62023CJ0394_RES
Kohtuasi C‑394/23
MOUSSE
versus
Commission nationale de l’informatique et des libertés (CNIL) jt
(eelotsusetaotlus, mille on esitanud Conseil d’État (Prantsusmaa))
Euroopa Kohtu (esimene koda) 9. jaanuari 2025. aasta otsus
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 5 lõike 1 punkt c – Võimalikult väheste andmete kogumine – Artikli 6 lõige 1 – Isikuandmete töötlemise seaduslikkus – Soopõhise pöördumisvormeli ja sooidentiteedi andmed – Sõidupiletite internetimüük – Artikkel 21 – Õigus esitada vastuväiteid
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Tingimused, mille korral on isikuandmete töötlemine seaduslik – Võimalikult väheste andmete kogumise põhimõte – Töötlemine, mis on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks – Mõiste – Asjaolu, et transpordiettevõtja kogub kaubandussuhtluse isikustamise eesmärgil oma klientide soopõhise pöördumisvormeli ja sooidentiteedi andmeid – Välistamine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 5 lõike 1 punkt c ja artikli 6 lõike 1 esimese lõigu punkt b)
(vt punktid 22–29, 33, 34, 36–40, 42, 43 ja 64 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Tingimused, mille korral on isikuandmete töötlemine seaduslik – Võimalikult väheste andmete kogumise põhimõte – Isikuandmete töötlemise vajalikkus vastutava töötleja või kolmanda isiku õigustatud huvi korral – Mõiste – Asjaolu, et transpordiettevõtja kogub kaubandussuhtluse isikustamise eesmärgil oma klientide soopõhise pöördumisvormeli ja sooidentiteedi andmeid – Välistamine – Tingimused
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 6 lõike 1 esimese lõigu punkt f)
(vt punktid 22–29, 45–50 ja 52–64 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Kohaldamisala – Mõiste „isikuandmete töötlemine“ – Asjaolu, et transpordiettevõtja kogub kaubandussuhtluse isikustamise eesmärgil oma klientide soopõhise pöördumisvormeli ja sooidentiteedi andmeid – Hõlmamine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 2 lõige 1 ja artikli 4 punktid 1 ja 2)
(vt punkt 30)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Tingimused, mille korral on isikuandmete töötlemine seaduslik – Isikuandmete töötlemise vajalikkus vastutava töötleja või kolmanda isiku õigustatud huvi korral – Hindamiskriteeriumid – Andmesubjektide õigus esitada vastuväiteid – Välistamine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 6 lõike 1 esimese lõigu punkt f ja artikkel 21)
(vt punktid 66–70 ja resolutsiooni punkt 2)
Kokkuvõte
Euroopa Kohus täpsustas seoses Conseil d’État’ (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) esitatud eelotsusetaotlusega isikuandmete kaitse üldmääruses (
1
) ette nähtud seaduslikkuse põhimõtte ja võimalikult väheste andmete kogumise põhimõtte ulatust sellises olukorras, kus transpordiettevõtja töötleb kaubandussuhtluse isikustamise eesmärgil oma klientide soopõhise pöördumisvormeli eelistust puudutavaid andmeid.
SNCF Connect turustab oma veebisaidi ja -rakenduste kaudu raudteetranspordi sõidudokumente. Tema kliendid peavad veebi teel sõidupileteid ostes andma teada, millist soopõhist pöördumisvormelit nad enda puhul eelistavad, märgistades lahtri „härra“ või „proua“.
Ühendus Mousse esitas Commission nationale de l’informatique et des libertés’le (riiklik andmetöötluse ja vabaduste komisjon, CNIL) SNCF Connecti vastu vaide põhjendusel, et see, kuidas viimane kogub oma klientide soopõhise pöördumisvormeli eelistust puudutavaid andmeid, ei vasta isikuandmete kaitse üldmääruse nõuetele. Täpsemini väitis Mousse, et see, kuidas SNCF Connect neid andmeid kogub, rikub seaduslikkuse põhimõtet ja võimalikult väheste andmete kogumise põhimõtet ning kõnealusest üldmäärusest tulenevat läbipaistvuse ja teavitamise kohustust. (
2
)
CNIL asus 23. märtsi 2021. aasta otsuses seisukohale, et SNCF Connecti teostatav andmetöötlus on seaduslik, kuna see on asjaomase transporditeenuste osutamise lepingu täitmiseks vajalik (
3
) ja vastab võimalikult väheste andmete kogumise põhimõttele.
