Diritto civile
Persone e Famiglia
09 | 01 | 2025
CGUE e protezione dei dati personali: l'equilibrio tra personalizzazione e rispetto dei diritti fondamentali
Nicole Di Giacomo
Con la sentenza n. 394/23 del 9 gennaio 2025, la Corte di
Giustizia dell’Unione Europea si è espressa in merito alla protezione dei dati
personali, concentrandosi, in particolare, sull’utilizzo degli appellativi da
parte delle aziende nei confronti dei clienti.
A tal proposito, l’obiettivo perseguito dal Regolamento (UE) 2016/679 («R.G.P.D.») consiste, segnatamente, nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall'art. 8, par. 1, della Carta dei Diritti Fondamentali dell’Unione Europea, e all'art. 16, par. 1, TFUE [sentenza del 4 ottobre 2024, Schrems (Comunicazione di dati al grande pubblico), C-446/21, EU:C:2024:834, punto 45 e giurisprudenza ivi citata]. Conformemente a tale obiettivo, qualsiasi trattamento di dati personali deve rispettare i principi enunciati all'art. 5, par.1 del Regolamento, in particolare la minimizzazione dei dati, i quali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Nel caso di specie, è pacifico che l'appellativo corrispondente a un'identità di genere maschile o femminile possa essere qualificato come «dato personale» quando riguarda una persona identificata, ai sensi dell'art. 4, punto 1, del R.G.P.D., e che tale dato sia oggetto di un «trattamento», ai sensi dell'art. 4, punto 2, del R.G.P.D., nella misura in cui è raccolto e registrato. Il corretto utilizzo dei dati è delineato dall’art. 6 del R.G.P.D.: un elenco tassativo delle condizioni di liceità, in particolare, la presenza del consenso dell’interessato al trattamento dei suoi dati per una o più specifiche finalità. Tale consenso deve essere espresso in modo libero, specifico, informato ed inequivocabile; in mancanza di tali requisiti, il trattamento può trovare giustificazione altresì per i motivi di necessità di cui all'art. 6, par. 1, primo comma, lett. da b) ad f) di detto Regolamento [v., in tal senso, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punti 91 e 92]. La lett. b) prevede che il trattamento dei dati debba essere «necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso». Il titolare di tale trattamento deve, quindi, dimostrare in che modo l'oggetto principale del contratto non potrebbe essere conseguito in assenza di detto trattamento (sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Okostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punto 43 nonché giurisprudenza ivi citata). Nel caso di specie, la comunicazione commerciale può costituire una finalità che è parte integrante della prestazione contrattuale interessata, dal momento che la fornitura di un servizio implica, in linea di principio, di comunicare con il cliente al fine di informarlo di eventuali modifiche. Tale comunicazione non deve necessariamente essere personalizzata in funzione dell'identità di genere del cliente interessato, in quanto non risulta oggettivamente indispensabile né essenziale alla corretta esecuzione del contratto. L’impresa potrebbe, infatti, adottare soluzioni meno invasive optando per formule di cortesia generiche, inclusive e prive di correlazione con la presunta identità di genere dei clienti. Per di più, l'art. 6, par. 1, primo comma, lett. f), del R.G.P.D. dispone che un trattamento di dati personali è lecito se è «necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore». Di conseguenza, l'art. 6, par. 1, primo comma, lett. 1), del R.G.P.D., in combinato disposto con l'art. 5, par. 1, lett. c), di tale Regolamento, deve essere interpretato nel senso che il trattamento di dati personali relativi all'appellativo dei clienti di un'impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non può essere considerato necessario per il perseguimento del legittimo interesse del titolare di tale trattamento o di terzi, qualora: il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati; oppure detto trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse; oppure alla luce dell'insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di detti clienti possano prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull'identità di genere. L'art. 21, par. 1, del R.G.P.D., dispone che l'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi delle lett. e) o f) dell'art. 6, par. 1, primo comma, compresa la profilazione sulla base di tali disposizioni. Risulta quindi dalla formulazione e dall'impianto sistematico delle disposizioni di cui trattasi che l'esistenza di un diritto di opposizione non può essere presa in considerazione ai fini della valutazione della liceità e, in particolare, della necessità del trattamento di dati personali nel procedimento principale.
In conclusione, l'art. 6, par. 1, primo comma, lett. f), del Regolamento 2016/679 deve essere interpretato nel senso che al fine di valutare la necessità di un trattamento di dati personali alla luce di tale disposizione, non occorre prendere in considerazione l'eventuale esistenza di un diritto di opposizione dell'interessato, ai sensi dell'art. 21 di tale Regolamento.
