Biglietti ferroviari e privacy, niente più “Signore” o “Signora” nel form

SENTENZA DELLA CORTE (Prima Sezione)

9 gennaio 2025

« Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 5, paragrafo 1, lettera c) – Minimizzazione dei dati – Articolo 6, paragrafo 1 – Liceità del trattamento – Dati relativi all’appellativo e all’identità di genere – Vendita online di titoli di trasporto – Articolo 21 – Diritto di opposizione »

Nella causa C-394/23,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Conseil d’État (Consiglio di Stato, Francia), con decisione del 21 giugno 2023, pervenuta in cancelleria il 28 giugno 2023, nel procedimento

Mousse

contro

Commission nationale de l’informatique et des libertés (CNIL),

SNCF Connect,

LA CORTE (Prima Sezione),

composta da K. Lenaerts, presidente della Corte, facente funzione di presidente della Prima Sezione, T. von Danwitz (relatore), vicepresidente della Corte, M.L. Arastey Sahún, A. Kumin e I. Ziemele, giudici,

avvocato generale: M. Szpunar

cancelliere: I. Illéssy, amministratore

vista la fase scritta del procedimento e in seguito all’udienza del 29 aprile 2024,

considerate le osservazioni presentate:

–        per la Mousse, da E. Deshoulières, avocat, Y. El Kaddouri, M. J. Heymans e D. Holemans, advocaten;

–        per la SNCF Connect, da E. Drouard, J.-J. Gatineau e A. Ligot, avocats;

–        per il governo francese, da R. Bénard, B. Dourthe e B. Fodda, in qualità di agenti;

–        per la Commissione europea, da A. Bouchagiar e H. Kranenborg, in qualità di agenti,

sentite le conclusioni dell’avvocato generale, presentate all’udienza dell’11 luglio 2024,

ha pronunciato la seguente

Sentenza

1        La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 5, paragrafo 1, lettera c), dell’articolo 6, paragrafo 1, primo comma, lettere b) e f), nonché dell’articolo 21 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).

2        Tale domanda è stata presentata nell’ambito di una controversia tra la Mousse, un’associazione, e la Commission nationale de l’informatique et des libertés (Commissione nazionale per l’informatica e le libertà; in prosieguo: la «CNIL», Francia), relativamente al rigetto, da parte di quest’ultima, del reclamo presentato dalla Mousse quanto al trattamento, da parte della società SNCF Connect, di dati relativi all’appellativo dei suoi clienti al momento della vendita online di titoli di trasporto.

 Contesto normativo

 Diritto dell’Unione

 Il RGPD

3        I considerando 1, 4, 10, 47 e 75 del RGPD enunciano quanto segue:

«(1)      La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della [c]arta dei diritti fondamentali dell’Unione europea ([in prosieguo: la] «Carta») e l’articolo 16, paragrafo 1, del [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.

(...)

(4)      Il trattamento dei dati personali dovrebbe essere al servizio dell’uomo. Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta, sanciti dai trattati, in particolare il rispetto della vita privata e familiare, del domicilio e delle comunicazioni, la protezione dei dati personali, la libertà di pensiero, di coscienza e di religione, la libertà di espressione e d’informazione, la libertà d’impresa, il diritto a un ricorso effettivo e a un giudice imparziale, nonché la diversità culturale, religiosa e linguistica.

(...)

(10)      Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione, il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione. (...)

(...)

(47)      I legittimi interessi di un titolare del trattamento, compresi quelli di un titolare del trattamento a cui i dati personali possono essere comunicati, o di terzi possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato, tenuto conto delle ragionevoli aspettative nutrite dall’interessato in base alla sua relazione con il titolare del trattamento. Ad esempio, potrebbero sussistere tali legittimi interessi quando esista una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente (...) del titolare del trattamento. In ogni caso, l’esistenza di legittimi interessi richiede un’attenta valutazione anche in merito all’eventualità che l’interessato, al momento e nell’ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine. (...) Costituisce parimenti legittimo interesse del titolare del trattamento interessato trattare dati personali strettamente necessari a fini di prevenzione delle frodi. Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto.

(...)

(75)      I rischi per i diritti e le libertà delle persone fisiche, aventi probabilità e gravità diverse, possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare: se il trattamento può comportare discriminazioni (...)».

4        L’articolo 1 di tale regolamento, intitolato «Oggetto e finalità», al paragrafo 2, dispone quanto segue:

«Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali».

5        Ai sensi dell’articolo 2, paragrafo 1, di detto regolamento:

«Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi».

6        L’articolo 4 del medesimo regolamento, intitolato «Definizioni», dispone quanto segue:

«Ai fini del presente regolamento s’intende per:

1)      “dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (...);

2)      “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione (...);

(...)

7)      “titolare del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; (...);

(...)

11)      “consenso dell’interessato”: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento;

(...)».

7        L’articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», così prevede:

«1.      I dati personali sono:

a)      trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);

(...)

c)      adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);

(...)».

8        L’articolo 6 di tale regolamento, intitolato «Liceità del trattamento», al paragrafo 1, dispone quanto segue:

«Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

a)      l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;

b)      il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso;

c)      il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;

d)      il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica;

e)      il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;

f)      il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.

(...)».

9        L’articolo 13 di detto regolamento, intitolato «Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato», così prevede:

«1.      In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:

(...)

c)      le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;

d)      qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;

(...)».

10      L’articolo 21 del medesimo regolamento, intitolato «Diritto di opposizione», al paragrafo 1, dispone quanto segue:

«L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria».

 Direttiva 2004/113/CE

11      Ai sensi del suo articolo 1, scopo della direttiva 2004/113/CE del Consiglio, del 13 dicembre 2004, che attua il principio della parità di trattamento tra uomini e donne per quanto riguarda l’accesso a beni e servizi e la loro fornitura (GU 2004, L 373, pag. 37), è quello di istituire un quadro per la lotta alla discriminazione fondata sul sesso per quanto riguarda l’accesso a beni e servizi e la loro fornitura, al fine di rendere effettivo negli Stati membri il principio della parità di trattamento tra uomini e donne.

 Diritto francese

12      L’articolo 8 della loi n^o 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (legge n. 78-17, del 6 gennaio 1978, relativa all’informatica, ai file e alle libertà; JORF del 7 gennaio 1978, pag. 227), nella versione applicabile alla controversia principale, dispone quanto segue:

«I A. La [CNIL] è un’autorità amministrativa indipendente.

I. Essa è l’autorità di controllo nazionale ai sensi e per l’applicazione del [RGPD]. Essa svolge i seguenti compiti:

(...)

2°      provvede affinché i trattamenti dei dati personali siano effettuati conformemente alle disposizioni della presente legge e alle altre disposizioni relative alla protezione dei dati personali previste dai testi legislativi e regolamentari, dal diritto dell’Unione (…) e dagli impegni internazionali della [Repubblica francese].

A tal fine:

(...)

d)      essa tratta i reclami, le petizioni e le denunce introdotti da un interessato, o da un organismo, un’organizzazione o un’associazione, esamina o indaga sull’oggetto del reclamo, nella misura necessaria, e informa il reclamante dello stato di avanzamento e dell’esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un’altra autorità di controllo; (...)».

 Procedimento principale e questioni pregiudiziali

13      La SNCF Connect commercializza titoli di trasporto ferroviario quali biglietti del treno, abbonamenti e carte sconto attraverso il suo sito Internet e applicazioni online. I clienti di tale impresa sono obbligatoriamente tenuti a indicare il proprio appellativo, barrando la dicitura «Signore» o «Signora», quando acquistano tali titoli di trasporto su detto sito Internet o su tali applicazioni online.

14      Ritenendo che le condizioni di raccolta e di registrazione dei dati relativi all’appellativo di tali clienti non fossero conformi ai requisiti del RGPD, la Mousse ha presentato un reclamo dinanzi alla CNIL contro la SNCF Connect. A sostegno di tale reclamo, la Mousse avrebbe affermato che la raccolta di detti dati non era conforme al principio di liceità, sancito all’articolo 5, paragrafo 1, lettera a), del RGPD, in quanto non si basava su nessuno dei fondamenti previsti dall’articolo 6, paragrafo 1, del RGPD. Inoltre, una siffatta raccolta avrebbe violato il principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c), del RGPD, nonché, in particolare, gli obblighi di trasparenza e di informazione derivanti dall’articolo 13 del RGPD.

15      Con decisione del 23 marzo 2021, la CNIL ha ritenuto che i fatti contestati alla SNCF Connect non costituissero violazioni delle disposizioni del RGPD e che occorresse procedere alla chiusura del procedimento di esame di detto reclamo. A sostegno di tale decisione, la CNIL ha constatato che il trattamento dei dati in questione nel procedimento principale era lecito, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD, con la motivazione che esso era necessario all’esecuzione del contratto di fornitura di servizi di trasporto interessato. Inoltre, la CNIL ha rilevato che, tenuto conto delle sue finalità, tale trattamento era conforme al principio della minimizzazione dei dati, dal momento che il fatto di rivolgersi ai clienti in modo personalizzato, utilizzando l’appellativo di questi ultimi, corrisponderebbe agli usi ammessi nel settore delle comunicazioni commerciali, civili e amministrative.

16      Il 21 maggio 2021 la Mousse ha proposto un ricorso di annullamento di tale decisione della CNIL dinanzi al Conseil d’État (Consiglio di Stato, Francia), giudice del rinvio. Nel suo atto introduttivo, la Mousse sostiene in particolare che l’obbligo di barrare la dicitura «Signore» o «Signora» al momento di un acquisto online non è conforme al principio di liceità, sancito all’articolo 5, paragrafo 1, lettera a), del RGPD, né al principio di minimizzazione dei dati, di cui all’articolo 5, paragrafo 1, lettera c), di quest’ultimo, in quanto tale dicitura non sarebbe necessaria all’esecuzione di un contratto di fornitura di servizi di trasporto o per il perseguimento dei legittimi interessi della SNCF Connect. Il fatto che diciture di questo tipo siano utilizzate nella corrispondenza commerciale non è sufficiente a rendere necessario un siffatto obbligo. Infine, un tale obbligo sarebbe tale da ledere il diritto di viaggiare senza comunicare il proprio appellativo, il diritto al rispetto della vita privata, nonché la libertà di definire liberamente la propria espressione di genere, e provocherebbe un rischio di discriminazione. Per quanto riguarda i cittadini di Stati il cui lo stato civile ammetterebbe un «genere neutro», tale dicitura non corrisponderebbe alla realtà e potrebbe pregiudicare, in particolare, la loro libertà di circolazione, garantita dal diritto dell’Unione.

17      La CNIL conclude che tale ricorso dev’essere respinto, sostenendo che il trattamento dei dati relativi all’appellativo potrebbe anche essere qualificato come necessario per il perseguimento del legittimo interesse della SNCF Connect, in forza dell’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, e che gli interessati potrebbero, a seconda della loro situazione particolare, far valere il diritto di opposizione garantito dall’articolo 21 del RGPD.

18      In tali circostanze, il giudice del rinvio si interroga, in particolare, sulla questione se si possa tener conto, ai fini della valutazione della necessità del trattamento dei dati di cui trattasi nel procedimento principale, degli usi ammessi nelle comunicazioni commerciali, civili e amministrative, di modo che la raccolta dei dati relativi all’appellativo dei clienti, limitata ai termini «Signore» o «Signora», possa essere lecita e conforme al principio di minimizzazione dei dati. Tale giudice s’interroga, inoltre, sulla questione se, per valutare la necessità di tale raccolta obbligatoria e del successivo trattamento di dati relativi all’appellativo dei clienti, e allorché taluni di essi ritengono di non rientrare in nessuno dei due appellativi, si debba tenere conto del fatto che tali clienti potrebbero esercitare, dopo aver fornito detti dati al titolare del trattamento al fine di beneficiare del servizio interessato, il loro diritto di opposizione all’utilizzo di tali dati, per motivi connessi alla loro situazione particolare, ai sensi dell’articolo 21 del RGPD.

19      In tale contesto, il Conseil d’État (Consiglio di Stato) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1)      Se, per valutare il carattere adeguato, pertinente e limitato a quanto necessario per la raccolta di dati, ai sensi dell’articolo 5, paragrafo 1, lettera c), del RGPD, nonché la necessità del loro trattamento, ai sensi dell’articolo 6, paragrafo 1, lettere b) e f), [di tale regolamento], si possa tenere conto degli usi comunemente ammessi in materia di comunicazioni civili, commerciali e amministrative, di modo che la raccolta dei dati relativi agli appellativi dei clienti, limitati ai termini “Signore” o “Signora”, possa essere considerata necessaria, senza che a ciò osti al principio di minimizzazione dei dati.

2)      Se, per valutare la necessità della raccolta obbligatoria e del trattamento dei dati relativi all’appellativo dei clienti, e allorché taluni clienti ritengono di non rientrare in nessuno dei due appellativi e che la raccolta di tale dato non sia pertinente per quanto li riguarda, si debba tenere conto del fatto che essi potrebbero, dopo aver fornito tale dato al titolare del trattamento al fine di beneficiare del servizio proposto, esercitare il loro diritto di opposizione al suo utilizzo e alla sua conservazione facendo valere la loro situazione particolare, in applicazione dell’articolo 21 del RGPD».

 Sulle questioni pregiudiziali

 Sulla prima questione

20      Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafo 1, primo comma, lettere b) e f), del RGPD, in combinato disposto con l’articolo 5, paragrafo 1, lettera c), di tale regolamento, debba essere interpretato nel senso che il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, possa essere considerato necessario all’esecuzione di un contratto, ai sensi di tale lettera b), o necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ai sensi di tale lettera f).

 Osservazioni preliminari

21      In via preliminare, occorre ricordare che l’obiettivo perseguito dal RGPD, quale risulta dall’articolo 1 nonché dai considerando 1 e 10 di quest’ultimo, consiste, segnatamente, nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall’articolo 8, paragrafo 1, della Carta e all’articolo 16, paragrafo 1, TFUE [sentenza del 4 ottobre 2024, Schrems (Comunicazione di dati al grande pubblico), C-446/21, EU:C:2024:834, punto 45 e giurisprudenza ivi citata].

