EU-domstolen konstaterar i ett nytt avgörande att en behandling av kunders tilltalstitel inte är nödvändig för att fullgöra avtalet med trafikbolaget i den meningen som avses i dataskyddsförordningen (GDPR). EU-domstolen begränsar även möjligheterna att behandla denna typ av personuppgifter med stöd av en intresseavvägning enligt GDPR.
Bakgrunden till domen är att det franska trafikbolaget SNCF Connect krävde att kunder skulle ange sin tilltalstitel, dvs. “herr” eller “fru”, i samband med biljettköp. Tilltalstitlarna skulle sedan användas för att anpassa kommunikationen med kunderna. Den franska föreningen Mousse ansåg att detta stred mot bland annat GDPR:s principer om laglighet och uppgiftsminimering och lämnade in ett klagomål till den franska dataskyddsmyndigheten Commission Nationale de l’Informatique et des Libertés (CNIL). CNIL ansåg emellertid att trafikbolaget inte hade brutit mot dessa bestämmelser och anförde bland annat att användningen av tilltalstitlar måste anses överensstämma med vad som är brukligt. Föreningen överklagade CNIL:s beslut till Frankrikes högsta förvaltningsdomstol som ställde flera tolkningsfrågor till EU-domstolen.
Fullgörandet av ett avtal
En av frågorna i målet var om behandlingen av kundernas tilltalstitel för att personanpassa kommunikationen utifrån deras könsidentitet kan anses vara nödvändigt för att fullgöra ett avtal, i den mening som avses i artikel 6.1 (b) GDPR jämförd med artikel 5.1 (c) GDPR, principen om uppgiftsminimering.
EU-domstolen konstaterar inledningsvis att en tilltalstitel som avser manlig eller kvinnlig könsidentitet (dvs. “herr” eller “fru”) utgör en personuppgift i GDPR:s mening. EU-domstolen erinrar fortsättningsvis om att en personuppgiftsbehandling måste vara objektivt sett oundgänglig för att uppnå ett ändamål som utgör en väsentlig del av avtalsprestationen gentemot den registrerade för att behandlingen ska anses vara nödvändig för att fullgöra ett avtal. Den personuppgiftsansvarige måste således kunna visa på vilket sätt avtalets huvudändamål inte skulle kunna uppfyllas utan den aktuella behandlingen (C‑17/22 och C‑18/22).
Vidare konstaterar EU-domstolen att den omständigheten att behandlingen nämns i avtalet eller att den endast är till nytta för fullgörandet av avtalet i sig saknar betydelse i detta sammanhang. Den avgörande faktorn är att behandlingen är väsentlig för ett korrekt fullgörande av avtalet och därmed att det inte finns några andra praktiska lösningar som är mindre ingripande.
Enligt EU-domstolen är huvudändamålet med det aktuella avtalet att tillhandahålla trafikföretagets kunder tjänster avseende persontransport med järnväg. EU-domstolen anser att kundkommunikation visserligen kan utgöra ett ändamål som är en väsentlig del av den aktuella avtalsprestationen, men att det inte kan anses vara nödvändigt att personanpassa kundkommunikationen utifrån kundernas könsidentitet. EU-domstolen hänvisar till rättspraxis enligt vilken ett personanpassat innehåll inte är en nödvändig förutsättning för att ett företag ska kunna erbjuda en kund sina tjänster (C‑252/21).
Gällande den aktuella behandlingen av tilltalstitlar bedömer EU-domstolen att en personanpassad kundkommunikation grundad på en förmodad könsidentitet utifrån tilltalstitlarna ”herr” och ”fru” framstår varken som objektivt sett oundgänglig eller väsentlig för att möjliggöra ett korrekt fullgörande av det aktuella avtalet. Vidare anser EU-domstolen att det finns en praktisk lösning som är mindre ingripande, eftersom kunderna kan tilltalas med generiska och inkluderande artighetsfraser som inte har någon koppling till kundernas förmodade könsidentitet. EU-domstolen finner att trafikbolagets behandling av kundernas tilltalstitel för att personanpassa kundkommunikationen på grundval av könsidentiteten därmed inte kan anses vara nödvändig för att fullgöra det aktuella avtalet i den meningen som avses i artikel 6.1 (b) GDPR jämförd med artikel 5.1 (c) GDPR.
Intresseavvägning
En annan fråga i målet är om behandlingen av kundernas tilltalstitel för att personanpassa kommunikationen utifrån deras könsidentitet kan anses vara nödvändigt för ändamål som rör trafikbolagets eller en tredje parts berättigade intressen, i den mening som avses i artikel 6.1 (f) GDPR jämförd med artikel 5.1 (c) GDPR.
EU-domstolen konstaterar inledningsvis att sedvänjor och sociala konventioner inte anges i artikel 6.1 (f) GDPR som en omständighet till vilken hänsyn ska tas vid bedömningen av om en viss personuppgiftsbehandling uppfyller kravet på nödvändighet. Därmed avfärdar EU-domstolen CNIL:s resonemang om att användningen av tilltalstitlar skulle vara förenlig med de aktuella bestämmelserna i GDPR då den måste anses överensstämma med vad som är brukligt. EU-domstolen erinrar även om att artikel 6 GDPR ska tolkas restriktivt.
EU-domstolen fortsätter med att göra en prövning av de tre kumulativa villkoren som måste vara uppfyllda för att behandlingen ska kunna baseras på en intresseavvägning. Kortfattat är dessa tre villkor att det ska föreligga ett berättigat intresse, att behandlingen ska vara nödvändigt för att uppnå intresset och att den registrerades intressen inte väger tyngre (se C‑252/21). EU-domstolen genomförde prövningen med särskild hänsyn på huruvida det finns en risk för diskriminering på grund av könsidentitet. Vid denna prövning tog EU-domstolen bland annat hänsyn till direktiv 2004/113, som genomför principen om likabehandling av kvinnor och män när det gäller tillgång till och tillhandahållande av varor och tjänster.
EU-domstolen kommer fram till att den aktuella behandlingen inte kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i fall där någon av följande omständigheter föreligger. Den första omständigheten är att kunderna inte har informerats om det berättigade intresse som behandlingen grundas på i samband med insamlingen av de aktuella uppgifterna. Den andra omständigheten är att behandlingen av de aktuella uppgifterna inte är absolut nödvändig för att tillgodose det angivna berättigade intresset. Den tredje och sista omständigheten är att kundernas grundläggande fri- och rättigheter får, vid en intresseavvägning utifrån samtliga relevanta omständigheter, anses väga tyngre än det angivna berättigade intresset, bland annat eftersom det finns en risk för diskriminering på grund av könsidentitet.