62023CJ0394_RES
Mål C‑394/23
Mousse
mot
Commission nationale de l’informatique et des libertés (CNIL) m.fl.
(begäran om förhandsavgörande från Conseil d’État (Högsta förvaltningsdomstolen, Frankrike))
Domstolens dom (första avdelningen) av den 9 januari 2025
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5.1 c – Uppgiftsminimering – Artikel 6.1 – Laglig behandling av personuppgifter – Uppgifter avseende tilltalstitel (’herr’ eller ’fru’) och könsidentitet – Onlineförsäljning av färdbevis – Artikel 21 – Rätt att göra invändningar”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Villkor för att en behandling av personuppgifter ska vara laglig – Principen om uppgiftsminimering – Behandlingen ska vara nödvändig för att fullgöra ett avtal i vilket den registrerade är part – Begrepp – Ett transportföretags insamling av uppgifter avseende kundernas tilltalstitel (’herr’ eller ’fru’) och könsidentitet i syfte att personanpassa företagets kundkommunikation – Omfattas inte
(Europaparlamentets och rådets förordning 2016/679, artiklarna 5.1 c och 6.1 första stycket b)
(se punkterna 22–29, 33–34, 36–40, 42, 43 och 64 samt punkt 1 i domslutet )
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Villkor för att en behandling av personuppgifter ska vara laglig – Principen om uppgiftsminimering – Behandlingen ska vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen – Begrepp – Ett transportföretags insamling av uppgifter avseende kundernas tilltalstitel (’herr’ eller ’fru’) och könsidentitet i syfte att personanpassa företagets kundkommunikation – Omfattas inte – Villkor
(Europaparlamentets och rådets förordning 2016/679, artikel 6.1 första stycket f)
(se punkterna 22–29, 45–50 och 52–64 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Tillämpningsområde – Begreppet behandling av personuppgifter – Ett transportföretags insamling av uppgifter avseende kundernas tilltalstitel (’herr’ eller ’fru’) och könsidentitet – Omfattas
(Europaparlamentets och rådets förordning 2016/679, artiklarna 2.1 samt 4.1 och 4.2)
(se punkt 30)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Villkor för att en behandling av personuppgifter ska vara laglig – Behandlingen ska vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen – Bedömningskriterier – Den registrerades rätt att göra invändningar – Omfattas inte
(Europaparlamentets och rådets förordning 2016/679, artiklarna 6.1 första stycket f och 21)
(se punkterna 66–70 samt punkt 2 i domslutet)
Resumé
Med anledning av en begäran om förhandsavgörande från Conseil d’État (Högsta förvaltningsdomstolen, Frankrike) uttalar sig EU-domstolen om räckvidden av principerna om laglighet och uppgiftsminimering, som föreskrivs i förordning (EU) 2016/679, (
1
) i ett fall där ett transportföretag behandlar uppgifter om sina kunders tilltalstitel (’herr’ eller ’fru’) i syfte att personanpassa företagets kundkommunikation.
Bakgrunden till målet är följande. SNCF Connect är ett bolag som via en webbplats och en app säljer färdbevis för tåg. När bolagets kunder köper färdbevis via webbplatsen eller i appen måste de ange uppgift om vilken tilltalstitel som ska användas i kommunikationen med dem genom att kryssa i någon av rutorna ”Herr” eller ”Fru”.
Föreningen Mousse ansåg att villkoren för SNCF Connects insamling och registrering av uppgifter om kundernas tilltalstitel inte var förenliga med kraven i dataskyddsförordningen. Föreningen ingav därför ett klagomål mot bolaget till Commission nationale de l’informatique et des libertés (CNIL) (Nationella dataskyddsmyndigheten, Frankrike) (nedan kallad CNIL eller dataskyddsmyndigheten). Mousse gjorde till stöd för sitt klagomål närmare bestämt gällande att SNCF Connects insamling av dessa uppgifter stred mot de i dataskyddsförordningen angivna principerna om laglighet och uppgiftsminimering samt mot de skyldigheter avseende öppenhet och information som följer av förordningen. (
2
)
I beslut av den 23 mars 2021 fann CNIL att SNCF Connects behandling av de aktuella personuppgifterna uppfyllde kravet på laglighet, eftersom den var nödvändig för att fullgöra ett avtal om tillhandahållande av persontrafiktjänster. Myndigheten fann även att personuppgiftsbehandlingen var förenlig med principen om uppgiftsminimering.