22      Conformemente a tale obiettivo, qualsiasi trattamento di dati personali deve, in particolare, essere conforme ai principi applicabili al trattamento di tali dati enunciati all’articolo 5 del regolamento stesso e soddisfare le condizioni di liceità elencate all’articolo 6 di detto regolamento (sentenza del 4 ottobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punto 27 e giurisprudenza ivi citata).

23      L’articolo 5, paragrafo 1, lettera a), del RGPD dispone che i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.

24      Ai sensi dell’articolo 5, paragrafo 1, lettera c), di tale regolamento, che sancisce il principio di minimizzazione dei dati, tali dati sono anche adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Tale principio è espressione del principio di proporzionalità [v., in tal senso, sentenza del 4 ottobre 2024, Schrems (Comunicazione di dati al grande pubblico), C-446/21, EU:C:2024:834, punti 49 e 50, nonché giurisprudenza ivi citata].

25      Per quanto riguarda le condizioni di liceità del trattamento, come dichiarato dalla Corte, l’articolo 6, paragrafo 1, primo comma, del RGPD prevede un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito. Pertanto, per poter essere considerato legittimo un trattamento deve rientrare in uno dei casi previsti da tale disposizione (sentenza del 4 ottobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punto 29 e giurisprudenza ivi citata).

26      Ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, il trattamento di dati personali è lecito se e nella misura in cui l’interessato ha espresso il consenso a tale trattamento per una o più specifiche finalità. In mancanza di un siffatto consenso, o qualora tale consenso non sia stato espresso in modo libero, specifico, informato e inequivocabile, ai sensi dell’articolo 4, punto 11, di tale regolamento, un trattamento di questo tipo può nondimeno essere giustificato qualora soddisfi uno dei requisiti di necessità menzionati all’articolo 6, paragrafo 1, primo comma, lettere da b) ad f), di detto regolamento. [v., in tal senso, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punti 91 e 92].

27      In tale contesto, nella misura in cui consentono di rendere lecito un trattamento di dati personali effettuato in assenza del consenso dell’interessato, le giustificazioni previste da quest’ultima disposizione devono essere interpretate restrittivamente (sentenza del 4 ottobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punto 31 e giurisprudenza ivi citata).

28      Inoltre, come dichiarato dalla Corte, qualora si possa constatare che un trattamento di dati personali è necessario alla luce di una delle giustificazioni previste all’articolo 6, paragrafo 1, primo comma, lettere da b) a f), del RGPD, non occorre stabilire se tale trattamento rientri anche in un’altra di tali giustificazioni. Occorre precisare, al riguardo, che il requisito di necessità attinente alla giustificazione accolta non è soddisfatto quando l’obiettivo perseguito da tale trattamento di dati potrebbe ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per i diritti fondamentali degli interessati, in particolare per i diritti al rispetto della vita privata e alla protezione dei dati personali garantiti agli articoli 7 e 8 della Carta, atteso che le deroghe e le restrizioni al principio della protezione di tali dati devono avere luogo nei limiti dello stretto necessario [v., in tal senso, sentenze del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C-439/19, EU:C:2021:504, punto 110 e giurisprudenza ivi citata, nonché del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 94].

29      Occorre, infine, precisare che, in forza dell’articolo 13, paragrafo 1, lettera c), del RGPD, in caso di raccolta presso l’interessato di dati personali che lo riguardano, il titolare del trattamento è tenuto ad informare l’interessato delle finalità del trattamento al quale sono destinati tali dati nonché della base giuridica di detto trattamento (sentenza del 4 ottobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punto 33 e giurisprudenza ivi citata).

30      Nel caso di specie, occorre osservare che è pacifico che l’appellativo che corrisponda a un’identità di genere maschile o femminile può essere qualificato come «dato personale» quando riguarda una persona identificata, ai sensi dell’articolo 4, punto 1, del RGPD, e che tale dato è oggetto di un «trattamento», ai sensi dell’articolo 4, punto 2, del RGPD, nella misura in cui è raccolto e registrato dalla SNCF Connect nel contesto della vendita online di titoli di trasporto. Di conseguenza, tale trattamento, che riveste, peraltro, carattere automatizzato, rientra nell’ambito di applicazione materiale di tale regolamento, in forza dell’articolo 2, paragrafo 1, di quest’ultimo.

31      Inoltre, la questione sollevata dal giudice del rinvio si fonda su due presupposti, vale a dire, da un lato, che il trattamento di dati di cui trattasi nel procedimento principale sia effettuato senza il consenso degli interessati, ai sensi dell’articolo 4, punto 11, e dell’articolo 6, paragrafo 1, primo comma, lettera a), del RGPD e, dall’altro, che tale trattamento non sia necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera c), del RGPD. La questione sollevata verte quindi esclusivamente sulla possibilità di invocare le giustificazioni di cui alle lettere b) e f) dell’articolo 6, paragrafo 1, primo comma, del RGPD, nell’ambito del trattamento di dati di cui trattasi nel procedimento principale.

