62023CJ0394_RES
Cás C-394/23
MOUSSE
v
Commission nationale de l’informatique et des libertés (CNIL) agus páirtí eile
[iarraidh ar réamhrialú ón Conseil d’État (an Fhrainc)]
Breithiúnas na Cúirte (an Chéad Dlísheomra) an 9 Eanáir 2025
(Tarchur chun réamhrialú – Daoine aonair a chosaint i dtaca le próiseáil sonraí pearsanta – Rialachán (AE) 2016/679 – Airteagal 5(1)(c) – Íoslaghdú sonraí – Airteagal 6(1) – Dlíthiúlacht na próiseála – Sonraí a bhaineann le teidil agus le féiniúlacht inscne – Ticéid a dhíol ar líne – Airteagal 21 – An ceart chun agóid a dhéanamh)
Daoine aonair a chosaint i dtaca le próiseáil sonraí pearsanta – Rialachán 2016/679 – Coinníollacha dlíthiúlachta do phróiseáil ar shonraí pearsanta – Prionsabal an íoslaghdaithe sonraí – Próiseáil atá riachtanach chun conradh a chomhlíonadh, ar páirtí dó an t-ábhar sonraí – Coincheap – Bailiú, arna dhéanamh ag gnóthas iompair, sonraí a bhaineann le teidil agus féiniúlacht inscne a chustaiméirí chun cumarsáid tráchtála a phearsantú – Eisiamh
(Rialachán 2016/679 ó Pharlaimint na hEorpa agus ón gComhairle, Airteagal 5(1)(c) agus an chéad fhomhír d’Airteagal 6(1)(b))
(féach míreanna 22 go 29, 33, 34, 36 go 40, 42, 43, 64, an chuid oibríochtúil 1)
Daoine aonair a chosaint i dtaca le próiseáil sonraí pearsanta – Rialachán 2016/679 – Coinníollacha dlíthiúlachta do phróiseáil ar shonraí pearsanta – Prionsabal an íoslaghdaithe sonraí – Próiseáil atá riachtanach chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí – Coincheap – Bailiú, arna dhéanamh ag gnóthas iompair, sonraí a bhaineann le teidil agus féiniúlacht inscne a chustaiméirí chun cumarsáid tráchtála a phearsantú – Eisiamh – Coinníollacha
(Rialachán 2016/679 ó Pharlaimint na hEorpa agus ón gComhairle, an chéad fhomhír d’Airteagal 6 (1)(f))
(féach míreanna 22 go 29, 45 go 50, 52-64, an chuid oibríochtúil 1)
Daoine aonair a chosaint i dtaca le próiseáil sonraí pearsanta – Rialachán 2016/679 – Raon feidhme – Coincheap na próiseála ar shonraí pearsanta – Bailiú, arna dhéanamh ag gnóthas iompair, sonraí a bhaineann le teidil agus féiniúlacht inscne a chustaiméirí chun cumarsáid tráchtála a phearsantú – Cuimsiú
(Rialacháin 2016/679 ó Pharlaimint na hEorpa agus ón gComhairle, Airteagal 2(1) agus (4), pointí 1 agus 2)
(féach mír 30)
Daoine aonair a chosaint i dtaca le próiseáil sonraí pearsanta – Rialachán 2016/679 – Coinníollacha dlíthiúlachta do phróiseáil ar shonraí pearsanta – Próiseáil atá riachtanach chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí – Critéir mheasúnaithe – Ceart an ábhair sonraí chun agóid a dhéanamh – Eisiamh
(Rialachán 2016/679 ó Pharlaimint na hEorpa agus ón gComhairle, an chéad fhomhír d’Airteagal 6 (1)(f) agus Airteagal 21)
(féach míreanna 66 go 70, an chuid oibríochtúil 2)
Achoimre
I ndiaidh iarraidh ar réamhrialú ón Conseil d’État (an Fhrainc), soiléiríonn an Chúirt Bhreithiúnais raon feidhme phrionsabail na dleathachta agus an íoslaghdaithe sonraí, dá bhforáiltear le RGCS (
1
), i gcomhthéacs próiseála arna dhéanamh ag gnóthas iompair, ar shonraí a bhaineann le teidil a chustaiméirí chun cumarsáid tráchtála a phearsantú.
