62023CJ0394_RES
Byla C‑394/23
MOUSSE
prieš
Commission nationale de l’informatique et des libertés (CNIL),
(Conseil d’État (Valstybės Taryba, Prancūzija) prašymas priimti prejudicinį sprendimą)
2025 m. sausio 9 d. Teisingumo Teismo (pirmoji kolegija) sprendimas
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 5 straipsnio 1 dalies c punktas – Duomenų kiekio mažinimo principas – 6 straipsnio 1 dalis – Tvarkymo teisėtumas – Duomenys apie mandagumo kreipinį ir lytinę tapatybę – Transporto bilietų pardavimas internetu – 21 straipsnis – Teisė nesutikti“
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų tvarkymo teisėtumo sąlygos – Duomenų kiekio mažinimo principas – Duomenų tvarkymas, būtinas siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas – Sąvoka – Transporto įmonės renkami duomenys apie jos klientų mandagumo kreipinius ir lytinę tapatybę siekiant individualizuoti komercinę komunikaciją – Neįtraukimas
(Europos Parlamento ir Tarybos reglamento 2016/679 5 straipsnio 1 dalies c punktas ir 6 straipsnio 1 dalies pirmos pastraipos b punktas)
(žr. 22–33, 34, 36–40, 42, 43, 64 punktus ir rezoliucinės dalies 1 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų tvarkymo teisėtumo sąlygos – Duomenų kiekio mažinimo principas – Duomenų tvarkymas, būtinas siekiant teisėtų duomenų valdytojo arba trečiojo asmens interesų – Sąvoka – Transporto įmonės renkami duomenys apie jos klientų mandagumo kreipinius ir lytinę tapatybę siekiant individualizuoti komercinę komunikaciją – Neįtraukimas – Sąlygos
(Europos Parlamento ir Tarybos reglamento 2016/679 6 straipsnio 1 dalies pirmos pastraipos f punktas)
(žr. 22–29, 45–50, 52–64 punktus ir rezoliucinės dalies 1 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Taikymo sritis – Asmens duomenų tvarkymo sąvoka – Transporto įmonės renkami duomenys apie jos klientų mandagumo kreipinius ir lytinę tapatybę – Įtraukimas
(Europos Parlamento ir Tarybos reglamento 2016/679 2 straipsnio 1 dalis ir 4 straipsnio 1 ir 2 punktai)
(žr. 30 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų tvarkymo teisėtumo sąlygos – Duomenų tvarkymas, būtinas siekiant teisėtų duomenų valdytojo arba trečiojo asmens interesų – Vertinimo kriterijai – Duomenų subjekto teisė nesutikti – Neįtraukimas
(Europos Parlamento ir Tarybos reglamento 2016/679 6 straipsnio 1 dalies pirmos pastraipos f punktas ir 21 straipsnis)
(žr. 66–70 punktus ir rezoliucinės dalies 2 punktą)
Santrauka
Gavęs Conseil d’État (Valstybės Taryba, Prancūzija) prašymą priimti prejudicinį sprendimą, Teisingumo Teismas išaiškino BDAR (
1
) numatytų teisėtumo ir duomenų kiekio mažinimo principus aplinkybėmis, kai transporto įmonė rinko duomenis apie jos klientų mandagumo kreipinius ir lytinę tapatybę, siekdama individualizuoti savo komercinę komunikaciją.
Bendrovė SNCF Connect savo interneto svetainėje ir taikomosiose programose prekiauja geležinkelių transporto bilietais. Pirkdami šiuos bilietus internetu bendrovės klientai privalo nurodyti jiems taikytiną mandagumo kreipinį, pažymėdami nuorodą „ponas“ arba „ponia“.
Asociacija Mousse pateikė Commission nationale de l’informatique et des libertés (Nacionalinė informatikos ir laisvių komisija (CNIL), Prancūzija) skundą dėl SNCF Connect, motyvuodama tuo, kad sąlygos, kuriomis renkami ir registruojami duomenys apie pastarosios klientų mandagumo kreipinius, neatitinka BDAR reikalavimų. Kalbant konkrečiau, Mousse teigė, kad SNCF Connect vykdomas duomenų rinkimas pažeidžia teisėtumo ir duomenų kiekio mažinimo principus, taip pat iš šio reglamento (
2
) kylančias pareigas užtikrinti skaidrumą ir teikti informaciją.
