Verplichte aanspreektitel bij online aankoop in strijd met AVG

HvJ EU 9 januari 2025, IT 4735; ECLI:EU:C:2025:2 (Mousse) Mousse is van mening dat het verplicht vragen naar de aanspreektitel (de heer of mevrouw) in strijd is met de AVG, met name de beginselen van rechtmatigheid en minimale gegevensverwerking. Mousse stelde dat het verzamelen van deze gegevens niet noodzakelijk is voor de uitvoering van een vervoersovereenkomst, noch voor de gerechtvaardigde belangen van SNCF Connect. De CNIL (nationale commissie voor informatica en vrijheden) wees het bezwaar van Mousse af. Mousse heeft vervolgens beroep aangetekend bij de Conseil d’État (hoogste bestuursrechter, Frankrijk) tegen de afwijzing van de CNIL. De Conseil d’État vroeg het Hof of bij de beoordeling van de noodzaak van het verzamelen van aanspreektitels, rekening gehouden mag worden met gangbare praktijken in commerciële communicatie, en of dit in overeenstemming is met het principe van minimale gegevensverwerking. Daarnaast vroeg de Conseil d'État of er rekening mee moet worden gehouden dat klanten bezwaar kunnen maken tegen de verwerking van hun aanspreektitel op basis van artikel 21 AVG, en of dit van invloed is op de beoordeling van de noodzaak van de verplichte gegevensverzameling.

Het Hof oordeelt dat het verwerken van aanspreektitels voor gepersonaliseerde commerciële communicatie op basis van genderidentiteit niet noodzakelijk is voor de uitvoering van een overeenkomst. Deze personalisatie is niet objectief onontbeerlijk voor een correcte dienstverlening, zoals een vervoersdienst. Het verwerken van aanspreektitels is evenmin noodzakelijk voor de gerechtvaardigde belangen van het bedrijf, als de klanten niet geïnformeerd worden over het belang, de verwerking niet strikt noodzakelijk is, of de rechten van de klant zwaarder wegen. Een risico op discriminatie kan hierin een rol spelen.

Bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is, moet geen rekening gehouden worden met het recht van bezwaar van de klant onder artikel 21 van de AVG. Het recht van bezwaar mag de beoordeling van de rechtmatigheid en noodzaak van de gegevensverwerking niet beïnvloeden.

24. Overeenkomstig artikel 5, lid 1, onder c), van deze verordening, dat het beginsel van minimale gegevensverwerking formuleert, moeten deze gegevens tevens toereikend en ter zake dienend zijn en beperkt blijven tot hetgeen noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dat beginsel is een uitdrukking van het evenredigheidsbeginsel [zie in die zin arrest van 4 oktober 2024, Schrems (Mededeling van gegevens aan het grote publiek), C‑446/21, EU:C:2024:834, punten 49 en 50 en aldaar aangehaalde rechtspraak].

33. Dienaangaande moet de verwerking van persoonsgegevens, om als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, objectief onontbeerlijk zijn om een doel te bereiken dat integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder deze verwerking niet zou kunnen worden bereikt (arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C‑17/22 en C‑18/22, EU:C:2024:738, punt 43 en aldaar aangehaalde rechtspraak).

40. Er lijkt namelijk een praktische en minder ingrijpende oplossing te bestaan, aangezien de betrokken onderneming in haar communicatie met klanten die hun aanspreektitel niet kenbaar wensen te maken, of in haar algemene communicatie, kan kiezen voor generieke, inclusieve beleefdheidsformules die geen verband houden met de veronderstelde genderidentiteit van de klanten. Zoals de advocaat-generaal in de punten 49 en 50 van zijn conclusie heeft opgemerkt, lijkt SNCF Connect overigens, onder voorbehoud van verificatie door de verwijzende rechter, reeds dergelijke formuleringen te gebruiken en lijkt de vermelding van een onjuiste aanspreektitel bovendien geen invloed te hebben op de verlening van de betrokken vervoersdiensten, hetgeen zou bevestigen dat de in het hoofdgeding aan de orde zijnde gegevensverwerking niet objectief onontbeerlijk is om het hoofddoel van de overeenkomst te verwezenlijken.

45. Volgens vaste rechtspraak worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn. Ten eerste moet de verwerkingsverantwoordelijke of een derde een gerechtvaardigd belang behartigen; ten tweede moet de verwerking van persoonsgegevens noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang, en ten derde mogen de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde [arresten van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 106, en 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 37].

60. Het gerechtvaardigde belang in verband met direct marketing kan hoe dan ook niet prevaleren ingeval er een risico bestaat dat de fundamentele rechten en vrijheden van de betrokkene worden aangetast. Uit overweging 75 AVG volgt immers dat het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name waar de verwerking kan leiden tot discriminatie.