62023CJ0394_RES
Zaak C‑394/23
MOUSSE
tegen
Commission nationale de l’informatique et des libertés (CNIL) e.a.
[verzoek om een prejudiciële beslissing, ingediend door de Conseil d’État (Frankrijk)]
Arrest van het Hof (Eerste kamer) van 9 januari 2025
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 5, lid 1, onder c) – Minimale gegevensverwerking – Artikel 6, lid 1 – Rechtmatigheid van de verwerking – Gegevens met betrekking tot de aanspreektitel en de genderidentiteit – Onlineverkoop van vervoerbewijzen – Artikel 21 – Recht van bezwaar”
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Voorwaarden waaronder de verwerking van persoonsgegevens geoorloofd is – Beginsel van minimale gegevensverwerking – Verwerking die noodzakelijk is voor de uitvoering van een overeenkomst die de betrokkene bindt – Begrip – Verzameling, door een vervoersonderneming, van gegevens met betrekking tot de aanspreektitel en de genderidentiteit van haar klanten, waarmee gepersonaliseerde commerciële communicatie wordt beoogd – Daarvan uitgesloten
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 5, lid 1, c), en art. 6, lid 1, eerste alinea, b)]
(zie punten 22‑29, 33, 34, 36‑40, 42, 43, 64, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Voorwaarden waaronder de verwerking van persoonsgegevens geoorloofd is – Beginsel van minimale gegevensverwerking – Verwerking die noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde – Begrip – Verzameling, door een vervoersonderneming, van gegevens met betrekking tot de aanspreektitel en de genderidentiteit van haar klanten, waarmee gepersonaliseerde commerciële communicatie wordt beoogd – Daarvan uitgesloten – Voorwaarden
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 6, lid 1, eerste alinea, f)]
(zie punten 22‑29, 45‑50, 52‑64, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Werkingssfeer – Begrip verwerking van persoonsgegevens – Verzameling, door een vervoersonderneming, van gegevens met betrekking tot de aanspreektitel en de genderidentiteit van haar klanten – Daaronder begrepen
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 2, lid 1, en art. 4, punten 1 en 2)
(zie punt 30)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Voorwaarden waaronder de verwerking van persoonsgegevens geoorloofd is – Verwerking die noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde – Beoordelingscriteria – Recht van bezwaar van de persoon wiens persoonsgegevens worden verwerkt – Uitgesloten
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 6, lid 1, eerste alinea, f), en art. 21]
(zie punten 66‑70, dictum 2)
Samenvatting
In antwoord op prejudiciële vragen van de Conseil d’État (hoogste bestuursrechter, Frankrijk) verduidelijkt het Hof de draagwijdte van de in de AVG (
1
) geformuleerde beginselen van rechtmatigheid en minimale gegevensverwerking in de context van de verwerking, door een vervoersonderneming, van de gegevens met betrekking tot de aanspreektitel van haar klanten, waarmee gepersonaliseerde commerciële communicatie wordt beoogd.
SNCF Connect verkoopt op haar website en via onlineapplicaties vervoerbewijzen voor de trein. Haar klanten wordt verzocht om bij de aankoop van deze vervoerbewijzen hun aanspreektitel op te geven door de vermelding „De heer” of „Mevrouw” aan te vinken.
De vereniging Mousse heeft bij de Commission nationale de l’informatique et des libertés (nationale commissie voor informatica en vrijheden; hierna: „CNIL”) (Frankrijk) een bezwaar ingediend tegen SNCF Connect, omdat zij van mening was dat de voorwaarden waaronder de gegevens betreffende de aanspreektitel van de klanten van laatstgenoemde werden verzameld en vastgelegd, niet in overeenstemming waren met de vereisten van de AVG. Meer bepaald stelde Mousse dat het verzamelen van deze gegevens door SNCF Connect strijdig was met de beginselen van rechtmatigheid en minimale gegevensverwerking, alsmede met de transparantie- en informatieverplichtingen die voortvloeien uit deze verordening (
2
).