2021 m. kovo 23 d. sprendime CNIL laikėsi nuomonės, kad SNCF Connect atliekamas duomenų tvarkymas buvo teisėtas, nes būtinas transporto paslaugų teikimo sutarčiai vykdyti (
3
), ir atitiko duomenų kiekio mažinimo principą.
2021 m. gegužės 21 d.Mousse pateikė prašymą priimti prejudicinį sprendimą pateikusiam teismui skundą dėl CNIL sprendimo panaikinimo, jame teigė, kad SNCF Connect klientams nustatyta pareiga nurodyti jų mandagumo kreipinį nėra būtina transporto paslaugų teikimo sutarčiai įvykdyti, pažeidžia, be kita ko, teisę į privatų gyvenimą ir kelia diskriminacijos dėl lytinės tapatybės pavojų.
Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikęs teismas iškėlė klausimą, ar, vertinant SNCF Connect vykdomo duomenų apie jos klientų mandagumo kreipinius rinkimo būtinumą, galima atsižvelgti, pirma, į plačiai paplitusius papročius civilinių, verslo ir administracinių ryšių srityje ir, antra, į tai, kad šie klientai, pateikę šiuos duomenis duomenų valdytojui, galėtų įgyvendinti savo teisę nesutikti su tokių duomenų naudojimu dėl su jų konkrečiu atveju susijusių priežasčių (
4
).
Teisingumo Teismo vertinimas
Teisingumo Teismas pirmiausia išnagrinėjo, ar duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymas, turint tikslą individualizuoti komercinę komunikaciją, gali būti laikomas būtinų vykdant sutartį (
5
) arba siekiant teisėtų duomenų valdytojo ar trečiosios šalies interesų (
6
).
Pirma, kiek tai susiję su tokio tvarkymo būtinumu vykdant sutartį (
7
), Teisingumo Teismas pažymėjo, kad jis turi būti objektyviai būtinas siekiant tikslo, kuris yra sutarties vykdymo sudedamoji dalis. Kalbant konkrečiai, toks duomenų tvarkymas turi būti esminis, kad būtų galima tinkamai įvykdyti duomenų valdytojo ir duomenų subjekto sudarytą sutartį, taigi neturi būti kitų įmanomų ir mažiau ribojančių sprendimų.
Kadangi nagrinėjamu atveju pagrindinis sutarties dalykas yra geležinkelių transporto paslaugos teikimas klientams, o pagrindinėje byloje nagrinėjamu duomenų tvarkymu siekiama individualizuoti komercinę komunikaciją su klientais, ši komunikacija gali būti sutarties vykdymo sudedamoji dalis. Iš tiesų teikiant nurodytą paslaugą iš esmės reikia užmegzti kontaktą su klientu, kad būtų galima elektroniniu būdu jam perduoti transporto bilietą, įspėti jį apie įtakos kelionei turinčius pakeitimus, taip pat sudaryti galimybę keistis informacija su klientų aptarnavimo tarnyba. Ši komunikacija gali reikalauti paisyti nusistovėjusių papročių ir vartoti, be kita ko, mandagumo kreipinius, siekiant parodyti atitinkamos įmonės pagarbą savo klientams.
Vis dėlto Teisingumo Teismas pabrėžė, kad tokia komunikacija nebūtinai turi būti individualizuojama remiantis atitinkamo kliento lytine tapatybe. Kiek tai susiję su pagrindinėje byloje nagrinėjamomis paslaugomis, komercinės komunikacijos individualizavimas remiantis lytine tapatybe, preziumuojama mandagumo kreipinio pagrindu, neatrodo nei objektyviai būtinas, nei esminis, kad būtų galima tinkamai įvykdyti sutartį, todėl negali būti laikomas būtinu šiai sutarčiai vykdyti. Iš tiesų panašu, kad yra kitas įmanomas ir mažiau ribojantis sprendimas, nes ir nurodyti savo mandagumo kreipinio nepageidaujančių klientų atveju, ir apskritai SNCF Connect galėtų rinktis komunikaciją, grindžiamą bendromis įtraukiomis mandagumo frazėmis, neturinčiomis ryšio su preziumuojama klientų lytine tapatybe.
