62023CJ0394_RES
Дело C‑394/23
MOUSSE
срещу
Commission nationale de l’informatique et des libertés (CNIL) и др.
(Преюдициално запитване, отправено от Conseil d’État, Франция)
Решение на Съда (първи състав) от 9 януари 2025 година
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 5, параграф 1, буква в) — Свеждане на данните до минимум — Член 6, параграф 1 — Законосъобразност на обработването — Данни за формата на обръщение и половата идентичност — Онлайн продажба на превозни документи — Член 21 — Право на възражение“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Условия за законосъобразно обработване на лични данни — Принцип на свеждане на данните до минимум — Обработване, необходимо за изпълнението на договор, който обвързва субекта на данни — Понятие — Събиране от страна на транспортно предприятие на данни за формата на обръщение към неговите клиенти и тяхната полова идентичност с цел персонализиране на търговската комуникация — Изключване
(член 5, параграф 1, буква в) и член 6, параграф 1, първа алинея, буква б) от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 22—29, 33, 34, 36—40, 42, 43 и 64; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Условия за законосъобразно обработване на лични данни — Принцип на свеждане на данните до минимум — Обработване, необходимо за целите на легитимните интереси на администратора или на трето лице — Понятие — Събиране от страна на транспортно предприятие на данни за формата на обръщение към неговите клиенти и тяхната полова идентичност с цел персонализиране на търговската комуникация — Изключване — Условия
(член 6, параграф 1, първа алинея, буква е) от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 22—29, 45—50 и 52—64; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Приложно поле — Понятие за обработване на лични данни — Събиране от страна на транспортно предприятие на данни за формата на обръщение към неговите клиенти и тяхната полова идентичност — Включване
(член 2, параграф 1 и член 4, точки 1 и 2 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 30)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Условия за законосъобразно обработване на лични данни — Обработване, необходимо за целите на легитимните интереси на администратора или на трето лице — Критерии за преценка — Право на възражение на лицето, чиито данни се обработват — Изключване
(член 6, параграф 1, първа алинея, буква е) и член 21 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 66—70; т. 2 от диспозитива)
Резюме
Сезиран с преюдициално запитване от Conseil d’État (Държавен съвет, Франция), Съдът уточнява обхвата на предвидените в ОРЗД (
1
) принципи на законосъобразност и на свеждане на данните до минимум в контекста на обработването от страна на транспортно предприятие на данни за формата на обръщение към неговите клиенти за целите на персонализирането на търговската му комуникация.
SNCF Connect продава превозни документи за железопътен транспорт през своя уебсайт и онлайн приложения. Неговите клиенти са задължени да посочат формата на обръщение към тях, като поставят отметка на обозначението „господин“ или „госпожа“, когато купуват онлайн тези превозни документи.
Сдружението Mousse сезира Commission nationale de l’informatique et des libertés (Национална комисия по информационни технологии и свободи) (CNIL) (Франция) с жалба по административен ред срещу SNCF Connect с мотива, че условията за събиране и записване на данните, свързани с формата на обръщение към клиентите на последното, не отговарят на изискванията на ОРЗД. По-конкретно, Mousse твърди, че събирането на тези данни от SNCF Connect нарушава принципите на законосъобразност и на свеждане на данните до минимум, както и задълженията за прозрачност и за предоставяне на информация, произтичащи от същия регламент (
2
).
С решение от 23 март 2021 г. CNIL решава, че обработването на данни, извършвано от SNCF Connect, е законосъобразно, тъй като е необходимо за изпълнението на съответния договор за предоставяне на транспортни услуги (
3
) и е в съответствие с принципа на свеждане на данните до минимум.
На 21 май 2021 г. Mousse сезира запитващата юрисдикция с жалба за отмяна на решението на CNIL, като твърди, че наложеното на клиентите на SNCF Connect задължение да посочат формата на обръщение към тях, не било необходимо за изпълнението на договор за предоставяне на транспортни услуги, че то можело да наруши по-специално правото на зачитане на личния живот и че създавало риск от дискриминация, основана на половата идентичност.
В този контекст запитващата юрисдикция си задава въпроса дали, за да се прецени необходимостта от извършваното от SNCF Connect събиране на данни за формата на обръщение към клиентите, може да се вземат предвид, от една страна, възприетите практики в търговските, гражданските и административните комуникации и от друга страна, фактът, че тези клиенти биха могли, след като са предоставили тези данни на администратора, да упражнят правото си на възражение срещу използването на такива данни на основания, свързани с конкретната им ситуация (
4
).
Съображения на Съда
На първо място, Съдът разглежда въпроса дали обработването на лични данни за формата на обръщение към клиентите на транспортно предприятие с цел персонализиране на търговската комуникация може да се счита за необходимо за изпълнението на договор (
5
) или за целите на легитимните интереси на администратора или на трета страна (
6
).
