea ce privește clienții care nu doresc să își indice forma de adresare, fie în mod mai general – pentru o comunicare bazată pe formule de curtoazie generale și incluzive, fără legătură cu identitatea de gen prezumată a acestor clienți. În plus, astfel cum a arătat avocatul general la punctele 49 și 50 din concluzii, se pare că SNCF Connect utilizează deja astfel de formule, pe care este de competența instanței de trimitere să le verifice, și, în plus, indicarea unei adrese incorecte nu ar avea niciun efect asupra prestării serviciilor de transport în cauză, ceea ce ar confirma că prelucrarea datelor în discuție în litigiul principal nu este indispensabilă în mod obiectiv pentru executarea obiectului principal al contractului.

Necesară în scopul intereselor legitime legitime ale operatorului?

Potrivit art. 6 alin. 1 pct. 1 lit. f GDPR, prelucrarea datelor cu caracter personal este legală dacă este „necesară în scopul intereselor legitime urmărite de operator sau de un terț, cu excepția cazului în care interesele sau drepturile și libertățile fundamentale ale persoanei vizate care necesită protecția datelor cu caracter personal prevalează asupra acestor interese, în special atunci când persoana vizată este un copil”. CEJ a clarificat, de asemenea, condițiile în care prelucrarea datelor cu caracter personal este permisă în temeiul acestei excepții:

Niciun interes legitim în colectarea salutului

În ceea ce privește justificarea interesului legitim, CJUE clarifică, cu trimitere la jurisprudența sa relevantă, că prelucrarea datelor referitoare la salutul clienților unei societăți de transport în scopul personalizării comunicărilor comerciale pe baza identității de gen a acestora nu poate fi considerată necesară dacă (1.) acești clienți nu au fost informați cu privire la interesul legitim urmărit în momentul colectării acestor date sau (2.) prelucrarea nu este efectuată în limitele a ceea ce este strict necesar pentru realizarea acestui interes legitim sau (3.) având în vedere toate circumstanțele relevante, drepturile și libertățile fundamentale ale acestor clienți pot prevala asupra acestui interes legitim, în special din cauza riscului de discriminare pe baza identității de gen.

Concluzie

Selectarea unui salut în procesul de comandă al unui magazin online este adesea concepută ca un câmp obligatoriu. CEJ (hotărârea din 9.1.2025 – C-394/23) a decis acum că colectarea sexului și selectarea doar a titlului „domnule” sau „doamnă” pentru comunicarea personalizată încalcă GDPR. Colectarea a fost necesară pentru îndeplinirea contractului și a existat un interes legitim.

În plus, Curtea Regională Superioară din Karlsruhe și Curtea Regională din Frankfurt am Main au decis deja că alegerea obligatorie între „domn” și „doamnă” obligă persoanele non-binare să se atribuie unuia dintre aceste genuri, deși acest lucru nu corespunde identității lor și constituie astfel o încălcare a dreptului general la personalitate.