62023CJ0394_RES
Asia C-394/23
MOUSSE
vastaan
Commission nationale de l’informatique et des libertés (CNIL) ym.
(Conseil d’État’n (Ranska) esittämä ennakkoratkaisupyyntö)
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 9.1.2025
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (UE) 2016/679 – 5 artiklan 1 kohdan c alakohta – Tietojen minimointi – 6 artiklan 1 kohta – Käsittelyn lainmukaisuus – Puhuttelusanaa ja sukupuoli-identiteettiä koskevat tiedot – Matkalippujen ostaminen verkossa – 21 artikla – Vastustamisoikeus
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Tietojen minimoinnin periaate – Käsittely, joka on tarpeen rekisteröityä sitovan sopimuksen täyttämiseksi – Käsite – Se, että kuljetusyritys kerää asiakkaidensa puhuttelusanaa ja sukupuoli-identiteettiä koskevia tietoja kaupallisen viestinnän personointiin, ei kuulu käsitteen alaan
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 5 artiklan 1 kohdan c alakohta ja 6 artiklan 1 kohdan ensimmäisen alakohdan b alakohta)
(ks. 22–29, 33, 34, 36–40, 42, 43 ja 64 kohta sekä tuomiolauselman 1 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Tietojen minimoinnin periaate – Käsittely, joka on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi – Käsite – Se, että kuljetusyritys kerää asiakkaidensa puhuttelusanaa ja sukupuoli-identiteettiä koskevia tietoja kaupallisen viestinnän personointiin, ei kuulu käsitteen alaan – Edellytykset
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta)
(ks. 22–29, 45–50, 52–64 kohta sekä tuomiolauselman 1 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Soveltamisala – Henkilötietojen käsittelyn käsite – Se, että kuljetusyritys kerää asiakkaidensa puhuttelusanaa ja sukupuoli-identiteettiä koskevia tietoja, kuuluu käsitteen alaan
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 2 artiklan 1 kohta ja 4 artiklan 1 ja 2 alakohta)
(ks. 30 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Käsittely, joka on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi – Arviointiperusteet – Käsittelyn kohteena olevan henkilön vastustamisoikeus ei kuulu arviointiperusteisiin
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta ja 21 artikla)
(ks. 66–70 kohta ja tuomiolauselman 2 kohta)
Tiivistelmä
Unionin tuomioistuin, joka käsittelee Conseil d’État’n (ylin hallintotuomioistuin, Ranska) esittämää ennakkoratkaisupyyntöä, täsmentää yleisessä tietosuoja-asetuksessa säädettyjen lainmukaisuusperiaatteen ja tietojen minimoinnin periaatteen (
1
) ulottuvuutta tilanteessa, jossa kuljetusyritys käsittelee asiakkaidensa puhuttelusanaa koskevia tietoja kaupallisen viestintänsä personoimiseksi.
SNCF Connect myy rautatieliikenteen matkalippuja verkkosivustonsa ja verkkosovellustensa välityksellä. Sen asiakkaiden on pakko ilmoittaa puhuttelusanansa merkitsemällä rasti kohtaan ”herra” tai ”rouva” ostaessaan näitä matkalippuja verkossa.
Mousse-niminen yhdistys saattoi Commission nationale de l’informatique et des libertés’n (tietojenkäsittelystä ja perusvapauksista vastaava kansallinen elin (CNIL), Ranska) käsiteltäväksi SNCF Connectia koskevan valituksen siihen perustuen, ettei SNCF Connectin asiakkaiden puhuttelusanaa koskevien tietojen kerääminen ja tallentaminen ole yleisen tietosuoja-asetuksen vaatimusten mukaista. Mousse väitti erityisesti, että se, että SNCF Connect kerää näitä tietoja, on lainmukaisuusperiaatteen ja tietojen minimoinnin periaatteen sekä yleiseen tietosuoja-asetukseen perustuvien läpinäkyvyyttä ja tiedottamista koskevien velvoitteiden (
2
) vastaista.
CNIL katsoi 23.3.2021 tekemässään päätöksessä, että SNCF Connectin suorittama tietojen käsittely on lainmukaista, koska se on tarpeen asianomaisen kuljetuspalvelujen tarjoamista koskevan sopimuksen täyttämiseksi, (
3
) ja tietojen minimoinnin periaatteen mukaista.