Den 21 maj 2021 överklagade Mousse CNIL:s beslut till den hänskjutande domstolen. I sitt överklagande gjorde föreningen gällande att skyldigheten för SNCF Connects kunder att ange sin tilltalstitel inte var nödvändig för att fullgöra ett avtal om tillhandahållande av transporttjänster. Vidare anförde den att en sådan skyldighet innebar en kränkning av rätten till respekt för privatlivet och att den medförde en risk för diskriminering på grund av könsidentitet.
Den hänskjutande domstolen vill få klarhet i huruvida det, vid bedömningen av om SNCF Connects insamling av uppgifter om kundernas tilltalstitel är nödvändig, kan tas hänsyn till vad som är brukligt i företagens kundkommunikation, i kommunikationen mellan enskilda och i myndigheternas kommunikation med enskilda. Den vill även få klarhet i om det vid denna bedömning kan beaktas att bolagets kunder, efter att ha lämnat de aktuella uppgifterna till den personuppgiftsansvarige, eventuellt skulle ha möjlighet att utöva sin rätt att göra invändningar mot användningen av uppgifter av detta slag, med åberopande av skäl som hänför sig till deras specifika situation. (
3
)
EU-domstolens bedömning
EU-domstolen inleder sin bedömning med att pröva frågan huruvida ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kundkommunikationen, kan anses vara nödvändig för att fullgöra ett avtal (
4
) eller nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen. (
5
)
Vad gäller frågan huruvida en sådan personuppgiftsbehandling är nödvändig för att fullgöra ett avtal, (
6
) påpekar domstolen att det för detta krävs att behandlingen är objektivt sett oundgänglig för att uppnå ett ändamål som utgör en väsentlig del av avtalsprestationen gentemot den registrerade. Närmare bestämt krävs att en sådan behandling är väsentlig för ett korrekt fullgörande av avtalet mellan den personuppgiftsansvarige och den registrerade och därmed att det inte finns några andra praktiska lösningar som är mindre ingripande.
EU-domstolen konstaterar att huvudändamålet med ett avtal av det i målet aktuella slaget är att tillhandahålla en kund tjänster avseende persontransport med järnväg och att ändamålet med den aktuella personuppgiftsbehandlingen är att personanpassa kundkommunikationen. Domstolen finner att kundkommunikation kan utgöra ett ändamål som är en väsentlig del av den aktuella avtalsprestationen. Detta eftersom tillhandahållandet av en sådan tjänst i princip förutsätter att det berörda företaget kommunicerar med kunderna, att det skickar ut färdbevis till dem via e‑post, att det informerar kunderna om eventuella ändringar som påverkar deras resor och att företaget ser till att kunderna kan ta kontakt med kundservice. Företaget kan i sin kundkommunikation behöva ta hänsyn till vad som är brukligt på området. Detta kan bland annat innefatta användning av artighetsfraser, som ett bevis på företagets respekt för sina kunder.
EU-domstolen påpekar dock att det inte kan anses vara nödvändigt att personanpassa kundkommunikationen utifrån kundernas könsidentitet. Vad gäller de tjänster som är aktuella i det nationella målet gör EU-domstolen följande bedömning. En personanpassad kundkommunikation grundad på en förmodad könsidentitet utifrån artighetstitlarna ”herr” och ”fru” framstår varken som objektivt sett oundgänglig eller väsentlig för att möjliggöra ett korrekt fullgörande av det aktuella avtalet och kan därmed inte anses vara nödvändig för att fullgöra ett sådant avtal. Det förefaller nämligen finnas en praktisk lösning som är mindre ingripande, eftersom SNCF Connect skulle kunna utforma sin kommunikation med kunder som inte vill ange uppgift om tilltalstitel – eller sin allmänna kundkommunikation – på ett sådant sätt att kunderna tilltalas med generiska och inkluderande artighetsfraser som inte har någon koppling till kundernas förmodade könsidentitet.
