62023CJ0394_RES
Sprawa C‑394/23
MOUSSE
przeciwko
Commission nationale de l’informatique et des libertés (CNIL) i in.
[wniosek o wydanie orzeczenia w trybie prejudycjalnym, złożony przez Conseil d’État (Francja)]
Wyrok Trybunału (pierwsza izba) z dnia 9 stycznia 2025 r.
Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 5 ust. 1 lit. c) – Minimalizacja danych – Artykuł 6 ust. 1 – Zgodność przetwarzania z prawem – Dane dotyczące formy grzecznościowej i tożsamości płciowej – Sprzedaż internetowa dokumentów uprawniających do przejazdu – Artykuł 21 – Prawo do sprzeciwu
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Warunki zgodności przetwarzania danych osobowych z prawem – Zasada minimalizacji danych – Przetwarzanie niezbędne do wykonania umowy wiążącej osobę, której dane dotyczą – Pojęcie – Zbieranie przez przedsiębiorstwo przewozowe danych dotyczących form grzecznościowych odnoszących się do jego klientów i ich tożsamości płciowej w celu personalizacji komunikacji handlowej – Wyłączenie
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 5 ust. 1 lit. c), art. 6 ust. 1 akapit pierwszy lit. b)]
(zob. pkt 22–29, 33, 34, 36–40, 42, 43, 64; pkt 1 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Warunki zgodności przetwarzania danych osobowych z prawem – Zasada minimalizacji danych – Przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią – Pojęcie – Zbieranie przez przedsiębiorstwo przewozowe danych dotyczących form grzecznościowych odnoszących się do jego klientów i ich tożsamości płciowej w celu personalizacji komunikacji handlowej – Wyłączenie – Przesłanki
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 6 ust. 1 akapit pierwszy lit. f)]
(zob. pkt 22–29, 45–50, 52–64; pkt 1 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Zakres stosowania – Pojęcie przetwarzania danych osobowych – Zbieranie przez przedsiębiorstwo przewozowe danych dotyczących form grzecznościowych odnoszących się do jego klientów i ich tożsamości płciowej – Włączenie
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 2 ust. 1, art. 4 pkt 1, 2)
(zob. pkt 30)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Warunki zgodności przetwarzania danych osobowych z prawem – Przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią – Kryteria oceny – Prawo do sprzeciwu przysługującego osobie, której dotyczy przetwarzanie danych – Wyłączenie
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 6 ust. 1 akapit pierwszy lit. f), art. 21]
(zob. pkt 66–70; pkt 2 sentencji)
Streszczenie
Trybunał, do którego Conseil d’État (rada stanu, Francja) zwróciła się w trybie prejudycjalnym, wyjaśnił zakres przewidzianych w RODO (
1
) zasad zgodności z prawem i minimalizacji danych w kontekście przetwarzania przez przedsiębiorstwo przewozowe danych dotyczących form grzecznościowych odnoszących się do jego klientów w celu personalizacji prowadzonej przez to przedsiębiorstwo komunikacji handlowej.
SNCF Connect wprowadza do obrotu dokumenty uprawniające do przejazdu koleją za pośrednictwem swojej witryny internetowej i aplikacji internetowych. Klienci owego przedsiębiorstwa są zobowiązani do podania odnoszącej się do nich formy grzecznościowej poprzez zaznaczenie formy „pan” lub „pani” podczas zakupu wspomnianych dokumentów przez Internet.
Stowarzyszenie Mousse wniosło do Commission nationale de l’informatique et des libertés (CNIL) (krajowej komisji ds. informatyki i swobód, Francja) skargę na SNCF Connect ze względu na niezgodność warunków zbierania i utrwalania danych dotyczących form grzecznościowych odnoszących się do klientów tego przedsiębiorstwa z wymogami RODO. Mówiąc dokładniej, Mousse podniosło, że zbieranie owych danych przez SNCF Connect narusza zasady zgodności z prawem i minimalizacji danych, a także obowiązki zapewnienia przejrzystości i informowania wynikające z tego samego rozporządzenia (
2
).