Mousse nosti 21.5.2021 ennakkoratkaisua pyytäneessä tuomioistuimessa CNIL:n päätöksestä kumoamiskanteen ja väitti, että SNCF Connectin asiakkaille asetettu velvollisuus ilmoittaa puhuttelusanansa ei ole tarpeen kuljetuspalvelujen tarjoamista koskevan sopimuksen täyttämiseksi, että se on omiaan loukkaamaan etenkin oikeutta yksityiselämän kunnioittamiseen ja että se aiheuttaa sukupuoli-identiteettiin perustuvan syrjinnän riskin.
Ennakkoratkaisua pyytänyt tuomioistuin pohtii tässä yhteydessä, voidaanko SFCF Connectin suorittaman asiakkaiden puhuttelusanaa koskevien tietojen keräämisen tarvetta arvioitaessa ottaa huomioon yhtäältä siviiliviestinnässä sekä kaupallisessa ja hallinnollisessa viestinnässä hyväksytyt käytännöt ja toisaalta se, että annettuaan nämä tiedot rekisterinpitäjälle nämä asiakkaat voisivat käyttää oikeuttaan vastustaa tällaisten tietojen käyttämistä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella. (
4
)
Unionin tuomioistuimen arviointi asiasta
Ensimmäiseksi unionin tuomioistuin tutkii, voidaanko kuljetusyrityksen asiakkaiden puhuttelusanaa koskevien henkilötietojen käsittelyn, jonka tarkoituksena on kaupallisen viestinnän personointi, katsoa olevan tarpeen sopimuksen täyttämiseksi (
5
) taikka rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. (
6
)
Unionin tuomioistuin täsmentää yhtäältä tällaisen käsittelyn tarpeesta sopimuksen täyttämiseksi, (
7
) että käsittelyn on oltava objektiivisesti välttämätöntä sellaisen tarkoituksen toteuttamiseksi, joka on sopimuksen täyttämisen olennainen osa. Tällaisen käsittelyn on tarkemmin sanottuna oltava olennaisen tärkeää rekisterinpitäjän ja rekisteröidyn välisen sopimuksen asianmukaista täyttämistä varten, eikä näin ollen saa olla olemassa muita toimivia ja vähemmän intrusiivisia vaihtoehtoja.
Kun nyt käsiteltävässä tapauksessa otetaan huomioon, että kyseessä olevan kuljetussopimuksen pääkohteena on rautatieliikennepalvelun tarjoaminen asiakkaille ja että pääasiassa kyseessä olevan tietojenkäsittelyn tarkoituksena on kaupallisen viestinnän personointi asiakkaaseen nähden, tämä viestintä voi olla sellainen tarkoitus, joka on sopimuksen täyttämisen olennainen osa. Tällaisen palvelun tarjoaminen edellyttää näet lähtökohtaisesti asiakkaan kanssa tapahtuvaa viestintää muun muassa matkalipun toimittamiseksi hänelle sähköisesti, tiedon toimittamiseksi hänelle mahdollisista kyseessä olevaan matkaan vaikuttavista muutoksista ja matkalipun vaihdon mahdollistamiseksi myynnin jälkeisessä palvelussa. Tässä viestinnässä voi olla tarpeen noudattaa tiettyjä käytäntöjä ja soveltaa muun muassa kohteliaisuussääntöjä, millä asianomainen yritys osoittaa kunnioitusta asiakastaan kohtaan.
Unionin tuomioistuin kuitenkin korostaa, ettei tällaista viestintää saa välttämättä personoida asianomaisen asiakkaan sukupuoli-identiteetin mukaan. Nyt käsiteltävässä tapauksessa pääasiassa kyseessä olevien palvelujen osalta kaupallisen viestinnän personointi, joka perustuu puhuttelusanan perusteella oletettuun sukupuoli-identiteettiin, ei vaikuta olevan objektiivisesti välttämätöntä eikä olennaisen tärkeää sopimuksen asianmukaisen täyttämisen mahdollistamiseksi, eikä sen voida siis katsoa olevan tarpeen kyseisen sopimuksen täyttämiseksi. Näyttää näet siltä, että on olemassa muita toimivia ja vähemmän intrusiivisia vaihtoehtoja, koska SNCF Connect voisi päättää niiden asiakkaiden osalta, jotka eivät halua ilmoittaa puhuttelusanaansa, tai yleisesti ottaen turvautua sellaiseen viestintään, joka perustuu geneerisiin ja inklusiivisiin kohteliaisuussääntöihin, jotka eivät liity asiakkaiden oletettuun sukupuoli-identiteettiin.
