62023CJ0394_RES
Asunto C‑394/23
MOUSSE
contra
Commission nationale de l’informatique et des libertés (CNIL) y otros
[Petición de decisión prejudicial planteada por el Conseil d’État (Francia)]
Sentencia del Tribunal de Justicia (Sala Primera) de 9 de enero de 2025
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 5, apartado 1, letra c) — Minimización de datos — Artículo 6, apartado 1 — Licitud del tratamiento — Datos relativos al término de cortesía y a la identidad de género — Venta en línea de títulos de transporte — Artículo 21 — Derecho de oposición»
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Requisitos para la licitud de un tratamiento de datos personales — Principio de minimización de datos — Tratamiento necesario para la ejecución de un contrato que vincula al interesado — Concepto — Recogida, por una empresa de transporte, de datos relativos al término de cortesía con que dirigirse a los clientes y a la identidad de género de estos para la personalización de la comunicación comercial — Exclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 5, ap. 1, letra c), y 6, ap. 1, párr. primero, letra b)]
(véanse los apartados 22 a 29, 33, 34, 36 a 40, 42, 43 y 64 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Requisitos para la licitud de un tratamiento de datos personales — Principio de minimización de datos — Tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero — Concepto — Recogida, por una empresa de transporte, de datos relativos al término de cortesía con que dirigirse a los clientes y a la identidad de género de estos para la personalización de la comunicación comercial — Exclusión — Requisitos
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 6, ap. 1, párr. 1, letra f)]
(véanse los apartados 22 a 29, 45 a 50, 52 a 64 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Ámbito de aplicación — Concepto de tratamiento de datos personales — Recogida, por una empresa de transporte, de datos relativos al término de cortesía con que dirigirse a los clientes y a la identidad de género de estos para la personalización de la comunicación comercial — Inclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 2, ap. 1, y 4, puntos 1 y 2]
(véase el apartado 30)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Requisitos para la licitud de un tratamiento de datos personales — Tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero — Criterios de apreciación — Derecho de oposición del interesado afectado por el tratamiento — Exclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 6, ap. 1, párr. 1, letra f), y 21]
(véanse los apartados 66 a 70 y el punto 2 del fallo)
Resumen
El Tribunal de Justicia, que conoce de una petición de decisión prejudicial planteada por el Conseil d’État (Consejo de Estado, actuando como Tribunal Supremo de lo Contencioso-Administrativo, Francia), precisa el alcance de los principios de licitud del tratamiento y de minimización de datos, contemplados por el RGPD, (
1
) en el contexto del tratamiento por parte de una empresa de transporte de los datos relativos al término de cortesía con que dirigirse a sus clientes, a los efectos de la personalización de su comunicación comercial.
SNCF Connect vende títulos de transporte por ferrocarril a través de su sitio de Internet y de aplicaciones en línea. Sus clientes están obligados a indicar el término de cortesía con que dirigirse a ellos, marcando la indicación «Señor» o «Señora», al adquirir en línea dichos títulos de transporte.
La asociación Mousse presentó ante la Commission nationale de l’informatique et des libertés (Comisión Nacional de Informática y Libertades, CNIL) (Francia) una reclamación contra SNCF Connect, por considerar que las condiciones en que se recogían y registraban los datos relativos al término de cortesía con que dirigirse a los clientes de esta última no cumplían los requisitos del RGPD. En concreto, Mousse alegaba que la recogida de estos datos por SNCF Connect no se ajustaba a los principios de licitud del tratamiento y de minimización de datos y que violaba las obligaciones de transparencia y de información derivadas de dicho Reglamento. (
2
)
Mediante decisión de 23 de marzo de 2021, la CNIL estimó que el tratamiento de datos realizado por SNCF Connect era lícito, por ser necesario para la ejecución del contrato de prestación de servicios de transporte en cuestión, (
3
) y conforme con el principio de minimización de datos.
El 21 de mayo de 2021, Mousse interpuso un recurso de anulación contra dicha decisión de la CNIL ante el órgano jurisdiccional remitente, alegando que obligar a los clientes de SNCF Connect a indicar el término de cortesía con que dirigirse a ellos no es necesario para la ejecución de un contrato de prestación de servicios de transporte, que vulnera, en particular, el derecho al respeto de la vida privada y que entraña un riesgo de discriminación basada en la identidad de género.
En este contexto, el órgano jurisdiccional remitente se pregunta si, para apreciar la necesidad de la recogida, por parte de SNCF Connect, de los datos relativos al término de cortesía con que dirigirse a los clientes, puede tenerse en cuenta, por una parte, la práctica aceptada en las comunicaciones comerciales, civiles y administrativas y, por otra parte, el hecho de que dichos clientes podrían, tras haber facilitado esos datos al responsable del tratamiento, ejercer su derecho de oposición al uso de tales datos, alegando motivos relacionados con su situación particular. (
4
)
Apreciación del Tribunal de Justicia
En primer lugar, el Tribunal de Justicia examina si un tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte, cuya finalidad es la personalización de la comunicación comercial, puede considerarse necesario para la ejecución de un contrato (
5
) o para la satisfacción de intereses legítimos perseguidos por el responsable de dicho tratamiento o por un tercero. (
6
)
Por lo que se refiere, por una parte, a la necesidad de tal tratamiento para la ejecución de un contrato, (
7
) el Tribunal de Justicia precisa que dicho tratamiento debe ser objetivamente indispensable para conseguir un fin que forme parte integrante de la ejecución del contrato. En concreto, tal tratamiento debe ser esencial para la correcta ejecución del contrato celebrado entre el responsable del tratamiento y el interesado y, por lo tanto, no pueden existir otras soluciones viables y menos intrusivas.
En el caso de autos, dado que el objeto principal del contrato de transporte en cuestión es la prestación a los clientes de un servicio de transporte por ferrocarril y que el tratamiento de datos controvertido en el litigio principal tiene como finalidad la personalización de la comunicación comercial con el cliente, esta comunicación puede constituir una finalidad que forma parte integrante de la ejecución del contrato. En efecto, la prestación de tal servicio implica, en principio, comunicarse con el cliente para, entre otras cosas, transmitirle un título de transporte por vía electrónica, informarle de posibles cambios que afecten al viaje correspondiente y permitir el contacto con el servicio posventa. Esta comunicación puede requerir la observancia de ciertas prácticas e incluir, en particular, fórmulas de cortesía para mostrar el respeto que la empresa de que se trate tiene hacia su cliente.
Sin embargo, el Tribunal de Justicia destaca que tal comunicación no tiene por qué personalizarse necesariamente en función de la identidad de género del cliente de que se trate. En el presente asunto, por lo que respecta a los servicios controvertidos en el litigio principal, una personalización de la comunicación comercial, basada en una identidad de género que se presume en función del término de cortesía, no parece ni objetivamente indispensable ni esencial para permitir la correcta ejecución de un contrato y, por tanto, no puede considerarse necesaria para su ejecución. En efecto, parece existir una solución viable y menos intrusiva, ya que SNCF Connect podría optar, respecto de los clientes que no deseen indicar un término de cortesía con que dirigirse a ellos o de manera general, por una comunicación basada en fórmulas de cortesía genéricas, inclusivas y sin correlación con una presunción de identidad de género de los clientes.
En cuanto atañe, por otra parte, a la necesidad del tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte para la satisfacción de intereses legítimos perseguidos por el responsable de dicho tratamiento o por un tercero, (
8
) el Tribunal de Justicia recuerda, antes de nada, los tres requisitos que deben cumplirse para que tal tratamiento sea lícito.
En primer término, en cuanto al requisito relativo a la satisfacción de un interés legítimo por parte del responsable del tratamiento o por un tercero, el Tribunal de Justicia subraya que incumbe al responsable del tratamiento indicar a la persona cuyos datos personales recoge, en el momento del tratamiento, los intereses legítimos que persigue. Tal interés legítimo podría darse, por ejemplo, en el caso de una relación pertinente y apropiada entre el interesado y el responsable del tratamiento en situaciones en las que el interesado es cliente del responsable del tratamiento.
En el presente asunto, el Tribunal de Justicia indica que corresponde al órgano jurisdiccional remitente comprobar si SNCF Connect indicó a sus clientes un interés legítimo (
9
) y precisa que un tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo. En particular, en tal contexto, la personalización de la publicidad puede asimilarse a la mercadotecnia directa.
En segundo término, por lo que respecta al requisito relativo a la necesidad del tratamiento de datos personales para la satisfacción del interés legítimo perseguido, el Tribunal de Justicia explica que tal requisito debe examinarse conjuntamente con el principio de minimización de datos. (
10
) Así, corresponde al órgano jurisdiccional nacional comprobar si el interés legítimo que persigue el tratamiento de los datos puede alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios respecto de las libertades y los derechos fundamentales de los interesados. En el presente asunto, parece que una personalización de la comunicación comercial puede limitarse al tratamiento de los nombres y apellidos de los clientes, y que el término de cortesía con que dirigirse a ellos o su identidad de género es una información que no es estrictamente necesaria en este contexto, en particular a la luz del principio de minimización de datos. En este contexto, el Tribunal de Justicia indica que, si bien el RGPD (
11
) no contempla la toma en consideración de las prácticas y convenciones sociales propias de cada Estado miembro a efectos de apreciar el carácter necesario de un tratamiento de datos personales, el responsable del tratamiento puede respetar dichas prácticas y convenciones sociales. En efecto, el responsable del tratamiento podría utilizar, respecto de los clientes que no deseen indicar un término de cortesía con que dirigirse a ellos o de manera general, fórmulas de cortesía genéricas, inclusivas y sin correlación con la identidad de género de los clientes.
En tercer término, en cuanto al requisito de que los intereses o las libertades y los derechos fundamentales del interesado en la protección de los datos no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero, el Tribunal de Justicia estima que tal requisito implica una ponderación de los derechos e intereses en conflicto. Corresponde al órgano jurisdiccional nacional de que se trate efectuar esa ponderación teniendo en cuenta, en particular, las expectativas razonables del interesado, el alcance del tratamiento en cuestión y el impacto de este sobre ese interesado. En el presente asunto, sin perjuicio de que el órgano jurisdiccional remitente compruebe este extremo, los clientes de una empresa de transporte no tienen por qué prever que dicha empresa tratará los datos relativos al término de cortesía con que dirigirse a ellos o a su identidad de género en el contexto de la compra de un título de transporte. Así sucedería, en particular, si dicho tratamiento se realizara únicamente con fines de mercadotecnia directa. Sin embargo, el Tribunal de Justicia precisa que el interés legítimo relativo a la mercadotecnia directa no puede en ningún caso prevalecer cuando hay riesgo de que se vulneren los derechos y libertades fundamentales del interesado. Corresponde, pues, al órgano jurisdiccional nacional comprobar la existencia del riesgo de discriminación basada en la identidad de género, alegado por Mousse, en especial a la luz de la Directiva 2004/113. (
12
) A este respecto, el Tribunal de Justicia añade que el ámbito de aplicación de esta Directiva no puede reducirse únicamente a las discriminaciones que se derivan de la pertenencia a uno u otro género. En atención a su objeto y a los derechos que pretende proteger, dicha Directiva debe aplicarse igualmente a las discriminaciones que tienen lugar a consecuencia del cambio de identidad de género de una persona.
Habida cuenta de lo anteriormente expuesto, el Tribunal de Justicia concluye que el tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte, cuya finalidad es la personalización de la comunicación comercial basada en su identidad de género, no puede considerarse necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero cuando la empresa no indicó el interés legítimo perseguido a estos clientes en el momento de la recogida de los datos, cuando dicho tratamiento no se lleva a cabo sin sobrepasar los límites de lo estrictamente necesario para la consecución de ese interés legítimo o también cuando, a la vista de todas las circunstancias pertinentes, las libertades y los derechos fundamentales de los clientes pueden prevalecer sobre dicho interés legítimo, en especial debido a un riesgo de discriminación basada en la identidad de género.
En segundo lugar, el Tribunal de Justicia examina si, para apreciar la necesidad de un tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, debe tenerse en cuenta la eventual existencia de un derecho de oposición del interesado. (
13
) En efecto, la eventual existencia de un derecho de oposición supone la existencia de un tratamiento lícito, en este caso basado en los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero. Pues bien, para ser lícito, tal tratamiento debe cumplir previamente el requisito de ser estrictamente necesario para la satisfacción del interés legítimo perseguido. Del tenor y de la estructura de las disposiciones del RGPD se desprende, pues, que la existencia de un derecho de oposición no puede tomarse en consideración a efectos de la apreciación de la licitud y, en particular, de la necesidad del tratamiento de datos personales basado en los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero.
(
1
)	Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»), artículos 5, apartado 1, letras a) y c).
(
2
)	Artículo 13 del RGPD.
(
3
)	Artículo 6, apartado 1, párrafo primero, letra b), del RGPD.
(
4
)	Artículo 21 del RGPD.
(
5
)	Artículo 6, apartado 1, párrafo primero, letra b), del RGPD.
(
6
)	Artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
(
7
)	Con arreglo al artículo 6, apartado 1, párrafo primero, letra b), del RGPD, el tratamiento de datos personales es lícito si es «necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales».
(
8
)	Con arreglo al artículo 6, apartado 1, párrafo primero, letra f), del RGPD, el tratamiento de datos personales será lícito si es «necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño».
(
9
)	De conformidad con el artículo 13, apartado 1, letra d), del RGPD, el responsable del tratamiento tiene la obligación de informar directamente a los interesados, en el momento de la recogida de los datos personales, del interés legítimo perseguido.
(
10
)	De conformidad con el artículo 13, apartado 1, letra d), del RGPD, el responsable del tratamiento tiene la obligación de informar directamente a los interesados, en el momento de la recogida de los datos personales, del interés legítimo perseguido.
(
11
)	Artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
(
12
)	Directiva 2004/113/CE del Consejo, de 13 de diciembre de 2004, por la que se aplica el principio de igualdad de trato entre hombres y mujeres al acceso a bienes y servicios y su suministro (DO 2004, L 373, p. 37).
(
13
)	Con arreglo al artículo 21 del RGPD, el interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, párrafo primero, letras e) y f), del RGPD, incluida la elaboración de perfiles sobre la base de dichas disposiciones.