Decyzją z dnia 23 marca 2021 r. CNIL uznał, że przetwarzanie danych dokonywane przez SNCF Connect jest zgodne z prawem ze względu na to, że jest ono niezbędne do wykonania odnośnej umowy o świadczenie usług przewozowych (
3
), oraz zgodne z zasadą minimalizacji danych.
W dniu 21 maja 2021 r. Mousse wniosło do sądu odsyłającego skargę o stwierdzenie nieważności decyzji CNIL i podniosło, że nałożony przez SNCF Connect na swoich klientów obowiązek wskazania odnoszącej się do nich formy grzecznościowej nie jest niezbędny do wykonania umowy świadczenia usług przewozowych, że może on naruszać między innymi prawo do poszanowania życia prywatnego i że pociąga on za sobą ryzyko dyskryminacji ze względu na tożsamość płciową.
W tych okolicznościach sąd odsyłający zastanawia się, czy w celu oceny niezbędności zbierania przez SNCF Connect danych dotyczących formy grzecznościowej odnoszących się do jego klientów można wziąć pod uwagę, po pierwsze, zwyczaje przyjęte w komunikacji handlowej, prywatnej i administracyjnej, a po drugie, okoliczność, że owi klienci, przekazawszy te dane administratorowi, mogą skorzystać z przysługującego im prawa do sprzeciwu wobec wykorzystywania takich danych z przyczyn związanych z ich szczególną sytuacją (
4
).
Ocena Trybunału
W pierwszej kolejności Trybunał zbadał, czy przetwarzanie danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej, można uznać za niezbędne do wykonania umowy (
5
) lub do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią (
6
).
Co się tyczy z jednej strony niezbędności takiego przetwarzania do wykonania umowy (
7
), Trybunał wyjaśnił, że przetwarzanie to musi być obiektywnie konieczne do osiągnięcia celu stanowiącego integralną część wykonania umowy. Mówiąc precyzyjniej, przetwarzanie takie musi być zasadnicze dla prawidłowego wykonania umowy zawartej między administratorem a osobą, której dane dotyczą, co oznacza, że nie może istnieć inne dające się zastosować, mniej inwazyjne, rozwiązania.
W tym wypadku, ponieważ głównym przedmiotem umowy przewozowej rozpatrywanej w postępowaniu głównym jest świadczenie klientom usługi przewozu kolejowego i ponieważ przetwarzanie danych będące przedmiotem postępowania głównego ma na celu personalizację komunikacji handlowej z klientem, owa komunikacja może być celem stanowiącym integralną część wykonania umowy. Świadczenie takiej usługi wiąże się bowiem co do zasady z komunikacją z klientem, między innymi w celu przekazania mu drogą elektroniczną dokumentu uprawniającego do przejazdu, poinformowania go o ewentualnych zmianach w odnośnej podróży oraz umożliwienia mu korespondencji z działem obsługi klienta. Komunikacja ta może wymagać poszanowania zwyczajów i używania między innymi form grzecznościowych w celu okazania przez dane przedsiębiorstwo szacunku swojemu klientowi.
Jednakże Trybunał podkreślił, że komunikacja taka nie musi być koniecznie personalizowana z uwzględnieniem tożsamości płciowej danego klienta. W niniejszej sprawie, co się tyczy usług rozpatrywanych w postępowaniu głównym, personalizacja komunikacji handlowej oparta na zakładanej tożsamości płciowej w zależności od formy grzecznościowej nie wydaje się ani obiektywnie konieczna, ani istotna dla prawidłowego wykonania umowy, a tym samym nie można jej uznać za niezbędną do wykonania tej umowy. Wydaje się bowiem, że można zastosować mniej inwazyjne rozwiązanie, ponieważ SNCF Connect mogłoby zdecydować się – wobec klientów, którzy nie życzą sobie podawania odnoszącej się do nich formy grzecznościowej, lub ogólnie – na komunikację opartą na zwrotach grzecznościowych generycznych, włączających i bez korelacji z zakładaną tożsamością płciową klientów.
Co się tyczy z drugiej strony niezbędności przetwarzania danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią (
8
), Trybunał przypomniał przede wszystkim trzy przesłanki, które muszą zostać spełnione, aby przetwarzanie takie było zgodne z prawem.