Bij besluit van 23 maart 2021 heeft de CNIL vastgesteld dat de door SNCF Connect uitgevoerde gegevensverwerking rechtmatig was omdat deze verwerking noodzakelijk was voor de uitvoering van de betrokken overeenkomsten tot verlening van vervoersdiensten (
3
) en in overeenstemming was met het beginsel van minimale gegevensverwerking.
Op 21 mei 2021 heeft Mousse bij de verwijzende rechter beroep ingesteld tot nietigverklaring van het besluit van de CNIL, en stelde zij dat de verplichting voor de klanten van SNCF Connect om hun aanspreektitel op te geven niet noodzakelijk is voor de uitvoering van een overeenkomst tot verlening van vervoersdiensten, inbreuk maakt op met name het recht op eerbiediging van het privéleven en een risico inhoudt van discriminatie op grond van genderidentiteit.
In deze context vraagt de verwijzende rechter zich af of, bij de beoordeling of het verzamelen, door SNCF Connect, van gegevens met betrekking tot de aanspreektitel van klanten noodzakelijk is, rekening kan worden gehouden met, ten eerste, de gangbare praktijk in commerciële, civiele en administratieve communicatie, en, ten tweede, het feit dat die klanten, nadat zij die gegevens aan de verwerkingsverantwoordelijke hebben verstrekt, hun recht kunnen uitoefenen om vanwege hun specifieke situatie bezwaar te maken tegen het gebruik van die gegevens (
4
).
Beoordeling door het Hof
In de eerst plaats onderzoekt het Hof of de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie wordt beoogd, kan worden geacht noodzakelijk te zijn voor de uitvoering van een overeenkomst (
5
) of voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde (
6
).
Wat ten eerste de noodzaak van die verwerking voor de uitvoering van een overeenkomst (
7
) betreft, verduidelijkt het Hof dat die verwerking objectief onontbeerlijk moet zijn om een doel te bereiken dat integrerend deel uitmaakt van de uitvoering van de overeenkomst. Meer in het bijzonder moet een dergelijke verwerking essentieel zijn voor de correcte uitvoering van de tussen de verwerkingsverantwoordelijke en de betrokkene gesloten overeenkomst, en mogen er dus geen bruikbare, minder ingrijpende alternatieve oplossingen bestaan.
Aangezien het hoofddoel van de betrokken vervoersovereenkomst erin bestaat klanten een spoorvervoersdienst aan te bieden en de in het hoofdgeding aan de orde zijnde gegevensverwerking tot doel heeft de commerciële communicatie met de klant te personaliseren, maakt deze communicatie in casu integrerend deel uit van de uitvoering van de overeenkomst. Het verlenen van een dergelijke spoorvervoersdienst houdt namelijk in beginsel in dat met de klant wordt gecommuniceerd, met name om hem een vervoerbewijs elektronisch toe te zenden, hem in kennis te stellen over eventuele wijzigingen in de desbetreffende reis en uitwisselingen met de klantenservice mogelijk te maken. Bij deze communicatie kan het noodzakelijk zijn om gangbare praktijken in acht te nemen en met name beleefdheidsformules te hanteren, waarmee de betrokken onderneming respect toont voor haar klant.
Het Hof benadrukt dat een dergelijke communicatie echter niet noodzakelijkerwijs hoeft te worden gepersonaliseerd op basis van de genderidentiteit van de betrokken klant. In casu is, wat de in het hoofdgeding aan de orde zijnde diensten betreft, een personalisatie van de commerciële communicatie die is gebaseerd op een veronderstelde genderidentiteit op basis van de aanspreektitel, noch objectief onontbeerlijk, noch essentieel voor de correcte uitvoering van een overeenkomst en kan zij dus niet worden geacht noodzakelijk te zijn voor de uitvoering ervan. Er lijkt namelijk een praktische en minder ingrijpende oplossing te bestaan, aangezien SNCF Connect in haar communicatie met klanten die hun aanspreektitel niet kenbaar wensen te maken, of in haar algemene communicatie, kan kiezen voor generieke, inclusieve beleefdheidsformules die geen verband houden met de veronderstelde genderidentiteit van de klanten.
