Cuando contratamos un servicio, dependiendo de la naturaleza de la que se trate y para poder ejecutarlo, es posible que nos soliciten determinados datos personales. No obstante, en algunas ocasiones, las entidades nos requieren más información de la necesaria para prestar el servicio contratado.
En el artículo de hoy, vamos a analizar una Sentencia del Tribunal de Justicia Europeo (en adelante TJUE), asunto C‑394/23,por la que la Corte ha indicado que no es necesario para ejecutar el contrato, (en este caso) sobre servicios de transporte, tratar el sexo (señor o señora) de una persona para remitirle comunicaciones comerciales personalizadas con la finalidad de informar sobre el servicio o para adaptarlo en función del sexo del interesado/a.
El presente asunto por tanto tiene por objeto un litigio entre una asociación y la autoridad nacional de control francesa (CNIL) en relación con el tratamiento por una empresa de transportes de los datos relativos al término de cortesía con que dirigirse a sus clientes con el fin declarado de utilizarlos en sus comunicaciones comerciales.
Comenzaremos analizando detalladamente los hechos que han dado lugar a la resolución:
“SNCF Connect es una sociedad que vende títulos de transporte por ferrocarril como billetes de tren, abonos de temporada y tarjetas de descuento a través de su sitio de Internet y de aplicaciones. Al comprar los títulos de transporte, los clientes de la sociedad están obligados a indicar el término de cortesía para dirigirse a ellos marcando la casilla «Señor» o «Señora».
Al considerar que las condiciones en las que se recogía de los clientes y se registraba el término de cortesía cuando estos compraban títulos de transporte no cumplían los requisitos del RGPD, la demandante en el litigio principal, la asociación Mousse, presentó una reclamación ante la CNIL contra SNCF Connect. En apoyo de dicha reclamación, Mousse alegó que la recogida de los datos en cuestión no se ajustaba al principio de licitud, establecido en el artículo 5, apartado 1, letra a), de dicho Reglamento, ya que no se basaba en ninguna de las razones previstas en el artículo 6, apartado 1, del mismo Reglamento. Además, según la demandante en el litigio principal, la recogida de esos datos vulneraba el principio de minimización de los datos y el principio de exactitud, tal como figuran en el artículo 5, apartado 1, letras c) y d), respectivamente, de dicho Reglamento, así como las obligaciones de transparencia e información derivadas, en particular, del artículo 13 del Reglamento. En este contexto, Mousse argumentó que SNCF Connect no debía recopilar esos datos o que, al menos, debía ofrecer a sus clientes opciones adicionales, como la indicación «neutro» u «otros».”
Así las cosas, la CNIL, autoridad de control francesa, archivó la reclamación presentada, al considerar que los hechos que se reprochaban a la empresa de transportes no constituían una infracción de las disposiciones pertinentes del RGPD. La CNIL consideró que el tratamiento de datos era lícito, de conformidad con el artículo 6.1.b) RGPD, por ser necesario para la ejecución del contrato de prestación de servicios de transporte. Además, la CNIL señaló que, habida cuenta de sus fines, dicho tratamiento era conforme con el principio de minimización de los datos, ya que dirigirse a los clientes utilizando el término de cortesía usual respondía a la práctica comúnmente aceptada en las comunicaciones civiles, comerciales y administrativas.
Ante el archivo por parte de CNIL, la asociación Mousse interpuso un recurso de anulación contra su decisión ante el Conseil d’État (Consejo de Estado, actuando como Tribunal Supremo de lo Contencioso-Administrativo). En su recurso, la asociación alega que la obligación de optar por la condición de «Señor» o «Señora» en las compras en línea no es conforme con el principio de licitud ni con el principio de minimización de los datos, enunciados respectivamente en el artículo 5.1. letras a) y c), del RGPD, ya que esa mención no es necesaria para la ejecución del contrato ni para la satisfacción de intereses legítimos de la empresa de transportes. El hecho de que dicha información se utilice en la correspondencia comercial no basta para que sea necesaria la recogida de esos datos.
Por último, a juicio de la asociación, una obligación de este tipo puede vulnerar el derecho a viajar sin revelar un término de cortesía relacionado con el género de la persona interesada, el derecho al respeto de la vida privada y la libertad de definir libremente la expresión del género. En particular manifiestan que, en el caso de los nacionales de países cuyo estado civil admite el «género neutro», tal indicación no responde a la realidad y, por tanto, puede ser contraria al principio de exactitud de los datos, establecido en el artículo 5, apartado 1, letra d), del Reglamento, al tiempo que vulnera su libertad de circulación, garantizada por el Derecho de la Unión.