Що се отнася, от една страна, до необходимостта от такова обработване за изпълнението на договор (
7
), Съдът уточнява, че то трябва да е обективно необходимо за постигането на цел, която е неразделна част от изпълнението на договора. По-конкретно, такова обработване трябва да бъде съществено за правилното изпълнение на договора, сключен между администратора и субекта на данните, и следователно не трябва да съществуват възможни алтернативни варианти, при които намесата е по-слаба.
В случая, като се има предвид, че основната цел на разглеждания договор за превоз е доставката на клиентите на услуга по железопътен транспорт и че разглежданото в главното производство обработване на данни има за цел персонализирането на търговската комуникация спрямо клиента, тази комуникация може да представлява цел, която е неразделна част от изпълнението на договора. Всъщност предоставянето на такава услуга по принцип предполага осъществяване на контакт с клиента по-специално с цел да му се предаде превозен документ по електронен път, да бъде информиран за евентуални промени, засягащи съответното пътуване, както и да се даде възможност за комуникация с центъра за следпродажбено обслужване. Тази комуникация може да изисква спазването на обичайната практика и да включва по-специално учтиви форми, за да се покаже уважението на съответното предприятие към неговия клиент.
Съдът обаче подчертава, че такава комуникация не трябва непременно да бъде персонализирана в зависимост от половата идентичност на съответния клиент. Всъщност, що се отнася до разглежданите в главното производство услуги, персонализирането на търговската комуникация, основано на предполагаема полова идентичност в зависимост от формата на обръщение, не изглежда нито обективно необходимо, нито съществено за точното изпълнение на съответния договор и съответно не може да се счита за необходимо за неговото изпълнение. Всъщност изглежда, че съществува възможен алтернативен вариант, при който намесата е по-слаба, тъй като по отношение на клиенти, които не желаят да посочат формата на обръщение към тях, или по принцип SNCF Connect би могло да избере комуникация, основана на общи, приобщаващи и несвързани с предполагаемата полова идентичност на клиентите учтиви форми.
От друга страна, що се отнася до необходимостта от обработване на личните данни за формата на обръщение към клиентите на транспортно предприятие за целите на легитимните интереси на администратора или на трета страна (
8
), Съдът припомня най-напред трите условия, които трябва да бъдат изпълнени, за да бъде такова обработване законосъобразно.
Що се отнася, първо, до условието администраторът или трето лице да преследва легитимни интереси, Съдът подчертава, че администраторът трябва да посочи на лицето, чиито лични данни събира, легитимните интереси, които преследва при разглежданото обработване. Такъв интерес може да е налице, когато например между субекта на данни и администратора на лични данни съществува съответното определено взаимоотношение, например когато субектът на данни е клиент на администратора на лични данни.
В случая Съдът посочва, че запитващата юрисдикция следва да провери дали SNCF Connect е посочило легитимен интерес на своите клиенти (
9
), и уточнява, че обработването на лични данни за целите на директния търговски маркетинг може да се разглежда като осъществявано поради легитимен интерес. По-специално, в такъв контекст персонализирането на рекламата може да се приравни на директен търговски маркетинг.
Що се отнася, второ, до условието обработването на личните данни да е необходимо за целите на преследвания легитимен интерес, Съдът обяснява, че то трябва да се разглежда заедно с принципа на свеждане на данните до минимум (
10
). Ето защо запитващата юрисдикция следва да провери дали преследваният легитимен интерес от обработването на данните не може разумно да се постигне по също толкова ефикасен начин с други средства, които засягат в по-малка степен основните права и свободи на субектите на данни. В настоящия случай изглежда, че персонализирането на търговската комуникация може да се ограничи до обработването на собствените и фамилните имена на клиентите, тъй като формата на обръщение към тях и/или тяхната полова идентичност не са информация, която е строго необходима в този контекст, по-специално в светлината на принципа на свеждане на данните до минимум. В този контекст Съдът посочва, че макар ОРЗД (
11
) да не предвижда отчитането на специфичните за всяка държава членка обичайни практики и социални норми, за да се прецени необходимостта от обработването на лични данни, администраторът може да спазва тези обичайни практики и социални норми. Всъщност по отношение на клиенти, които не желаят да посочат формата на обръщение към тях, или по принцип администраторът би могъл да използва общи, приобщаващи и несвързани с предполагаемата полова идентичност на тези клиенти учтиви форми.
