Indice
Il 9 gennaio 2025 la Corte di giustizia dell’Unione Europea (CGUE) si è pronunciata su una questione che riguarda i dati personali raccolti attraverso i form online in fase di acquisto di un servizio.
La questione
La società francese SNCF Connect obbliga i suoi clienti a indicare il proprio appellativo, barrando la dicitura «Signore» o «Signora», in fase di acquisto online di biglietti e abbonamenti ferroviari.
L’associazione Mousse ha proposto ricorso al Garante privacy francese (CNIL) sostenendo che questa pratica è illecita perché:
- non è necessaria per l’esecuzione del contratto di trasporto. Quindi non soddisfa il requisito stabilito dall’art.6, paragrafo 1, lettera b) del GDPR, il quale stabilisce che un trattamento di dati personali è lecito se è «necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso».
- non è necessaria per perseguire il legittimo interesse della SNCF Connect (quindi non soddisfa il requisito stabilito dall’art.6, par. 1, lett f) del GDPR).
Secondo Mousse è violato anche il principio di minimizzazione, secondo il quale i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (art. 5, par. 1, lett. c) del GDPR).
La decisione della CNIL
La CNIL respinge il ricorso: il trattamento era necessario per eseguire il contratto ed era conforme al principio della minimizzazione dei dati, dal momento che il fatto di rivolgersi ai clienti in modo personalizzato, utilizzando il loro appellativo, corrisponderebbe agli usi ammessi nel settore delle comunicazioni commerciali.
Mousse chiede che questa decisione venga annullata e il caso arriva davanti alla Corte giustizia dell’Unione Europea.
La decisione della CGUE
La CGUE ribalta la decisione del Garante privacy francese.
“Perché un trattamento di dati personali sia considerato necessario all’esecuzione di un contratto, “deve essere oggettivamente indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata alla persona di cui sono trattati i dati“.
Il titolare di tale trattamento deve, quindi, essere in grado di dimostrare in che modo l’oggetto principale di tale contratto non potrebbe essere conseguito in assenza di questo trattamento.
Da un lato è vero che la comunicazione commerciale può costituire una finalità che è parte integrante della prestazione contrattuale interessata: fornire un servizio di trasporto ferroviario implica poter comunicare con il cliente per trasmettergli online il biglietto, per informarlo di eventuali modifiche, per comunicare con il servizio di assistenza. Nel comunicare con il cliente l’azienda può adottare formule di cortesia per dimostrare il suo riguardo nei confronti del suo cliente e così preservare la propria immagine.
Tuttavia, secondo la CGUE, la personalizzazione della comunicazione commerciale, fondata su un’identità di genere presunta in funzione dell’appellativo, non è né oggettivamente indispensabile né essenziale per eseguire il contratto di trasporto.
Infatti, una soluzione praticabile e meno invasiva sembra esistere, dal momento che l’impresa interessata potrebbe optare, nei confronti dei clienti che non desiderano indicare il loro appellativo o in maniera generale, per una comunicazione basata su formule di cortesia generiche, inclusive e prive di correlazione con la presunta identità di genere dei clienti. –CGUE
La CGUE, nel rigettare anche la tesi secondo cui il trattamento è lecito perché esiste il legittimo interesse della SNCF Connect a trattare il dato personale, ribadisce che: “una personalizzazione della comunicazione commerciale possa limitarsi al trattamento dei nomi e dei cognomi dei clienti”.
Anche in questo modo è possibile rispettare quegli usi e convenzioni sociali invocate dalla SNCF Connect per giustificare la raccolta del dato sull’identità di genere.
“Rendere i moduli più inclusivi e rispettosi è una scelta etica”
A questo proposito riporto un post di Officina Microtesti apparso proprio qualche giorni fa sui social (che coincidenza!) e che reputo abbastanza eloquente.
Quando chiediamo qualcosa, stiamo anche trasmettendo un messaggio: chiedere il genere, senza un motivo chiaro, può dare l’impressione di un’invasione della sfera personale, soprattutto in contesti in cui queste informazioni non servono.
Non solo: possiamo ottenere dati più rilevanti per il marketing o per la personalizzazione semplicemente chiedendo ciò che davvero ci interessa sapere, come i bisogni o le preferenze degli utenti.
Rendere i moduli più inclusivi e rispettosi è una scelta etica, ma anche una strategia vincente per instaurare fiducia e migliorare l’esperienza utente. Ogni domanda superflua è un ostacolo, mentre ogni modulo semplificato è un passo verso la trasparenza e il rispetto della diversità.
– Trovate il post completo su LinkedIn.
Un suggerimento per designer (e non solo)
Infine, la SNCF Connect sosteneva che raccogliere il dato sull’identità di genere fosse necessario anche per organizzare i servizi di trasporto per i treni notturni con vagoni riservati alle persone aventi una stessa identità di genere e per l’assistenza ai passeggeri che versano in una condizione di handicap.
La CGUE nota però che un trattamento del genere sarebbe comunque contrario principio di minimizzazione poiché “avrebbe potuto essere limitato ai dati relativi all’identità di genere dei soli clienti che desiderano viaggiare in treno notturno o beneficiare di un’assistenza personalizzata a causa di un handicap”.
Per chi si occupa di interfacce e UX questo è un assist: significa immaginare di chiedere il dato relativo all’identità di genere, o comunque un dato che non appare strettamente necessario raccogliere in prima battuta, soltanto in un secondo momento.
Ad esempio, dopo che chi acquista un servizio ha risposto in una certa maniera o ha optato per una certa soluzione (in questo caso, il treno notturno).
Forma mentis e legal design
Leggere i commenti ironici a questa sentenza chi si occupa di privacy (e, quindi, di tutela dei diritti) è sconfortante.
Le reazioni sono sempre le stesse, quando si va a toccare le questioni di genere (e di linguaggio): “le questioni importanti sono altre, non hanno altro a cui pensare? dove andremo a finire, la dittatura del politicamente corretto”.
Anziché pensare: “come posso aiutare l’azienda mia cliente a offrire un’esperienza migliore del servizio anche dal punto di vista della privacy, partendo da quanto stabilito in questa sentenza?”
Quando si parla di forma mentis nel legal design, è questo che si intende.
Se vuoi saperne di più su privacy e legal design, puoi leggere questi altri miei post:
