Zbiranje podatkov o tem, kako se naslavljajo stranke, ni objektivno nujno in s tem legitimno, zlasti če je namen personalizirati poslovno komunikacijo na podlagi spolne identitete.
Francoski železniški prevoznik SNCF Connect je na svojem spletnem prodajnem mestu ter v spletni aplikaciji za nakup vozovnice za železniški promet kot obvezen podatek ob nakupu zahteval navedbo naziva kupca, in sicer z »gospod«, »gospa« oziroma »gospodična«. Združenje Mousse je zaradi takšne prakse, ki naj ne bi bila skladna s Splošno uredbo za varstvo podatkov (Splošna uredba), vložilo ugovor na francoski organ za varstvo podatkov. Ta kršitev uredbe ni ugotovil, saj naj bi bila obdelava osebnih podatkov pri nakupu vozovnice zakonita in skladna s prvim odstavkom 6. člena Splošne uredbe. Prav tako je navedel, da je takšna obdelava glede na njene namene v skladu z načelom najmanjšega obsega podatkov, saj naj bi personalizirano naslavljanje strank z uporabo njihovega naziva ustrezalo običajni praksi v poslovnih, civilnih in upravnih komunikacijah. Združenje Mousse je zoper takšno odločbo vložilo ničnostno tožbo pri francoskem državnem svetu, ki se je s predhodnim vprašanjem obrnil na Sodišče EU.
V sodbi C-394/23 je Sodišče EU poudarilo, da mora biti vsaka obdelava osebnih podatkov v skladu z načeli v zvezi z obdelavo osebnih podatkov, določenimi v 5. členu Splošne uredbe, in mora izpolnjevati pogoje za zakonitost, ki so našteti v 6. členu te uredbe.
Kar zadeva pogoje za zakonitost obdelave, mora za to, da se obdelava podatkov šteje za legitimno, spadati v okvir enega izmed primerov, naštetih v prvem odstavku 6. člena Splošne uredbe. Skladno s točko a tega člena morajo biti podatki, ki so predmet obdelave, pridobljeni s privolitvijo posameznika, čigar podatki se obdelujejo. Če take privolitve ni ali če ta privolitev ni bila dana prostovoljno, izrecno, informirano in nedvoumno, je lahko taka obdelava utemeljena, če izpolnjuje eno od zahtev glede potrebnosti iz točk b do f prvega odstavka 6. člena Splošne uredbe. Seveda pa je treba v slednjem primeru utemeljitev, da je bila obdelava zakonita, razlagati ozko (tako C-621/22). Sodišče je poudarilo, da obdelava ni utemeljena, če bi bilo zastavljene cilje te obdelave podatkov mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov.
V zvezi s tem mora biti obdelava osebnih podatkov, da bi se v smislu te določbe štela za potrebno za izvajanje pogodbe, objektivno nujna za uresničitev namena zbiranja podatkov. Upravljavec mora tako biti zmožen dokazati, zakaj glavni predmet te pogodbe ne bi mogel biti dosežen brez navedene obdelave. Odločilni element za uporabo utemeljitve iz 6. člena Splošne uredbe je namreč to, da je obdelava osebnih podatkov, ki jo izvaja upravljavec, bistvena za pravilno izvajanje pogodbe.
V obravnavani zadevi ni sporno, da je glavni predmet pogodbe iz postopka v glavni stvari zagotavljanje storitve železniškega prevoza strankam. Podatek o nazivu kupca se zbira zaradi personalizacije poslovne komunikacije s stranko ob spoštovanju splošno priznanih praks na tem področju, s čimer se (med drugim) tudi izkaže spoštovanje podjetja v razmerju do stranke in s tem zaščiti podoba znamke tega podjetja.
Vendar pa, kot meni sodišče, ni nujno, da je taka komunikacija prilagojena glede na spolno identiteto zadevne stranke. Personalizacija vsebin namreč ni potrebna za to, da se stranki ponudijo storitve, če se ji te storitve glede na okoliščine primera lahko zagotovijo v obliki enakovredne alternative, ki ne vključuje take personalizacije – torej ta ni objektivno nujna za namen, ki je sestavni del navedenih storitev. Kar zadeva storitve iz postopka v glavni stvari, personalizacija poslovne komunikacije, ki temelji na domnevani spolni identiteti glede na naziv, ni niti objektivno nujna niti bistvena za pravilno izvajanje zadevne pogodbe niti ne vpliva na zagotavljanje prevoznih storitev, kar pomeni, da obdelava podatkov iz postopka v glavni stvari ni objektivno nujna za izpolnitev glavnega predmeta pogodbe. Prevoznik bi se lahko odločil za komunikacijo na podlagi splošnih, vključujočih izrazov pri nagovarjanju stranke, ki nimajo nobene povezave z domnevno spolno identiteto teh strank, kar bi bila uporabna in manj vsiljiva rešitev.
Sodišče je tako zaključilo, da obdelave osebnih podatkov o nazivu strank prevoznega podjetja, katere namen je personalizacija poslovne komunikacije na podlagi njihove spolne identitete, ni mogoče šteti za potrebno zaradi legitimnih interesov, ki jim sledi upravljavec te obdelave ali tretja oseba, kadar:
– te stranke ob zbiranju teh podatkov niso bile obveščene o legitimnem interesu, ki se mu sledi; ali
– se navedena obdelava ne izvaja v mejah tega, kar je nujno potrebno za uresničitev tega legitimnega interesa; ali
– glede na vse upoštevne okoliščine temeljne pravice in svoboščine navedenih strank lahko prevladajo nad navedenim legitimnim interesom, zlasti zaradi tveganja diskriminacije na podlagi spolne identitete.
Pripravila: mag. Jasmina Potrč
Članki izražajo stališča avtorjev, in ne nujno organizacij, v katerih so zaposleni, ali uredništva portala IUS-INFO.