Що се отнася, трето, до условието интересите или основните права и свободи на лицето, ползващо се от защитата на данните, да нямат преимущество пред легитимния интерес на администратора или на трета страна, Съдът счита, че това условие предполага претегляне на съответните противоположни права и интереси. Съответната национална юрисдикция следва да направи това претегляне, като вземе предвид по-специално основателните очаквания на субекта на данни, обхвата на съответното обработване и отражението му върху този субект. В случая, освен ако запитващата юрисдикция не установи друго, клиентът на транспортно предприятие не следва да очаква това предприятие да обработва данни за формата на обръщение към него или неговата полова идентичност в контекста на покупката на превозен документ. Такъв би бил случаят по-специално, ако това обработване се извършваше единствено за целите на директния търговски маркетинг. Съдът обаче уточнява, че при всички положения легитимният интерес, свързан с директния търговски маркетинг, не може да има преимущество в случай на опасност от засягане на основните права и свободи на субекта на данни. Ето защо запитващата юрисдикция следва да провери дали е налице твърденият от Mousse риск от дискриминация, основана на половата идентичност, по-специално в светлината на Директива 2004/113 (
12
). Съдът допълва в това отношение, че приложното поле на тази директива не може да бъде сведено само до дискриминацията, произтичаща от принадлежността към единия или другия пол. Като се имат предвид нейната цел и естеството на правата, които тя има за цел да защити, посочената директива следва да се прилага и по отношение на дискриминацията, произтичаща от промяната на пола на дадено лице.
С оглед на гореизложеното Съдът стига до извода, че обработването на лични данни за формата на обръщение към клиентите на транспортно предприятие с цел персонализиране на търговската комуникация въз основа на половата им идентичност, не може да се счита за необходимо за целите на легитимните интереси на администратора или на трета страна, когато преследваният легитимен интерес не е бил посочен от предприятието на тези клиенти при събирането на тези данни, когато обработването не се извършва в границите на строго необходимото за целите на този легитимен интерес или когато с оглед на всички релевантни обстоятелства основните права и свободи на клиентите могат да имат преимущество пред посочения легитимен интерес, по-специално поради риск от дискриминация, основана на половата идентичност.
На второ място, Съдът разглежда въпроса дали, за да се прецени необходимостта от обработване на личните данни за формата на обръщение към клиентите на транспортно предприятие за целите на легитимните интереси на администратора или на трета страна, следва да се вземе предвид евентуалното наличие на право на възражение на субекта на данни (
13
). Всъщност евентуалното наличие на право на възражение предполага наличието на законосъобразно обработвано, основано в случая на преследваните от администратора или трета страна легитимни интереси. За да бъде обаче законосъобразно, такова обработване трябва предварително да отговаря на условието да е строго необходимо по отношение на преследвания легитимен интерес. Ето защо от текста и структурата на съответните разпоредби от ОРЗД следва, че наличието на право на възражение не може да се вземе предвид за целите на преценката на законосъобразността, и по-специално на необходимостта от обработване на лични данни, основано на преследваните от администратора или трета страна легитимни интереси.
(
1
)	Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1; наричан по-нататък „ОРЗД“).
(
2
)	Член 13 от ОРЗД.
(
3
)	Член 6, параграф 1, първа алинея, буква б) от ОРЗД.
(
4
)	Член 21 от ОРЗД.
(
5
)	Член 6, параграф 1, първа алинея, буква б) от ОРЗД.
(
6
)	Член 6, параграф 1, първа алинея, буква е) от ОРЗД.
(
7
)	Съгласно член 6, параграф 1, първа алинея, буква б) от ОРЗД обработването на лични данни е законосъобразно, ако е „необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор“.
(
8
)	Съгласно член 6, параграф 1, първа алинея, буква е) от ОРЗД обработването на лични данни е законосъобразно, ако е „необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете“.
(
9
)	Съгласно член 13, параграф 1, буква г) от ОРЗД администраторът е длъжен да информира пряко субектите на данни за преследвания легитимен интерес в момента на събирането на личните данни.
(
10
)	Съгласно член 13, параграф 1, буква г) от ОРЗД администраторът е длъжен да информира пряко субектите на данни за преследвания легитимен интерес в момента на събирането на личните данни.
(
11
)	Член 6, параграф 1, първа алинея, буква е) от ОРЗД.
(
12
)	Директива 2004/113/ЕО на Съвета от 13 декември 2004 година относно прилагане на принципа на равното третиране на мъжете и жените по отношение на достъпа до стоки и услуги и предоставянето на стоки и услуги (ОВ L 373, 2004 г., стр. 37; Специално издание на български език, 2007 г., глава 5, том 7, стр. 135).
(
13
)	Съгласно член 21 от ОРЗД субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него, което се основава на член 6, параграф 1, първа алинея, букви д) и е) от ОРЗД, включително профилиране, основаващо се на посочените разпоредби.