62023CJ0394_RES
Processo C‑394/23
MOUSSE
contra
Commission nationale de l’informatique et des libertés (CNIL) e o.
[pedido de decisão prejudicial apresentado pelo Conseil d’État (França)]
Acórdão do Tribunal de Justiça (Primeira Secção) de 9 de janeiro de 2025
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 5.o, n.o 1, alínea c) — Minimização dos dados — Artigo 6.o, n.o 1 — Licitude do tratamento — Dados relativos ao género e à identidade de género — Venda em linha de títulos de transporte — Artigo 21.o — Direito de oposição»
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Requisitos de licitude de um tratamento de dados pessoais — Princípio da minimização dos dados — Tratamento necessário para a execução do contrato que vincula o titular de dados — Conceito — Recolha, por uma empresa de transporte, de dados relativos ao género e à identidade de género dos seus clientes para efeitos de personalização da comunicação comercial — Exclusão
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 5.o, n.o 1, alínea c), e artigo 6.o, n.o 1, primeiro parágrafo, alínea b)]
(cf. n.os 22‑29, 33, 34, 36‑40, 42, 43, 64, disp. 1)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Requisitos de licitude de um tratamento de dados pessoais — Princípio da minimização dos dados — Tratamento necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros — Conceito — Recolha, por uma empresa de transporte, de dados relativos ao género e à identidade de género dos seus clientes para efeitos de personalização da comunicação comercial — Exclusão — Requisitos
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 6.o, n.o 1, primeiro parágrafo, alínea f)]
(cf. n.os 22‑29, 45‑50, 52‑64, disp. 1)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Âmbito de aplicação — Conceito de tratamento de dados pessoais — Recolha, por uma empresa de transporte, de dados relativos ao género e à identidade de género dos seus clientes — Inclusão
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 2.°, n.o 1, e 4.°, pontos 1 e 2)
(cf. n.o 30)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Requisitos de licitude de um tratamento de dados pessoais — Tratamento necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros — Critérios de apreciação — Direito de oposição da pessoa afetada pelo tratamento — Exclusão
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 6.°, n.o 1, primeiro parágrafo, alínea f), e 21.°]
(cf. n.os 66‑70, disp. 2)
Resumo
Chamado a pronunciar‑se a título prejudicial pelo Conseil d’État (Conselho de Estado, em formação jurisdicional, França), o Tribunal de Justiça esclarece o alcance dos princípios da licitude e da minimização dos dados, previstos no RGPD (
1
), no contexto do tratamento por uma empresa de transporte dos dados relativos ao género dos seus clientes, para efeitos da personalização da sua comunicação comercial.
A SNCF Connect comercializa títulos de transporte ferroviário através do seu sítio Internet e de aplicações em linha. Os seus clientes são obrigados a indicar o seu género, assinalando a menção «Senhor» ou «Senhora», quando compram esses títulos de transporte em linha.
A Association Mousse apresentou à Commission nationale de l’informatique et des libertés (Comissão Nacional da Informática e das Liberdades, França) uma reclamação contra a SNCF Connect, alegando que as condições de recolha e de registo dos dados relativos ao género dos clientes desta última não estavam em conformidade com as exigências do RGPD. Mais precisamente, a Mousse alegava que a recolha desses dados pela SNCF Connect violava os princípios da licitude e da minimização dos dados, bem como as obrigações de transparência e de informação decorrentes deste mesmo regulamento (
2
).
Por Decisão de 23 de março de 2021, a CNIL decidiu que o tratamento dos dados efetuado pela SNCF Connect era lícito, pelo facto de ser necessário para a execução do contrato de prestação de serviços de transporte em causa (
3
) e conforme com o princípio da minimização de dados.
Em 21 de maio de 2021, a Mousse interpôs recurso de anulação desta decisão da CNIL no órgão jurisdicional de reenvio, alegando que a obrigação imposta aos clientes da SNCF Connect de indicar o seu género não era necessária para a execução de um contrato de prestação de serviços de transporte, que era suscetível de violar, nomeadamente, o direito ao respeito da vida privada e que propiciava um risco de discriminação em função da identidade de género.
Neste contexto, o órgão jurisdicional de reenvio interroga‑se sobre se, para apreciar a necessidade da recolha dos dados relativos ao género dos clientes efetuada pela SNCF Connect, se pode ter em conta, por um lado, as práticas admitidas nas comunicações comerciais, civis e administrativas e, por outro, o facto de esses clientes poderem, após terem fornecido esses dados ao responsável pelo tratamento, exercer o seu direito de oposição à utilização desses dados, por motivos relacionados com a sua situação particular (
4
).
Apreciação do Tribunal de Justiça
Em primeiro lugar, o Tribunal de Justiça examina se um tratamento dos dados pessoais relativos ao género dos clientes de uma empresa de transporte, que tem por finalidade uma personalização da comunicação comercial, pode ser considerado necessário para a execução de um contrato (
5
) ou para efeito dos interesses legítimos prosseguidos pelo responsável por esse tratamento ou por terceiros (
6
).
No que respeita, por um lado, à necessidade desse tratamento para a execução de um contrato (
7
), o Tribunal de Justiça precisa que este deve ser objetivamente indispensável para realizar uma finalidade que faça parte integrante da execução do contrato. Mais especificamente, esse tratamento deve ser essencial para permitir a execução correta do contrato celebrado entre o responsável pelo tratamento e o titular dos dados e, por conseguinte, não devem existir outras soluções exequíveis e menos intrusivas.
No caso em apreço, dado que o objeto principal do contrato de transporte em causa é o fornecimento aos clientes de um serviço de transporte ferroviário e que o tratamento de dados em causa no processo principal tem por finalidade a personalização da comunicação comercial com o cliente, esta comunicação pode constituir uma finalidade que faz parte integrante da execução do contrato. Com efeito, a prestação desse serviço implica, em princípio, comunicar com o cliente para efeitos, nomeadamente, de lhe transmitir um título de transporte por via eletrónica, de o informar de eventuais alterações que afetem a viagem correspondente, bem como de permitir contactos com o serviço de apoio ao cliente. Esta comunicação pode exigir o respeito de práticas e compreender, nomeadamente, fórmulas de cortesia, para demonstrar o respeito da empresa em causa para com o seu cliente.
No entanto, o Tribunal de Justiça sublinha que essa comunicação não tem necessariamente de ser personalizada em função da identidade de género do cliente em causa. No caso em apreço, quanto aos serviços em causa no processo principal, uma personalização da comunicação comercial, baseada numa identidade de género presumida em função da forma de tratamento, não se afigura nem objetivamente indispensável nem essencial para permitir a execução correta de um contrato e, portanto, não pode ser considerada necessária à sua execução. Com efeito, parece existir uma solução exequível e menos intrusiva, uma vez que a SNCF Connect poderia optar, em relação aos clientes que não desejam indicar o seu género ou de forma geral, por uma comunicação assente em fórmulas de cortesia genéricas, inclusivas e sem correlação com a identidade de género presumida dos clientes.
Relativamente, por outro lado, à necessidade de um tratamento dos dados pessoais relativos ao género dos clientes de uma empresa de transporte para efeito dos interesses legítimos prosseguidos pelo responsável por esse tratamento ou por terceiros (
8
), o Tribunal de Justiça recorda, antes de mais, os três requisitos a preencher para que esse tratamento seja lícito.
No que respeita, primeiro, ao requisito relativo à prossecução de um interesse legítimo pelo responsável pelo tratamento ou por terceiros, o Tribunal de Justiça sublinha que incumbe ao responsável pelo tratamento indicar à pessoa cujos dados pessoais recolhe os interesses legítimos que prossegue no tratamento em causa. Esse interesse legítimo poderá existir, por exemplo, no caso de uma relação relevante e apropriada entre o titular dos dados e o responsável pelo tratamento, em situações como aquela em que o titular dos dados é cliente do responsável pelo tratamento.
No caso em apreço, o Tribunal de Justiça indica que cabe ao órgão jurisdicional de reenvio verificar se a SNCF Connect indicou um interesse legítimo aos seus clientes (
9
) e precisa que um tratamento de dados pessoais para finalidades comerciais pode responder a um interesse legítimo. Em especial, neste contexto, a personalização da publicidade pode ser equiparada à comercialização direta.
No que respeita, segundo, ao requisito relativo à necessidade do tratamento dos dados pessoais para a realização do interesse legítimo prosseguido, o Tribunal de Justiça explica este deve ser examinado conjuntamente com o princípio da minimização dos dados (
10
). Assim, incumbe ao órgão jurisdicional nacional verificar se o interesse legítimo prosseguido pelo tratamento dos dados não pode ser razoavelmente alcançado de modo igualmente eficaz através de outros meios menos atentatórios dos direitos fundamentais dos titulares dos dados. No caso em apreço, parece que uma personalização da comunicação comercial se pode limitar ao tratamento dos apelidos e nomes próprios dos clientes, sendo o seu género e/ou a sua identidade de género uma informação que não parece ser estritamente necessária neste contexto, nomeadamente à luz do princípio da minimização dos dados. Neste contexto, o Tribunal de Justiça refere que, embora o RGPD (
11
) não preveja a tomada em consideração dos usos e das convenções sociais próprios de cada Estado‑Membro para apreciar a necessidade de um tratamento de dados pessoais, o responsável pelo tratamento pode respeitar esses usos e convenções sociais. Com efeito, esse responsável pode utilizar em relação aos clientes que não pretendam indicar o seu género, ou de maneira geral, fórmulas de cortesia genéricas, inclusivas e sem correlação com a identidade de género desses clientes.
