Na początku był formularz.
Sprawa C-394/23 dotyczy Francji ale ze względu na to, iż TSUE wypowiadał się w przedmiocie zasad stosowania RODO będzie miała również znaczenie w Polsce. W tej sprawie francuskie stowarzyszenie Mousse wniosło w 2021 r. skargę do francuskiego Prezesa Urzędu Ochrony Danych Osobowych (CNIL) na działanie SNCF Connect- francuskiego przewoźnika kolejowego, który w formularzu internetowym umożliwiającym zakup biletów wymagał podania od klienta informacji o jego tożsamości płciowej, a pisząc wprost podania informacji o respektowanej przez siebie formie grzecznościowej „Pan” lub „Pani”. Zdaniem Stowarzyszenia wymaganie od klienta podania tej informacji na etapie zakupu biletu kolejowego nie ma podstaw prawnych, w świetle obowiązującego od 2018 r. RODO
Porażka w pierwszej instancji.
Po rozpatrzeniu skargi CNIL stwierdził, iż jest ona nieuzasadniona. Zdaniem CNIL prawo do domagania się od klienta formy grzecznościowej znajduje oparcie w obowiązującym zwyczaju zgodnie, z którym w relacjach z klientami przedsiębiorcy posługują się etykietą „Pan”, „Pani”. Poza tym w ocenie francuskiego odpowiednika PUODO podanie ww. danych było niezbędne do należytego wykonania umowy przez przewoźnika, a więc zgodne z RODO (art. 6 ust. 1 lit. b RODO), a także było zgodne z zasadą minimalizacji danych. Stowarzyszenie Mousse nie złożyło jednak broni i zaskarżyło decyzję.
Potrzebna była dogrywka.
Conseil d’Etat (rada stanu Francja), która rozpatrywała odwołanie stowarzyszenia Mousse doszła do przekonania, iż w tej sprawie występuje istotne zagadnienie prawne dot. stosowania prawa wspólnotowego i zwróciła się z pytaniem prejudycjalnym to TSUE w tym przedmiocie. Trybunał Sprawiedliwości po rozpoznaniu pytania prejudycjalnego wyrokiem z dnia 9 stycznia 2025 r. w sprawie C-394/23 stwierdził, iż pytanie klienta o płeć, a tym samym o respektowaną przez niego formę grzecznościową jest niezgodne z RODO.
Sprawdź polecane oferty
RRSO 21,36%
Zdaniem TSUE Ogólne Rozporządzenie o Ochronie Danych zawiera wyczerpujący katalog podstawa prawnych umożliwiających danemu podmiotowi przetwarzanie danych. TSUE podkreślił, iż panujące zwyczaje nie zostały przez unijnego ustawodawcę uznane za warunek umożliwiających przetwarzanie danych. W ocenie TSUE w tej konkretnej sprawie zgodzić należało się z CNIL, iż podstawą przetwarzania danych była umowa łącząca strony, jednakże do zawarcia i realizacji tej umowy nie jest potrzebne podanie przez klienta informacji o swojej płci. Przedsiębiorstwo kolejowe może bowiem do swoich klientów zwracać się za pomocą zwrotów inkluzywnych albo bezpośrednio z wykorzystaniem podanych przez niego danych.
Blankiety do kosza.
Jak wspomniałem na początku wyrok ten może wydawać się absurdalny, gdyż- również w mojej ocenie- w sferze ochrony danych osobowych zmagamy się teraz z dużo poważniejszymi problemami. Do nich można zaliczyć chociażby ostatni głośny wyciek danych z firmy EuroCert, czy liczne problemy przedsiębiorców, których bazy danych są atakowane przez naszych sąsiadów ze wschodu. Dla osób zajmujących się danymi osobowymi nie stanowi bowiem żadnej nowości fakt, iż rodzime firmy są szantażowane przez hackerów, którzy w zamian za skradzione bazy danych żądają okupu albo handlują danymi w darknecie. Niemniej jednak wracając do tematu należy mieć na uwadze, że wskutek tego wyroku zarówno przedsiębiorcy jak i organy administracji publicznej nie będą mogły- poza pewnymi wyjątkami- żądać od swoich klientów podania formy grzecznościowej, ewentualnie w formularzu będą musiały podać dodatkową formę komunikacji np. „inna”. To z kolei wymaga zmiany stosowanych rozwiązań, a więc również nakładów finansowych, które jak się wydaje do końca uzasadnione nie są. A ponadto w mojej ocenie mogą prowadzić do dalszych sporów, nie trudno bowiem sobie wyobrazić spór o naruszenie dóbr osobistych, w którym powód będzie uważał, że jego godność została naruszona, gdyż przedsiębiorca zwracał się do niego na „Ty”.
