Corte di giustizia, Sentenza C-394/23

Trattamento dell’appellativo dei clienti nella vendita online di titoli di trasporto e RGPD

La sentenza riguarda un rinvio pregiudiziale del Conseil d’État (Francia) in una controversia tra l’associazione Mousse, la CNIL e SNCF Connect. La Corte è stata chiamata a verificare se la raccolta obbligatoria dell’appellativo dei clienti, limitata alle diciture "Signore" o "Signora", sia compatibile con il RGPD quando è finalizzata a personalizzare la comunicazione commerciale.

Fatti e procedimento principale

SNCF Connect vende online biglietti, abbonamenti e carte sconto per il trasporto ferroviario. Al momento dell’acquisto, i clienti sono tenuti a indicare obbligatoriamente il proprio appellativo selezionando "Signore" o "Signora". Mousse ha presentato reclamo alla CNIL sostenendo che tale raccolta violasse il principio di liceità, il principio di minimizzazione dei dati e gli obblighi informativi del RGPD. La CNIL ha archiviato il reclamo ritenendo il trattamento lecito e necessario all’esecuzione del contratto di trasporto, oltre che conforme agli usi commerciali.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto, in sostanza:

• se gli usi comunemente ammessi nelle comunicazioni civili, commerciali e amministrative possano rilevare per valutare la necessità del trattamento ai sensi degli articoli 5, paragrafo 1, lettera c), e 6, paragrafo 1, lettere b) e f), RGPD;
• se, nella stessa valutazione, debba essere considerata la possibilità che l’interessato eserciti successivamente il diritto di opposizione ex articolo 21 RGPD.

Normativa rilevante

La Corte richiama anzitutto gli articoli 5 e 6 del RGPD, in particolare il principio di minimizzazione dei dati e le basi giuridiche del trattamento fondate su contratto e legittimo interesse. Rilevanti anche l’articolo 13, paragrafo 1, lettere c) e d), sull’informativa al momento della raccolta dei dati, e l’articolo 21, paragrafo 1, sul diritto di opposizione. Sono inoltre menzionati i considerando 4, 10, 47 e 75 del RGPD, nonché l’articolo 8 della Carta e l’articolo 16 TFUE. La Corte richiama anche la direttiva 2004/113/CE sul principio di parità di trattamento tra uomini e donne nell’accesso a beni e servizi.

Ragionamento della Corte sulla base dell’articolo 6, paragrafo 1, lettera b), RGPD

La Corte ribadisce che il trattamento è necessario all’esecuzione del contratto solo se è oggettivamente indispensabile per realizzare una finalità che costituisce parte integrante della prestazione contrattuale, e solo se non esistono soluzioni meno invasive. Nel caso di specie, la finalità di personalizzare la comunicazione commerciale in base all’identità di genere presunta tramite l’appellativo non appare né oggettivamente indispensabile né essenziale per la corretta esecuzione del contratto di trasporto. La Corte osserva che la comunicazione con il cliente può avvenire anche mediante formule di cortesia generiche, inclusive e prive di riferimento all’identità di genere, senza incidere sulla fornitura del servizio.

La Corte respinge anche l’argomento relativo a una seconda finalità dedotta in udienza da SNCF Connect, cioè l’adeguamento di alcuni servizi di trasporto o assistenza a specifiche esigenze: un eventuale bisogno di conoscere l’identità di genere di determinati clienti non giustifica la raccolta sistematica e generalizzata dei dati di tutti i clienti, perché ciò sarebbe sproporzionato rispetto al principio di minimizzazione dei dati.

Ragionamento della Corte sulla base dell’articolo 6, paragrafo 1, lettera f), RGPD

Quanto al legittimo interesse, la Corte ricorda che devono concorrere tre condizioni cumulative: esistenza di un legittimo interesse, necessità del trattamento per perseguirlo e prevalenza non assorbente degli interessi o diritti fondamentali dell’interessato. Osserva che il legittimo interesse deve essere indicato al cliente al momento della raccolta dei dati ai sensi dell’articolo 13, paragrafo 1, lettera d), RGPD. Nel caso concreto, il fascicolo non consentiva di verificare se ciò fosse avvenuto.

La Corte precisa che il marketing diretto può, in astratto, costituire un legittimo interesse, ma che la personalizzazione della comunicazione commerciale può spesso essere realizzata usando soltanto nome e cognome, senza ricorrere all’appellativo o all’identità di genere. Inoltre, la valutazione non può tener conto di usi e convenzioni sociali nazionali, perché l’articolo 6, paragrafo 1, lettera f), deve essere interpretato restrittivamente e non prevede tale criterio. Il richiamo alla diversità culturale e linguistica non basta a legittimare il trattamento obbligatorio.

Infine, la Corte sottolinea che l’equilibrio tra interessi deve considerare le ragionevoli aspettative del cliente e l’eventuale impatto del trattamento, compreso il rischio di discriminazione fondata sull’identità di genere. Alla luce della direttiva 2004/113/CE, tale rischio può assumere rilievo anche nei casi connessi al mutamento di identità di genere.

Esclusione della rilevanza del diritto di opposizione ex articolo 21 RGPD nella fase di necessità

Per la seconda questione, la Corte afferma che la possibilità per l’interessato di opporsi successivamente al trattamento non può essere considerata quando si valuta se il trattamento sia necessario e quindi lecito ai sensi dell’articolo 6, paragrafo 1, lettera f), RGPD. Il diritto di opposizione presuppone infatti un trattamento già lecito; non può quindi essere utilizzato per compensare l’assenza del requisito di necessità in fase iniziale.

Dispositivo e principi affermati

La Corte dichiara che:

• il trattamento dei dati relativi all’appellativo dei clienti di un’impresa di trasporto, finalizzato a personalizzare la comunicazione commerciale fondata sull’identità di genere, non è normalmente necessario all’esecuzione del contratto;
• tale trattamento non può essere considerato necessario per il legittimo interesse del titolare o di terzi se il legittimo interesse non è stato previamente comunicato, se il trattamento non è strettamente necessario o se i diritti e le libertà fondamentali del cliente prevalgono, in particolare per rischio di discriminazione;
• nella valutazione della necessità ai sensi dell’articolo 6, paragrafo 1, lettera f), non si deve tener conto dell’eventuale successivo diritto di opposizione ex articolo 21 RGPD.

Impatto pratico

Per gli operatori economici, la sentenza conferma un approccio rigoroso: i dati che esprimono o presumono il genere non possono essere richiesti in modo automatico solo per ragioni di stile commerciale o di consuetudine. È necessario dimostrare una concreta indispensabilità, predisporre informative chiare e valutare soluzioni meno invasive, come formule neutre e inclusive.