No que respeita, terceiro, ao requisito de que os interesses ou as liberdades e os direitos fundamentais do titular dos dados não prevaleçam sobre o interesse legítimo do responsável pelo tratamento ou de terceiros, o Tribunal de Justiça considera que este implica uma ponderação dos direitos e dos interesses opostos em presença. Cabe ao órgão jurisdicional nacional em causa efetuar essa ponderação tendo em conta, nomeadamente, as expectativas razoáveis do titular dos dados, o alcance do tratamento em causa e o impacto deste sobre essa pessoa. No caso em apreço, sob reserva de verificação pelo órgão jurisdicional de reenvio, não é suposto o cliente de uma empresa de transporte prever que essa empresa trate dados relativos ao seu género ou à sua identidade de género no contexto da aquisição de um título de transporte. Seria esse o caso, em especial, se este tratamento fosse realizado unicamente para fins de comercialização direta. Todavia, o Tribunal de Justiça precisa que o interesse legítimo relativo à prospeção comercial não pode, em todo o caso, prevalecer em caso de risco de violação dos direitos e liberdades fundamentais do titular dos dados. Caberá ao órgão jurisdicional nacional verificar a existência do risco de discriminação em função da identidade de género, alegado pela Mousse, nomeadamente à luz da Diretiva 2004/113 (
12
). O Tribunal acrescenta, a este respeito, que o âmbito de aplicação desta diretiva não pode ser reduzido apenas às discriminações decorrentes da pertença a um ou a outro género. Tendo em conta o seu objeto e a natureza dos direitos que visa proteger, a referida diretiva destina‑se também a ser aplicada às discriminações que têm a sua origem na mudança de identidade de género de uma pessoa.
Em face do que precede, o Tribunal de Justiça conclui que o tratamento de dados pessoais relativos ao género dos clientes de uma empresa de transporte, que tenha por finalidade uma personalização da comunicação comercial baseada na respetiva identidade de género, não pode ser considerado necessário para efeitos dos interesses legítimos prosseguidos pelo responsável por este tratamento ou por terceiros, quando o interesse legítimo prosseguido não foi indicado a estes clientes aquando da recolha destes dados, quando o referido tratamento não se verificar dentro dos limites do estritamente necessário para a realização deste interesse legítimo ou ainda quando à luz de todas as circunstâncias pertinentes, as liberdades e os direitos fundamentais dos referidos clientes sejam suscetíveis de prevalecer sobre o referido interesse legítimo, nomeadamente em razão de um risco de discriminação em função da identidade de género.
Em segundo lugar, o Tribunal de Justiça examina se, para apreciar a necessidade de um tratamento de dados pessoais relativos ao género dos clientes de uma empresa de transporte para efeito dos interesses legítimos prosseguidos pelo responsável por este tratamento ou por terceiros, há que ter em consideração a eventual existência de um direito de oposição do titular dos dados (
13
). Com efeito, a eventual existência de um direito de oposição pressupõe a existência de um tratamento lícito, baseado, no caso em apreço, nos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros. Ora, para ser lícito, esse tratamento deve previamente preencher o requisito da estrita necessidade para o interesse legítimo prosseguido. Resulta, portanto, dos termos e da sistemática das disposições do RGPD que a existência de um direito de oposição não pode ser tomada em consideração para efeitos da apreciação da licitude e, em particular, da necessidade de um tratamento de dados pessoais baseado nos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros.
(
1
)	Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»), artigo 5.o, n.o 1, alíneas a) e c).
(
2
)	Artigo 13.o do RGPD.
(
3
)	Artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD.
(
4
)	Artigo 21.o do RGPD.
(
5
)	Artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD.
(
6
)	Artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD.
(
7
)	Nos termos do artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD, um tratamento de dados pessoais é lícito se for «necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados».
(
8
)	Nos termos do artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD, um tratamento de dados pessoais só é lícito se for «necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança».
(
9
)	Por força do artigo 13.o, n.o 1, alínea d), do RGPD, o responsável pelo tratamento dos dados pessoais tem a obrigação de informar diretamente os titulares dos dados do interesse legítimo prosseguido aquando dessa recolha dos dados pessoais.
(
10
)	Por força do artigo 13.o, n.o 1, alínea d), do RGPD, o responsável pelo tratamento dos dados pessoais tem a obrigação de informar diretamente os titulares dos dados do interesse legítimo prosseguido aquando dessa recolha dos dados pessoais.
(
11
)	Artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD.
(
12
)	Diretiva 2004/113/CE do Conselho, de 13 de dezembro de 2004, que aplica o princípio de igualdade de tratamento entre homens e mulheres no acesso a bens e serviços e seu fornecimento (JO 2004, L 373, p. 37).
(
13
)	Nos termos do artigo 21.o do RGPD, o titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.o, n.o 1, alíneas e) ou f), do RGPD, incluindo a definição de perfis com base nessas disposições.