Żądanie od klientów podania tytułów grzecznościowych a RODO – wnioski z opinii rzecznika generalnego TSUE w sprawie C-394/23

Zbieranie tytułów grzecznościowe od klientów jest jedną z powszechnych praktyk biznesowych, w szczególności w branży e-commerce. Informacje te, zbierane zwykle w momencie zakupu towaru lub zamówienia usługi, są wykorzystywane do personalizacji komunikacji posprzedażowej z klientem. Zbieranie i utrwalanie informacji o tym, w jaki sposób konkretna osoba chce być tytułowana, stanowi przetwarzanie jej danych osobowych. W konsekwencji konieczne jest zapewnienie zgodności takich praktyk z przepisami o ochronie danych osobowych. Niedawna opinia rzecznika generalnego TSUE w sprawie C-394/23 zawiera ważne wnioski dla administratorów, którzy chcą zwracać się do klientów z wykorzystaniem podanego przez nich tytułu grzecznościowego. W artykule przedstawiamy najważniejsze punkty opinii oraz płynące z niej wnioski dla administratorów danych.

Czy sprzedawca lub usługodawca może prosić klienta o podanie informacji, w jaki sposób należy do niego się zwracać?

11 lipca 2024 r. rzecznik generalny Trybunału Sprawiedliwości Unii Europejskiej Maciej Szpunar przedstawił opinię w sprawie C‑394/23. Głównym przedmiotem opinii jest analiza, czy przetwarzanie danych osobowych w postaci wskazującego na płeć osoby fizycznej tytułu grzecznościowego Pan/Pani jest zgodna z przepisami RODO.

Conseil d’État (francuska Rada Stanu) zwróciła się do TSUE w związku ze sporem toczącym się pomiędzy SNCF Connect – spółką z branży przewozowej, sprzedającą dokumenty na przejazd koleją (bilety i inne) – a stowarzyszeniem Mousse, które zajmuje się przeciwdziałaniem dyskryminacji ze względu na płeć i orientację seksualną. Zakup oferowanych przez spółkę dokumentów wymagał od klientów podania tytułu grzecznościowego „Pan” lub „Pani” wskazującego na płeć, co wzbudziło wątpliwości stowarzyszenia. Mousse wniosło skargę do francuskiego organu ochrony danych osobowych (Commission Nationale Informatique & Libertés, CNIL), podnosząc, iż zbieranie tego rodzaju danych nie znajduje podstawy prawnej w przepisach RODO, a dodatkowo narusza zasadę minimalizacji danych, która stanowi, iż gromadzone przez administratora dane powinny być niezbędne dla realizacji celu, w jakim są przetwarzane.

CNIL uznał, iż przetwarzanie danych było zgodne z prawem na podstawie art. 6 ust. 1 lit. b) RODO, ponieważ było ono niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub podjęcia działań przed jej zawarciem. Organ stwierdził także, iż praktyka SNCF Connect była zgodna z zasadą minimalizacji danych, ponieważ zwracanie się do klientów z wykorzystaniem ich danych na temat płci odpowiada zwyczajom panującym w dziedzinie korespondencji prywatnej, handlowej i administracyjnej.

Sprawa trafiła do Conseil d’État w związku ze skargą stowarzyszenia. W postępowaniu przed Conseil d’État CNIL wraz ze spółką podtrzymywały, iż przetwarzanie znajduje podstawę prawną w RODO i jest niezbędne do wykonania umowy, ze względu na konieczność komunikacji z klientem w sposób zwyczajowo przyjęty, tj. z użyciem tytułów grzecznościowych wskazujących na płeć klienta. CNIL, odpowiadając na twierdzenia Mousse, wskazał, iż takie przetwarzanie danych można ponadto uznać za niezbędne do realizacji prawnie uzasadnionych interesów spółki SNCF Connect w rozumieniu art. 6 ust. 1 lit. f) i w takim przypadku zainteresowane osoby mogą powoływać się na prawo sprzeciwu ze względu na ich szczególną sytuację, które przysługuje im na podstawie art. 21 RODO. Innymi słowy CNIL uznał, iż na ocenę zgodności z prawem przetwarzania na podstawie art. 6 ust. 1 lit. f) RODO ma wpływ możliwość wniesienia sprzeciwu wobec przetwarzania danych przez osobę, której dane dotyczą.

