Az ügyfél nemi identitására vonatkozó adat nem szükséges a vasúti menetjegy megvásárlásához – szögezi le az Európai Unió Bírósága C-394/23. számú, Mousse ügyben hozott ítéletében. Az ügyfelek megszólítására vonatkozó adatok gyűjtése objektíve nem elengedhetetlen, különösen, ha annak célja a kereskedelmi kommunikáció személyre szabása.
A Mousse egyesület megtámadta a francia adatvédelmi hatóságnál (Commission nationale de l’informatique et des libertés – CNIL) az SNCF Connect francia vasúttársaság azon gyakorlatát, amely arra kötelezi ügyfeleit, hogy online menetjegyvásárlás során minden esetben tüntessék fel („Úr” vagy „Hölgy”) megszólításukat. Az egyesület úgy véli, hogy ez a kötelezettség – különösen az adattakarékosság elvére tekintettel – sérti az általános adatvédelmi rendeletet (GDPR), mivel a nemi identitásnak megfelelő megszólítás megjelölése nem tűnik szükségesnek a vasúti menetjegy megvásárlásához.
2021-ben a CNIL úgy határozott, hogy elutasítja a panaszt, mivel azt állapította meg, hogy ez nem jelenti a GDPR megsértését.
Mivel a Mousse nem értett egyet e határozattal, a Conseil d’État-hoz (államtanács, Franciaország) fordult annak megsemmisítése érdekében. A Conseil d’État különösen azt kérdezi a Bíróságtól, hogy az ügyfelek megszólítására vonatkozó – az „Úr” és a „Hölgy” kifejezésekre korlátozódó – adatok gyűjtése jogszerűnek és többek között az adattakarékosság elvével összhangban állónak minősíthető-e, amennyiben e gyűjtés célja az, hogy az e területen általánosan elfogadott szokásoknak megfelelően lehetővé tegye az ezen ügyfelekkel folytatott személyes kereskedelmi kommunikációt.
A Bíróság emlékeztet arra, hogy
az adattakarékosság elvének megfelelően, amely az arányosság elvének kifejeződése, az összegyűjtött adatoknak az adatkezelés céljai szempontjából megfelelőnek és relevánsnak kell lenniük, valamint a szükségesre kell korlátozódniuk.
Ezen túlmenően a Bíróság emlékeztet arra, hogy a GDPR azon esetek kimerítő és korlátozó listáját tartalmazza, amelyekben a személyes adatok kezelése jogszerűnek tekinthető: ez különösen akkor áll fenn, ha i. az olyan szerződés teljesítéséhez szükséges, amelyben az érintett személy az egyik fél, vagy ii. az az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges. (A GDPR olyan egyéb indokokat is tartalmaz, amelyekre tekintettel az adatkezelés jogszerűnek tekinthető, a francia Conseil d’État ugyanakkor kizárólag e két indokra hivatkozik.)
E két indok közül az elsőt illetően a Bíróság emlékeztet arra, hogy ahhoz, hogy valamely adatkezelést a szerződésteljesítéséhez szükségesnek lehessen tekinteni, ezen adatkezelésnek objektíve elengedhetetlennek kell lennie ahhoz, hogy lehetővé tegye e szerződés megfelelő teljesítését. Ebben az összefüggésben a Bíróság úgy ítéli meg, hogy
a kereskedelmi kommunikációnak a megszólítás alapján feltételezett nemi azonosságra alapított személyre szabása nem bizonyul objektíve elengedhetetlennek a vasúti szállítási szerződés megfelelő teljesítésének lehetővé tételéhez.
A vasúttársaság ugyanis választhatna általános, inkluzív és az ügyfelek feltételezett nemi identitásával össze nem függő udvariassági kifejezéseken alapuló kommunikációt, ami megvalósítható és kevésbé beavatkozó jellegű megoldás lenne.
A második indokot illetően a Bíróság az e területre vonatkozó állandó ítélkezési gyakorlatára emlékeztetve pontosítja, hogy a valamely közlekedési vállalat ügyfeleinek megszólítására vonatkozó személyes adatoknak a kereskedelmi kommunikáció nemi identitáson alapuló személyre szabását célzó kezelése
nem tekinthető szükségesnek, amennyiben i. ezen adatok gyűjtése során nem tájékoztatták ezen ügyfeleket a fennálló jogos érdekről; ii. az adatkezelés nem e jogos érdek érvényesítéséhez feltétlenül szükséges határokon belül történik, vagy iii. a releváns körülmények összességére tekintettel ezen ügyfelek alapvető jogai és szabadságai – különösen a nemi identitáson alapuló hátrányos megkülönböztetés kockázata miatt – elsőbbséget élvezhetnek e jogos érdekkel szemben.
