CORTE DI GIUSTIZIA DELL’UNIONE EUROPEA: L’ACQUISTO DI TITOLI DI VIAGGIO NON GIUSTIFICA LA RICHIESTA DI INDICAZIONE DELL’IDENTITÀ DI GENERE. COSTITUISCE VIOLAZIONE DEL GDPR L’OBBLIGO IMPOSTO AGLI ACQUIRENTI DI INDICARE IL PROPRIO TITOLO DI CORTESIA (CGUE 9 GENNAIO 2025, C-394/23).

 Autore: Avv. Teresa Aloi

La Corte di Giustizia dell’Unione europea, con la sentenza pronunciata il 9 gennaio scorso, ha fissato un importante principio in materia di tutela dei dati personali. La vicenda sottesa alla decisione attiene alla compilazione del “Form” per l’acquisto di biglietti per il trasporto ferroviario e vede come protagonista l’Associazione francese “Mousse” attiva per la tutela dei diritti Lgbtqi+.

L’Associazione ha presentato ricorso dinnanzi all’Autorità francese per la protezione dei dati personali (CNIL- Commissione nazionale per l’informatica e le libertà)[1] contestando il modus operandi della compagnia ferroviaria francese e sostenendo che la modalità di acquisto on line predisposta da SNCF Connect, Società che si occupa della vendita di biglietti dei treni, abbonamenti e carte sconto attraverso il proprio sito Internet/App, fosse contraria alle norme sulla privacy dell’Unione europea. L’Associazione “Mousse” ha ritenuto che chiedere agli utenti di indicare il proprio appellativo, Signora-Signore, al momento dell’acquisto on line del titolo di viaggio, che corrisponde ad un’identità di genere, non soddisfa il requisito previsto dal Regolamento generale sulla protezione dei dati, GDPR 27 aprile 2016, n. 679, circa la riduzione al minimo della conservazione dei dati (art. 5, paragrafo 1, lett. c), cosiddetto principio di minimizzazione: i dati personali devono essere, adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Tale principio che richiede che i dati siano accurati e protetti da accessi non autorizzati o da eventuali utilizzi impropri, è strettamente legato al principio di limitazione della conservazione che obbliga le aziende a raccogliere il minor numero possibile di dati su una determinata persona, per cui l’indicazione dell’appellativo non sembra essere un elemento necessario per l’acquisto di un biglietto ferroviario.

In particolare, l’Associazione ha affermato che la raccolta di tale dato non può ritenersi conforme al principio di liceità, oltre a violare gli obblighi di trasparenza e d’informazione fissati dall’art. 13 del RGPD.

Con la decisione del 23 marzo 2021, la Commissione ha ritenuto che i fatti contestati non costituissero violazioni delle disposizioni del Regolamento europeo e, pertanto, occorresse procedere alla chiusura del procedimento di esame del reclamo. A sostegno di tale decisione, la CNIL ha constatato che il trattamento dei dati in questione era da considerare lecito in quanto necessario all’esecuzione del contratto di fornitura di servizi di trasporto. Essa ha rilevato che, tenuto conto delle sue finalità, tale trattamento fosse conforme al principio di minimizzazione dei dati, dal momento che il fatto di rivolgersi ai clienti in modo personalizzato, utilizzando l’appellativo di quest’ultimi, corrisponderebbe agli usi ammessi nel settore delle comunicazioni commerciali, civili ed amministrative.

Contro la decisione della Commissione, l’Associazione “Mousse” ha proposto ricorso al Consiglio di Stato, giudice del rinvio, al fine di ottenerne l’annullamento. Nel suo atto la “Mousse” ribadisce che l’obbligo di barrare la dicitura “Signora” o “Signore” al momento dell’acquisto on line del titolo di viaggio, viola sia il principio di liceità che il principio di minimizzazione dei dati in quanto tale dicitura non sarebbe necessaria all’esecuzione del contratto di fornitura di servizi di trasporto o per il perseguimento dei legittimi interessi della SNCF Connect. Il fatto che diciture di questo genere siano utilizzate nella corrispondenza commerciale non è sufficiente a rendere necessario tale obbligo che, lede il diritto di viaggiare senza comunicare il proprio appellativo, il diritto al rispetto della vita privata, nonché alla libertà di definire liberamente la propria espressione di genere e rischierebbe di generare una forma di discriminazione. In particolare, con riferimento ai cittadini di Stati il cui stato civile ammetterebbe un “genere neutro”, tale dicitura non corrisponderebbe alla realtà e potrebbe pregiudicare la loro libertà di circolazione, garantita dal diritto dell’Unione.