La CNIL solicita que se desestime el recurso y alega que el tratamiento de los datos relativos al término de cortesía también puede calificarse de necesario para la satisfacción de intereses legítimos de la empresa de transportes, en el sentido del artículo 6.1.f) RGPD, y que los interesados pueden ejercer derecho de oposición reconocido en el artículo 21 del RGPD.
De esta forma, el Conseil d’Etat decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
“«1) Para apreciar si los datos recogidos son adecuados, pertinentes y limitados a lo necesario en el sentido del artículo 5, apartado 1, letra c), del RGPD, y si su tratamiento es necesario en el sentido del artículo 6, apartado 1, letras b) y f), del RGPD, ¿puede tenerse en cuenta la práctica habitual de las comunicaciones civiles, mercantiles y administrativas, de modo que la recogida de datos relativos al término de cortesía con que dirigirse a los clientes, limitada a las opciones “Señor” o “Señora”, podría considerarse necesaria, sin que se oponga a ello el principio de minimización de datos?
2) Para apreciar la necesidad de la recogida obligatoria y del tratamiento de los datos relativos al término de cortesía con que dirigirse a los clientes, aun cuando algunos clientes no se sientan identificados con ninguna de las dos opciones y la recopilación de este dato no sea pertinente en lo que a ellos respecta, ¿procede tener en cuenta que esos clientes, tras haber comunicado el dato al responsable del tratamiento a fin de disfrutar del servicio ofrecido, podrían ejercer su derecho de oposición al uso y la conservación de dicho dato, alegando su situación particular, de conformidad con el artículo 21 del RGPD?»”
- Sobre la primera cuestión prejudicial:
A juicio del Tribunal y de las partes no cabe duda de que los datos relativos el término de cortesía con que dirigirse a los clientes de una empresa de transportes constituyen datos personales en el sentido del artículo 4.1. RGPD.
Comienza con algunas observaciones generales sobre el requisito de la licitud del tratamiento de datos al que están sujetos, en virtud del RGPD, los responsables del tratamiento:
- Licitud del tratamiento de los datos personales:
El Tribunal hace alusión en primer lugar al artículo 5 del RGPD: los datos serán «tratados de manera lícita» y serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados».
Por otro lado, el artículo 6.1. del RGPD especifica el alcance del principio de licitud del tratamiento de datos. Así, el legislador ha previsto seis motivos por los que el tratamiento de datos es lícito, enumerando los objetivos de interés general y los derechos y libertades que requieren protección y que pueden justificar una limitación del derecho a la protección de los datos personales.
La relación entre ambos artículos, de conformidad con el criterio del Tribunal, es que el principio de minimización de los datos implica verificar que los datos tratados son adecuados para alcanzar la finalidad para la que son tratados —conforme a los motivos establecidos en el artículo 6, apartado 1, del RGPD— y que los datos personales solo deben tratarse si la finalidad del tratamiento no puede lograrse razonablemente por otros medios.
- Sobre el artículo 6, apartado 1, letra b), del RGPD: necesidad del tratamiento para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales:
Artículo 6.1.b) RGPD: el tratamiento de datos personales será lícito si es «necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales».
Las partes están de acuerdo en que la finalidad principal del contrato es la venta de un título de transporte y, en definitiva, transportar a los clientes por ferrocarril. Por lo tanto, ha de comprobarse, en primer lugar, si los datos personales del cliente se tratan para un fin que es parte integrante de la prestación del servicio de transporte y, en segundo lugar, si dicho tratamiento es objetivamente indispensable para ello.
- Identificación de la finalidad del tratamiento
SNCF Connect y el Gobierno francés alegan que la ejecución del contrato de transporte requiere comunicarse con el cliente, tanto cuando se formaliza la reserva del viaje como durante este y después de él, y para ello es preciso conocer el término de cortesía con el que dirigirse al cliente para comunicarse con él de forma personalizada y de acuerdo con las prácticas habituales en materia de comunicación comercial.