Wat betreft ten tweede de noodzaak van de verwerking van persoonsgegevens met betrekking tot de aanspreektitel van de klanten van een vervoersonderneming voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde (
8
), brengt het Hof allereerst de drie voorwaarden in herinnering waaraan moet zijn voldaan opdat een dergelijke verwerking rechtmatig is.
Met betrekking tot de eerste voorwaarde, dat door de verwerkingsverantwoordelijke of een derde een gerechtvaardigd belang wordt behartigd, benadrukt het Hof dat het aan de verwerkingsverantwoordelijke staat om aan de persoon waarvan hij de persoonsgegevens verzamelt mee te delen welke gerechtvaardigde belangen worden behartigd bij de betrokken verwerking. Een dergelijk belang kan bijvoorbeeld aanwezig zijn wanneer er sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties zoals die waarin de betrokkene een klant is van de verwerkingsverantwoordelijke.
In casu merkt het Hof op dat het aan de verwijzende rechter staat om na te gaan of SNCF Connect haar klanten op een gerechtvaardigd belang had gewezen (
9
) en verduidelijkt het dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als een gerechtvaardigd belang. In het bijzonder kan de personalisatie van reclame in een dergelijke context gelijk worden gesteld aan direct marketing.
Met betrekking tot de tweede voorwaarde, dat de verwerking van persoonsgegevens noodzakelijk is voor de behartiging van het gerechtvaardigde belang, legt het Hof uit dat die moet worden onderzocht in samenhang met het beginsel van minimale gegevensverwerking (
10
). Het staat dus aan de nationale rechter om na te gaan of het gerechtvaardigde belang van de gegevensverwerking redelijkerwijs niet even doeltreffend kan worden behartigd met andere middelen die de fundamentele vrijheden en de grondrechten van de betrokkenen minder aantasten. In casu lijkt gepersonaliseerde commerciële communicatie te kunnen worden beperkt tot de verwerking van de voor- en achternamen van klanten, aangezien hun aanspreektitel en/of genderidentiteit informatie is die in deze context niet strikt noodzakelijk is, met name in het licht van het beginsel van minimale gegevensverwerking. In deze context merkt het Hof op dat, hoewel de AVG (
11
) niet bepaalt dat rekening moet worden gehouden met de gangbare praktijken en sociale conventies van elke lidstaat om te kunnen beoordelen of de verwerking van persoonsgegevens noodzakelijk is, het de verwerkingsverantwoordelijke vrijstaat om deze gangbare praktijken en sociale conventies in acht te nemen. Deze verwerkingsverantwoordelijke kan namelijk ten aanzien van klanten die hun aanspreektitel niet kenbaar wensen te maken, of in algemene communicatie, kiezen voor generieke, inclusieve beleefdheidsformules die geen verband houden met de genderidentiteit van deze klanten.
Met betrekking tot de derde voorwaarde, dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, oordeelt het Hof dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert. Het staat aan de nationale rechter in kwestie om bij deze afweging rekening te houden met, onder meer, de redelijke verwachtingen van de betrokkene alsook met de omvang van de betrokken verwerking en de gevolgen ervan voor die persoon. In casu wordt de klant van een vervoersonderneming, onder voorbehoud van verificatie door de verwijzende rechter, niet geacht te verwachten dat die onderneming in het kader van de aankoop van een vervoerbewijs gegevens betreffende zijn aanspreektitel of zijn genderidentiteit verwerkt. Dit zou met name het geval zijn indien die verwerking uitsluitend voor doeleinden van direct marketing wordt verricht. Het Hof verduidelijkt evenwel dat het gerechtvaardigde belang in verband met direct marketing hoe dan ook niet kan prevaleren ingeval er een risico bestaat dat de grondrechten en fundamentele vrijheden van de betrokkene worden aangetast. Het staat dus aan de nationale rechter om na te gaan of er, zoals Mousse stelt, sprake is van een risico op discriminatie op grond van genderidentiteit, met name in het licht van richtlijn 2004/113 (
12
). Het Hof voegt er in dit opzicht aan toe dat de werkingssfeer van deze richtlijn niet kan worden beperkt tot discriminaties die verband houden met het behoren tot het ene dan wel het andere geslacht. Gelet op haar doelstelling en op de aard van de rechten die zij beoogt te beschermen, dient die richtlijn ook toepassing te vinden bij discriminaties die berusten op de verandering van genderidentiteit van een persoon.