EU-domstolen övergår därefter till att pröva frågan huruvida ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen (
7
) och erinrar därvid inledningsvis om de tre villkor som måste vara uppfyllda för att personuppgiftsbehandling av detta slag ska vara tillåten.
Det första villkoret är att den personuppgiftsansvarige eller en tredje part ska ha ett berättigat intresse av att behandla de aktuella uppgifterna. EU-domstolen påpekar att detta innebär att den personuppgiftsansvarige är skyldig att i samband med insamlingen av personuppgifter från den registrerade informera denne om vilka berättigade intressen den personuppgiftsansvarige anser sig ha för den aktuella behandlingen. Ett sådant berättigat intresse kan till exempel finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige i sådana situationer som att den registrerade är kund till den personuppgiftsansvarige.
Vad gäller det aktuella fallet anger EU-domstolen att det ankommer på den hänskjutande domstolen att pröva huruvida SNCF Connect i samband med insamlingen av de aktuella uppgifterna har informerat sina kunder om vilket berättigat intresse bolaget anser sig ha av att behandla uppgifterna. (
8
) I samband med detta slår EU-domstolen även fast att personuppgiftsbehandling för ändamål rörande kundprospektering kan anses tillgodose ett berättigat intresse. I synnerhet kan personanpassad reklam likställas med kundprospektering i ett sådant sammanhang
Det andra villkoret är att personuppgiftsbehandlingen ska vara nödvändig för ändamål som rör det berättigade intresse som den personuppgiftsansvarige eller en tredje part anser sig ha. EU-domstolen förklarar att detta villkor måste prövas tillsammans med principen om uppgiftsminimering. (
9
)Detta innebär att berörda nationella domstolar därvid ska pröva huruvida det berättigade intresse som en personuppgiftsansvarig anser sig ha av att behandla de aktuella personuppgifterna inte rimligen kan tillgodoses på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter Vad gäller det aktuella fallet förefaller det enligt EU-domstolen som om en personanpassad kundkommunikation skulle kunna begränsas till behandling av kundernas för- och efternamn, eftersom uppgiften om kundernas tilltalstitel och/eller deras könsidentitet inte framstår som absolut nödvändig i detta sammanhang, särskilt mot bakgrund av principen om uppgiftsminimering. I detta avseende konstaterar EU-domstolen att det inte anges i dataskyddsförordningen att det vid bedömningen av huruvida en personuppgiftsbehandling är nödvändig ska tas hänsyn till de sedvänjor och sociala konventioner som finns i varje enskild medlemsstat, men att det står den personuppgiftsansvarige fritt att iaktta berörda sedvänjor och sociala konventioner. Den personuppgiftsansvarige skulle nämligen kunna utforma sin kommunikation med kunder som inte vill ange uppgift om tilltalstitel på ett sådant sätt att kunderna tilltalas med generiska och inkluderande artighetsfraser som inte har någon koppling till deras könsidentitet.
Det tredje villkoret är att det ska stå klart att den registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller en tredje parts berättigade intresse. EU-domstolen påpekar att detta innebär att det ska göras en intresseavvägning mellan berörda motstående rättigheter och intressen. Det ankommer på berörda nationella domstolar att vid denna avvägning bland annat ta hänsyn till den registrerades rimliga förväntningar samt till hur omfattande den aktuella personuppgiftsbehandlingen är och vilken inverkan den har på den registrerade. Vad gäller det aktuella fallet konstaterar EU-domstolen, med förbehåll för den hänskjutande domstolens prövning, att ett persontrafikföretags kunder inte rimligen kan förvänta sig att företaget kommer att behandla uppgifter om deras tilltalstitel eller könsidentitet i samband med att de köper ett färdbevis. Så skulle särskilt vara fallet om dessa uppgifter behandlades uteslutande för ändamål rörande kundprospektering. EU-domstolen preciserar dock att det berättigade intresset av att behandla uppgifterna för ändamål rörande kundprospektering under alla omständigheter inte kan anses väga tyngre om det finns en risk för att den registrerades grundläggande fri- och rättigheter påverkas negativt. Det ankommer således på den hänskjutande domstolen att pröva huruvida det – såsom Mousse har påstått i det nationella målet – finns en risk för diskriminering på grund av könsidentitet. Vid denna prövning ska det bland annat tas hänsyn till direktiv 2004/113. (
10
) EU-domstolen tillägger här att det direktivets tillämpningsområde inte kan anses vara begränsat till att omfatta enbart diskriminering som beror på att en person tillhör det ena eller det andra könet. Med hänsyn till vad som regleras i direktiv 2004/113, och till arten av de rättigheter som det syftar till att skydda, får direktivet även anses vara tillämpligt på diskriminering som beror på att en person har bytt könsidentitet.
