Az Európai Unió Bírósága szerint a vasúti jegy online vásárlása során a vásárló nemére vonatkozó információ gyűjtése nem felel meg az uniós általános adatvédelmi rendeletben (GDPR) foglalt adattakarékosság elvének, és nincs megfelelő jogalapja.
Az ügy alapját a francia SNCF Connect vasúti jegyértékesítési platform adatkezelési gyakorlata képezte. Az online jegyvásárlás során az ügyfelek kötelesek voltak megadni megszólításukat („Úr” vagy „Hölgy”), amely adatot az SNCF Connect az ügyfelek személyre szabott megszólítása érdekében gyűjtötte. A Mousse nevű francia egyesület panaszt nyújtott be a francia adatvédelmi hatósághoz (CNIL), arra hivatkozva, hogy ez az adatgyűjtés nem felel meg az uniós általános adatvédelmi rendeletben (GDPR) foglalt adattakarékosság elvének, és nincs megfelelő jogalapja.
A CNIL azonban elutasította a panaszt, azzal érvelve, hogy a megszólítás adatainak gyűjtése szükséges a jegyértékesítéssel kapcsolatos szerződés teljesítéséhez, valamint összhangban van a GDPR előírásaival. A Mousse ezt követően a CNIL döntésének megsemmisítése iránt keresetet nyújtott be a Conseil d’État-hoz (Államtanács), amely előzetes döntéshozatal iránti kérelmet terjesztett az Európai Unió Bírósága elé.
A Bíróság elé terjesztett kérdések arra irányultak, hogy a megszólítás adatainak gyűjtése jogszerűen alapozható-e a GDPR 6. cikk (1) bekezdésének b) pontjára (szerződés teljesítése érdekében történő adatkezelés) vagy f) pontjára (az adatkezelő jogos érdekeinek érvényesítése). További kérdés volt, hogy az adattakarékosság elve szerint arányos-e az ügyfelek megszólítására vonatkozó személyes adatok kötelező gyűjtése.
A Bíróság ítéletében hangsúlyozta, hogy a GDPR 5. cikke (1) bekezdésének c) pontja szerint az adatkezelésnek relevánsnak és a szükséges mértékre korlátozottnak kell lennie. A Bíróság megállapította, hogy a nemi megszólítás gyűjtése nem szükséges ahhoz, hogy a jegyértékesítéssel kapcsolatos szerződéses kötelezettségeket teljesítsék. Az adatkezelés nem bizonyult arányosnak, mivel az SNCF Connect céljai elérhetők lennének kevésbé beavatkozó eszközökkel, például általános megszólítás vagy udvariassági formulák alkalmazásával.
A GDPR 6. cikk (1) bekezdésének b) pontja alapján a személyes adatkezelés csak akkor jogszerű, ha az adott adat nélkül a szerződés teljesítése nem lehetséges. A Bíróság szerint az ügyfelek megszólításának gyűjtése nem tekinthető elengedhetetlennek az SNCF Connect által nyújtott szolgáltatások (jegyértékesítés és kommunikáció) teljesítéséhez. Az ügyfelek nemi megszólításán alapuló személyre szabás nem alapvető feltétele a jegyértékesítési szerződés megfelelő teljesítésének.
Az SNCF Connect azzal érvelt, hogy az ügyfelek személyre szabott megszólítása a kereskedelmi kommunikáció során jogos érdekének részét képezi. A Bíróság azonban kimondta, hogy ez az adatkezelési cél nem áll összhangban a GDPR 6. cikk (1) bekezdésének f) pontjával, mivel a megszólítás szerinti személyre szabás nem szükséges az ügyfelek számára nyújtott szolgáltatások lényegéhez. Az ügyfelek megszólítására általános és semleges alternatívák is rendelkezésre állnak, amelyek nem sértik az érintettek személyes adatok védelméhez való jogát.
Az ítélet hangsúlyozza az adattakarékosság és az arányosság elvének fontosságát, valamint azt, hogy a személyes adatok gyűjtése csak akkor jogszerű, ha az az érintett jogait és szabadságait tiszteletben tartva történik. Az ítélet precedensértékű lehet az adatkezelési gyakorlatok további szabályozásában, különös tekintettel az adatkezelés arányosságára és az alternatív megoldások lehetőségére.
Szerző: Szalai Anikó Hivatkozott döntés: C-394/23. sz., Mousse-ügy, az Európai Unió Bíróságának ítélete