 Sull’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD

32      L’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD dispone che un trattamento di dati personali è lecito se è «necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso».

33      A tal riguardo, affinché un trattamento di dati personali sia considerato necessario all’esecuzione di un contratto, ai sensi di tale disposizione, esso deve essere oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata all’interessato. Il titolare di tale trattamento deve, quindi, essere in grado di dimostrare in che modo l’oggetto principale di tale contratto non potrebbe essere conseguito in assenza di detto trattamento (sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punto 43 nonché giurisprudenza ivi citata).

34      La circostanza che un siffatto trattamento sia menzionato nel contratto oppure che esso sia soltanto utile per l’esecuzione di quest’ultimo è, di per sé, irrilevante al riguardo. Infatti, l’elemento determinante ai fini dell’applicazione della giustificazione di cui all’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD è che il trattamento di dati personali effettuato dal titolare del trattamento sia essenziale per consentire la corretta esecuzione del contratto stipulato tra quest’ultimo e l’interessato e, pertanto, che non esistano altre soluzioni percorribili e meno invasive (sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punto 44 nonché giurisprudenza ivi citata).

35      In tali condizioni, se il contratto consiste in più servizi o in più elementi distinti di uno stesso servizio che possono essere prestati indipendentemente gli uni dagli altri, l’applicabilità dell’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD deve essere valutata separatamente nel contesto di ciascuno di tali servizi [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 100].

36      Nel caso di specie, è pacifico che l’oggetto principale del contratto di cui trattasi nel procedimento principale è la fornitura ai clienti di un servizio di trasporto ferroviario. Secondo il giudice del rinvio, il trattamento di dati di cui trattasi nel procedimento principale ha la finalità di personalizzare la comunicazione commerciale nei confronti del cliente, nel rispetto di usi comunemente ammessi in materia.

37      Come osservato, in sostanza, dall’avvocato generale al paragrafo 42 delle sue conclusioni, la comunicazione commerciale può costituire una finalità che è parte integrante della prestazione contrattuale interessata, dal momento che la fornitura di un siffatto servizio di trasporto ferroviario implica, in linea di principio, di comunicare con il cliente al fine, in particolare, di trasmettergli un titolo di trasporto per via elettronica, di informarlo di eventuali modifiche che incidono sul viaggio corrispondente, nonché di consentire scambi con il servizio di assistenza. Tale comunicazione può richiedere l’osservanza di usi e contenere in particolare formule di cortesia, al fine di dimostrare il riguardo dell’impresa interessata nei confronti del suo cliente e, in tal modo, di salvaguardare l’immagine di marchio di tale impresa.

38      Tuttavia, risulta che una siffatta comunicazione non deve necessariamente essere personalizzata in funzione dell’identità di genere del cliente interessato. Infatti, secondo la giurisprudenza, la personalizzazione dei contenuti non appare necessaria per offrire servizi a un cliente quando tali servizi possono, eventualmente, essergli forniti sotto forma di un’alternativa equivalente che non implichi tale personalizzazione, che non è dunque oggettivamente indispensabile per una finalità che sia parte integrante di detti servizi [v., in tal senso, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 102].

39      Per quanto riguarda i servizi di cui trattasi nel procedimento principale, una personalizzazione della comunicazione commerciale, fondata su un’identità di genere presunta in funzione dell’appellativo, non sembra essere né oggettivamente indispensabile né essenziale al fine di consentire la corretta esecuzione del contratto interessato, ai sensi della giurisprudenza richiamata ai punti 33 e 34 della presente sentenza.

40      Infatti, una soluzione praticabile e meno invasiva sembra esistere, dal momento che l’impresa interessata potrebbe optare, nei confronti dei clienti che non desiderano indicare il loro appellativo o in maniera generale, per una comunicazione basata su formule di cortesia generiche, inclusive e prive di correlazione con la presunta identità di genere dei clienti. Del resto, come osservato dall’avvocato generale ai paragrafi 49 e 50 delle sue conclusioni, sembra, salvo verifica da parte del giudice del rinvio, che la SNCF Connect utilizzi già siffatte formule e che, inoltre, l’indicazione di un appellativo inesatto non inciderebbe sulla fornitura dei servizi di trasporto di cui trattasi, il che tenderebbe a confermare che il trattamento di dati di cui trattasi nel procedimento principale non è oggettivamente indispensabile per eseguire l’oggetto principale del contratto.

41      In tale contesto, occorre ancora precisare che, in udienza, la SNCF Connect ha sostenuto che il trattamento di dati di cui trattasi nel procedimento principale perseguiva una seconda finalità, vale a dire l’adeguamento dei servizi di trasporto per i treni notturni con vagoni riservati alle persone aventi una stessa identità di genere e per l’assistenza ai passeggeri che versano in una condizione di handicap. Secondo la SNCF Connect, tale finalità di adeguamento dei servizi di trasporto può richiedere che si conosca l’identità di genere dei clienti interessati.

