EU-Hof: de genderidentiteit van een klant is geen noodzakelijk gegeven voor de aankoop van een vervoersbewijs
Nieuwsbericht | 16-01-2025
Het gaat om het arrest van het EU-Hof van 9 januari 2025 in zaak C-394/23 (Mousse).
Achtergrond De vereniging Mousse heeft bij de Franse autoriteit voor gegevensbescherming (de CNIL; Commission Nationale de l'Informatique et des Libertés) de praktijk van de Franse spoorwegmaatschappij SNCF Connect aangevochten waarbij de SNCF haar klanten systematisch vraagt om hun titel (“Monsieur” of “Madame”, “Mr” of “Ms”) aan te geven bij de online aankoop van vervoersbewijzen. De vereniging is van mening dat dit vereiste in strijd is met de algemene verordening gegevensbescherming (GDPR of Algemene Verordening Gegevensbescherming (AVG); verordening (EU) 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG), met name in het licht van het beginsel van gegevensminimalisatie, omdat de vermelding van de titel, die overeenkomt met een genderidentiteit, niet noodzakelijk lijkt voor de aankoop van een treinkaartje. In 2021 heeft de CNIL besloten om deze klacht af te wijzen en te concluderen dat deze praktijk geen inbreuk vormt op de AVG.
Mousse was het niet eens met deze beslissing en heeft bij de Franse Raad van State beroep tot nietigverklaring ingesteld. Deze Conseil d'État vraagt het EU-Hof via prejudiciële vragen of met name het verzamelen van gegevens over de titels van klanten, beperkt tot de titels “Monsieur” en “Madame” (“mijnheer” en “mevrouw”), als rechtmatig en in overeenstemming met, in het bijzonder, het beginsel van gegevensminimalisering kan worden aangemerkt, wanneer dit verzamelen tot doel heeft om gepersonaliseerde commerciële communicatie met deze klanten mogelijk te maken, in overeenstemming met de op dit gebied algemeen aanvaarde praktijken.
EU-Hof Het EU-Hof herhaalt dat overeenkomstig het beginsel van gegevensminimalisatie, dat uitdrukking geeft aan het evenredigheidsbeginsel, de verzamelde gegevens toereikend, ter zake dienend en beperkt moeten zijn tot hetgeen, gelet op de doeleinden waarvoor zij worden verwerkt, noodzakelijk is.
Het EU-Hof herhaalt ook dat de AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden beschouwd. Dit is onder meer het geval wanneer deze verwerking (i) noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of (ii) noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de voor de verwerking verantwoordelijke of van een derde. De AVG bevat andere gronden waarop de verwerking van gegevens als rechtmatig kan worden beschouwd. De Franse Raad van State verwijst echter uitsluitend naar deze twee rechtvaardigingsgronden.
Wat de eerste van deze twee rechtvaardigingsgronden betreft, herinnert het EU-Hof eraan dat gegevensverwerking slechts als noodzakelijk voor de uitvoering van een overeenkomst kan worden beschouwd indien zij objectief onmisbaar is om de goede uitvoering van die overeenkomst mogelijk te maken. In deze context is het Hof van oordeel dat de personalisering van de commerciële communicatie op basis van de vermoedelijke genderidentiteit volgens de titel van een klant niet objectief onmisbaar lijkt om de goede uitvoering van een spoorvervoerovereenkomst mogelijk te maken. De spoorwegonderneming zou ervoor kunnen kiezen om te communiceren op basis van algemene, inclusieve uitdrukkingen wanneer zij een klant aanspreekt, die geen verband houden met de veronderstelde genderidentiteit van die klant. Dat zou een werkbare en minder ingrijpende oplossing zijn.
Wat de tweede rechtvaardigingsgrond betreft, verklaart het EU-Hof, onder verwijzing naar zijn vaste rechtspraak ter zake, dat de verwerking van gegevens betreffende de titel van klanten van een vervoersonderneming, die tot doel heeft de commerciële communicatie te personaliseren op basis van hun genderidentiteit, niet als noodzakelijk kan worden beschouwd (i) wanneer die klanten niet op de hoogte zijn gebracht van het rechtmatige belang dat wordt nagestreefd toen die gegevens werden verzameld; (ii) wanneer de verwerking niet slechts wordt verricht voor zover dat voor de behartiging van dat gerechtvaardigde belang strikt noodzakelijk is, of (iii) wanneer, in het licht van alle relevante omstandigheden, de fundamentele vrijheden en rechten van die klanten kunnen prevaleren boven dat gerechtvaardigd belang, met name wanneer er een risico van discriminatie op grond van genderidentiteit bestaat.
Meer informatie: Persbericht Curia ECER-dossier: Privacy