W związku z wątpliwościami interpretacyjnymi Conseil d’État zwróciła się do TSUE z następującymi pytaniami prejudycjalnymi:

Co ustalił rzecznik generalny w sprawie C-394/23 (Association Mousse v Commission nationale de l’informatique et des libertés, SNCF Connect)?

Rzecznik przedstawił następujące stanowisko oraz propozycje odpowiedzi TSUE na pytania sądu krajowego:

• O ile sam cel przetwarzania danych, jakim jest komunikacja handlowa z klientem, należy uznać za nieodłączny element zawarcia oraz wykonania umowy, tak samo użycie form grzecznościowych nie stanowi integralnej części celu, a jest jedynie środkiem jego realizacji, który nie wpływa na prawidłowość zawarcia umowy i jej wykonania. Usługa sprzedaży dokumentu podróży oraz późniejsza usługa przewozu świadczone przez SCNF Connect pozostaną zatem niezmienione, gdy spółka będzie zwracać się do swoich klientów wyłącznie przy pomocy ogólnych zwrotów niewskazujących na płeć. W konsekwencji zbieranie danych w postaci tytułów grzecznościowych wskazujących na płeć nie jest niezbędne do skutecznej komunikacji z klientem.
  
• Dane dotyczące płci klientów spółki mają znaczenie tylko w zakresie realizacji szczególnego rodzaju usług oferowanych przez spółkę np. zapewnienie przejazdu w dedykowanych dla kobiet przedziałach nocnych. W takim przypadku przetwarzanie przedmiotowych danych znajdzie oparcie w art. 6 ust. 1 lit. b) RODO, ponieważ jest niezbędne do wykonania tej konkretnej umowy. W pozostałym zakresie zbieranie danych wskazujących na płeć klientów w postaci tytułów grzecznościowy ma charakter nadmiarowy i odbywa się bez podstawy prawnej.
  
• Błędna jest teza, iż na ocenę niezbędności przetwarzania danych i możliwości uzasadnienia jego zgodności z prawem na podstawie art. 6 ust. 1 lit. f RODO wpływa prawo wyrażania sprzeciwu przez osobę, której dane dotyczą. Takie założenie jest niewłaściwe, ponieważ prowadzi do rozszerzenia zamkniętego katalogu podstaw przetwarzania. Art. 21 ust. 1 RODO może mieć zastosowanie tylko, gdy dotyczy danych przetwarzanych w sposób zgodny z prawem. Rzecznik zauważył, iż przyjęcie koncepcji zaproponowanej przez CNIL prowadziłoby do sytuacji, w której od wniesienia bądź niewniesienia sprzeciwu przez podmiot danych wobec dotyczącego go przetwarzania danych zależałaby zgodność przetwarzania z prawem.
  
• Nieopisanie w klauzuli informacyjnej przedstawianej podmiotom danych, na czym polega deklarowany przez administratora „prawnie uzasadniony interes”, którego niezbędnością uzasadnia on przetwarzanie, stanowi nie tylko naruszenie art. 13 ust. 1 lit. d RODO, ale pozwala zakwestionować zgodność z prawem całego przetwarzania.

Z całością opinii rzecznika generalnego można zapoznać się tutaj.

Podsumowanie

Zasada minimalizacji danych ma ograniczyć intensywność naruszenia prawa podstawowego do tego, co jest absolutnie niezbędne dla realizacji celów administratora. Tym samym spełnienie tego wymogu należy interpretować jako nakaz ograniczenia powiązania danych z osobą fizyczną oraz operacji wykonywanych na danych, a nie wyłącznie jako obowiązku redukcji zakresu danych jako takich[1]. Za odpowiednie do realizacji celu przetwarzania w rozumieniu art. 5 ust. 1 lit. c RODO należy zatem uznać takie dane osobowe i powiązane z nimi czynności na danych, których adekwatności do realizacji określonego zamiaru administratora nie da się obiektywnie zakwestionować[2]. W konsekwencji urzeczywistnienie tej zasady jest ściśle powiązane z celem przetwarzania, który wyznaczył administrator.