Gelet op een en ander oordeelt het Hof dat de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, niet kan worden geacht noodzakelijk te zijn voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer bij het verzamelen van deze gegevens aan deze klanten niet kenbaar is gemaakt welk gerechtvaardigd belang daarmee wordt behartigd, wanneer de verwerking niet wordt verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dit gerechtvaardigde belang of wanneer, gelet op alle relevante omstandigheden, de fundamentele vrijheden en de grondrechten van de klanten zwaarder kunnen wegen dan dat gerechtvaardigde belang, met name wegens een risico van discriminatie op grond van genderidentiteit.
In de tweede plaats onderzoekt het Hof of, om te kunnen beoordelen of de verwerking van persoonsgegevens met betrekking tot de aanspreektitel van de klanten van een vervoersonderneming noodzakelijk is voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde, rekening moet worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene (
13
). Het eventuele bestaan van een recht van bezwaar veronderstelt dat er sprake is van een rechtmatige verwerking, die in casu gebaseerd is op de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde. Om rechtmatig te zijn moet een dergelijke verwerking eerst voldoen aan de voorwaarde van strikte noodzaak voor het gerechtvaardigde belang. Uit de bewoordingen en de opzet van de bepalingen van de AVG volgt dus dat het bestaan van een recht van bezwaar niet in aanmerking kan worden genomen bij de beoordeling van de rechtmatigheid en in het bijzonder van de noodzaak van een verwerking van persoonsgegevens die is gebaseerd op de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde.
(
1
)	Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”), artikel 5, lid 1, onder a) en c).
(
2
)	Artikel 13 AVG.
(
3
)	Artikel 6, lid 1, eerste alinea, onder b), AVG.
(
4
)	Artikel 21 AVG.
(
5
)	Artikel 6, lid 1, eerste alinea, onder b), AVG.
(
6
)	Artikel 6, lid 1, eerste alinea, onder f), AVG.
(
7
)	Overeenkomstig artikel 6, lid 1, eerste alinea, onder b), AVG is de verwerking van persoonsgegevens rechtmatig indien deze „noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”.
(
8
)	Overeenkomstig artikel 6, lid 1, eerste alinea, onder f), AVG is de verwerking van persoonsgegevens rechtmatig indien die „noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”.
(
9
)	Krachtens artikel 13, lid 1, onder d), AVG is de verwerkingsverantwoordelijke verplicht de betrokkenen onmiddellijk te informeren over het gerechtvaardigde belang op het moment van de verzameling van de persoonsgegevens.
(
10
)	Krachtens artikel 5, lid 1, onder c), AVG moeten persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”).
(
11
)	Artikel 6, lid 1, eerste alinea, onder f), AVG.
(
12
)	Richtlijn 2004/113/EG van de Raad van 13 december 2004 houdende toepassing van het beginsel van gelijke behandeling van mannen en vrouwen bij de toegang tot en het aanbod van goederen en diensten (PB 2004, L 373, blz. 37).
(
13
)	Overeenkomstig artikel 21 AVG heeft de betrokkene te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, eerste alinea, onder e) of f), AVG, met inbegrip van profilering op basis van die bepalingen.