El Tribunal de Justicia de la Unión Europea (TJUE) en la sentencia de 9 de enero de 2025, asunto C-394/23 se pronuncia sobre la interpretación del artículo 5.1.c) del Reglamento General de Protección de Datos (RGPD) relativo al principio de minimización de datos y de los artículos 6.1.b) y f) del RGPD relativos a licitud del tratamiento basado en la necesaria ejecución de un contrato y en el interés legítimo, respectivamente.
Antecedentes
El litigio tiene origen en una reclamación que se presenta en Francia contra SNCF, empresa de transporte ferroviario, que incluye como campo obligatorio en su formulario para la compra de billetes de tren en Internet y aplicaciones en línea los campos «Sr.» o «Sra.» La autoridad administrativa competente en materia de protección de datos procedió a archivar el procedimiento. Contra esta decisión se interpuso recurso de anulación en el que se alegó que la obligación de marcar “Señor” o “Señora” en una compra en línea no responde al principio de licitud ni de minimización de datos, puesto que no considera dichas indicaciones necesarias para la ejecución de un contrato de prestación de servicio de transporte ni para el interés legítimo de la empresa de transporte ferroviario. El Tribunal que conoce de este recurso eleva una cuestión prejudicial al TJUE para determinar si a la luz de los artículos 5.1c) y 6.1.b) y f) del RGPD la recogida de datos relativos al término de cortesía con que dirigirse a los clientes, limitada a las opciones “Señor” o “Señora”, podría considerarse necesaria, sin que se oponga a ello el principio de minimización del dato.
Ejecución del contrato como base de legitimación
El artículo 6.1.b) del RGPD establece que el tratamiento de datos es lícito si es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación, a petición de éste, de medidas precontractuales. Como señala el TJUE en su sentencia, para que un tratamiento de datos personales se considere necesario para la ejecución de un contrato, debe ser esencial para permitir la correcta ejecución del contrato celebrado entre el interesado y el responsable del tratamiento. Así, a pesar de que la empresa de transporte argumenta que además de la venta de billetes de tren, estos datos podrían ser necesarios para adaptar los servicios en trenes nocturnos, como la asignación de vagones según la identidad de género, el TJUE recuerda que cuando un contrato pueda contemplar varios servicios o varios elementos separados de un servicio que pueden ejecutarse de manera independiente entre sí, en cumplimiento del artículo 6.1.b) debe evaluarse el contexto de cada uno de esos servicios por separado. En este sentido, concluye el TJUE que esta segunda finalidad no puede justificar el tratamiento sistemático y generalizado de los datos relativos a la fórmula de cortesía con que dirigirse a todos los clientes de la empresa de que se trata, incluidos los clientes que viajan de día. Este tratamiento sería desproporcionado y, por ello, contrario al principio de minimización de datos.
Personalización de comunicaciones comerciales
En el litigio principal, la empresa de transporte ferroviario también alega que el tratamiento de los datos señalados tiene como finalidad la personalización de las comunicaciones comerciales con el cliente, respetando las prácticas generalmente aceptadas en la materia.
El artículo 6, apartado 1, letra f) del RGPD permite que los datos personales sean tratados si es necesario para cumplir con un interés legítimo de la empresa o de un tercero. Al respecto, el TJUE recuerda que para poder hacer uso de esta base de legitimación se deben cumplir tres requisitos cumulativos: (i) la empresa debe tener un motivo legítimo para usar los datos, que debe informar al usuario cuando recoja sus datos; (ii) el tratamiento sólo puede hacerse si es realmente necesario para cumplir con ese interés. Si se pueden lograr los mismos fines sin tratar esos datos, no se debe proceder con el tratamiento; (iii) y, finalmente, los derechos y libertades del usuario deben prevalecer sobre el interés de la empresa. Si el tratamiento de los datos puede causar discriminación o violar la privacidad, el interés de la empresa no será suficiente para justificarlo.
Citando su doctrina jurisprudencial, el TJUE recuerda que la personalización de contenidos no resulta necesaria para ofrecer servicios a un cliente cuando estos servicios pueden prestarse de una forma alternativa equivalente que no implique tal personalización, por tanto, no es objetivamente indispensable para una finalidad que forme parte integrante de los mismos servicios. El TJUE concluye que el tratamiento de datos personales relativos al término de cortesía para dirigirse a los clientes de una empresa de transporte, cuya finalidad es la personalización de la comunicación comercial basada en su identidad de género, no es objetivamente indispensable ni esencial para permitir la correcta ejecución de un contrato y, por tanto, no puede considerarse necesario para la ejecución del contrato.
- A la luz de los hechos expuestos, atendiendo al principio de minimización del dato, los términos de cortesía “Señor” “Señora” no son esenciales para la correcta ejecución del contrato de transporte. En el caso de un contrato con varios servicios que puedan ejecutarse de manera independiente debe evaluarse el contexto de cada uno de esos servicios por separado.
- Como señala el TJUE, en este caso el tratamiento de estos datos para personalizar la comunicación comercial no cumple con este principio, ya que existen alternativas menos invasivas, como el uso de términos de cortesía neutrales.
- En cuanto al tratamiento basado en el interés legítimo de la empresa, el TJUE estableció que para que el tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes, para personalizar las comunicaciones comerciales basadas en su identidad de género, no parece ni objetivamente indispensable ni esencial para satisfacer el interés legítimo perseguido. En todo caso, corresponderá al órgano jurisdiccional remitente comprobarlo.