Mousse esitas 21. mail 2021 eelotsusetaotluse esitanud kohtule CNILi otsuse tühistamiseks kaebuse, väites, et SNCF Connecti klientidele pandud kohustus märkida oma soopõhise pöördumisvormeli eelistus ei ole transporditeenuste osutamise lepingu täitmiseks vajalik, see rikub eelkõige õigust eraelu puutumatusele ning toob kaasa soolise identiteedi alusel diskrimineerimise ohu.
Niisuguses kontekstis on eelotsusetaotluse esitanud kohtul tekkinud küsimus, kas selle hindamiseks, kas SNCF Connecti klientide soopõhise pöördumisvormeli eelistust puudutavate andmete kogumine selle ettevõtja poolt on vajalik, võib arvesse võtta ühelt poolt kaubandus-, tsiviil- ja haldussuhtluse valdkonnas tunnustatud tavasid ning teiselt poolt asjaolu, et asjaomased kliendid võivad pärast seda, kui nad on vastutavale töötlejale kõnealused andmed esitanud, kasutada õigust esitada oma konkreetsest olukorrast lähtudes nende andmete kasutamisele vastuväiteid (
4
).
Euroopa Kohtu hinnang
Esimesena analüüsis Euroopa Kohus, kas transpordiettevõtja klientide soopõhise pöördumisvormeli eelistust puudutavate isikuandmete töötlemist, mille eesmärk on kaubandussuhtluse isikustamine, võib pidada lepingu täitmiseks vajalikuks (
5
) või vastutava töötleja või kolmanda isiku õigustatud huviks (
6
).
Esiteks täpsustas Euroopa Kohus töötlemise vajalikkuse kohta sellise lepingu täitmisel (
7
), et see peab olema objektiivselt vältimatu, et saavutada eesmärk, mis on lepingu täitmise lahutamatu osa. Täpsemini peab selline töötlemine olema vastutava töötleja ja andmesubjekti vahel sõlmitud lepingu nõuetekohaseks täitmiseks väga oluline ning seega puuduvad muud teostatavad ja vähem sekkuvad lahendused.
Kuna käesoleval juhul on kõnealuse transpordilepingu peamine eesmärk osutada klientidele raudteeveoteenust ja kuna põhikohtuasjas kõne all oleva andmetöötluse eesmärk on kliendiga peetava kaubandussuhtluse isikustamine, võib kaubandussuhtlus olla asjaomase lepingu täitmise lahutamatu osa. Niisuguse teenuse osutamine hõlmab üldjuhul kliendiga suhtlemist, et saata talle elektroonilisel teel pilet, kliendi teavitamist tema reisi puudutavatest muudatustest ja suhtlust müügijärgse teeninduse osana. Selline suhtlemine võib nõuda teatavatest tavadest kinnipidamist ja hõlmata muu hulgas viisakusvormelite kasutamist, et näidata asjaomase ettevõtja austust oma kliendi vastu.
Euroopa Kohus märkis, et selline suhtlemine ei pea siiski tingimata olema asjaomase kliendi soo alusel isikustatud. Põhikohtuasjas kõne all olevate teenustega seoses ei näi kaubandussuhtluse isikustamine, mis põhineb isiku eeldataval sooidentiteedil vastavalt soopõhisele pöördumisvormelile, olevat lepingu nõuetekohaseks täitmiseks objektiivselt vältimatu või väga oluline ning järelikult ei saa seda pidada lepingu täitmiseks vajalikuks. Nimelt näib olevat võimalik ja vähem sekkuv selline lahendus, et SNCF Connect otsustab nende klientide puhul, kes ei soovi oma soopõhise pöördumisvormeli eelistust märkida, või kõigi klientide puhul üldiste ja kõikehõlmavate viisakusvormelite kasutamise kasuks, mis ei ole seotud klientide eeldatava sooidentiteediga.
Mis puudutab teiseks vajadust töödelda transpordiettevõtja klientide soopõhise pöördumisvormeli eelistust puudutavaid isikuandmeid vastutava töötleja või kolmanda isiku õigustatud huvi olemasolu korral (
8
), siis tuletas Euroopa Kohus kõigepealt meelde kolme tingimust, mis peavad olema täidetud, et selline töötlemine oleks seaduslik.
Esiteks, tingimuse kohta, et vastutaval töötlejal või kolmandal isikul on teatav õigustatud huvi, rõhutas Euroopa Kohus, et vastutav töötleja peab tegema andmesubjektile, kelle isikuandmeid ta kogub, teatavaks õigustatud huvi, mida ta kõnealuse töötlemisega taotleb. Selline huvi võib olemas olla näiteks siis, kui andmesubjekti ja vastutava töötleja vahel on asjakohane ja sobiv suhe, nagu olukorras, kus andmesubjekt on vastutava töötleja klient.
Käesoleval juhul märkis Euroopa Kohus, et eelotsusetaotluse esitanud kohtu ülesanne on kontrollida, kas SNCF Connect on andnud oma klientidele vastavast õigustatud huvist teada (
9
), ning täpsustas, et isikuandmete töötlemine otseturunduse eesmärgil võib teatavale õigustatud huvile vastata. Sellises kontekstis võib reklaami isikustamist otseturundusega samastada.
Teiseks, seoses tingimusega, et isikuandmete töötlemine peab olema õigustatud huvi teenimiseks vajalik, selgitas Euroopa Kohus, et seda tingimust tuleb analüüsida koostoimes võimalikult väheste andmete kogumise põhimõttega (
10
). Nii on eelotsusetaotluse esitanud kohtu ülesanne kontrollida, kas õigustatud huvi andmete töötlemise vastu on mõistlikult võimalik sama tõhusalt saavutada muude vahenditega, mis riivavad andmesubjektide põhiõigusi ja -vabadusi vähem. Käesoleval juhul näib, et kaubandussuhtluse isikustamine võib piirduda klientide ees- ja perekonnanime töötlemisega, kuna nende soopõhise pöördumisvormeli eelistus ja/või sooidentiteet on teave, mis ei ole selles kontekstis rangelt vajalik, arvestades eelkõige võimalikult väheste andmete kogumise põhimõtet. Selles kontekstis märkis Euroopa Kohus, et kuigi isikuandmete kaitse üldmääruses (
11
) ei ole ette nähtud, et isikuandmete töötlemise vajalikkuse hindamisel tuleb iga liikmesriigi tavasid ja sotsiaalseid käitumisjooni arvesse võtta, on vastutaval töötlejal võimalik neid tavasid ja sotsiaalseid maneere järgida. Nimelt võib asjaomane ettevõtja nende klientide puhul, kes ei soovi oma soopõhise pöördumisvormeli eelistust märkida, või kõigi klientide puhul kasutada üldisi ja kõikehõlmavaid viisakusvormeleid, mis ei ole nende klientide sooidentiteediga seotud.
Kolmandaks, tingimuse puhul, et andmesubjekti huvid või põhiõigused ja -vabadused ei ole vastutava töötleja või kolmanda isiku õigustatud huvi suhtes kaalukamad, asus Euroopa Kohus seisukohale, et see eeldab vastanduvate õiguste ja huvide kaalumist. Asjaomane liikmesriigi kohus peab niisuguse kaalumise läbi viima, võttes eelkõige arvesse seda, mida on andmesubjektil mõistlik eeldada, töötlemise ulatust ning selle mõju andmesubjektile. Käesoleval juhul ei saa transpordiettevõtja klient eeldada – kui eelotsusetaotluse esitanud kohtu kontrolli tulemusel ei ilmne vastupidist –, et sõidupileti ostmise käigus töötleb ettevõtja tema soopõhise pöördumisvormeli või sooidentiteedi andmeid. Nii on see eelkõige juhul, kui andmete töötlemine toimuks üksnes otseturunduse eesmärgil. Siiski täpsustas Euroopa Kohus, et otseturundusega seotud õigustatud huvi ei saa mingil juhul olla kaalukam, kui esineb andmesubjekti põhiõiguste ja -vabaduste rikkumise oht. Seega on liikmesriigi kohtu ülesanne kontrollida, kas on olemas sooidentiteedi alusel diskrimineerimise oht, millele viitab Mousse, arvestades eelkõige direktiivi 2004/113 (
12
). Euroopa Kohus lisas sellega seoses, et kõnealuse direktiivi kohaldamisala ei saa taandada üksnes diskrimineerimisele, mis tuleneb isiku soolisest kuuluvusest. Arvestades direktiivi eesmärki ja sellega kaitstavate õiguste laadi, on see direktiiv kohaldatav ka diskrimineerimisele, mis tuleneb isiku sooidentiteedi muutmisest.