W doktrynie przyjmuje się, iż „niezbędność” przetwarzania, o której mowa odpowiednio w art. 6 ust. 1 lit. b i f RODO, pozwala uzasadnić przetwarzanie danych odwołując się do jednej z podstaw wskazanych w tym przepisie wyłącznie, gdy bez konkretnej operacji na danych realizacja postanowień umowy, jej zawarcie lub urzeczywistnienie prawnie uzasadnionego interesu administratora byłoby obiektywnie niemożliwe. Warto jednak zauważyć, iż „niezbędność przetwarzania do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy” należy interpretować zachowaniem odpowiedniego stopnia elastyczności, biorąc pod uwagę perspektywę osoby, której dane dotyczą i która dobrowolnie zawarła stosowną umowę lub dąży do jej zawarcia[3].

Wnioski rzecznika generalnego w opisanej sprawie wskazują, iż zgodność zbierania przez administratora od klientów tytułów grzecznościowych wskazujących na ich płeć z zasadą minimalizacji danych oraz możliwość oparcia takiego przetwarzania na podstawie art. 6 ust. 1 lit. b RODO ściśle zależy od przedmiotu świadczenia, którego dotyczy umowa. Warto przy tym zauważyć, iż rzecznik generalny nie przesądza tego, iż przetwarzanie danych na potrzeby komunikacji z klientami nie może zostać oparte na art. 6 ust. 1 lit. b albo na podstawie niezbędności przetwarzania do realizacji prawnie uzasadnionych interesów administratora (art. 6 ust. 1 lit. f RODO). W stanie faktycznym, którego dotyczyła opinia rzecznika, administrator po prostu przetwarzał więcej danych niż było to konieczne do osiągnięcia celu deklarowanego przez administratora.

Co więcej w przypadku przetwarzania danych na podstawie art. 6 ust. 1 lit. f RODO, brak odpowiedniego poinformowania podmiotów danych o konkretnym interesie, który jest realizowany przez przetwarzanie ich danych, powoduje, iż przetwarzanie to będzie niezgodne z prawem in extenso.

Wydawać by się mogło, iż sprawa będąca przedmiotem opinii rzecznika dotyka problemu o charakterze marginalnym z perspektywy praktyki stosowania przepisów dotyczących ochrony danych osobowych. Należy jednak zauważyć, iż sprawa ta dotyczy nie tylko naruszenia zasady minimalizacji danych przez administratora, ale dotyka także problemu dyskryminacji osób niebinarnych, które zmuszone są do wyboru tytułów grzecznościowych nieodpowiadających ich tożsamości płciowej. Przychylenie się rzecznika generalnego do argumentacji stowarzyszenia, występującego w obronie praw tych osób, stanowi istotny sygnał dla TSUE, aby przy wyrokowaniu poddać analizie także ten aspekt sprawy. Co więcej rezultat sprawy i wykładnia art. 5 ust. 1 lit. c RODO przyjęta przez Trybunał będzie mieć praktyczne znaczenie w szczególności dla praktyki opracowywania formularzy zamówień w sklepach internetowych czy formularzy rejestracyjnych w usługach pośrednich.

[1] A. Roßnagel, P. Richter, Article 5, [w:] General Data Protection Regulation Article-by-Article Commentary, red. I. Spiecker gen. Döhmann, V. Papakonstantinou, G. Hornung, P. De Hert, Baden-Baden 2023, s. 282

[2] E. M. Frenzel, Artikel 5 [w:] Datenschutzgrundverordnung. Bundesdatenschutzgesetz, red. B. Paal, D. Pauly, München 202, nb 36

[3] G. Santor, Article 6, [w:] General Data Protection Regulation Article-by-Article Commentary, red. I. Spiecker gen. Döhmann, V. Papakonstantinou, G. Hornung, P. De Hert, Baden-Baden 2023, s. 282