Mot bakgrund av det ovan anförda slår EU-domstolen fast följande. Ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, kan inte anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen i fall där kunderna inte i samband med insamlingen av de aktuella uppgifterna informerats om det berättigade intresse som behandlingen grundas på. Nämnda personuppgiftsbehandling kan inte heller anses vara nödvändig för sådana ändamål i fall där behandlingen av de aktuella uppgifterna inte är absolut nödvändig för att tillgodose det angivna berättigade intresset och inte heller i fall där kundernas grundläggande fri- och rättigheter, vid en intresseavvägning utifrån samtliga relevanta omständigheter, får anses väga tyngre än det angivna berättigade intresset, bland annat eftersom det finns en risk för diskriminering på grund av könsidentitet.
EU-domstolen övergår därefter till att pröva frågan huruvida det vid bedömningen av huruvida ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen ska tas hänsyn till att den registrerade eventuellt har rätt att göra invändningar mot behandlingen. (
11
) En förutsättning för att den registrerade eventuellt ska ha rätt att göra invändningar är nämligen att den aktuella personuppgiftsbehandlingen är laglig, det vill säga att den i det förevarande fallet stödjer sig på ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen. Detta förutsätter i sin tur att personuppgiftsbehandlingen uppfyller kravet på att behandlingen ska begränsas till vad som är absolut nödvändigt för att tillgodose det åberopade berättigade intresset. Det framgår således av dataskyddsförordningens bestämmelsers ordalydelse och systematik att den registrerades eventuella möjlighet att utöva sin rätt att göra invändningar inte är en omständighet som får beaktas vid bedömningen av om en personuppgiftsbehandling av nyss nämnt slag är laglig och, i synnerhet, av om den är nödvändig.
(
1
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelse i EUT L 127, 2018, s. 1) (nedan kallad dataskyddsförordningen), artikel 5.1 a och c.
(
2
)	Artikel 13 i dataskyddsförordningen.
(
3
)	Artikel 21 i dataskyddsförordningen.
(
4
)	Artikel 6.1 första stycket b i dataskyddsförordningen
(
5
)	Artikel 6.1 första stycket f i dataskyddsförordningen.
(
6
)	I artikel 6.1 första stycket b i dataskyddsförordningen anges att en behandling av personuppgifter är laglig om den ”är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås”.
(
7
)	I artikel 6.1 första stycket f i dataskyddsförordningen anges att behandling av personuppgifter är laglig om den är ”nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn”.
(
8
)	Enligt artikel 13.1 d i dataskyddsförordningen är den personuppgiftsansvarige skyldig att när de aktuella personuppgifterna samlas in direkt informera de registrerade om vilket berättigat intresse denne stödjer sig på.
(
9
)	Enligt artikel 13.1 d i dataskyddsförordningen är den personuppgiftsansvarige skyldig att när de aktuella personuppgifterna samlas in direkt informera de registrerade om vilket berättigat intresse denne stödjer sig på.
(
10
)	Rådets direktiv 2004/113/EG av den 13 december 2004 om genomförande av principen om likabehandling av kvinnor och män när det gäller tillgång till och tillhandahållande av varor och tjänster, EUT L 373, 2004, s. 37).
(
11
)	Av artikel 21 i dataskyddsförordningen framgår att den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 första stycket e eller f i förordningen, inbegripet profilering som grundar sig på dessa bestämmelser.