42      Orbene, questa seconda finalità non può giustificare il trattamento sistematico e generalizzato dei dati relativi all’appellativo dell’insieme dei clienti dell’impresa interessata, ivi compresi i clienti che viaggiano di giorno o che non versano in una condizione di handicap. Infatti, un siffatto trattamento sarebbe sproporzionato e, a tale titolo, contrario al principio di minimizzazione dei dati, ricordato al punto 24 della presente sentenza, dal momento che esso avrebbe potuto essere limitato ai dati relativi all’identità di genere dei soli clienti che desiderano viaggiare in treno notturno o beneficiare di un’assistenza personalizzata a causa di un handicap.

43      Pertanto, l’articolo 6, paragrafo 1, primo comma, lettera b), del RGPD, in combinato disposto con l’articolo 5, paragrafo 1, lettera c), di quest’ultimo, deve essere interpretato nel senso che il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non sembra essere né oggettivamente indispensabile né essenziale al fine di consentire la corretta esecuzione di un contratto e, pertanto, non può essere considerato necessario all’esecuzione di tale contratto.

 Sull’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD

44      L’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD dispone che un trattamento di dati personali è lecito se è «necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore».

45      Secondo costante giurisprudenza, detta disposizione prevede tre condizioni cumulative affinché i trattamenti di dati personali da essa considerati siano leciti, vale a dire, in primo luogo, il perseguimento di un legittimo interesse del titolare del trattamento o di terzi, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, la condizione che gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgano sul legittimo interesse del titolare del trattamento o di terzi [sentenze del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 106, nonché del 4 ottobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punto 37].

46      Per quanto riguarda, in primo luogo, la condizione relativa al perseguimento di un legittimo interesse, occorre precisare che, ai sensi dell’articolo 13, paragrafo 1, lettera d), del RGPD, spetta al titolare del trattamento, all’atto della raccolta presso l’interessato di dati che lo riguardano, indicargli i legittimi interessi perseguiti, qualora tale trattamento si basi sull’articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento. In assenza di definizione della nozione di «legittimo interesse» da parte del RGPD, un’ampia gamma di interessi può, in linea di principio, essere considerata legittima. In particolare, tale nozione non è limitata agli interessi sanciti e determinati da una legge [v., in tal senso, sentenze del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 107, nonché del 4 ottobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punti 38, 40 e 41, nonché giurisprudenza ivi citata].

47      Infatti, dal considerando 47 del RGPD emerge che potrebbero sussistere, ad esempio, tali legittimi interessi quando esista una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente del titolare del trattamento.

48      Per quanto riguarda, in secondo luogo, la condizione relativa alla necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito, e alla luce della giurisprudenza ricordata al punto 28 della presente sentenza, spetta al giudice del rinvio verificare se il legittimo interesse al trattamento dei dati perseguito non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per i diritti e le libertà fondamentali degli interessati, atteso che un siffatto trattamento deve essere effettuato nei limiti dello stretto necessario per la realizzazione di tale interesse legittimo.

49      In tale contesto, occorre altresì ricordare che la condizione attinente alla necessità del trattamento deve essere esaminata unitamente al principio della minimizzazione dei dati, sancito all’articolo 5, paragrafo 1, lettera c), del RGPD, secondo il quale i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punto 52 nonché giurisprudenza ivi citata).

50      Infine, per quanto riguarda, in terzo luogo, la condizione secondo cui gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgono sul legittimo interesse del titolare del trattamento o di terzi, la Corte ha stabilito che ciò implica una ponderazione dei diritti e degli interessi contrapposti in gioco che dipende, in linea di principio, dalle circostanze del caso concreto e che, di conseguenza, spettava al giudice del rinvio interessato effettuare tenendo conto di tali circostanze specifiche. Come risulta dal considerando 47 del RGPD, gli interessi e i diritti fondamentali dell’interessato potrebbero in particolare prevalere sull’interesse del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un siffatto trattamento (v., in tal senso, sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punti 53 e 54, nonché giurisprudenza ivi citata).

51      Nel caso di specie, sebbene spetti in ultima istanza al giudice del rinvio verificare se, in relazione al trattamento dei dati personali oggetto del procedimento principale, siano soddisfatte le tre condizioni di cui al punto 45 della presente sentenza, la Corte, statuendo su un rinvio pregiudiziale, può fornire delle precisazioni intese a guidare detto giudice in tale determinazione (v., per analogia, sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punto 55, nonché giurisprudenza ivi citata).