Díolann SNCF Connect ticéid taistil trína shuíomh gréasáin agus trí fheidhmchláir ar líne. Ceanglaítear ar a chustaiméirí a dteidil a chur in iúl, trí thic a chur leis na focail ‘an tUasal’ nó ‘Bean Uí’, agus na ticéid sin á gceannach acu ar líne.
Rinne an comhlachas Mousse gearán leis an Commission nationale de l’informatique et des libertés (CNIL) in aghaidh SNCF Connect, ar an bhforas nach raibh na coinníollacha maidir le bailiú na sonraí a bhain le teidil chliaint SNCF i gcomhréir le ceanglais RGCS. Go háirithe, líomhain Mousse gur sháraigh bailiú na sonraí sin prionsabail na dleathachta agus an íoslaghdaithe sonraí, chomh maith leis na hoibleagáidí trédhearcachta agus faisnéise a eascraíonn as an Rialachán céanna (
2
).
Le cinneadh an 23 Márta 2021, chinn CNIL go raibh próiseáil na sonraí arna déanamh ag SNCF Connect dleathach, ar an bhforas go raibh sí riachtanach chun an conradh le haghaidh soláthar na seirbhísí iompair lena mbaineann a chomhlíonadh (
3
) agus go raibh sí i gcomhréir le prionsabal an íoslaghdaithe sonraí.
An 21 Bealtaine 2021, thug Mousse caingean chun an cinneadh sin ó CNIL a neamhniú os comhair na cúirte a rinne an tarchur, inar líomhnaíodh nach mbeadh an oibleagáid ar chliaint SNCF Connect a dteidil a léiriú riachtanach chun conradh chun seirbhísí iompair a sholáthar a chomhlíonadh, go bhféadfadh oibleagáid den sórt sin an bonn a bhaint, inter alia, den cheart chun measa ar an saol príobháideach agus go mbeadh baol idirdhealaithe bunaithe ar fhéiniúlacht inscne ann dá bharr.
Sa chomhthéacs sin, fiafraíonn an chúirt a rinne an tarchur, chun measúnú a dhéanamh ar an ngá atá le bailiú na sonraí a bhaineann le teidil custaiméirí arna dhéanamh ag SNCF Connect, an féidir a chur san áireamh, ar an gcéad dul síos, úsáidí a bhfuil glacadh leo i gcumarsáid tráchtála, shibhialta agus riaracháin agus, ar an dara dul síos, go bhféadfadh na custaiméirí sin, tar éis dóibh na sonraí sin a chur ar fáil don rialaitheoir, a gceart a fheidhmiú chun agóid a dhéanamh i gcoinne úsáid na sonraí sin, ar chúiseanna a bhaineann lena gcás ar leith (
4
).
Measúnú na Cúirte
Sa chéad áit, scrúdaíonn an Chúirt an bhféadfar a mheas go bhfuil próiseáil sonraí pearsanta a bhaineann le teidil custaiméirí gnóthais iompair, arb é is cuspóir di an chumarsáid tráchtála a phearsantú, riachtanach chun conradh a chomhlíonadh (
5
) nó riachtanach chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí (
6
).
Ar an gcéad dul síos, maidir le riachtanas na próiseála ar shonraí pearsanta chun conradh a chomhlíonadh (
7
), sonraíonn an Chúirt nach mór an phróiseáil sin a bheith fíor-riachtanach go hoibiachtúil chun cuspóir a bhaint amach ar cuid dhílis í den tseirbhís chonarthach. Go háirithe, ní mór do phróiseáil den chineál sin a bheith riachtanach chun comhlíonadh cuí an chonartha arna thabhairt i gcrích idir an rialaitheoir agus an t-ábhar sonraí a chumasú agus, dá bhrí sin, ní mór nach bhfuil aon roghanna malartacha atá indéanta agus nach bhfuil chomh cunórach céanna ann.
Sa chás seo, toisc gurb é príomhchuspóir an chonartha atá i gceist seirbhís iompair d’iarnród a sholáthar do chustaiméirí agus toisc gurb é cuspóir na próiseála sonraí atá i gceist sna príomhimeachtaí an chumarsáid tráchtála leis an gcustaiméir a phearsantú, d’fhéadfadh an chumarsáid sin a bheith ina cuspóir atá ina dhlúthchuid de chur chun feidhme an chonartha. Baineann soláthar seirbhíse iompair iarnróid den sórt sin, i bprionsabal, le cumarsáid a dhéanamh leis an gcustaiméir chun, inter alia, ticéad a sheoladh chuige trí mheán leictreonach, chun é a chur ar an eolas faoi aon athruithe a dhéanann difear don turas comhfhreagrach, agus chun malartuithe leis an tseirbhís iardhíola a chumasú. Féadfar a cheangal leis an gcumarsáid sin go gcloífear le gnásanna agus féadfar a áireamh léi, inter alia, foirmlí cúirtéise, chun meas an ghnóthais lena mbaineann i leith a chustaiméir a léiriú.
