Kan man kreve at kunder oppgir kjønnsidentiteten sin? - Hjort
Hva leter du etter?

Kan man kreve at kunder oppgir kjønnsidentiteten sin?

I januar avsa EU-domstolen en illustrerende dom om prinsippet om dataminimering og nødvendighetsvilkåret når en skal behandle personopplysninger basert på avtale eller berettiget interesse.

Det franske togselskapet SNCF Connect hadde som praksis å kreve at kunder oppga sin tittel som «Monsieur» eller «Madame» ved kjøp av togbilletter online. Det franske datatilsynet kom til at denne praksisen var lovlig, med henvisning til at den var nødvendig for å oppfylle kontrakten om transporttjenester. De mente også at praksisen var i tråd med prinsippet om dataminimering, siden det å tiltale kunder personlig med tittel var en akseptert praksis i kommersiell kommunikasjon. For EU-domstolen ble det argumentert med at det å tvinge kunder til å oppgi tittel verken var nødvendig for å oppfylle transportkontrakten eller for SNCF Connects legitime interesser, og at det kunne føre til diskriminering, spesielt for personer med ikke-binær kjønnsidentitet.

EU-domstolen vurderte om praksisen med å samle inn kunders titler kunne anses som nødvendig for å oppfylle en kontrakt eller for berettigede interesser, i henhold til GDPR. Domstolen konkluderte med at det å personalisere kommunikasjon basert på kundens kjønnsidentitet ikke var objektivt nødvendig for å oppfylle kontrakten. De påpekte at det finnes mindre inngripende alternativer, som å bruke generiske og inkluderende uttrykk i kommunikasjonen.

Videre vurderte domstolen om behandlingen av personopplysninger kunne rettferdiggjøres ut fra berettigede interesser. De understreket at slike interesser må være klart kommunisert til kundene, og at behandlingen må være strengt nødvendig for å oppnå disse interessene. Domstolen fant at SNCF Connect ikke hadde oppfylt disse kravene, spesielt siden kundene ikke var informert om de berettigede interessene, og at det var risiko for diskriminering basert på kjønnsidentitet.

Dommen gir en illustrasjon på hvordan nødvendighetsvilkåret som er til stede i mange av grunnlagene for behandling av personopplysninger skal anvendes. I tillegg viser den hvordan en interesseavveining kan påvirkes både av at «saksbehandlingsreglene» om informasjonsplikten i GDPR ikke er oppfylt, og ikke minst av at en personopplysning som for de fleste er uproblematisk, som kjønnsidentitet, for enkelte grupper kan være betydelig mer sensitiv og kan skape risiko for diskriminering.