Czy zbieranie informacji o formach grzecznościowych „Pani”/”Pan” jest sprzeczne z RODO? – wyrok TSUE

Kwestia legalności zbierania informacji o formach grzecznościowych „Pani” / „Pan” od klientów była przedmiotem badania przez Trybunał Sprawiedliwości Unii Europejskiej („TSUE”)[1]. Sprawa trafiła do TSUE w wyniku pytania prejudycjalnego złożonego przez francuską Radę Stanu (Conseil d’Etat). Wątpliwości wzbudziła możliwość zbierania przez przewoźnika (SNCF Connect) informacji o formach grzecznościowych „Pani” / „Pan” przy zakupie biletów uprawniających do przejazdu pociągiem.


Spór rozpoczął się od skargi stowarzyszenia Mousse, które uznało, że zbieranie informacji o formach grzecznościowych narusza RODO. Ponieważ francuski organ nadzorczy (CNIL) nie zgodził się z argumentacją stowarzyszenia, sprawa trafiła do Rady Stanu (Conseil d’Etat), która z kolei postanowiła zasięgnąć opinii TSUE.


Pytania prejudycjalne

Pytania złożone w trybie prejudycjalnym dotyczyły dwóch kwestii:

  1. Czy przy ocenie adekwatnościstosowności gromadzenia danych oraz ograniczenia go do tego, co niezbędne, w rozumieniu art. 5 ust. 1 lit. c) RODO, a także niezbędności przetwarzania tych danych w rozumieniu art. 6 ust. 1 akapit pierwszy lit. b) i f) RODO można wziąć pod uwagę powszechnie przyjęte zwyczaje w komunikacji prywatnej, handlowej i administracyjnej, w związku z czym gromadzenie danych na temat płci klientów w zakresie ograniczonym do form »pan« lub »pani« można uznać za niezbędne i zgodne z zasadą minimalizacji danych?
  2. Czy przy ocenie niezbędności obowiązkowego gromadzenia i przetwarzania danych wskazujących na płeć form grzecznościowych odnoszących się do klientów – zważywszy, że niektórzy klienci uważają, iż nie przynależą do żadnej z dwóch płci, a gromadzenie tych danych nie jest w ich przypadku stosowne – należy wziąć pod uwagę okoliczność, że owi klienci, przekazawszy te dane administratorowi w celu skorzystania z proponowanej usługi, mogą skorzystać z przysługującego im prawa sprzeciwu wobec wykorzystywania i przechowywania odnośnych danych, powołując się na swoją szczególną sytuację na podstawie art. 21 RODO?”.

Argumentacja stron postępowania

Stowarzyszenie Mousse argumentowało, że obowiązek zaznaczania formy grzecznościowej „Pani” lub „Pan” podczas zakupu internetowego biletów nie jest zgodny z zasadą zgodności przetwarzania z prawem ani z zasadą minimalizacji danych określonymi w RODO. W ocenie stowarzyszenia zebranie informacji o formie grzecznościowej nie jest niezbędne ani do wykonania umowy o świadczenie usług przewozu, ani do celów wynikających z prawnie uzasadnionych celów SNCF Connect (sam fakt, że tych określeń używa się w korespondencji handlowej nie może wystarczyć, żeby narzucać spełnienie tego obowiązku). Kolejnym argumentem stowarzyszenia Mousse było naruszenie prawa do poszanowania życia prywatnego i swobody nieskrępowanego wyrażania swojej tożsamości płciowej, a także ryzyko dyskryminacji. Zwłaszcza w przypadku obywateli Państw, w których aktach stanu cywilnego dopuszcza się płeć neutralną – w tym przypadku określenie Pani / Pan może nie odpowiadać rzeczywistości i naruszać swobodę przemieszczania się tych osób.

CNIL uznał, że przetwarzanie danych było zgodne z prawem i można je było oprzeć o podstawę z art. 6 ust. 1 lit b) RODO – niezbędność do realizacji umowy. W ocenie CNIL przetwarzanie spersonalizowanych form grzecznościowych jest zgodne z zasadą minimalizacji danych, ponieważ spersonalizowane zwracanie się do klientów, z wykorzystaniem formy grzecznościowej odpowiada zwyczajom przyjętym w komunikacji handlowej, prywatnej i administracyjnej. Ponadto w toku postępowania CNIL zajął stanowisko, że przetwarzanie danych można również uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów i podkreślił możliwość powołania się na prawo sprzeciwu.

Przewoźnik – SNCF Connect podniósł na rozprawie dodatkowy argument za legalnością przetwarzania – oprócz celu, jakim była komunikacja z klientem, dane były mu niezbędne również w celu odpowiedniego dostosowania usług przewozowych w pociągach nocnych, obejmujących rezerwowanie wagonów dla osób o tej samej tożsamości płciowej i zapewnienie pomocy pasażerom z niepełnosprawnościami.


