62023CJ0394_RES
Predmet C-394/23
MOUSSE
protiv
Commission nationale de l’informatique i des libertés (CNIL)
(zahtjev za prethodnu odluku koji je uputio Conseil d’État (Francuska))
Presuda Suda (prvo vijeće) od 9. siječnja 2025.
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 5. stavak 1. točka (c) – Smanjenje količine podataka – Članak 6. stavak 1. – Zakonitost obrade – Podaci o načinu oslovljavanja i spolnom identitetu – Prodaja prijevoznih isprava na internetu – Članak 21. – Pravo na prigovor”
Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Uvjeti za zakonitost obrade osobnih podataka – Načelo smanjenja količine podataka – Obrada nužna za izvršavanje ugovora kojim je ispitanik vezan – Pojam – Prikupljanje, od strane poduzeća za prijevoz, podataka o načinu oslovljavanja i spolnom identitetu njegovih klijenata za potrebe personalizacije poslovne komunikacije – Isključenost
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 5. st. 1. t. (c), čl. 6. st. 1., prvi podst., t. (b))
(t. 22.-29., 33., 34., 36.-40., 42., 43., 64. i t. 1. izreke)
Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Uvjeti za zakonitost obrade osobnih podataka – Načelo smanjenja količine podataka – Obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane – Pojam – Prikupljanje, od strane poduzeća za prijevoz, podataka o načinu oslovljavanja i spolnom identitetu njegovih klijenata za potrebe personalizacije poslovne komunikacije – Isključenost – Pretpostavke
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 6. st. 1., prvi podst., t. (f))
(t. 22.-29., 45.-50., 52.-64., t. 1. izreke)
Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Područje primjene – Pojam obrade osobnih podataka – Prikupljanje, od strane poduzeća za prijevoz, podataka o načinu oslovljavanja i spolnom identitetu njegovih klijenata – Uključenost
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 2. st. 1. i čl. 4. t. 1. i 2.)
(t. 30.)
Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Uvjeti za zakonitost obrade osobnih podataka – Obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane – Kriteriji za ocjenu – Pravo osobe čiji se podaci obrađuju na prigovor – Isključenost
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 6. st. 1., prvi podst., t. (f) i čl. 21.)
(t. 66.-70. i t. 2. izreke)
Kratak prikaz
Povodom zahtjeva za prethodnu odluku koji mu je uputio Conseil d’État (Državno vijeće, Francuska), Sud pojašnjava opseg načelâ zakonitosti i smanjenja količine podataka predviđenih OUZP-om (
1
), u kontekstu obrade, od strane poduzeća za prijevoz, podataka o načinu oslovljavanja njegovih klijenata za potrebe personalizacije njegove poslovne komunikacije.
SNCF Connect putem svoje internetske stranice i aplikacija prodaje prijevozne isprave za željeznicu. Prilikom kupnje na internetu tih prijevoznih isprava njegovi klijenti moraju navesti način svog oslovljavanja tako da označe jedno od dvaju polja izrazima „gospodin” ili „gospođa”.
Udruga Mousse podnijela je pritužbu pred Commissionom nationale de l’informatique et des libertés (CNIL) (Francuska) protiv društva SNCF Connect, uz obrazloženje da uvjeti prikupljanja i bilježenja podataka o načinu oslovljavanja klijenata tog društva nisu u skladu sa zahtjevima iz OUZP-a. Konkretnije, Mousse je tvrdio da su prikupljanjem podataka, od strane SNCF Connecta, povrijeđena načela zakonitosti i smanjenja količine podataka te obveze transparentnosti i pružanja informacija koje proizlaze iz te uredbe (
2
).
U odluci od 23. ožujka 2021., CNIL je odlučio da je obrada podataka koju je izvršio SNCF Connect zakonita jer je nužna za izvršavanje navedenog ugovora o pružanju usluga prijevoza (
3
) i da je u skladu s načelom smanjenja količine podataka.
