LA CORTE DI GIUSTIZIA SI PRONUNCIA SULLA LICEITÀ DEL TRATTAMENTO DEI DATI PERSONALI RELATIVI ALL’APPELLATIVO DEI CLIENTI DI UN’IMPRESA DI TRASPORTO

In data 9 gennaio 2025, la Corte di Giustizia dell’Unione Europea si è pronunciata nella Causa C-394/23, Mousse contro Commission nationale de l’informatique et des libertés (CNIL) e SNCF Connect, sull’interpretazione dell’articolo 5, paragrafo 1, lettera c), dell’articolo 6, paragrafo 1, primo comma, lettere b) e f), nonché dell’articolo 21 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)^[1]. Tale domanda era stata presentata nell’ambito di una controversia tra la Mousse, un’associazione, e la Commission nationale de l’informatique et des libertés (Commissione nazionale per l’informatica e le libertà, CNIL) relativamente al rigetto, da parte di quest’ultima, del reclamo relativo al trattamento, da parte della società SNCF Connect (“SNCF”), di dati inerenti all’appellativo dei suoi clienti al momento della vendita online di titoli di trasporto.

Questi i fatti.

Ritenendo che le condizioni di raccolta e di registrazione di tali dati^[2] non fossero conformi ai requisiti del GDPR, la Mousse aveva presentato un reclamo dinanzi alla CNIL, che tuttavia lo aveva respinto in quanto i fatti contestati alla SNCF non violavano le disposizioni del regolamento. Di conseguenza, la Mousse aveva proposto un ricorso di annullamento dinanzi al Conseil d’État(Consiglio di Stato; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia due questioni pregiudiziali.

Con la prima questione, il giudice del rinvio chiedeva se l’articolo 6, paragrafo 1, primo comma, lettere b) e f)^[3], del GDPR, in combinato disposto con l’articolo 5, paragrafo 1, lettera c)^[4], di tale regolamento debba essere interpretato nel senso che il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, possa essere considerato necessario all’esecuzione di un contratto, ai sensi di tale lettera b), per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ai sensi di tale lettera f).

La Corte ha preliminarmente ricordato che, per essere considerato necessario all’esecuzione di un contratto ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera b), del GDPR, un trattamento di dati personali deve essere oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata all’interessato, di talché il relativo titolare deve essere in grado di dimostrare in che modo l’oggetto principale di tale contratto non potrebbe essere conseguito in assenza del trattamento in questione^[5]. A tale riguardo, la circostanza che un siffatto trattamento sia menzionato nel contratto oppure sia soltanto utile per l’esecuzione di quest’ultimo è, di per sé, irrilevante, in quanto l’elemento determinante ai fini dell’applicazione della giustificazione di cui all’articolo 6, paragrafo 1, primo comma, lettera b), del GDPR è che esso sia essenziale per consentire la corretta esecuzione del contratto stipulato tra il titolare e l’interessato e, pertanto, che non esistano altre soluzioni percorribili e meno invasive^[6]. Di conseguenza, se il contratto consiste in più servizi o in più elementi distinti di uno stesso servizio che possono essere prestati indipendentemente gli uni dagli altri, l’applicabilità dell’articolo 6, paragrafo 1, primo comma, lettera b), del GDPR deve essere valutata separatamente nel contesto di ciascuno di tali servizi^[7].

Tutto ciò premesso, nel caso concreto il trattamento di dati in questione ha la finalità di personalizzare la comunicazione commerciale nei confronti del cliente, nel rispetto di usi comunemente ammessi in materia. Benché la comunicazione commerciale possa costituire una finalità che è parte integrante della prestazione contrattuale interessata, tuttavia, essa non deve necessariamente essere personalizzata in funzione dell’identità di genere del cliente interessato. La personalizzazione dei contenuti, infatti, non appare necessaria per offrire servizi ad un cliente quando gli stessi possono, eventualmente, essergli forniti sotto forma di un’alternativa equivalente che non implichi tale personalizzazione, che non è dunque oggettivamente indispensabile per una finalità che sia parte integrante di detti servizi^[8]. Una personalizzazione della comunicazione commerciale, fondata su un’identità di genere presunta in funzione dell’appellativo, pertanto, non sembra essere né oggettivamente indispensabile né essenziale al fine di consentire la corretta esecuzione del contratto interessato.