Jeśli chodzi, po pierwsze, o przesłankę dotyczącą realizacji prawnie uzasadnionego interesu przez administratora lub przez stronę trzecią, to Trybunał podkreślił, że administrator powinien poinformować osobę, od której pozyskuje dane osobowe, o realizowanych przez siebie prawnie uzasadnionych interesach podczas owego pozyskiwania. Taki interes może istnieć na przykład w przypadku istotnego i odpowiedniego powiązania między osobą, której dane dotyczą, a administratorem, w tym sytuacji gdy osoba, której dane dotyczą, jest klientem administratora.
W niniejszej sprawie Trybunał wskazał, że do sądu odsyłającego będzie należało zweryfikowanie, czy SNCF Connect poinformowało klientów o swoim prawnie uzasadnionym interesie (
9
), i wyjaśnił, że przetwarzanie danych osobowych do celów marketingu bezpośredniego może stanowić taki prawnie uzasadniony interes. W szczególności za marketing bezpośredni można uznać w takim kontekście personalizację reklamy.
Jeśli chodzi, po drugie, o przesłankę, zgodnie z którą przetwarzanie danych osobowych musi być niezbędne do celów wynikających z prawnie uzasadnionego interesu, to Trybunał wyjaśnił, że przesłankę tę należy badać łącznie z zasadą minimalizacji danych (
10
). Zatem do sądu krajowego należy zweryfikowanie, czy prawnie uzasadnionego interesu w przetwarzaniu danych nie można, racjonalnie rzecz biorąc, osiągnąć w równie skuteczny sposób za pomocą innych środków, w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których dane dotyczą. W niniejszej sprawie wydaje się, że personalizacja komunikacji handlowej może ograniczać się do przetwarzania nazwisk i imion klientów, ponieważ odnosząca się do nich forma grzecznościowa lub ich tożsamość płciowa nie są informacjami ściśle niezbędnymi w tych okolicznościach, w szczególności w świetle zasady minimalizacji danych. W tych okolicznościach Trybunał wskazał, że chociaż RODO (
11
) nie przewiduje uwzględniania zwyczajów i konwencji społecznych w każdym państwie członkowskim przy ocenie niezbędnego charakteru przetwarzania danych osobowych, to administrator może owe zwyczaje i konwencje społeczne uszanować. Wspomniany administrator może bowiem użyć – wobec klientów, którzy nie życzą sobie podawania odnoszącej się do nich formy grzecznościowej, lub ogólnie – zwrotów grzecznościowych generycznych, włączających i bez korelacji z tożsamością płciową owych klientów.
Jeśli chodzi, po trzecie, o przesłankę, która zakłada, że interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie mają nadrzędnego charakteru wobec prawnie uzasadnionego interesu administratora lub strony trzeciej, to Trybunał uznał, że wiąże się ona z wyważeniem rozpatrywanych przeciwstawnych praw i interesów. Dokonanie tego wyważenia należy do sądu krajowego, przed którym zawisł spór, przy czym należy wziąć pod uwagę w szczególności rozsądne oczekiwania osoby, której dane dotyczą, zakres przedmiotowego przetwarzania i jego wpływ na tę osobę. W niniejszej sprawie, z zastrzeżeniem dokonania weryfikacji przez sąd odsyłający, klient przedsiębiorstwa przewozowego nie musi się spodziewać, że będzie ono przetwarzać dane dotyczące odnoszącej się do niego formy grzecznościowej lub jego tożsamości płciowej w kontekście zakupu dokumentu uprawniającego do przejazdu. Taka sytuacja miałaby miejsce w szczególności wtedy, gdyby owego przetwarzania dokonywano wyłącznie w celu marketingu bezpośredniego. Trybunał wyjaśnił jednak, że prawnie uzasadniony interes związany z marketingiem bezpośrednim nie może w każdym razie mieć nadrzędnego charakteru w wypadku ryzyka naruszenia praw podstawowych i wolności osoby, której dane dotyczą. Zatem do sądu krajowego będzie należało ustalenie, czy istnieje ryzyko dyskryminacji ze względu na tożsamość płciową, podnoszone przez Mousse, w świetle między innymi dyrektywy 2004/113 (
12
). W tym względzie Trybunał dodał, że zakres stosowania tej dyrektywy nie może ograniczać się tylko do dyskryminacji wynikającej z przynależności do takiej czy innej płci. Zważywszy na przedmiot i charakter praw, które ma chronić, dyrektywa ta powinna również znajdować zastosowanie w przypadku dyskryminacji, która ma podłoże w zmianie tożsamości płciowej danej osoby.