Antra, kalbėdamas apie duomenų, susijusių su transporto įmonės klientų mandagumo kreipiniais, tvarkymo būtinumą siekiant teisėtų duomenų valdytojo ar trečiosios šalies interesų (
8
), Teisingumo Teismas priminė tris tokio tvarkymo teisėtumo sąlygas.
Dėl sąlygos, susijusios su teisėtų duomenų valdytojo ar trečiosios šalies interesų siekimu, Teisingumo Teismas pabrėžė, kad duomenų valdytojas turi nurodyti asmeniui, kurio duomenis renka, teisėtus interesus, kurių siekia nagrinėjamu tvarkymu. Toks interesas galėtų būti, pavyzdžiui, kai duomenų subjektą ir duomenų valdytoją sieja atitinkamas reikšmingas ryšys, pavyzdžiui, kai duomenų subjektas yra duomenų valdytojo klientas.
Nagrinėjamu atveju Teisingumo Teismas nurodė, kad prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, ar SNCF Connect nurodė savo klientams teisėtą interesą (
9
), ir patikslino, kad asmens duomenų tvarkymas tiesioginės rinkodaros tikslais gali atitikti teisėtą interesą. Pavyzdžiui, šiomis aplinkybėmis individuali reklama gali būti prilyginta tokiai tiesioginei rinkodarai.
Kiek tai susiję su sąlyga, kad asmens duomenis tvarkyti būtina siekiant įgyvendinti nustatytą teisėtą interesą, Teisingumo Teismas paaiškino, kad ją reikia nagrinėti kartu su duomenų kiekio mažinimo principu (
10
). Taigi nacionalinis teismas turi patikrinti, ar duomenų tvarkymu siekiamas teisėtas interesas gali būti tinkamai ir taip pat veiksmingai pasiektas kitomis priemonėmis, kurios mažiau ribotų duomenų subjektų pagrindines laisves ir teises. Nagrinėjamu atveju panašu, kad norint individualizuoti komercinę komunikaciją užtenka tvarkyti klientų pavardes ir vardus, nes informacija apie jų mandagumo kreipinius ir lytinę tapatybę šiuo atveju nėra griežtai būtina, ypač atsižvelgiant į duomenų kiekio mažinimo principą. Šiomis aplinkybėmis Teisingumo Teismas nurodė, kad nors BDAR (
11
) nenumatyta, kad norint įvertinti būtinumą tvarkyti asmens duomenis reikia atsižvelgti į kiekvienai valstybei būdingus socialinius papročius ir tradicijas, duomenų valdytojas gali paisyti šių socialinių papročių ir tradicijų. Iš tiesų, ir nurodyti savo mandagumo kreipinio nepageidaujančių klientų atveju, ir apskritai šis valdytojas galėtų rinktis bendras įtraukias mandagumo frazes, neturinčias ryšio su preziumuojama klientų lytine tapatybe.