Il Consiglio di Stato, investito della questione, si interroga se si possa tenere conto, ai fini della valutazione della necessità del trattamento dei dati di cui trattasi nel procedimento principale, degli usi ammessi nelle comunicazioni commerciali, civili ed amministrative, di modo che la raccolta dei dati relativi all’appellativo dei clienti, limitata ai termini “Signora” o “Signore”, possa essere ritenuta lecita e conforme al principio di minimizzazione dei dati; se per valutare la necessità di tale raccolta obbligatoria e del successivo trattamento di dati relativi all’appellativo dei clienti nel caso in cui alcuni di essi ritengono di non rientrare in nessuno dei due appellativi previsti, si debba tener conto del fatto che tali clienti potrebbero esercitare, dopo aver fornito detti dati al titolare del trattamento al fine di beneficiare del servizio interessato, il loro diritto di opposizione all’utilizzo di tali dati, per motivi connessi alla loro situazione particolare, ai sensi dell’art. 21 RGPD.

Alla luce di tali interrogativi, il Consiglio di Stato francese decide di sospendere il procedimento e di sottoporre alla Corte di Giustizia dell’Unione Europea le questioni pregiudiziali corrispondenti agli interrogativi sollevati.

La Corte UE, in via preliminare, ricorda che l’obiettivo perseguito dal RGPD, quale risulta dall’art. 1 oltre che dai considerando 1, 4, 10, 47 e 75 del Regolamento stesso, consiste nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare, del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall’art. 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea ed dall’art. 16, paragrafo 1, del TFUE. Essa ribadisce un caposaldo del Regolamento chiarendo che un ”trattamento dei dati personali deve trovare giustificazione in una delle basi giuridiche previste dal GDPR” come, l’esecuzione di un contratto o il perseguimento di un interesse legittimo del titolare del trattamento strettamente correlato ai principi di necessità e proporzionalità, o il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o è necessario per l’esecuzione di un compito di interesse pubblico di cui il titolare del trattamento è investito. Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione, il livello di protezione dei diritti e delle libertà fondamentali riconosciute con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri dell’Unione.

Il RGPD, all’art. 5, paragrafo 1, dispone che i dati personali siano trattati in modo lecito, corretto e trasparente nei confronti dell’interessato e nel rispetto del principio di minimizzazione, nel senso che essi devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Il trattamento è lecito se e nella misura in cui l’interessato ha espresso il consenso a tale trattamento per una o più specifiche finalità. Il consenso va inteso come qualsiasi manifestazione di volontà libera, specifica, informata ed inequivocabile, con la quale l’interessato manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.

La Corte ricorda che, affinchè un trattamento di dati possa essere considerato necessario all’esecuzione di un contratto deve essere oggettivamente indispensabile al fine di consentire la corretta esecuzione dello stesso. Il titolare di tale trattamento, pertanto, deve essere in grado di dimostrare in che modo l’oggetto principale di tale contratto non potrebbe essere conseguito in assenza di tale trattamento. La personalizzazione della comunicazione commerciale fondata su una identità di genere presunta in funzione dell’appellativo del cliente, non sembra essere oggettivamente indispensabile per consentire la corretta esecuzione di un contratto di trasporto ferroviario.

Nel caso di specie, l’oggetto principale del contratto di cui trattasi nel procedimento principale è la fornitura ai clienti di un servizio di trasporto ferroviario. La comunicazione commerciale può costituire una finalità che è parte integrante della prestazione contrattuale interessata, dal momento che la fornitura di un tale servizio implica, in linea di principio, di comunicare con il cliente al fine di trasmettergli un titolo di trasporto per via elettronica, di informarlo di eventuali modifiche che incidono sul viaggio corrispondente, nonché di consentirgli scambi con il servizio di assistenza. Tale comunicazione può richiedere l’osservanza di usi e contenere, in particolare, formule di cortesia, al fine di dimostrare il rispetto dell’impresa interessata nei confronti del proprio cliente, salvaguardando in tal modo l’immagine del proprio marchio.

Tale forma di comunicazione, tuttavia, non deve essere necessariamente personalizzata in funzione dell’identità di genere del cliente interessato. Secondo la giurisprudenza della Corte di Giustizia UE, la personalizzazione dei contenuti non appare necessaria per offrire servizi ad un cliente quando tali servizi possono, eventualmente, essergli forniti sotto forma di un’alternativa equivalente che non implichi tale personalizzazione e, pertanto, non sia oggettivamente una finalità che sia parte integrante dei servizi forniti. In altre parole, per un “marketing diretto” non occorre distinguere il genere.

