Genderidentiteit als marketinggegeven? Niet zonder meer toegestaan – Belangrijke GDPR-les van het Hof van Justitie

Op 9 januari 2025 sprak het Hof van Justitie van de Europese Unie zich uit in de zaak C-394/23. Dit arrest stelt een precedent op het gebied van bescherming van persoonsgegevens in e-commerce. Deze uitspraak heeft met name gevolgen voor de manier waarop bedrijven omgaan met de gegevens over genderidentiteit en aanspreekvorm bij de online aankoop van vervoersbewijzen.

De aanleiding: verplichte keuze voor “Dhr.” Of “Mevr.”

Het Franse spoorwegbedrijf SNCF Connect verplichtte klanten om bij online aankopen een aanspreekvorm (“Dhr.” of “Mevr.”) te kiezen. De vereniging Mousse diende hierover een klacht in bij de Franse Gegevensbeschermingsautoriteit (CNIL), omdat zij meende dat deze praktijk in strijd was met de Algemene Verordening Gegevensbescherming (AVG/GDPR), in het bijzonder met het beginsel van gegevensminimalisatie en rechtmatigheid van verwerking, en dat dit kon leiden tot discriminatie op basis van genderidentiteit. De CNIL wees de klacht af, waarna Mousse beroep instelde bij de Franse Raad van State, die prejudiciële vragen stelde aan het Hof van Justitie.

Beslissing van het HvJ-EU

Persoonsgegevens mogen alleen worden verzameld en verwerkt als ze toereikend, relevant en beperkt tot wat noodzakelijk is voor het specifieke doel. Dit zogenaamde minimalegegevensbeginsel benadrukt dat overbodige data taboe zijn.

Het Hof beoordeelde de zaak op basis van de AVG, en keek met name naar de beginselen van gegevensminimalisatie, rechtmatigheid en het recht op bezwaar. Het Hof kwam tot de volgende conclusies:

1. Niet objectief noodzakelijk voor de uitvoering van de overeenkomst:
   

Het personaliseren van communicatie op basis van een aanspreekvorm is geen essentiële voorwaarde voor de levering van de vervoersdienst. Neutrale communicatie zou de uitvoering van de overeenkomst niet beïnvloeden.

2. Geen gerechtvaardigd belang:
   

Het verzamelen van deze gegevens voldoet niet aan de vereisten voor een gerechtvaardigd belang van de verwerkingsverantwoordelijke, aangezien niet werd aangetoond dat deze informatie strikt noodzakelijk is voor commerciële of administratieve doeleinden. Het argument dat aanspreektitels nodig zijn voor beleefde of gepersonaliseerde communicatie overtuigt het Hof in deze zaak niet.

3. Risico op discriminatie:
   

De verplichte keuze voor een binair gender (“man” of “vrouw”) kan leiden tot discriminatie, zeker bij klanten die zich niet in de categorieën herkennen. Volgens het Hof kan dit in strijd zijn met het EU-recht, waaronder het beginsel van gelijke behandeling.

4. Recht van bezwaar rechtvaardigt geen voorafgaande verwerking:
   

Het feit dat gebruikers achteraf bezwaar kunnen maken, rechtvaardigt niet dat men hen vooraf verplicht om gegevens te verstrekken die eigenlijk niet nodig zijn. 

Gevolgen voor marketeers

Dit arrest heeft belangrijke gevolgen voor marketingprofessionals en voor iedereen die gepersonaliseerd wil communiceren met klanten. Het is niet langer toegestaan om systematisch titels of geslacht van klanten te verzamelen, tenzij dit strikt noodzakelijk is voor de uitvoering van een overeenkomst.

Wanneer mag geslachtsgegevens nog worden verzameld?

Er zijn nog situaties waarin het verzamelen en verwerken van geslacht of aanspreekvorm is toegestaan:

• Toestemming: Als de klant uitdrukkelijk toestemming geeft voor het verwerken van hun geslacht voor gepersonaliseerde communicatie, is dit toegestaan.
• Gerechtvaardigd belang: Verwerking kan ook op basis van een gerechtvaardigd belang, mits aan de volgende voorwaarden is voldaan:
  
  • De betrokkene is duidelijk geïnformeerd over het gerechtvaardigd belang.
  • De verwerking is noodzakelijk voor het nagestreefde belang.
  • De belangen van de betrokkene worden niet geschaad.
  • De drie-stappen-toets (belangenafweging) is correct uitgevoerd
    
    
    

Enkele aanvullende tips:

• Verzamel enkel gegevens die strikt noodzakelijk zijn.
• Informeer klanten duidelijk over de verwerking van hun persoonsgegevens.
• Bied klanten steeds de mogelijkheid om bezwaar te maken tegen gegevensverwerking.
• Overweeg genderneutrale alternatieven voor gepersonaliseerde communicatie.
  
  
  

Bovenstaande arrest is een herinnering dat klantendate een verantwoordelijkheid is. Organisaties die hierin slagen, beperken niet alleen het risico op GDPR-boetes, maar bouwen ook sterkere klantrelaties op.