Corte di giustizia UE/2025

62023CJ0394_RES Causa C‑394/23 [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] nationale de l’informatique et des libertés (CNIL) e a. [domanda di pronuncia pregiudiziale proposta dal Conseil d’État (Consiglio di Stato, Francia)] Sentenza della Corte (Prima Sezione) del 9 gennaio 2025 «Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 5, paragrafo 1, lettera c) – Minimizzazione dei dati – Articolo 6, paragrafo 1 – Liceità del trattamento – Dati relativi all’appellativo e all’identità di genere – Vendita online di titoli di trasporto – Articolo 21 – Diritto di opposizione» Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Presupposti di liceità di un trattamento di dati personali – Principio della minimizzazione dei dati – Trattamento necessario all’esecuzione di un contratto che vincola l’interessato – Nozione – Raccolta, da parte di un’impresa di trasporto, dei dati relativi all’appellativo e all’identità di genere dei suoi clienti ai fini della personalizzazione della comunicazione commerciale – Esclusione [Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 5, § 1, c), e 6, § 1, comma 1, b)] (v. punti 22‑29, 33, 34, 36‑40, 42, 43, 64, dispositivo 1) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Presupposti di liceità di un trattamento di dati personali – Principio della minimizzazione dei dati – Trattamento necessario ai fini dei legittimi interessi perseguiti dal titolare del trattamento o da un terzo – Nozione – Raccolta, da parte di un’impresa di trasporto, dei dati relativi all’appellativo e all’identità di genere dei suoi clienti ai fini della personalizzazione della comunicazione commerciale – Esclusione – Presupposti [Regolamento del Parlamento europeo e del Consiglio 2016/679, art. 6, § 1, comma 1, f)] (v. punti 22‑29, 45‑50, 52‑64, dispositivo 1) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Ambito di applicazione – Nozione di trattamento di dati personali – Raccolta, da parte di un’impresa di trasporto, dei dati relativi all’appellativo e all’identità di genere dei suoi clienti – Inclusione (Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 2, § 1, e 4, punti 1 e 2) (v. punto 30) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Presupposti di liceità di un trattamento di dati personali – Trattamento necessario ai fini dei legittimi interessi perseguiti dal titolare del trattamento o da un terzo – Criteri di valutazione – Diritto di opposizione della persona interessata dal trattamento – Esclusione [Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 6, § 1, comma 1, f), e 21] (v. punti 66‑70, dispositivo 2) [OSCURATO:PERSONA] in via pregiudiziale dal Conseil d’État (Consiglio di Stato, Francia), la Corte precisa la portata dei principi di liceità e di minimizzazione dei dati, previsti dal RGPD ( 1 ), nel contesto del trattamento da parte di un’impresa di trasporto dei dati relativi all’appellativo dei suoi clienti, ai fini della personalizzazione della sua comunicazione commerciale. La SNCF Connect commercializza titoli di trasporto ferroviario attraverso il suo sito Internet e applicazioni online. I suoi clienti sono tenuti ad indicare il loro appellativo, barrando la dicitura «Signore» o «Signora», quando acquistano tali titoli di trasporto online. [OSCURATO:PERSONA] ha presentato dinanzi alla [OSCURATO:PERSONA] nationale de l’informatique et des libertés (Commissione nazionale per l’informatica e le libertà; in prosieguo: la «CNIL», Francia) un reclamo contro la SNCF Connect, per il motivo che le condizioni di raccolta e di registrazione dei dati relativi all’appellativo dei clienti di quest’ultima non erano conformi ai requisiti del RGPD. Più precisamente, la [OSCURATO:PERSONA] sosteneva che la raccolta di tali dati da parte della SNCF Connect violava i principi di liceità e di minimizzazione dei dati, nonché gli obblighi di trasparenza e di informazione derivanti da questo medesimo regolamento ( 2 ). Con decisione del 23 marzo 2021, la CNIL ha deciso che il trattamento dei dati effettuato dalla SNCF Connect era lecito, con la motivazione che esso era necessario all’esecuzione del contratto di fornitura di servizi di trasporto interessato ( 3 ) e conforme al principio della minimizzazione dei dati. Il 21 maggio 2021 la [OSCURATO:PERSONA] ha adito il giudice del rinvio con un ricorso di annullamento avverso la decisione della CNIL, allegando che l’obbligo imposto ai clienti della SNCF Connect di indicare il loro appellativo non sarebbe necessario all’esecuzione di un contratto di fornitura di servizi di trasporto, che esso sarebbe tale da ledere, in particolare, il diritto al rispetto della vita privata e che esso provocherebbe un rischio di discriminazione fondata sull’identità di genere. In tali circostanze, il giudice del rinvio si chiede se, al fine di valutare la necessità della raccolta dei dati relativi all’appellativo dei clienti effettuata dalla SNCF Connect, si possa tener conto, da un lato, degli usi ammessi nelle comunicazioni commerciali, civili e amministrative e, dall’altro, del fatto che tali clienti potrebbero esercitare, dopo aver fornito detti dati al titolare del trattamento, il loro diritto di opposizione all’utilizzo di tali dati, per