W świetle powyższego Trybunał stwierdził, że przetwarzania danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią, jeżeli o realizowanym prawnie uzasadnionym interesie przedsiębiorstwo nie poinformowało swoich klientów podczas pozyskiwania tych danych, jeżeli przetwarzania nie dokonano w granicach tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu, lub też jeżeli w świetle wszystkich istotnych okoliczności prawa podstawowe i wolności klientów mogą mieć nadrzędny charakter wobec rzeczonego prawnie uzasadnionego interesu, między innymi z uwagi na ryzyko dyskryminacji ze względu na tożsamość płciową.
W drugiej kolejności Trybunał zbadał, czy przy ocenie niezbędności przetwarzania danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią należy uwzględnić ewentualne istnienie prawa do sprzeciwu przysługującego osobie, której dane dotyczą (
13
). Ewentualne istnienie prawa do sprzeciwu zakłada bowiem, że ma miejsce przetwarzanie zgodne z prawem, oparte w niniejszej sprawie na realizacji przez administratora lub stronę trzecią prawnie uzasadnionych interesów. Tymczasem, aby przetwarzanie takie było zgodne z prawem, musi ono wcześniej spełnić przesłankę ścisłej niezbędności do realizacji prawnie uzasadnionego interesu. Z brzmienia i z systematyki przepisów RODO wynika zatem, że przy ocenie zgodności z prawem, a w szczególności niezbędności przetwarzania danych osobowych opartego na realizacji przez administratora lub stronę trzecią prawnie uzasadnionych interesów, nie można uwzględniać istnienia prawa do sprzeciwu.
(
1
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwane dalej „RODO”), art. 5 ust. 1 lit. a) i c).
(
2
)	Artykuł 13 RODO.
(
3
)	Artykuł 6 ust. 1 akapit pierwszy lit. b) RODO.
(
4
)	Artykuł 21 RODO.
(
5
)	Artykuł 6 ust. 1 akapit pierwszy lit. b) RODO.
(
6
)	Artykuł 6 ust. 1 akapit pierwszy lit. f) RODO.
(
7
)	Zgodnie z art. 6 ust. 1 akapit pierwszy lit. b) RODO przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest „niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”.
(
8
)	Zgodnie z art. 6 ust. 1 akapit pierwszy lit. f) RODO przetwarzanie danych osobowych jest zgodne z prawem, gdy jest ono „niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem”.
(
9
)	Na podstawie art. 13 ust. 1 lit. d) RODO administrator danych osobowych ma obowiązek podczas pozyskiwania danych osobowych poinformować bezpośrednio osoby, których dane dotyczą, o realizowanym prawnie uzasadnionym interesie.
(
10
)	Na podstawie art. 13 ust. 1 lit. d) RODO administrator danych osobowych ma obowiązek podczas pozyskiwania danych osobowych poinformować bezpośrednio osoby, których dane dotyczą, o realizowanym prawnie uzasadnionym interesie.
(
11
)	Artykuł 6 ust. 1 akapit pierwszy lit. f) RODO.
(
12
)	Dyrektywa Rady 2004/113/WE z dnia 13 grudnia 2004 r. wprowadzająca w życie zasadę równego traktowania mężczyzn i kobiet w zakresie dostępu do towarów i usług oraz dostarczania towarów i usług (Dz.U. 2004, L 373, s. 37).
(
13
)	Zgodnie z art. 21 RODO osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 akapit pierwszy lit. e) lub f) RODO, w tym profilowania na podstawie tych przepisów.