La mancata informazione specifica sugli interessi legittimi perseguiti da un titolare comporta l’illiceità del tratta...
La mancata informazione specifica sugli interessi legittimi perseguiti da un titolare comporta l’illiceità del trattamento dei dati personali – le conclusioni dell’Avvocato Generale
Il Conseil d’État (Consiglio di Stato francese), chiamato a dirimere una controversia sorta da una decisione del Garante Privacy francese (“CNIL”), ha adito la Corte di Giustizia Europea (“CGUE”) per chiedere una pronuncia pregiudiziale.
La vicenda:
1. Il procedimento dinanzi alla CNIL
SNCF Connect (“SNCF”) è una società che commercializza titoli di trasporto ferroviario attraverso il suo sito Internet. Al momento dell’acquisto, i clienti sono tenuti obbligatoriamente a indicare il proprio appellativo, barrando la dicitura “Signore” o “Signora”. L’associazione Mousse (“Mousse”), ha presentato un reclamo dinanzi alla CNIL sostenendo che la richiesta di tali informazioni al momento dell’acquisto non sarebbe conforme ai principi di liceità e di minimizzazione del trattamento sanciti dal GDPR, nonché agli obblighi di trasparenza e di informazione individuati dallo stesso.
Con decisione del 23 marzo 2021, la CNIL ha proceduto all’archiviazione del reclamo ritenendo che i fatti contestati a SNCF Connect non costituissero una violazione, in quanto il trattamento posto in essere sarebbe stato necessario per l’esecuzione del contratto di fornitura di servizi di trasporto. Inoltre, la CNIL ha rilevato che, tenuto conto delle sue finalità, un tale trattamento era conforme al principio di minimizzazione dei dati, poiché rivolgersi ai clienti utilizzando il loro appellativo corrispondeva agli usi in materia di comunicazioni civili, commerciali e amministrative.
2. L’impugnazione dell’associazione Mousse dinanzi al Consiglio di Stato francese
Il 21 maggio 2021, la Mousse ha proposto al Consiglio di Stato francese ricorso di annullamento della decisione della CNIL, sostenendo che l’obbligo di optare per l’indicazione “Signore” o “Signora” al momento dell’acquisto online non sarebbe conforme al GDPR in quanto tale indicazione non sarebbe necessaria all’esecuzione del contratto o al perseguimento di legittimi interessi. La circostanza che detta indicazione sia utilizzata nella corrispondenza commerciale non sarebbe sufficiente a rendere necessaria la raccolta di tali dati, e, comunque, nel caso di cittadini di Paesi il cui stato civile ammette il genere neutro, tale indicazione non corrisponderebbe alla realtà e potrebbe quindi risultare contraria al principio di esattezza.
In tale contesto, il Consiglio di Stato francese ha deciso di sospendere il procedimento e di sottoporre alla CGUE le seguenti questioni pregiudiziali:
a) se si possa tenere conto degli usi comuni in materia di comunicazioni civili, commerciali e amministrative per valutare il carattere adeguato, pertinente e limitato del trattamento dei dati relativi ai termini “Signore” o “Signora”, senza che a ciò ostino i principi di minimizzazione e liceità del trattamento;
b) se, per valutare la necessità della raccolta obbligatoria e del trattamento dei dati relativi all’appellativo dei clienti si debba tenere conto del fatto che essi potrebbero esercitare il diritto di opposizione all’utilizzo e alla conservazione di tali dati, una volta eventualmente forniti.
3. Le conclusioni dell’Avvocato Generale (“AG”)
Nel dirimere la questione relativa al primo punto l’Avvocato Generale, sebbene riconosca nella necessità di comunicare con il cliente, un interesse legittimo in capo alla SNCF Connect, osserva che l’indicazione dell’informazione “Signore” o “Signora” non sia un dato necessario al raggiungimento delle finalità del trattamento, in ottemperanza al principio di minimizzazione dei dati previsto dal GDPR.
In relazione al secondo punto, l’AG sostiene che l’esistenza di un diritto di opposizione non è in alcun modo rilevante ai fini della valutazione della necessità del trattamento posto in essere in ragione di un legittimo interesse del titolare.
Inoltre l’AG osserva che, in generale, il generico riferimento ad un interesse legittimo non è una condizione sufficiente a soddisfare l’obbligo di informazione previsto dal GDPR, che impone al titolare del trattamento di indicare specificamente quale sia il legittimo interesse perseguito (CGUE nella causa Meta Platforms e altri C-252/21). Secondo l’AG l’inosservanza di tale obbligo di informazione comporta l’illecito trattamento dei dati personali in questione, in altri termini la mera menzione del legittimo interesse, senza specificare con precisione quale sia tale legittimo interesse, non può soddisfare l’obbligo di informazione di cui all’articolo 13, paragrafo 1, lettera d), del RGPD, che impone al titolare del trattamento di indicare il legittimo interesse perseguito.