Unionin tuomioistuin palauttaa toisaalta sen osalta, että kuljetusyrityksen asiakkaiden puhuttelusanaa koskevien henkilötietojen käsittelyn on oltava tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, (
8
) mieleen aluksi ne kolme edellytystä, joiden on täytyttävä, jotta tällainen käsittely on lainmukaista.
Ensinnäkin siitä edellytyksestä, joka koskee rekisterinpitäjän tai kolmannen osapuolen oikeutetun edun tavoittelua, unionin tuomioistuin huomauttaa, että rekisterinpitäjän on ilmoitettava sille henkilölle, jonka henkilötietoja hän kerää, ne oikeutetut edut, joita hän tavoittelee kyseessä olevan käsittelyn kuluessa. Tällainen oikeutettu etu voisi olla olemassa esimerkiksi silloin, kun rekisteröidyn ja rekisterinpitäjän välillä on merkityksellinen ja asianmukainen suhde, kuten että rekisteröity on rekisterinpitäjän asiakas.
Unionin tuomioistuin toteaa nyt käsiteltävässä tapauksessa, että ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, onko SNCF Connect ilmoittanut asiakkailleen oikeutetun edun, (
9
) ja täsmentää, että henkilötietojen käsittely suoramarkkinointitarkoituksissa voi olla oikeutetun edun mukaista. Erityisesti mainonnan personointi voidaan rinnastaa suoramarkkinointiin tällaisessa yhteydessä.
Toiseksi siitä edellytyksestä, joka koskee henkilötietojen käsittelyn tarpeellisuutta oikeutetun edun toteuttamiseksi, unionin tuomioistuin selittää, että tätä tarpeellisuutta on tarkasteltava yhdessä tietojen minimoinnin periaatteen kanssa. (
10
) Kansallisen tuomioistuimen on siis selvitettävä, onko niin, ettei tietojenkäsittelyllä tavoiteltua oikeutettua etua voida kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen perusoikeuksia ja -vapauksia vähemmän rajoittavilla keinoilla. Nyt käsiteltävässä tapauksessa näyttää siltä, että kaupallisen viestinnän personointi voidaan rajoittaa asiakkaiden etu- ja sukunimien käsittelyyn, koska heidän puhuttelusanansa ja/tai heidän sukupuoli-identiteettinsä ovat tietoja, jotka eivät ole täysin välttämättömiä tässä yhteydessä etenkään tietojen minimoinnin periaatteen valossa. Unionin tuomioistuin toteaa tässä yhteydessä, että vaikka yleisessä tietosuoja-asetuksessa (
11
) ei säädetä kullekin jäsenvaltiolle ominaisten käytäntöjen ja sopivaisuussääntöjen huomioon ottamisesta henkilötietojen käsittelyn tarpeellisuuden arvioimiseksi, rekisterinpitäjä voi kuitenkin noudattaa näitä käytäntöjä ja sopivaisuussääntöjä. Rekisterinpitäjä voisi näet käyttää niiden asiakkaiden osalta, jotka eivät halua ilmoittaa puhuttelusanaansa, tai yleisesti geneerisiä ja inklusiivisia kohteliaisuussääntöjä, jotka eivät liity asiakkaiden sukupuoli-identiteettiin.
Kolmanneksi unionin tuomioistuin toteaa siitä edellytyksestä, jonka mukaan henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja -vapaudet eivät syrjäytä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua, että se merkitsee kyseessä olevien vastakkaisten oikeuksien ja etujen punnintaa. Asianomaisen kansallisen tuomioistuimen on suoritettava tämä punninta ottamalla huomioon muun muassa rekisteröidyn kohtuulliset odotukset sekä kyseessä olevan käsittelyn laajuus ja vaikutus, joka sillä on rekisteröityyn. Nyt käsiteltävässä asiassa on niin, että jollei ennakkoratkaisua pyytäneen tuomioistuimen selvityksestä muuta johdu, kuljetusyrityksen asiakkaan ei oleteta odottavan, että kyseinen yritys käsittelee hänen puhuttelusanaansa tai sukupuoli-identiteettiään koskevia tietoja matkalippua ostettaessa. Näin olisi erityisesti, jos kyseinen käsittely suoritettaisiin yksinomaan suoramarkkinointitarkoituksessa. Unionin tuomioistuin täsmentää kuitenkin, että suoramarkkinointia koskevaa oikeutettua etua ei voida missään tapauksessa asettaa etusijalle, jos riskinä on, että rekisteröidyn perusvapauksia ja -oikeuksia loukataan. Kansallisen tuomioistuimen on siis tarkastettava etenkin direktiivin 2004/113 (
12
) valossa, onko Moussen väittämä sukupuoli-identiteettiin perustuva syrjinnän riski olemassa. Unionin tuomioistuin toteaa vielä tältä osin, että kyseisen direktiivin soveltamisala ei voi rajoittua pelkästään sellaiseen syrjintään, joka johtuu siitä, mitä sukupuolta asianomainen henkilö edustaa. Kun otetaan huomioon kyseisen direktiivin tarkoitus ja sillä suojattujen oikeuksien luonne, sen on katsottava koskevan myös syrjintää, joka perustuu asianomaisen henkilön sukupuoli-identiteetin vaihdokseen.