Mousse je 21. svibnja 2021. sudu koji je uputio zahtjev podnio tužbu za poništenje CNIL-ove odluke, tvrdeći da obveza određena klijentima SNCF Connecta da navedu način svoga oslovljavanja nije nužna za izvršavanje ugovora o pružanju usluga prijevoza, da kao takva među ostalim dovodi u pitanje pravo na poštovanje privatnog života i da zbog nje nastaje rizik od diskriminacije koja se temelji na spolnom identitetu.
U tim okolnostima, sud koji je uputio zahtjev pita se može li se, za potrebe ocjenjivanja nužnosti prikupljanja podataka o načinu oslovljavanja klijenata koje izvršava SNCF Connect, u obzir uzeti, s jedne strane, uobičajena uporaba prihvaćena u poslovnoj, društvenoj i administrativnoj komunikaciji i, s druge strane, činjenica da bi se ti klijenti, nakon što su pružili te podatke voditelju obrade na temelju svoje posebne situacije mogli koristiti svojim pravom na prigovor na korištenje takvih podataka (
4
).
Ocjena Suda
Kao prvo, Sud ispituje može li se obrada osobnih podataka o načinu oslovljavanja klijenata nekog poduzeća za prijevoz, čija je svrha personalizacija poslovne komunikacije, smatrati nužnom za izvršavanje ugovora (
5
) ili nužnom za potrebe legitimnih interesa voditelja te obrade ili treće strane (
6
).
Kad je riječ, s jedne strane, o nužnosti takve obrade za izvršavanje ugovora (
7
), Sud pojašnjava da ona mora biti objektivno neophodna za ostvarenje svrhe koja je sastavni dio izvršenja ugovora. Konkretnije, takva obrada mora biti ključna za pravilno izvršavanje ugovora sklopljenog između voditelja obrade i ispitanika te stoga ne smiju postojati druga praktična i manje otegotna rješenja.
U konkretnom slučaju, s obzirom na to da je glavni predmet dotičnog ugovora o prijevozu pružanje usluge željezničkog prijevoza klijentima i da je svrha obrade podataka o kojoj je riječ u glavnom postupku personalizacija poslovne komunikacije prema klijentu, ta komunikacija može predstavljati svrhu koja je sastavni dio izvršavanja ugovora. Naime, isporuka takve usluge načelno podrazumijeva komunikaciju s klijentom kako bi mu se među ostalim elektroničkim putem dostavila prijevozna isprava, kako bi ga se obavijestilo o mogućim promjenama koje utječu na odgovarajuće putovanje i kako bi se omogućila komunikacija sa službom za pomoć korisnicima nakon prodaje. Ta komunikacija može zahtijevati poštovanje uobičajene uporabe i osobito podrazumijevati uporabu izraza oslovljavanja, kako bi se iskazalo poštovanje dotičnog poduzeća prema njegovu klijentu.
Međutim, Sud naglašava da takva komunikacija ne treba nužno biti personalizirana ovisno o spolnom identitetu dotičnog klijenta. U konkretnom slučaju, kad je riječ o uslugama o kojima se radi u glavnom postupku, personalizacija poslovne komunikacije, koja se temelji na spolnom identitetu koji se pretpostavlja ovisno o načinu oslovljavanja, nije ni objektivno neophodna ni ključna da bi se omogućilo pravilno izvršavanje dotičnog ugovora i stoga je nije moguće smatrati nužnom za njegovo izvršavanje. Naime, čini se da postoji praktično i manje otegotno rješenje, s obzirom na to da bi se SNCF Connect u odnosu na klijente koji ne žele navesti način svoga oslovljavanja ili općenito, mogao odlučiti za komunikaciju koja se temelji na ustaljenim izrazima oslovljavanja, koji su inkluzivni i ne dovode se u vezu s predmnijevanim spolnim identitetom klijenata.