52      Per quanto riguarda la prima condizione, di cui al punto 46 della presente sentenza, spetterà al giudice del rinvio verificare se un legittimo interesse sia stato indicato dalla SNCF Connect ai suoi clienti, conformemente all’articolo 13, paragrafo 1, lettera d), del RGPD, nella fase di raccolta dei dati in questione nel procedimento principale. Come rilevato dall’avvocato generale al paragrafo 58 delle sue conclusioni, tale disposizione richiede che gli interessati siano direttamente informati dell’interesse legittimo perseguito al momento di tale raccolta, altrimenti detta raccolta non può essere giustificata sulla base dell’articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento. Il fascicolo di cui dispone la Corte non consente di valutare se tale requisito sia stato rispettato nell’ambito del procedimento principale.

53      In tale contesto, occorre precisare che, nelle sue osservazioni scritte, la SNCF Connect ha fatto riferimento a una finalità di marketing diretto, la quale potrebbe richiedere una personalizzazione della comunicazione e, di conseguenza, il trattamento dei dati in questione nel procedimento principale.

54      Al riguardo, secondo il considerando 47, ultima frase, del RGPD, può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto. In particolare, la personalizzazione della pubblicità può essere equiparata al marketing diretto  in un tale contesto [v., per analogia, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 115].

55      Per quanto riguarda la seconda condizione, di cui al punto 48 della presente sentenza, fatta salva la verifica da parte del giudice del rinvio, sembra che una personalizzazione della comunicazione commerciale possa limitarsi al trattamento dei nomi e dei cognomi dei clienti, atteso che il loro appellativo e/o la loro identità di genere sono un’informazione che non pare essere strettamente necessaria in tale contesto, in particolare alla luce del principio di minimizzazione dei dati.

56      Nelle loro rispettive osservazioni scritte, la SNCF Connect e il governo francese sostengono che, al fine di valutare la necessità di un trattamento di dati personali, occorre tener conto degli usi e delle convenzioni sociali proprie di ciascuno Stato membro, in particolare per preservare la diversità linguistica e culturale, menzionata al considerando 4 del RGPD. Occorre tuttavia rilevare, da un lato, che l’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD non prevede la presa in considerazione degli usi e delle convenzioni sociali ai fini della valutazione della necessità di un siffatto trattamento, tenuto conto del fatto che tale articolo deve essere interpretato restrittivamente, come ricordato al punto 27 della presente sentenza.

57      D’altro lato, l’assenza di trattamento di dati relativi all’appellativo o all’identità di genere dei clienti interessati non sembra essere tale da pregiudicare detta diversità. Infatti, come risulta dal punto 40 della presente sentenza, il titolare del trattamento ha la possibilità di rispettare tali usi e convenzioni sociali utilizzando, nei confronti dei clienti che non desiderano indicare il loro appellativo o in maniera generale, formule di cortesia generiche, inclusive e prive di correlazione con l’identità di genere di tali clienti, sicché l’argomento sviluppato dalla SNCF Connect e dal governo francese non può, in ogni caso, essere accolto.

58      Per quanto riguarda la terza condizione, di cui al punto 50 della presente sentenza, e della ponderazione dei contrapposti diritti e interessi in gioco, vale a dire quelli del titolare del trattamento, da un lato, e quelli dell’interessato, dall’altro, si deve segnatamente tener conto delle ragionevoli aspettative dell’interessato, nonché della portata del trattamento interessato e dell’impatto di quest’ultimo su tale persona [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 116].

59      Come osservato, in sostanza, dall’avvocato generale al paragrafo 70 delle sue conclusioni, salvo verifica da parte del giudice del rinvio, si presume che il cliente di un’impresa di trasporto non si aspetti che tale impresa tratti dati relativi al suo appellativo o alla sua identità di genere nel contesto dell’acquisto di un titolo di trasporto. Ciò avverrebbe, in particolare, se tale trattamento fosse effettuato unicamente a fini di marketing diretto.

60      Il legittimo interesse relativo al marketing diretto non può, in ogni caso, prevalere nell’evenienza di un rischio di pregiudizio ai diritti e alle libertà fondamentali dell’interessato. Infatti, come risulta dal considerando 75 del RGPD, i rischi per i diritti e le libertà delle persone fisiche, aventi probabilità e gravità diverse, possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare se il trattamento può comportare discriminazioni.

61      In tale contesto, in particolare, spetterà al giudice del rinvio verificare l’esistenza del rischio di discriminazione fondata sull’identità di genere, allegato dalla Mousse, segnatamente alla luce della direttiva 2004/113, atteso che quest’ultima attua il principio della parità di trattamento tra uomini e donne per quanto riguarda l’accesso a beni e servizi e la loro fornitura.

62      Occorre precisare, al riguardo, che l’ambito di applicazione di tale direttiva non può essere ridotta alle sole discriminazioni dovute dall’appartenenza all’uno o all’altro genere. Tenuto conto del suo scopo e della natura dei diritti che mira a proteggere, detta direttiva può applicarsi anche alle discriminazioni che hanno origine nel mutamento di identità di genere di una persona (v., per analogia, sentenza del 27 aprile 2006, Richards, C-423/04, EU:C:2006:256, punto 24 e giurisprudenza ivi citata).

