Решение на Съда на ЕС по дело C-394/23
Асоциацията Mousse оспорва пред френския орган за защита на данните (CNIL)1 практиката на френското железопътно предприятие SNCF Connect, което изисква от клиентите си да попълват дали са „Monsieur“ или „Madame“ („Mr“ или „Ms“) при закупуване на транспортни билети онлайн. Асоциацията счита, че това изискване нарушава Общия регламент относно защитата на данните (ОРЗД/GDPR)2, по-специално в светлината на принципа за минимизиране на данните, тъй като обръщението, което съответства на половата идентичност, изглежда не е необходимо за закупуване на билет за железопътен транспорт. През 2021 г. CNIL реши да отхвърли тази жалба, като установи, че тази практика не представлява нарушение на GDPR.
Mousse не е съгласна с това решение и завежда иск пред Conseil d’État на Франция с искане решението да бъде отменено. Conseil d’État пита Съда дали по-специално събирането на данни при обръщението към клиентите с „Monsieur“ и „Madame“, може да се квалифицира като законно и в съответствие по-специално с принципа за минимизиране на данните, когато това събиране има за цел да позволи персонализирана търговска комуникация с тези клиенти, в съответствие с общоприетите практики в тази област.
Съдът припомня, че в съответствие с принципа за минимизиране на данните, който дава израз на принципа на пропорционалност, събраните данни трябва да бъдат адекватни, релевантни и ограничени до необходимото в светлината на целите, за които тези данни се обработват.
Съдът също така припомня, че GDPR определя изчерпателен и ограничителен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно: това е така, inter alia, когато е (i) необходимо за изпълнението на договор за страна, по която субектът на данните е, или (ii) необходими за целите на легитимните интереси, преследвани от администратора или от трета страна.3
Що се отнася до първото от тези две основания, Съдът припомня, че за да се счита обработването на данни за необходимо за изпълнението на договор, това обработване трябва да е обективно необходимо, за да позволи правилното изпълнение на този договор. В този контекст Съдът намира, че персонализирането на търговската комуникация въз основа на предполагаема полова идентичност според обръщението към клиента не изглежда обективно необходимо, за да се даде възможност за правилното изпълнение на договор за железопътен транспорт. Железопътното предприятие може да избере да комуникира въз основа на общи изрази, когато се обръща към клиент, които нямат връзка с предполагаемата полова идентичност на клиентите. Това би било работещо и по-малко натрапчиво решение.
Що се отнася до втората обосновка, Съдът, като се позовава на своята постоянна съдебна практика по въпроса, заявява, че обработването на данни, свързани с обръщенията към клиенти на транспортно предприятие, чиято цел е персонализиране на търговската комуникация въз основа на тяхната полова идентичност, не може да се счита за необходимо (i) когато тези клиенти не са били информирани за преследвания законен интерес при събирането на тези данни; (ii) когато обработването не се извършва само дотолкова, доколкото е строго необходимо за постигането на този законен интерес; или (iii) когато, в светлината на всички относими обстоятелства, основните свободи и права на тези клиенти могат да имат предимство пред този законен интерес, по-специално когато съществува риск от дискриминация на основата на полова идентичност.
1 Национална комисия за информация и свободи.
2 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица по отношение на обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент за защита на данните).
3 GDPR съдържа други основания, на които обработването на данни може да се счита за законосъобразно. Френският държавен съвет обаче се позовава изключително на тези две обосновки.