motivi connessi alla loro situazione particolare ( 4 ). Giudizio della Corte Sotto un primo profilo, la Corte esamina se un trattamento dei dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale, possa essere considerato necessario all’esecuzione di un contratto ( 5 ) o per il perseguimento del legittimo interesse del titolare di tale trattamento o di terzi ( 6 ). Per quanto riguarda, da un lato, la necessità di un siffatto trattamento all’esecuzione di un contratto ( 7 ), la Corte precisa che quest’ultimo deve essere oggettivamente indispensabile per realizzare una finalità che è parte integrante dell’esecuzione del contratto. Più precisamente, un siffatto trattamento deve essere essenziale per la corretta esecuzione del contratto stipulato tra il titolare del trattamento e l’interessato e, pertanto, non devono esistere altre soluzioni percorribili e meno invasive. Nel caso di specie, atteso che l’oggetto principale del contratto di trasporto di cui trattasi è la fornitura ai clienti di un servizio di trasporto ferroviario e che il trattamento di dati di cui trattasi nel procedimento principale ha la finalità di personalizzare la comunicazione commerciale nei confronti del cliente, tale comunicazione può costituire una finalità che è parte integrante dell’esecuzione del contratto. Infatti, la fornitura di un siffatto servizio implica, in linea di principio, di comunicare con il cliente al fine, in particolare, di trasmettergli un titolo di trasporto per via elettronica, di informarlo di eventuali modifiche che incidono sul viaggio corrispondente, nonché di consentire scambi con il servizio di assistenza. Tale comunicazione può richiedere l’osservanza di usi e contenere in particolare formule di cortesia, al fine di dimostrare il riguardo dell’impresa interessata nei confronti del suo cliente. Tuttavia, la Corte sottolinea che una siffatta comunicazione non deve necessariamente essere personalizzata in funzione dell’identità di genere del cliente interessato. Nel caso di specie, per quanto riguarda i servizi di cui trattasi nel procedimento principale, una personalizzazione della comunicazione commerciale, fondata su una identità di genere presunta in funzione dell’appellativo, non sembra essere né oggettivamente indispensabile né essenziale al fine di consentire la corretta esecuzione di un contratto e, pertanto, non può essere considerata necessaria alla sua esecuzione. Infatti, una soluzione percorribile e meno invasiva sembra esistere, dal momento che la SNCF Connect potrebbe optare, nei confronti dei clienti che non desiderano indicare il loro appellativo o in maniera generale, per una comunicazione basata su formule di cortesia generiche, inclusive e prive di correlazione con la presunta identità di genere dei clienti. Per quanto riguarda, dall’altro lato, la necessità di un trattamento dei dati personali relativi all’appellativo dei clienti di un’impresa di trasporto per il perseguimento del legittimo interesse del titolare di tale trattamento o di terzi ( 8 ), la Corte ricorda anzitutto le tre condizioni che devono essere soddisfatte affinché un siffatto trattamento sia lecito. Per quanto riguarda, in primo luogo, la condizione relativa al perseguimento di un interesse legittimo del titolare del trattamento o di terzi, la Corte sottolinea che spetta al titolare del trattamento indicare alla persona di cui raccoglie i dati personali i legittimi interessi che egli persegue al momento del trattamento di cui trattasi. Ad esempio, potrebbero sussistere tali interessi quando esista una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente del titolare del trattamento. Nel caso di specie, la Corte afferma che spetta al giudice del rinvio verificare se un legittimo interesse sia stato indicato dalla SNCF Connect ai suoi clienti ( 9 ) e precisa che può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto. In particolare, in tale contesto, la personalizzazione della pubblicità può essere equiparata al marketing diretto. Per quanto riguarda, in secondo luogo, la condizione relativa alla necessità di trattamento dei dati personali per la realizzazione del legittimo interesse perseguito, la Corte spiega che essa deve essere esaminata unitamente al principio della minimizzazione dei dati ( 10 ). Pertanto, spetta al giudice nazionale verificare se il legittimo interesse perseguito per un trattamento dei dati non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per i diritti e le libertà fondamentali degli interessati. Nel caso di specie, sembra che una personalizzazione della comunicazione commerciale possa limitarsi al trattamento dei nomi e dei cognomi dei clienti, atteso che il loro appellativo e/o la loro identità di genere non sono un’informazione strettamente necessaria in tale contesto, in particolare alla luce del principio di minimizzazione dei dati. In tali circostanze, la Corte indica che, sebbene il RGPD ( 11 ) non preveda la presa in considerazione degli usi e delle convenzioni sociali propri di ciascuno Stato membro ai fini della valutazione della necessità di un trattamento di dati personali, il titolare del trattamento ha la possibilità di rispettare tali usi e convenzioni sociali. Infatti, detto titolare potrebbe