Kad je riječ, s druge strane, o nužnosti obrade osobnih podataka o načinu oslovljavanja klijenata nekog poduzeća za prijevoz za potrebe legitimnih interesa voditelja te obrade ili treće strane (
8
), Sud prije svega podsjeća na tri uvjeta koje treba ispuniti kako bi takva obrada bila zakonita.
Kad je riječ, prvo, o uvjetu koji se odnosi na ostvarivanje legitimnog interesa voditelja obrade ili treće strane, Sud naglašava da je zadaća voditelja obrade da osobi čije osobne podatke prikuplja naznači legitimne interese koje želi ostvariti prilikom dotične obrade. Takav bi interes mogao na primjer postojati u slučaju relevantnog i odgovarajućeg odnosa ispitanika i voditelja obrade u situacijama poput one kada je ispitanik klijent voditelja obrade.
U konkretnom slučaju, Sud navodi da je na sudu koji je uputio zahtjev da provjeri je li SNCF Connect svojim klijentima (
9
) naznačio legitiman interes i pojašnjava da se može smatrati da postoji legitiman interes kod obrade osobnih podataka provedene u svrhu izravnog poslovnog marketinga. Konkretno, personalizacija oglašavanja može se u takvom kontekstu izjednačiti s izravnim poslovnim marketingom.
Što se tiče, kao drugo, uvjeta koji se odnosi na nužnost obrade osobnih podataka za ostvarivanje legitimnog interesa koji se nastoji postići, Sud pojašnjava da njega treba razmotriti zajedno s načelom smanjenja količine podataka (
10
). Stoga je nacionalni sud dužan provjeriti može li se legitiman interes obrade podataka, koji se nastoji postići razumno, jednako učinkovito postići drugim sredstvima kojima se manje zadire u temeljne slobode i prava ispitanikâ. U ovom slučaju, čini se da se personalizacija poslovne komunikacije može ograničiti na obradu prezimena i imena klijenata, s obzirom na to da se njihov način oslovljavanja i/ili njihov spolni identitet ne čini nužnim podatkom u tom kontekstu, osobito s obzirom na načelo smanjenja količine podataka. U tim okolnostima Suda navodi da iako OUZP (
11
) za potrebe ocjene nužnosti obrade osobnih podataka ne predviđa uzimanje u obzir uobičajene uporabe i društvenih običaja karakterističnih za svaku državu članicu, voditelj obrade može poštovati tu uobičajenu uporabu i društvene običaje. Naime, taj bi voditelj obrade mogao, u odnosu na klijente koji ne žele navesti način svoga oslovljavanja ili općenito, koristiti ustaljene izraze oslovljavanja koji su inkluzivni i ne dovode se u vezu sa spolnim identitetom tih klijenata.
Kad je riječ, kao treće, o uvjetu da interesi ili temeljne slobode i prava ispitanika za zaštitu podataka ne nadilaze legitiman interes voditelja obrade ili treće strane, Sud smatra da on podrazumijeva odvagivanje suprotstavljenih prava i interesa o kojima je riječ. Zadaća je nacionalnog suda da izvrši to odvagivanje uzimajući u obzir osobito ispitanikova razumna očekivanja, opseg obrade o kojoj je riječ te njezin učinak na tu osobu. U konkretnom slučaju, podložno provjeri suda koji je uputio zahtjev, klijent poduzeća za prijevoz ne bi trebao očekivati to da to poduzeće obrađuje podatke o njegovu načinu oslovljavanja ili njegovu spolnom identitetu u kontekstu kupnje prijevozne isprave. To bi konkretno bio slučaj onda kad bi ta obrada bila izvršena isključivo za potrebe izravnog poslovnog marketinga. Međutim, Sud pojašnjava da legitiman interes koji se odnosi na izravni poslovni marketing ne može ni u kojem slučaju prevladavati u slučaju rizika od povrede ispitanikovih temeljnih prava i sloboda. Stoga je na nacionalnom sudu da provjeri postoji li rizik od diskriminacije koja se temelji na spolnom identitetu, što tvrdi Mousse, osobito s obzirom na Direktivu 2004/113 (
12
). Sud u tom pogledu dodaje da se područje primjene te direktive ne može ograničiti samo na diskriminacije do kojih dolazi zbog pripadnosti jednom ili drugom spolu. Uzimajući u obzir njezin predmet i prirodu prava koja se njome štite, navedena se direktiva također primjenjuje na diskriminacije koje su posljedica promjene spolnog identiteta neke osobe.