Nel corso del procedimento la SNCF Connect, a sua difesa, ha sostenuto che il trattamento dei dati di cui trattasi nel procedimento principale, perseguiva una seconda finalità, l’adeguamento dei servizi di trasporto per i treni notturni con vagoni riservati alle persone aventi una stessa identità di genere e per l’assistenza ai passeggeri che versano in una condizione di handicap. Secondo la SNCF Connect, tale finalità può richiedere che sia necessario conoscere l’identità di genere dei clienti interessati.

Secondo la Corte di Giustizia europea, invece, questa ulteriore finalità non può giustificare il trattamento sistematico e generalizzato dei dati relativi all’appellativo dell’insieme dei clienti dell’impresa interessata, compresi i clienti che viaggiano di giorno o che non si trovano in una condizione di handicap. Tale trattamento, infatti, sarebbe sproporzionato e tale titolo contrario al principio di minimizzazione dei dati, dal momento che esso avrebbe potuto essere limitato ai dati relativi all’identità di genere dei soli clienti che desiderano viaggiare in treno notturno o beneficiare di un’assistenza personalizzata a causa di una disabilità.

L’art. 6, paragrafo 1, primo comma, lett. b) in combinato disposto con l’art. 5, paragrafo 1, lett. c) del RGPD, deve essere interpretato nel senso che il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non sembra essere né oggettivamente indispensabile, né essenziale al fine di consentire la corretta esecuzione di un contratto e, pertanto, non può essere considerato necessario all’esecuzione dello stesso.

Circa il perseguimento del legittimo interesse, la Corte UE precisa che, ai sensi dell’art. 13, paragrafo 1, lett. d) del Regolamento, spetta al titolare del trattamento, al momento della raccolta presso l’interessato di dati che lo riguardano, indicargli i legittimi interessi perseguiti.

Nell’articolato del RGDP manca una definizione vera e propria della nozione di legittimo interesse che tuttavia è possibile ricavare dal Considerando 47, secondo cui i legittimi interessi sussistono quando vi è una relazione pertinente ed appropriata tra l’interessato ed il titolare del trattamento, ad esempio, quando l’interessato è un cliente del titolare del trattamento, come nel caso in esame. Tuttavia, ed è questo uno degli aspetti interessanti della sentenza in commento, per finalità di marketing diretto (personalizzazione della comunicazione commerciale) può bastare il solo trattamento dei nomi e cognomi dei clienti, dal momento che il loro appellativo e/o la loro identità di genere costituiscono un’informazione che non può essere considerata strettamente necessaria in tale contesto, in particolare alla luce del principio di minimizzazione dei dati ex art. 5, paragrafo 1, lett. c), RGPD, secondo il quale i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.

Secondo i giudici europei, pertanto, il legittimo interesse relativo al marketing diretto non può prevalere di fronte ad un rischio di pregiudizio ai diritti ed alle libertà fondamentali dell’interessato. La Corte ha stabilito che è necessaria una ponderazione dei diritti e degli interessi contrapposti che dipende, in linea di principio, dalle circostanze del caso concreto e che, spettava al giudice del rinvio interessato effettuare, tenendo conto di tali circostanze specifiche.

Nelle loro osservazioni la SNCF Connect ed il Governo francese sostenevano che, al fine di valutare la necessità di un trattamento di dati personali, occorresse tener conto degli usi e delle convenzioni sociali proprie di ciascuno Stato membro, in particolare per preservare la diversità linguistica e culturale. L’art.6, paragrafo 1, primo comma, lett. f) del Regolamento, tuttavia, non prevede la presa in considerazione degli usi e delle convenzioni sociali ai fini della valutazione della necessità di un tale trattamento. Il titolare del trattamento dei dati, tuttavia, ha la possibilità di rispettare usi e convenzioni sociali utilizzando, nei confronti dei clienti che non desiderano indicare il loro appellativo o in maniera più generale, formule di cortesia, inclusive e prive di correlazione con l’identità di genere, per cui gli argomenti addotti dalla SNCF Connet e dal Governo francese non possono essere accolti. Per quanto attiene alla ponderazione dei diritti e degli interessi contrapposti, vale a dire quelli del titolare del trattamento e quelli dell’interessato si devono tenere in debita considerazione le ragionevoli aspettative dell’interessato nonché della portata del trattamento dei dati e del suo impatto su tale soggetto.