El Tribunal considera que debe desestimarse la alegación del Gobierno francés según la cual la finalidad del tratamiento no es solo la comunicación con el cliente, sino, más concretamente, la comunicación con el cliente conforme a las prácticas habituales en materia de comunicación comercial. Por una parte, el Tribunal no cree que una finalidad así definida sea parte integrante de la prestación de un servicio de transporte: nada indica que el servicio no pueda prestarse sin una comunicación con el cliente conforme a la práctica habitual en materia de comunicación comercial. En segundo lugar, esta alegación, argumenta el Tribunal, se basa en un razonamiento circular. La finalidad del tratamiento de datos así definido —comunicar conforme a las prácticas habituales en materia de comunicación comercial— es, en efecto, lo mismo que los medios utilizados para alcanzar dicha finalidad: el uso de las prácticas habituales en materia de comunicación comercial.
Por tanto, el Tribunal manifiesta que, según su criterio, el tratamiento de los datos relativos a los términos de cortesía para dirigirse a los clientes va más allá de lo necesario para la correcta ejecución del contrato.
- Necesidad del tratamiento para alcanzar los fines identificados.
En lo que respecta a la finalidad de comunicación, el TJUE considera que la correcta ejecución del contrato de transporte no puede depender del uso del término de cortesía por la sociedad de transportes para dirigirse a sus clientes, y ello a pesar de que el responsable del tratamiento pretenda comunicarse de forma personalizada con sus clientes. En efecto, dicen, una sociedad de transportes puede comunicarse fácilmente de forma personalizada con sus clientes sin utilizar el término de cortesía correspondiente.
Al igual que hemos comentado anteriormente, el tratamiento de los datos relativos al término de cortesía va más allá de lo necesario para alcanzar ese objetivo.
Además, aunque SNCF Connect puso de relieve en la vista la necesidad de preservar una imagen de marca utilizando los términos de cortesía comúnmente aceptados en la comunicación comercial, ese objetivo puede lograrse mediante otras fórmulas que muestren consideración por el cliente y que no hagan referencia al género de este.
Así, el Tribunal, considera que el artículo 6.1.b) y el artículo 5.1.c) del RGPD deben interpretarse en el sentido de que el tratamiento de los datos personales relativos al término de cortesía con que una sociedad se dirige a sus clientes no puede considerarse necesario para la ejecución de un contrato en el que el interesado es parte ni para la aplicación a petición de este de medidas precontractuales, cuando la finalidad de dicho tratamiento es permitir una comunicación comercial personalizada que se atenga a las prácticas habituales en materia de comunicación comercial o que permita adaptar el servicio de transporte en función del sexo de la persona interesada.
- Sobre el artículo 6, apartado 1, letra f), del RGPD: necesidad del tratamiento para la protección de intereses legítimos del responsable del tratamiento o de un tercero.
Según el TJUE, el artículo 6.1.f) y el artículo 5.1.c) del RGPD deben interpretarse en el sentido de que el tratamiento de los datos personales relativos al término de cortesía con el que una sociedad de transportes se dirige a sus clientes no puede considerarse necesario para proteger los intereses legítimos del responsable del tratamiento o de un tercero, en el sentido de dicha disposición, si la sociedad no indicó a los usuarios de los que se recogieron los datos un interés legítimo perseguido por su tratamiento.
- Sobre la segunda cuestión prejudicial.
El órgano jurisdiccional remitente solicita que se dilucide, si el artículo 6.1.f) del RGPD debe interpretarse en el sentido de que, para apreciar la necesidad de un tratamiento de datos personales, debe tenerse en cuenta la posible existencia de un derecho de oposición de la persona interesada al amparo del artículo 21.1. RGPD.
Este articulo establece que el interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6.1. e) o f) RGPD, incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de sus derechos en vía judicial.
El derecho de oposición solo puede ejercerse una vez que el tratamiento lícito ha tenido lugar, con objeto de poner fin a este.
Así, en palabras del TJUE el artículo 6.1.f) del RGPD debe interpretarse en el sentido de que se opone a que, para apreciar la necesidad de un tratamiento de datos personales en el sentido de dicha disposición, se tenga en cuenta la posible existencia de un derecho de oposición del interesado al amparo del artículo 21.1. RGPD. Como conclusión, el tratamiento de los datos personales relativos al término de cortesía con que una sociedad se dirige a sus clientes no puede considerarse necesario para la ejecución de un contrato en el que el interesado es parte ni para la aplicación a petición de este de medidas precontractuales, cuando la finalidad de dicho tratamiento es permitir una comunicación comercial personalizada que se atenga a las prácticas habituales en materia de comunicación comercial o que permita adaptar el servicio de transporte en función del sexo de la persona interesada.