63      Di conseguenza, l’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, in combinato disposto con l’articolo 5, paragrafo 1, lettera c), di tale regolamento, deve essere interpretato nel senso che il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non può essere considerato necessario per il perseguimento del legittimo interesse del titolare di tale trattamento o di terzi, qualora:

–        il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati; oppure

–        detto trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse; oppure

–        alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di detti clienti possano prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull’identità di genere.

64      Alla luce dell’insieme delle considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l’articolo 6, paragrafo 1, primo comma, lettere b) e f), del RGPD, in combinato disposto con l’articolo 5, paragrafo 1, lettera c), di tale regolamento, deve essere interpretato nel senso che:

–        il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non sembra essere né oggettivamente indispensabile né essenziale per consentire la corretta esecuzione di un contratto e, pertanto, non può essere considerato necessario all’esecuzione di tale contratto;

–        il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non può essere considerato necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, qualora:

–        il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati; oppure

–        detto trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse; oppure

–        alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di detti clienti possano prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull’identità di genere.

 Sulla seconda questione

65      Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD debba essere interpretato nel senso che, al fine di valutare la necessità di un trattamento di dati personali ai sensi di tale disposizione, occorre prendere in considerazione l’eventuale esistenza di un diritto di opposizione dell’interessato, ai sensi dell’articolo 21 del RGPD.

66      L’articolo 21, paragrafo 1, del RGPD dispone che l’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi delle lettere e) o f) dell’articolo 6, paragrafo 1, primo comma, di tale regolamento, compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

67      L’applicabilità dell’articolo 21 del RGPD e, di conseguenza, l’eventuale esistenza di un diritto di opposizione presuppongono l’esistenza di un trattamento lecito, fondato nel caso di specie sull’articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento. Orbene, per essere lecito, un siffatto trattamento deve prima soddisfare il requisito di stretta necessità, di cui al punto 48 della presente sentenza.

68      Come osservato dall’avvocato generale ai paragrafi 80 e 82 delle sue conclusioni, risulta quindi dalla formulazione e dall’impianto sistematico delle disposizioni di cui trattasi che l’esistenza di un diritto di opposizione non può essere presa in considerazione ai fini della valutazione della liceità e, in particolare, della necessità del trattamento di dati personali di cui trattasi nel procedimento principale.

69      Tale interpretazione è confermata dall’obiettivo perseguito dal RGPD, che, alla luce del considerando 10 di quest’ultimo, è quello di garantire un elevato livello di protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali. Infatti, qualsiasi diversa interpretazione avrebbe l’effetto di affievolire i requisiti di cui all’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, estendendo le condizioni di liceità del trattamento di cui trattasi, quantunque tale disposizione debba ricevere un’interpretazione restrittiva, alla luce della giurisprudenza ricordata al punto 27 della presente sentenza.

70      Alla luce dell’insieme delle considerazioni che precedono, occorre rispondere alla seconda questione dichiarando che l’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD deve essere interpretato nel senso che, al fine di valutare la necessità di un trattamento di dati personali ai sensi di tale disposizione, non occorre prendere in considerazione l’eventuale esistenza di un diritto di opposizione dell’interessato, ai sensi dell’articolo 21 del RGPD.

 Sulle spese

71      Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice del rinvio, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Prima Sezione) dichiara:

1)      L’articolo 6, paragrafo 1, primo comma, lettere b) e f), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), in combinato disposto con l’articolo 5, paragrafo 1, lettera c), di tale regolamento,

deve essere interpretato nel senso che:

–        il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non sembra essere né oggettivamente indispensabile né essenziale per consentire la corretta esecuzione di un contratto e, pertanto, non può essere considerato necessario all’esecuzione di tale contratto;

–        il trattamento di dati personali relativi all’appellativo dei clienti di un’impresa di trasporto, avente la finalità di personalizzare la comunicazione commerciale fondata sulla loro identità di genere, non può essere considerato necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, qualora:

–        il legittimo interesse perseguito non sia stato indicato a tali clienti al momento della raccolta di tali dati; oppure

–        detto trattamento non sia effettuato nei limiti dello stretto necessario per la realizzazione di tale legittimo interesse; oppure

–        alla luce dell’insieme delle circostanze pertinenti, i diritti e le libertà fondamentali di detti clienti possano prevalere su tale legittimo interesse, in particolare a causa di un rischio di discriminazione fondata sull’identità di genere.

2)      L’articolo 6, paragrafo 1, primo comma, lettera f), del regolamento 2016/679

deve essere interpretato nel senso che:

al fine di valutare la necessità di un trattamento di dati personali ai sensi di tale disposizione, non occorre prendere in considerazione l’eventuale esistenza di un diritto di opposizione dell’interessato, ai sensi dell’articolo 21 di tale regolamento.

Firme

* Lingua processuale: il francese.