Trybunał Sprawiedliwości Unii Europejskiej (TSUE) wydał w zeszłym tygodniu wyrok, który zakończył spór między francuskim stowarzyszeniem Mousse, a organem nadzorczym w tym kraju (Commission Nationale de l’Informatique et des Libertés – CNIL). W przedmiotowej sprawie TSUE orzekł, że przetwarzanie danych o tożsamości płciowej klienta, służących personalizacji komunikacji handlowej, nie jest obiektywnie konieczne do realizacji umowy zakupu biletu kolejowego. Tym samym, w ocenie TSUE, przewoźnik kolejowy przetwarzał dane bez podstawy prawnej i z naruszeniem zasady minimalizacji.
Spór o Pan/Pani
Postępowanie w tej sprawie zostało pierwotnie zainicjowane przez francuskie stowarzyszenie Mousse, które złożyło skargę do CNIL. Wskazało ono w swojej skardze, że SNCF Connect – spółka świadcząca usługi przewozu kolejowego – wymaga od swoich klientów wskazania podczas zakupu biletu odpowiednich zwrotów grzecznościowych używanych potem w komunikacji z nimi. Klienci mieli do wyboru wskazanie zwrotu pan albo pani (monsieur / madame). Zdaniem skarżącego, przewoźnik w ten sposób pozyskiwał równocześnie dane o tożsamości płciowej klienta.
Stowarzyszenie wskazało w skardze, że w jego ocenie, przetwarzanie danych osobowych w tym przypadku wykraczało poza to, co jest niezbędne do zawarcia i wykonania umowy (zakupu biletu). Jednocześnie, w ocenie skarżącego, spółka nie legitymowała się jakąkolwiek inną podstawą do przetwarzania danych osobowych. Zdaniem stowarzyszenia, administrator przetwarzał więc dane klientów bezpodstawnie i z naruszeniem zasady minimalizacji danych.
CNIL nie stwierdza naruszenia RODO
Po przeprowadzeniu postępowania w tej sprawie, organ nadzorczy odmówił uwzględnienia skargi stowarzyszenia. Stwierdził on, że zakwestionowane praktyki administratora nie naruszają przepisów RODO. W ocenie regulatora, przetwarzanie danych osobowych dotyczących tożsamości płciowej mieściło się w tym przypadku w zakresie przetwarzania niezbędnego dla realizacji umowy, a personalizowane zwracanie się do klientów na Pan/Pani odpowiada zwyczajom przyjętym w komunikacji. Z decyzją CNIL nie zgodziło się stowarzyszenie i zaskarżyło ją do sądu administracyjnego (Conseil d’Etat), który postanowił skorzystać w tym zakresie z pomocy TSUE, kierując do niego pytania prejudycjalne. Sąd zadał TSUE dwa pytania. Pierwsze dotyczyło niezbędności przetwarzania danych osobowych w przedmiotowej sprawie. Drugie natomiast dotyczyło tego, czy oceniając niezbędność przetwarzania danych, administrator powinien brać pod uwagę możliwość wniesienia sprzeciwu na podstawie szczególnej sytuacji (w tym wypadku nieutożsamiania się z żadną z płci dostępnych do wyboru).
Zdaniem TSUE dane nadmiarowe
TSUE orzekł, że w przedmiotowej sprawie, przetwarzanie danych o tożsamości płciowej klientów nie było konieczne do realizacji zawartych z nimi umów. Trybunał wskazał, że w komunikacji z klientem można stosować zwroty neutralne płciowo. Zwrócił też uwagę na to, że hipotetyczne, błędne podanie płci, nie miało w tym przypadku żadnego wpływu na realizację usługi objętej umową (przewozu kolejowego). Mimo że istnieją sytuacje, w których przetwarzanie danych dotyczących płci może być zasadne (np. rezerwacja miejsc w wagonach sypialnych), to nie usprawiedliwiają one – w ocenie TSUE -systematycznego i powszechnego zbierania tych danych od klientów. TSUE stwierdził, że nie dostrzega w tej sprawie uzasadnionego interesu administratora (art. 6 ust. 1 lit f RODO).
Jesteśmy ciekawi, jak wskazany wyrok TSUE wpłynie na praktykę stosowania prawa w Polsce i innych krajach UE.
Źródło:
eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:62023CJ0394