Secondo la Corte di Giustizia dell’Unione europea, si presume che il cliente di un’impresa di trasporto non si aspetti che essa tratti i dati relativi al proprio appellativo o alla propria identità di genere nel contesto dell’acquisto di un titolo di viaggio. Questo potrebbe accadere se tale trattamento fosse effettuato unicamente ai fini di marketing diretto ma il legittimo interesse relativo a tale tipo di comunicazione commerciale non può, in ogni caso, prevalere nell’ipotesi di un rischio di pregiudizio ai diritti ed alle libertà fondamentali dell’interessato, in particolare se il trattamento dei dati può comportare forme discriminatorie.

In tale contesto, spetterà al giudice del rinvio verificare l’esistenza del rischio di eventuali discriminazioni fondate sull’identità di genere alla luce della Direttiva 2004/113 che attua il principio della parità di trattamento tra uomini e donne per quanto riguarda l’accesso ai beni e servizi e la loro fornitura. Tenuto conto dello scopo perseguito e della natura dei diritti che mira a proteggere, la Direttiva può applicarsi anche alle discriminazioni che hanno origine nel mutamento di identità di genere di una persona.

Secondo la Corte UE, pertanto, il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere non può essere considerato necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi qualora:

• il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati;
• il trattamento dei dati non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse;
• alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di detti clienti possono prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull’identità di genere.

Sulla base delle considerazioni che precedono, la Corte di Giustizia UE ritiene che il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere non appare né oggettivamente indispensabile, né essenziale per consentire la corretta esecuzione di un contratto, qualora il legittimo interesse del titolare del trattamento o di terzi non sia stato indicato ai clienti al momento della raccolta dei dati o il trattamento non sia stato effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse.

L’interessato ha il diritto di opporsi, art. 21, paragrafo 1, del RGPD, in qualsiasi momento, per motivi connessi alla propria situazione particolare, al trattamento dei dati personali che lo riguardano. Nel momento in cui egli esercita tale diritto, il titolare del trattamento è tenuto ad astenersi dal trattare ulteriormente i dati personali a meno che non dimostri “l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”. L’eventuale esistenza di un diritto di opposizione presuppone un trattamento lecito, tale per cui soddisfi il requisito di stretta necessità

Uno dei principali obiettivi che il Regolamento europeo intende perseguire è proprio quello di “garantire un elevato livello di protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali”.

La Corte di Giustizia UE dichiara che, l’art. 6, paragrafo 1, primo comma, RGPD, deve essere interpretato nel senso che, al fine di valutare la necessità di un trattamento di dati personali conformi a tale disposizione, non occorre prendere in considerazione l’eventuale esistenza di un diritto di opposizione dell’interessato ai sensi dell’art. 21 RGPD. Il trattamento di dati personali relativo all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non è oggettivamente indispensabile per consentire la corretta esecuzione di un contratto e, pertanto, non può essere considerato necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi. Un’eventuale diversa interpretazione avrebbe l’effetto di affievolire i requisiti previsti dalla norma estendendo le condizioni di liceità del trattamento di cui trattasi.

Il principio espresso dalla Corte di Giustizia dell’Unione europea nella sentenza in commento si può estendere anche ad altri settori del mondo commerciale oltre quello del trasporto ferroviario, come il settore marittimo ed aereo, disponendo una minimizzazione dei dati di riferimento in quanto non strettamente necessari alla finalità dell’atto che si sta compiendo.

In conclusione raccogliere dati/titoli di cortesia al momento dell’acquisto di biglietti ferroviari on line è contrario alle disposizioni contenute nel Regolamento generale sulla protezione dei dati in quanto non rispetta i principi di necessità e minimizzazione dei dati, oltre che essere irrilevante ai fini della transazione commerciale. L’inserimento del titolo di “Signora” o “Signore” nella compilazione del modulo non è certamente un dato necessario ai fini dell’acquisto di un biglietto del treno e, pertanto, non si può obbligare ad indicarlo.

Avv. Teresa Aloi,  Foro di Catanzaro.

[1] CNIL, Autorità amministrativa indipendente di controllo nazionale Francia, provvede affinchè i trattamenti dei dati personali siano effettuati in conformità alle disposizioni europee in materia di protezione dei dati personali. Essa si occupa di reclami, petizioni e denunce introdotti da un interessato o da una organizzazione, un organismo o un’associazione, esamina, indaga sull’oggetto del reclamo nella misura necessaria, informando il reclamante dello stato di avanzamento e dell’esito delle indagini entro un termine ragionevole.