Mar sin féin, cuireann an Chúirt béim ar an bhfíoras nach bhfuil sé riachtanach cumarsáid den chineál sin a phearsantú ag brath ar fhéiniúlacht inscne an chustaiméara lena mbaineann. Sa chás seo, maidir leis na seirbhísí atá i gceist sna príomhimeachtaí, is cosúil nach bhfuil pearsantú na cumarsáide tráchtála, atá bunaithe ar fhéiniúlacht inscne thoimhdithe ar bhonn teidil, riachtanach go hoibiachtúil ná riachtanach chun comhlíonadh cuí an chonartha lena mbaineann a chumasú agus, dá bhrí sin, nach féidir a mheas go bhfuil sí riachtanach chun an conradh sin a chomhlíonadh. Is cosúil go bhfuil réiteach inoibrithe ann nach bhfuil chomh cunórach céanna, ós rud é go bhféadfadh SNCF Connect rogha a dhéanamh, maidir le custaiméirí nach mian leo a dteidil a léiriú nó go ginearálta, cumarsáid a dhéanamh ar bhonn foirmlí cineálacha, cuimsitheacha agus neamhchoibhneasacha le féiniúlacht inscne thoimhdithe na gcustaiméirí.
Ar an dara dul síos, maidir leis an ngá atá le próiseáil sonraí pearsanta a bhaineann le sibhialtacht chustaiméirí gnóthais iompair chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí (
8
), meabhraíonn an Chúirt, ar an gcéad dul síos, na trí choinníoll atá le comhlíonadh chun go mbeidh próiseáil den sórt sin dleathach.
Ar an gcéad dul síos, maidir leis an gcoinníoll a bhaineann le leas dlisteanach a shaothrú ag an rialaitheoir nó ag tríú páirtí, chinn an Chúirt gur faoin rialaitheoir atá sé na leasanna dlisteanacha atá á saothrú a léiriú don duine lena mbaineann na sonraí pearsanta agus an phróiseáil atá i gceist á déanamh aige. D'fhéadfadh leas den sórt sin a bheith ann mar shampla i gcás ina bhfuil caidreamh ábhartha iomchuí idir an t-ábhar sonraí agus an rialaitheoir i gcásanna amhail gur cliant den rialaitheoir an t-ábhar sonraí.
Sa chás seo, cuireann an Chúirt in iúl gur faoin gcúirt a rinne an tarchur a bheidh sé a fháil amach ar léirigh SNCF Connect leas dlisteanach dá custaiméirí (
9
), agus sonraíonn sí go bhféadfar próiseáil sonraí pearsanta chun críocha na margaíochta a mheas mar phróiseáil a dhéantar ar mhaithe le leas dlisteanach. Go háirithe, féadfar pearsanú fógraíochta a ionannú leis an margaíocht i gcomhthéacs den sórt sin.
Ar an dara dul síos, maidir leis an gcoinníoll a bhaineann leis an ngá atá le sonraí pearsanta a phróiseáil chun críocha an leasa dhlisteanaigh atá á shaothrú, tugann an Chúirt faoi deara nach mór scrúdú a dhéanamh uirthi i gcomhar le prionsabal an íoslaghdaithe sonraí (
10
). Mar sin, is faoin gcúirt a rinne an tarchur atá sé a fhíorú an féidir an leas dlisteanach i bpróiseáil na sonraí atá á saothrú a bhaint amach go réasúnta ar bhealaí eile nach ndéanann an méid céanna dochar do chearta bunúsacha agus do shaoirsí bunúsacha na n-ábhar sonraí. Sa chás seo, dealraíonn sé go bhféadfaí pearsantú na cumarsáide tráchtála a theorannú do phróiseáil shloinnte agus thúsainmneacha na gcustaiméirí, toisc gur faisnéis iad a dteidil agus/nó a bhféiniúlacht inscne nach bhfuil fíorghá leo sa chomhthéacs sin, go háirithe i bhfianaise phrionsabal an íoslaghdaithe sonraí. Sa chomhthéacs sin, cuireann an Chúirt in iúl, cé nach bhforáiltear le RGCS (
11
) do cleachtais agus coinbhinsiúin shóisialta a bhaineann go sonrach le gach Ballstát a chur san áireamh chun measúnú a dhéanamh ar an ngá atá le sonraí pearsanta a phróiseáil, is faoin rialaitheoir atá sé na cleachtais shóisialta agus na comhaontuithe sóisialta sin a chomhlíonadh. Is féidir leis an rialaitheoir sin úsáid a bhaint, maidir le custaiméirí nach mian leo a dteidil a chur in iúl nó go ginearálta, as foirmlí cineálacha, cuimsitheacha agus neamh-chomhghaolmhara le féiniúlacht inscne na gcustaiméirí sin.