Quanto all’articolo 6, paragrafo 1, primo comma, lettera f), del GDPR, esso prevede tre condizioni cumulative affinché i trattamenti di dati personali ivi considerati siano leciti, ossia i) il perseguimento di un legittimo interesse del titolare del trattamento o di terzi, ii) la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito, e iii) il fatto che gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgano sul legittimo interesse del titolare del trattamento o di terzi^[9], ciò che implica, in particolare, una ponderazione dei diritti e degli interessi contrapposti in gioco che dipende, in linea di principio, dalle circostanze del caso concreto.

A tale riguardo, spetterà al giudice del rinvio verificare se un legittimo interesse sia stato indicato dalla SNCF ai suoi clienti nella fase di raccolta dei dati in questione^[10]. Una personalizzazione della comunicazione commerciale, inoltre, potrebbe limitarsi al trattamento dei nomi e dei cognomi dei clienti, in quanto il loro appellativo e/o la loro identità di genere sono un’informazione che non pare essere strettamente necessaria in tale contesto, in particolare alla luce del principio di minimizzazione dei dati. Secondo la Corte, infine, si presume che il cliente di un’impresa di trasporto non si aspetti che quest’ultima tratti dati relativi al suo appellativo o alla sua identità di genere nel contesto dell’acquisto di un titolo di trasporto. Il legittimo interesse relativo al marketing diretto, infatti, non può, in ogni caso, prevalere nell’evenienza di un rischio di pregiudizio ai diritti e alle libertà fondamentali dell’interessato.

Con la seconda questione, invece, il giudice del rinvio chiedeva se l’articolo 6, paragrafo 1, primo comma, lettera f), del GDPR debba essere interpretato nel senso che, al fine di valutare la necessità di un trattamento di dati personali ai sensi di tale disposizione, occorre prendere in considerazione l’eventuale esistenza di un diritto di opposizione dell’interessato, ai sensi dell’articolo 21^[11] di tale regolamento.

La Corte ha preliminarmente ricordato che l’applicabilità dell’articolo 21 del GDPR e, pertanto, l’eventuale esistenza di un diritto di opposizione, presuppongono l’esistenza di un trattamento lecito, fondato nel caso in questione sull’articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento. Di conseguenza, l’esistenza di un diritto di opposizione non può essere presa in considerazione ai fini della valutazione della liceità e, in particolare, della necessità del trattamento dei dati personali di cui al caso concreto.

Tutto ciò premesso, la Corte ha statuito che:

“L’articolo 6, paragrafo 1, primo comma, lettere b) e f), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), in combinato disposto con l’articolo 5, paragrafo 1, lettera c), di tale regolamento, deve essere interpretato nel senso che:

– il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non sembra essere né oggettivamente indispensabile né essenziale per consentire la corretta esecuzione di un contratto e, pertanto, non può essere considerato necessario all’esecuzione di tale contratto;

– il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non può essere considerato necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, qualora:

– il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati; oppure

– detto trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse; oppure

– alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di detti clienti possano prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull’identità di genere.

L’articolo 6, paragrafo 1, primo comma, lettera f), del regolamento 2016/679 deve essere interpretato nel senso che al fine di valutare la necessità di un trattamento di dati personali ai sensi di tale disposizione, non occorre prendere in considerazione l’eventuale esistenza di un diritto di opposizione dell’interessato, ai sensi dell’articolo 21 di tale regolamento”.

Scarica l’articolo