Para el TJUE el tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte, cuya finalidad es la personalización de la comunicación comercial basada en su identidad de género, no es ni objetivamente indispensable ni esencial para permitir la correcta ejecución de un contrato y, por ello, no puede considerarse necesario para la ejecución de ese contrato.
Y precisa que el tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes no puede considerarse necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero cuando el interés legítimo perseguido no se indicó a estos clientes en el momento de la recogida de los datos, o cuando dicho tratamiento no se lleva a cabo sin sobrepasar los límites de lo estrictamente necesario para la consecución de ese interés legítimo; y las libertades y los derechos fundamentales de los clientes pueden prevalecer sobre dicho interés legítimo, cuando exista a un riesgo de discriminación basada en la identidad de género.
Una empresa ferroviaria francesa exigía a sus clientes indicar un término de cortesía con que dirigirse a ellos («señor» o «señora») en el momento de la compra en línea de títulos de transporte, y para el Tribunal, esta exigencia es contraria al principio de minimización de datos y reflejo del principio de proporcionalidad, aunque dirigirse a los clientes de manera personalizada utilizando el correspondiente término de cortesía responda a una práctica aceptada en el ámbito de las comunicaciones comerciales, civiles y administrativas -alegación ésta hecha por el responsable del tratamiento-.
En la medida en que conforme al principio de minimización de datos, los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, para que un tratamiento de datos personales pueda considerarse necesario para la ejecución de un contrato, el tratamiento debe ser objetivamente indispensable para permitir la correcta ejecución de ese contrato, y en el caso, una comunicación comercial no tiene por qué personalizarse necesariamente en función de la identidad de género del cliente; la personalización de los contenidos no resulta necesaria para ofrecer servicios a un cliente cuando estos servicios pueden prestarse en forma de una alternativa equivalente, que no implique personalización, por lo que ésta no es objetivamente indispensable para una finalidad que forme parte integrante de los servicios.
El TJUE propone una solución viable y menos intrusiva, y es que la empresa puede optar, respecto de los clientes que no deseen indicar un término de cortesía con que dirigirse a ellos o de manera general, por una comunicación basada en fórmulas de cortesía genéricas, inclusivas y sin correlación con una presunción de identidad de género de los clientes.
La sentencia aborda también la cuestión desde la perspectiva de la licitud del tratamiento. El RGPD establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. El tratamiento de datos personales solo es lícito si el interesado dio su consentimiento para uno o varios fines específicos, y a falta de tal consentimiento, o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, el tratamiento puede estar, no obstante, justificado cuando cumple alguno de los requisitos de necesidad, pero en todo caso, las justificaciones posibles, en la medida en que permiten que un tratamiento de datos personales realizado sin el consentimiento del interesado sea lícito, deben ser objeto de una interpretación restrictiva.
Y al hilo de la necesidad, el TJUE señala que, conforme al Reglamento, para apreciar la necesidad de un tratamiento de datos personales no debe tenerse en cuenta la eventual existencia de un derecho de oposición del interesado so pena de debilitar la garantía de un elevado nivel de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos personales.