L’acquisto del biglietto del treno nell’era del GDPR: per la CGUE l’indicazione del sesso non è necessaria
A cura del Dott. Marco Miglietta
L'indicazione del genere della persona che acquista un titolo di trasporto, tramite l'uso degli appellativi "signora" o "signore" (o simili), costituisce un dato personale non necessario per l'erogazione del servizio richiesto e non indispensabile neppure per la personalizzazione delle comunicazioni commerciali da parte dell'impresa di trasporto. A stabilirlo è la CGUE con la sentenza dello scorso 9 gennaio nella causa C‑394/23.Nello specifico, con la pronuncia la Corte di giustizia dell'Unione europea ha condannato l'operatore ferroviario francese SNCF, che in passato aveva richiesto ai passeggeri di autodichiarare il proprio sesso quando prenotavano i biglietti del treno online, ritenendola un'informazione non necessaria ai sensi del GDPR.
Il caso. L'associazione Mousse presentava un reclamo contro la società SNCF Connect, sostenendo che la richiesta obbligatoria dell'appellativo durante l'acquisto online di biglietti ferroviari violasse i principi di minimizzazione dei dati e di liceità del trattamento, come stabilito dagli articoli 5 e 6 del GDPR. La Commission nationale de l'informatique et des libertés (CNIL) respingeva il reclamo, ritenendo che tale raccolta fosse giustificata. Avverso il provvedimento del Garante, la questione veniva sottoposta al Conseil d'État francese, che ha richiesto un'interpretazione pregiudiziale alla CGUE.
La decisione della CGUE. Con la sentenza, la Corte ha stabilito che la raccolta obbligatoria dell'appellativo deve essere valutata alla luce del principio di minimizzazione dei dati. In particolare, ha affermato che tale trattamento è lecito solo se l'appellativo è necessario per l'esecuzione del contratto di trasporto o se il titolare del trattamento può dimostrare un legittimo interesse che prevale sui diritti e le libertà fondamentali dell'interessato. La Corte ha inoltre sottolineato che il diritto alla protezione dei dati personali non è assoluto, ma deve essere bilanciato con altri diritti fondamentali, in conformità al principio di proporzionalità.
In conclusione. La decisione della CGUE nella causa C‑394/23 rafforza l'importanza del principio di minimizzazione dei dati nel trattamento delle informazioni personali. Le organizzazioni devono pertanto garantire che la raccolta dei dati sia limitata a quanto strettamente necessario per le finalità legittime perseguite, assicurando al contempo il rispetto dei diritti fondamentali degli individui, come sancito dal GDPR.