Eeltoodut arvestades otsustas Euroopa Kohus, et transpordiettevõtja klientide soopõhise pöördumisvormeli eelistust puudutavate isikuandmete töötlemist, mille eesmärk on kaubandussuhtluse isikustamine kliendi sooidentiteedi alusel, ei saa pidada vastutava töötleja või kolmanda isiku õigustatud huvide seisukohast vajalikuks, kui ettevõtja ei ole nende andmete kogumisel oma kliendile õigustatud huvist teada andnud, kui töötlemine ei ole toimunud vastava õigustatud huvi elluviimiseks rangelt vajaliku piires või või kui kõiki tähtsust omavaid asjaolusid arvestades võivad kliendi põhiõigused ja -vabadused olla asjaomase õigustatud huvi suhtes kaalukamad, eelkõige juhul, kui arvestada sooidentiteedi alusel diskrimineerimise ohtu.
Teisena analüüsis Euroopa Kohus seda, kas selle hindamiseks, kas transpordiettevõtja klientide soopõhist pöördumisvormelit puudutavate isikuandmete töötlemine on vastutava töötleja või kolmanda isiku õigustatud huvide seisukohast vajalik, tuleb arvesse võtta asjaolu, et andmesubjektil võib olla õigus esitada vastuväiteid (
13
). Võimalik vastuväite esitamise õiguse olemasolu eeldab andmete seaduslikku töötlemist, mis käesoleval juhul põhineb asjaolul, et see toimub vastutava töötleja või kolmanda isiku õigustatud huvi alusel. Selleks aga, et selline töötlemine oleks seaduslik, peab töötlemine vastama tingimusele, et see on taotletava õigustatud huvi seisukohast rangelt vajalik. Seega tuleneb isikuandmete kaitse üldmääruse sätete sõnastusest ja ülesehitusest, et vastuväidete esitamise õiguse olemasolu ei saa arvesse võtta selle hindamisel, kas isikuandmete töötlemine vastutava töötleja või kolmanda isiku õigustatud huvide alusel on vajalik.
(
1
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1, parandus ELT 2018, L 127, lk 3; edaspidi „isikuandmete kaitse üldmäärus“) artikli 5 lõike 1 punktid a ja c.
(
2
)	Isikuandmete kaitse üldmääruse artikkel 13.
(
3
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkt b.
(
4
)	Isikuandmete kaitse üldmääruse artikkel 21.
(
5
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkt b.
(
6
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkt f.
(
7
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktis b on ette nähtud, et isikuandmete töötlemine on seaduslik ainult juhul, kui see on „vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele“.
(
8
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktis f on nähtud ette, et isikuandmete töötlemine on seaduslik ainult juhul, kui see on „vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps“.
(
9
)	Isikuandmete kaitse üldmääruse artikli 13 lõike 1 punkti d kohaselt on isikuandmete vastutav töötleja kohustatud teavitatama andmesubjekti taotletavast õigustatud huvist andmete kogumise ajal.
(
10
)	Isikuandmete kaitse üldmääruse artikli 13 lõike 1 punkti d kohaselt on isikuandmete vastutav töötleja kohustatud teavitatama andmesubjekti taotletavast õigustatud huvist andmete kogumise ajal.
(
11
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkt f.
(
12
)	Nõukogu 13. detsembri 2004. aasta direktiiv 2004/113/EÜ meeste ja naiste võrdse kohtlemise põhimõtte rakendamise kohta seoses kaupade ja teenuste kättesaadavuse ja pakkumisega (ELT 2004, L 373, lk 37).
(
13
)	Isikuandmete kaitse üldmääruse artikli 21 kohaselt on andmesubjektil õigus oma konkreetsest olukorrast lähtudes esitada igal ajal vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, mis toimub artikli 6 lõike 1 punkti e või f alusel, sealhulgas nendele sätetele tugineva profiilianalüüsi suhtes.