Ocena TSUE – niezbędność przetwarzania do zawarcia umowy

TSUE stwierdził, że niezbędność do zawarcia umowy należy oceniać w kontekście obiektywnej konieczności przetwarzania do osiągnięcia celu stanowiącego integralną część świadczenia umownego na rzecz osoby, której dane dotyczą (klienta). To, że dane mogą być jedynie przydatne do wykonania umowy, nie ma znaczenia. Wymóg niezbędności nie jest spełniony, jeśli cel można w sposób racjonalny osiągnąć w równie skutecznie za pomocą innych środków, w mniejszy sposób naruszających m.in. prawo do poszanowania życia prywatnego.

W niniejszej sprawie TSUE uznał, że komunikacja kierowana do klientów nie musi być koniecznie personalizowana z uwzględnieniem tożsamości płciowej danego klienta. Istnieje bowiem możliwość zastosowania mniej inwazyjnych rozwiązań, na które można się powołać, np. używanie zwrotów grzecznościowych generycznych. Dodatkowo użycie niewłaściwej formy grzecznościowej nie ma znaczenia w kontekście wykonania umowy przewozu, co w ocenie TSUE zdaje się potwierdzać, że zbieranie takich danych nie jest obiektywnie konieczne do realizacji umowy przewozu.

Odnosząc się do drugiego z celów wskazywanych przez SNCF Connect, czyli dostosowania usług w przewozach nocnych (rezerwacja wagonów dla osób tej samej płci), to TSUE stwierdził, że ten cel nie wymaga przetwarzania danych wszystkich osób rezerwujących przejazd, w tym osób podróżujących w dzień, bo naruszałoby to zasadę minimalizacji danych.


Ocena TSUE – prawnie uzasadniony interes

TSUE podkreślił, że przy ocenie możliwości przetwarzania danych w oparciu o prawnie uzasadniony interes należy brać pod uwagę trzy przesłanki (które muszą być spełnione łącznie):

  1. realizacja prawnie uzasadnionego interesu przez administratora lub stronę trzecią – badając tą przesłankę należy w szczególności zbadać, czy klienci zostali poinformowani o prawnie uzasadnionym interesie SNCF Connect;
  2. niezbędność przetwarzania danych osobowych do celów wynikających z tego prawnie uzasadnionego interesu – w tym kontekście TSUE zauważył, że personalizacja komunikacji handlowej może ograniczać się do przetwarzania nazwisk i imion klientów, ponieważ odnosząca się do nich forma grzecznościowa lub tożsamość płciowa nie są informacjami, które wydają się ściśle niezbędne w tych okolicznościach, w szczególności z uwagi na zasadę minimalizacji danych. TSUE uznał również, że przy ocenie niezbędności nie mają znaczenia zwyczaje i konwencje społeczne, w szczególności w celu zachowania różnorodności językowej i kulturowej (taki argument wskazywały SNCF Connect i rząd francuski), gdyż nie jest to wskazane w RODO jako przesłanka oceny prawnie uzasadnionego interesu;
  3. interesy lub podstawowe prawa i wolności osoby objętej ochroną danych nie mogą mieć pierwszeństwa przed prawnie uzasadnionymi interesami administratora lub osoby trzeciej – co do zasady klient przedsiębiorstwa przewozowego nie musi się spodziewać, że przewoźnik będzie przetwarzać dane dotyczące odnoszącej się do niego formy grzecznościowej lub tożsamości płciowej.

W konsekwencji TSUE uznał, że przetwarzanie danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przewoźnika, w celu personalizacji komunikacji handlowej nie można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub osobę trzecią, jeśli:

– o realizowanym prawnie uzasadnionym interesie nie poinformowano klientów w momencie zbierania danych;

– przetwarzania nie dokonano w granicach tego, co jest ściśle niezbędne do realizacji prawnie uzasadnionego interesu;

– w świetle wszystkich istotnych okoliczności prawa podstawowe i wolności klientów mogą mieć nadrzędny charakter wobec prawnie uzasadnionego interesu, między innymi z uwagi na ryzyko dyskryminacji ze względu na tożsamość płciową.

Ponadto TSUE stwierdził, że przy ocenie niezbędności przetwarzania do celów prawnie uzasadnionych interesów (art. 6 ust. 1 lit f) RODO) nie należy uwzględniać ewentualnego istnienia prawa do sprzeciwu przysługującego osobie, której dane dotyczą na podstawie art. 21 RODO.


Wnioski

W związku z powyższym wyrokiem TSUE zalecamy Państwu weryfikację Państwa procesów przetwarzania danych osobowych. Przetwarzanie, wydawałoby się że dość trywialnych danych, w postaci formy grzecznościowej opartej na tożsamości płciowej może bowiem potencjalnie spowodować niezgodność przetwarzania z wymogami RODO. Wyrok TSUE nie zamyka jednak możliwości zbierania informacji o formach grzecznościowych. Przed przetwarzaniem takich danych warto jednak przeanalizować cele, do których dane miałyby być przetwarzane i spełnienie wskazanych przez TSUE warunków oparcia przetwarzania danych o prawnie uzasadniony interes.


[1] Wyrok Trybunału z dnia 9 stycznia 2025 r., sygn. C‑394/23. – treść wyroku dostępna TUTAJ.


Materiał prasowy: radca prawny Ewa Kuczyńska.

Zapisz się do newslettera

Chcę zapisać się do newslettera