Ar an tríú dul síos, maidir leis an gcoinníoll nach mbeidh sáraíocht ag leasanna nó saoirsí agus cearta bunúsacha an duine lena mbaineann an chosaint sonraí ar leas dlisteanach an rialaitheora nó an tríú páirtí, chinn an Chúirt go bhfuil sé i gceist leis an gcoinníoll sin na cearta agus na leasanna freasúracha atá i gceist a chothromú. Ní mór don chúirt a rinne an tarchur a chur san áireamh, agus an cothromú á dhéanamh aici, go háirithe, ionchais réasúnta an ábhair sonraí, raon feidhme na próiseála lena mbaineann agus a tionchar ar an ábhar sonraí sin. Sa chás seo, faoi réir a fhíoraithe ag an gcúirt a rinne an tarchur, ní mheastar go mbeidh custaiméir gnóthais iompair ag súil go bpróiseálfaidh an gnóthas sin sonraí a bhaineann lena theideal nó lena fhéiniúlacht inscne i gcomhthéacs ticéad a cheannach. B’amhlaidh a bheadh, go háirithe, dá mba chun críche na margaíochta amháin a rinneadh an phróiseáil sin. Mar sin féin, sonraíonn an Chúirt nach féidir forlámhas a bheith ag an leas dlisteanach a bhaineann leis an margaíocht, in aon chás, i gcás ina bhfuil baol ann go mbainfí an bonn de chearta bunúsacha agus de shaoirsí bunúsacha an ábhair sonraí. Dá bhrí sin, is faoin gcúirt náisiúnta atá sé a chinneadh an bhfuil baol idirdhealaithe ann bunaithe ar fhéiniúlacht inscne, arna líomhain ag Mousse, go háirithe i bhfianaise Threoir 2004/113 (
12
). Cuireann an Chúirt in iúl freisin, i ndáil leis sin, nach féidir raon feidhme na Treorach sin a theorannú d’idirdhealú a eascraíonn as baint a bheith aige le hinscne amháin nó le hinscne eile. I bhfianaise a cuspóra agus chineál na gceart a bhféachann sí lena gcosaint, tá sé beartaithe go mbeidh feidhm ag an Treoir sin freisin maidir le hidirdhealú a eascraíonn as athrú féiniúlachta inscne duine.
I bhfianaise a bhfuil thuas, chinn an Chúirt nach bhféadfar a mheas go bhfuil próiseáil sonraí pearsanta a bhaineann le teidil custaiméirí gnóthais iompair, arb é is cuspóir di an chumarsáid tráchtála a phearsantú bunaithe ar a bhféiniúlacht inscne, riachtanach chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí i gcás nár cuireadh an leas dlisteanach atá á shaothrú in iúl do na custaiméirí sin tráth bhailiú na sonraí sin, i gcás nach ndéantar an phróiseáil sin laistigh de theorainneacha an mhéid atá fíor-riachtanach chun an leas dlisteanach sin a bhaint amach; nó i bhfianaise na n imthosca ábhartha uile, i gcás nach bhféadfaidh forlámhas a bheith ag cearta agus saoirsí bunúsacha na gcustaiméirí sin ar an leas dlisteanach sin, go háirithe mar gheall ar riosca idirdhealaithe bunaithe ar fhéiniúlacht inscne.