S obzirom na navedeno Sud zaključuje da se obrada osobnih podataka o načinu oslovljavanja klijenata nekog poduzeća za prijevoz, čija je svrha personalizacija poslovne komunikacije koja se temelji na njihovom spolnom identitetu, ne može smatrati nužnom za potrebe legitimnih interesa voditelja te obrade ili treće strane u slučaju kad poduzeće tim klijentima nije naznačilo legitiman interes koji se nastoji postići prilikom prikupljanja tih podataka, kad obrada nije provedena u granicama onog što je nužno za ostvarivanje tog legitimnog interesa ili kad s obzirom na sve relevantne okolnosti, temeljne slobode i prava tih klijenata mogu nadilaziti navedeni legitiman interes, osobito zbog rizika od diskriminacije koja se temelji na spolnom identitetu.
Kao drugo, Sud ispituje treba li prilikom ocjenjivanja nužnosti obrade osobnih podataka o načinu oslovljavanja klijenata nekog poduzeća za prijevoz za potrebe legitimnih interesa voditelja te obrade ili treće strane, uzeti u obzir moguće postojanje ispitanikova prava na prigovor (
13
). Naime, moguće postojanje prava na prigovor pretpostavlja postojanje zakonite obrade koja se u ovom slučaju temelji na legitimnim interesima voditelja obrade ili treće strane. Naime, kako bi bila zakonita, takva obrada mora prije toga ispuniti uvjet nužnosti za legitiman interes koji se nastoji postići. Iz teksta i strukture dotičnih odredbi slijedom toga proizlazi da se postojanje prava na prigovor ne može uzeti u obzir za potrebe ocjene zakonitosti i posebno, nužnosti obrade osobnih podataka koja se temelji na legitimnim interesima voditelja te obrade ili treće strane.
(
1
)	Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP), članak 5. stavak 1. točke (a) i (c)
(
2
)	Članak 13. OUZP-a
(
3
)	Članak 6. stavak 1. prvi podstavak točka (b) OUZP-a
(
4
)	Članak 21. OUZP-a
(
5
)	Članak 6. stavak 1. prvi podstavak točka (b) OUZP-a
(
6
)	Članak 6. stavak 1. prvi podstavak točka (f) OUZP-a
(
7
)	Na temelju članka 6. stavka 1. prvog podstavka točke (b) OUZP-a, obrada osobnih podataka je zakonita ako je „nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora”.
(
8
)	Na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP-a obrada osobnih podataka zakonita je ako je „nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete”.
(
9
)	Na temelju članka 13. stavka 1. točke (d) OUZP-a, voditelj obrade osobnih podataka mora ispitanike u trenutku prikupljanja osobnih podataka izravno obavijestiti o legitimnom interesu.
(
10
)	Na temelju članka 13. stavka 1. točke (d) OUZP-a, voditelj obrade osobnih podataka mora ispitanike u trenutku prikupljanja osobnih podataka izravno obavijestiti o legitimnom interesu.
(
11
)	Članak 6. stavak 1. prvi podstavak točka (f) OUZP-a
(
12
)	Direktiva Vijeća 2004/113/EZ od 13. prosinca 2004. o provedbi načela jednakog postupanja prema muškarcima i ženama u pristupu i nabavi robe, odnosno pružanju usluga (SL 2004., L 373, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 5., svezak 1., str. 101.)
(
13
)	Na temelju članka 21. OUPZ-a, ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. prvim podstavkom, točkama (e) i (f) OUZP-a, uključujući izradu profila koja se temelji na tim odredbama.