utilizzare nei confronti dei clienti che non desiderano indicare il loro appellativo o in maniera generale, formule di cortesia generiche, inclusive e prive di correlazione con l’identità di genere di tali clienti. Per quanto riguarda, in terzo luogo, la condizione secondo cui gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgono sul legittimo interesse del titolare del trattamento o di terzi, la Corte ritiene che essa implichi una ponderazione dei diritti e degli interessi contrapposti in gioco. Spetta al giudice nazionale interessato effettuare tale ponderazione tenendo conto, in particolare, delle ragionevoli aspettative dell’interessato, della portata del trattamento interessato e dell’impatto di quest’ultimo su tale persona. Nel caso di specie, salvo verifica da parte del giudice del rinvio, si presume che il cliente di un’impresa di trasporto non si aspetti che tale impresa tratti dati relativi al suo appellativo o alla sua identità di genere nel contesto dell’acquisto di un titolo di trasporto. Ciò avverrebbe, in particolare, se tale trattamento fosse effettuato unicamente a fini di marketing diretto. Tuttavia, la Corte precisa che il legittimo interesse relativo al marketing diretto non può, in ogni caso, prevalere nell’evenienza di un rischio di pregiudizio ai diritti e alle libertà fondamentali dell’interessato. Spetta quindi al giudice nazionale verificare l’esistenza del rischio di discriminazione fondata sull’identità di genere, allegato dalla [OSCURATO:PERSONA], segnatamente alla luce della direttiva 2004/113 ( 12 ). La Corte aggiunge, al riguardo, che l’ambito di applicazione di tale direttiva non può essere ridotto alle sole discriminazioni dovute dall’appartenenza all’uno o all’altro genere. Tenuto conto del suo scopo e della natura dei diritti che mira a proteggere, detta direttiva può applicarsi anche alle discriminazioni che hanno origine nel mutamento di identità di genere di una persona. Alla luce di quanto precede, la Corte conclude che il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non può essere considerato necessario per il perseguimento del legittimo interesse del titolare di tale trattamento o di terzi, qualora il legittimo interesse perseguito non sia stato indicato dall’impresa a tali clienti al momento della raccolta di tali dati, qualora il trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse o, ancora, qualora, alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali dei clienti possano prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull’identità di genere. Sotto un secondo profilo, la Corte esamina se, per valutare la necessità di un trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, occorra prendere in considerazione l’eventuale esistenza di un diritto di opposizione dell’interessato ( 13 ). Infatti, l’eventuale esistenza di un diritto di opposizione presuppone l’esistenza di un trattamento lecito, fondato nel caso di specie sui legittimi interessi perseguiti dal titolare del trattamento o da terzi. Orbene, per essere lecito, un siffatto trattamento deve prima soddisfare il requisito di stretta necessità per il legittimo interesse perseguito. Dalla formulazione e dall’impianto sistematico delle disposizioni del RGPD risulta quindi che l’esistenza di un diritto di opposizione non può essere presa in considerazione ai fini della valutazione della liceità e, in particolare, della necessità di un trattamento di dati personali fondato sui legittimi interessi perseguiti dal titolare del trattamento o da terzi. ( 1 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»), articolo 5, paragrafo 1, lettere a) e b). ( 2 ) Articolo 13 del RGPD. ( 3 ) Articolo 6, paragrafo 1, primo comma, lettera b), del RGPD. ( 4 ) Articolo 21 del RGPD. ( 5 ) Articolo 6, paragrafo 1, primo comma, lettera b), del RGPD. ( 6 ) Articolo 6, paragrafo 1, primo comma, lettera f), del RGPD. ( 7 ) Ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD, un trattamento di dati personali è lecito se è «necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso». ( 8 ) Ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, un trattamento di dati personali è lecito se è «necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore». ( 9 ) In forza dell’articolo 13, paragrafo 1, lettera d), del RGPD, il titolare del trattamento dei dati personali ha l’obbligo di informare direttamente gli interessati del legittimo interesse perseguito al momento della raccolta dei dati personali. ( 10 ) Ai sensi dell’articolo 13, paragrafo 1, lettera d), del RGPD, il titolare del trattamento dei dati personali ha l’obbligo di informare direttamente gli interessati del legittimo interesse perseguito al momento della raccolta dei dati personali. ( 11 ) Articolo 6, paragrafo 1, primo comma, lettera f), del RGPD. ( 12 ) Direttiva 2004/113/CE del Consiglio, del 13 dicembre 2004, che attua il principio della parità di trattamento tra uomini e donne per quanto riguarda l’accesso a beni e servizi e la loro fornitura ( GU 2004, L 373, pag. 37 ). ( 13 ) Ai sensi dell’articolo 21 del RGPD, l’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, primo comma, lettere e) o f), del RGPD, compresa la profilazione sulla base di tali disposizioni.