Ar an dara dul síos, scrúdaíonn an Chúirt, chun measúnú a dhéanamh ar an ngá atá le sonraí pearsanta a bhaineann le teidil chustaiméirí gnóthais iompair a phróiseáil chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí, an gá a chur san áireamh an bhfuil sé de cheart ag an ábhar sonraí agóid a dhéanamh (
13
). Le ceart agóide a bheith ann, glactar leis go bhfuil próiseáil dhleathach ann, bunaithe sa chás seo ar na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí. Le bheith dleathach, ní mór próiseáil den sórt sin an coinníoll maidir le dianriachtanas a chomhlíonadh. Leanann sé, dá bhrí sin, ó fhoclaíocht agus ó scéim forálacha RGPD nach féidir an ceart chun agóid a dhéanamh a chur san áireamh chun measúnú a dhéanamh ar dhlíthiúlacht agus, go háirithe, ar an ngá atá le próiseáil ar shonraí pearsanta atá bunaithe ar na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí.
(
1
)	Rialachán (AE) 2016/679 ó Pharlaimint na hEorpa agus ón gComhairle an 27 Aibreán 2016 maidir le daoine nádúrtha a chosaint i ndáil le sonraí pearsanta a phróiseáil agus maidir le saorghluaiseacht sonraí den sórt sin, agus lena n-aisghairtear Treoir 95/46 (An Rialachán Ginearálta maidir le Cosaint Sonraí) (IO 2016, L 119, lch. 1, ‘RGCS’), Airteagal 5(1)(a) agus (c).
(
2
)	Airteagal 13 RGCS.
(
3
)	An chéad fhomhír d’Airteagal 6(1)(b) RGCS.
(
4
)	Airteagal 21 RGCS.
(
5
)	An chéad fhomhír d’Airteagal 6(1)(b) RGCS.
(
6
)	An chéad fhomhír d’Airteagal 6(1)(b) RGCS.
(
7
)	Faoin gcéad fhomhír d’Airteagal 6(1)(b) de RGCS, foráiltear go bhfuil próiseáil sonraí pearsanta dleathach más rud é gur ‘gá an phróiseáil a dhéanamh chun conradh ar páirtí ann an t-ábhar sonraí a chomhlíonadh nó chun bearta a dhéanamh arna iarraidh sin ag an ábhar sonraí sula ndéanfaidh sé nó sí conradh’
(
8
)	Faoin gcéad fhomhír d’Airteagal 6(1)(f) de RGCS, foráiltear go bhfuil próiseáil sonraí pearsanta dleathach más rud é gur ‘gá an phróiseáil a dhéanamh chun críocha na leasanna dlisteanacha atá á saothrú ag an rialaitheoir nó ag tríú páirtí, seachas i gcás ina mbeidh sáraíocht ag na leasanna sin ar leasanna nó ar chearta bunúsacha agus ar shaoirsí bunúsacha an ábhair sonraí, lena gceanglaítear go ndéanfar sonraí pearsanta a chosaint, go háirithe más leanbh é an t-ábhar sonraí’.
(
9
)	Faoi Airteagal 13(1)(d) de RGCS, tá sé d’oibleagáid ar an rialaitheoir ábhair sonraí a chur ar an eolas go díreach faoin leas dlisteanach atá á shaothrú tráth bhailiú na sonraí pearsanta.
(
10
)	Faoi Airteagal 13(1)(d) de RGCS, tá sé d’oibleagáid ar an rialaitheoir ábhair sonraí a chur ar an eolas go díreach faoin leas dlisteanach atá á shaothrú tráth bhailiú na sonraí pearsanta.
(
11
)	An chéad fhomhír d’Airteagal 6(1)(b) RGCS.
(
12
)	Treoir 2004/113/CE ón gComhairle an 13 Nollaig 2004 lena gcuirtear i bhfeidhm prionsabal na córa comhionainne idir fir agus mná maidir le rochtain ar earraí agus ar sheirbhísí agus maidir le soláthar earraí agus seirbhísí (IO 2004, L 373, lch. 37).
(
13
)	De bhun Airteagal 21 de RGPD, beidh sé de cheart ag an ábhar sonraí agóid a dhéanamh, ar fhorais a bhaineann lena staid leithleach féin, ag am ar bith, i gcoinne próiseáil sonraí pearsanta a bhaineann leis nó léi féin agus é arna bhunú ar an gcéad fhomhír d’Airteagal 6(1)(e) agus (f) de RGCS, lena n-áirítear próifíliú bunaithe ar na forálacha sin.