RODO: Minimalizacja danych osobowych a personalizacja komunikacji handlowej
W dniu 9 stycznia 2025 roku Trybunał Sprawiedliwości Unii Europejskiej (TSUE) wydał istotny wyrok w sprawie C-394/23 dotyczący przetwarzania danych osobowych w kontekście sprzedaży internetowej biletów przez spółkę SNCF Connect.
Sprawa ta koncentrowała się na zgodności z prawem praktyki polegającej na zbieraniu przez przedsiębiorstwo danych dotyczących form grzecznościowych oraz tożsamości płciowej klientów podczas procesu zakupu online.
Tło sprawy
Stowarzyszenie Mousse złożyło skargę przeciwko SNCF Connect, argumentując, że zbieranie informacji o formach grzecznościowych (takich jak „Pan”, „Pani”) oraz danych dotyczących płci klientów narusza zasady minimalizacji danych oraz legalności przetwarzania określone w Rozporządzeniu (UE) 2016/679 (RODO).
Sprawa trafiła do Conseil d’État (Rady Stanu) we Francji, która zwróciła się do TSUE z pytaniem prejudycjalnym dotyczącym interpretacji przepisów RODO w tym kontekście.
Stanowisko Trybunału
TSUE podkreślił, że zgodnie z art. 5 ust. 1 lit. c) RODO, dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne w związku z celami, dla których są przetwarzane (zasada minimalizacji danych). Ponadto, art. 6 ust. 1 RODO wymaga, aby przetwarzanie danych opierało się na jednej z legalnych podstaw, takich jak zgoda osoby, której dane dotyczą, lub prawnie uzasadnione interesy administratora danych.
W swoim orzeczeniu Trybunał stwierdził, że:
- przetwarzanie danych osobowych dotyczących form grzecznościowych, które ma na celu personalizację komunikacji handlowej na podstawie tożsamości płciowej, nie wydaje się ani obiektywnie konieczne, ani istotne dla prawidłowego wykonania umowy, a tym samym nie można go uznać za niezbędne do wykonania tej umowy (art. 6 ust. 1 lit. b RODO);
- nie można uznać przetwarzania tych danych za niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora danych lub strony trzeciej, jeżeli:
- klienci nie zostali poinformowani o realizowanym prawnie uzasadnionym interesie w momencie zbierania danych,
- przetwarzanie nie ogranicza się do tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu,
- w świetle wszystkich istotnych okoliczności prawa podstawowe i wolności klientów mogą mieć nadrzędny charakter wobec rzeczonego interesu, szczególnie z uwagi na ryzyko dyskryminacji ze względu na tożsamość płciową.
Trybunał zwrócił również uwagę, że przy ocenie niezbędności przetwarzania danych osobowych w rozumieniu art. 6 ust. 1 lit. f RODO nie należy uwzględniać ewentualnego istnienia prawa do sprzeciwu, o którym mowa w art. 21 RODO.
Wnioski dla praktyki
Wyrok TSUE w sprawie C-394/23 podkreśla znaczenie przestrzegania zasady minimalizacji danych w procesach biznesowych, zwłaszcza w kontekście usług online. Przedsiębiorstwa powinny dokładnie analizować, jakie dane są niezbędne do świadczenia usług, i unikać zbierania informacji, które nie są absolutnie konieczne.
Ponadto, firmy muszą być świadome obowiązku informowania klientów o celu zbierania danych oraz zapewnienia im prawa do sprzeciwu wobec przetwarzania ich danych osobowych. Należy również rozważyć wprowadzenie opcji niewyrażenia zgody na podanie określonych informacji, zwłaszcza gdy nie są one kluczowe dla realizacji usługi.
W praktyce oznacza to, że przedsiębiorstwa działające w obszarze e-commerce powinny dokonać przeglądu swoich formularzy rejestracyjnych i procesów zbierania danych, aby upewnić się, że są one zgodne z zasadami RODO, zwłaszcza w zakresie minimalizacji danych i praw osób, których dane dotyczą.
Wyrok ten stanowi ważne przypomnienie o konieczności zachowania równowagi między potrzebami biznesowymi a prawami jednostek w zakresie ochrony ich danych osobowych.
Skontaktuj się z nami
Jeśli masz pytania dotyczące przetwarzania danych osobowych, zgodności z RODO lub potrzebujesz profesjonalnej pomocy w zakresie ochrony danych, skontaktuj się z naszą kancelarią. Nasi eksperci chętnie doradzą i pomogą dostosować Twoją działalność do obowiązujących przepisów.