Edellä esitetyn perusteella unionin tuomioistuin päättelee, että kuljetusyrityksen asiakkaiden puhuttelusanaa koskevien henkilötietojen käsittelyn, jonka tarkoituksena on kaupallisen viestinnän personointi asiakkaiden sukupuoli-identiteetin perusteella, ei voida katsoa olevan tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, jos yritys ei ole ilmoittanut tavoiteltua oikeutettua etua asiakkaille näitä tietoja kerättäessä, jos tätä käsittelyä ei suoriteta tämän oikeutetun edun toteuttamisen kannalta täysin välttämättömän rajoissa tai jos – kun otetaan huomioon kaikki merkitykselliset olosuhteet – näiden asiakkaiden perusoikeudet- ja vapaudet ovat omiaan syrjäyttämään kyseisen oikeutetun edun etenkin sukupuoli-identiteettiin perustuvan syrjinnän riskin vuoksi.
Toiseksi unionin tuomioistuin tutkii, onko arvioitaessa kuljetusyrityksen asiakkaiden puhuttelusanaa koskevien henkilötietojen käsittelyn tarpeellisuutta rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi otettava huomioon rekisteröidyllä mahdollisesti oleva vastustamisoikeus. (
13
) Vastustamisoikeuden mahdollinen olemassaolo edellyttää näet sitä, että kyse on lainmukaisesta käsittelystä, joka perustuu nyt käsiteltävässä tapauksessa rekisterinpitäjän tai kolmannen osapuolen oikeutettuihin etuihin. Jotta tällainen käsittely on lainmukaista, sen on kuitenkin ensin täytettävä edellytys siitä, että käsittely on tavoitellun oikeutetun edun kannalta täysin välttämätöntä. Yleisen tietosuoja-asetuksen säännösten sanamuodosta ja systematiikasta siis ilmenee, ettei vastustamisoikeuden olemassaoloa voida ottaa huomioon sellaisen henkilötietojen käsittelyn lainmukaisuuden ja erityisesti tarpeellisuuden arvioimiseksi, joka perustuu rekisterinpitäjän tai kolmannen osapuolen oikeutettuihin etuihin.
(
1
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 5 artiklan 1 kohdan a ja c alakohta.
(
2
)	Yleisen tietosuoja-asetuksen 13 artikla.
(
3
)	Yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b alakohta.
(
4
)	Yleisen tietosuoja-asetuksen 21 artikla.
(
5
)	Yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b alakohta.
(
6
)	Yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta.
(
7
)	Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b alakohdan nojalla henkilötietojen käsittely on lainmukaista, jos käsittely on ”tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä”.
(
8
)	Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla henkilötietojen käsittely on lainmukaista, jos se on ”tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi”.
(
9
)	Yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdan nojalla henkilötietojen rekisterinpitäjällä on henkilötietoja kerättäessä velvollisuus ilmoittaa suoraan rekisteröidyille tavoiteltu oikeutettu etu.
(
10
)	Yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdan nojalla henkilötietojen rekisterinpitäjällä on henkilötietoja kerättäessä velvollisuus ilmoittaa suoraan rekisteröidyille tavoiteltu oikeutettu etu.
(
11
)	Yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta.
(
12
)	Miesten ja naisten yhdenvertaisen kohtelun periaatteen täytäntöönpanosta tavaroiden ja palvelujen saatavuuden ja tarjonnan alalla 13.12.2004 annettu neuvoston direktiivi 2004/113/EY 2004 (EUVL 2004, L 373, s. 37).
(
13
)	Yleisen tietosuoja-asetuksen 21 artiklan nojalla rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 21 kohdan e tai f alakohtaan, mukaan lukien näihin säännöksiin perustuvaa profilointia.