Galiausiai dėl sąlygos, kad duomenų subjekto, kuriam taikoma duomenų apsauga, interesai arba laisvės ir pagrindinės teisės neturi būti viršesni už teisėtą duomenų valdytojo ar trečiosios šalies interesą, Teisingumo Teismas laikėsi nuomonės, kad ji reiškia, kad reikia palyginti atitinkamas priešingas teises ir interesus. Nacionalinis teismas turi atlikti šį palyginimą atsižvelgdamas, be kita ko, į pagrįstus duomenų subjekto lūkesčius, nagrinėjamo duomenų tvarkymo apimtį ir jo daromą poveikį šiam subjektui. Nagrinėjamu atveju transporto įmonės klientas negali tikėtis, kad ši įmonė duomenis apie jo mandagumo kreipinį ar lytinę tapatybę tvarkys jam įsigyjant transporto bilietą, tačiau tai turi patikrinti prašymą priimti prejudicinį pateikęs teismas. Kalbant konkrečiai, taip būtų tuo atveju, jei duomenys būtų taip tvarkomi tik tiesioginės rinkodaros tikslais. Vis dėlto Teisingumo Teismas pažymėjo, kad su tiesiogine rinkodara susijęs teisėtas interesas bet kuriuo atveju negali būti viršesnis, jei kyla pavojus pažeisti duomenų subjekto pagrindines laisves ir teises. Taigi nacionalinis teismas turi patikrinti, ar yra Mousse nurodytas lytine tapatybe pagrįstos diskriminacijos pavojus, be kita ko, atsižvelgiant į Direktyvą 2004/113 (
12
). Šiuo aspektu Teisingumo Teismas pridūrė, kad šios direktyvos taikymo sritis negali apsiriboti vien diskriminacija, atsirandančia dėl asmens priklausymo vienai ar kitai lyčiai. Atsižvelgiant į tos direktyvos tikslą ir siekiamų apsaugoti teisių prigimtį, ji taip pat taikoma ir diskriminacijai, atsirandančiai suinteresuotajam asmeniui pakeitus lytį.
Atsižvelgęs į tai, kas išdėstyta, Teisingumo Teismas padarė išvadą, kad duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymas, turint tikslą individualizuoti komercinę komunikaciją remiantis jų lytine tapatybe, negali būti laikomas būtinu siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, jeigu rinkdama šiuos duomenis įmonė savo klientams nepranešė apie teisėto intereso buvimą, toks tvarkymas nėra atliekamas neviršijant to, kas griežtai būtina šiam teisėtam interesui pasiekti, arba_atsižvelgiant į visas svarbias aplinkybes, nurodytų klientų pagrindinės laisvės ir teisės gali būti viršesnės už nurodytą teisėtą interesą, be kita ko, dėl kylančio diskriminacijos lytinės tapatybės pagrindu pavojaus.
Toliau Teisingumo Teismas išnagrinėjo, ar vertinant duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymo būtinumą siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, reikia atsižvelgti į galimą duomenų subjekto teisę nesutikti (
13
). Iš tiesų galimai teisei nesutikti būtinas teisėto duomenų tvarkymo, nagrinėjamu atveju grindžiamo teisėtais duomenų valdytojo arba trečiosios šalies interesais, faktas. Kad būtų teisėtas, toks tvarkymas pirmiausia turi tenkinti griežto būtinumo siekiamam teisėtam interesui sąlygą. Taigi iš BDAR nuostatų teksto ir struktūros matyti, kad į teisės nesutikti buvimą nereikia atsižvelgti vertinant asmens duomenų tvarkymo, grindžiamo teisėtais duomenų valdytojo arba trečiosios šalies interesais, teisėtumą ir ypač būtinumą.
(
1
)	2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 5 straipsnio 1 dalies a ir c punktai.
(
2
)	BDAR 13 straipsnis.
(
3
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos b punktas.
(
4
)	BDAR 21 straipsnis
(
5
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos b punktas.
(
6
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktas.
(
7
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos b punkte numatyta, kad asmens duomenų tvarkymas yra teisėtas, jeigu jis „būtinas siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį“.
(
8
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkte numatyta, kad asmens duomenų tvarkymas yra teisėtas, jeigu „tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas“.
(
9
)	Pagal BDAR 13 straipsnio 1 dalies d punktą asmens duomenų valdytojas privalo tiesiogiai nurodyti duomenų subjektams teisėtus interesus, kurių siekiama renkant asmens duomenis.
(
10
)	Pagal BDAR 13 straipsnio 1 dalies d punktą asmens duomenų valdytojas privalo tiesiogiai nurodyti duomenų subjektams teisėtus interesus, kurių siekiama renkant asmens duomenis.
(
11
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktas.
(
12
)	2004 m. gruodžio 13 d. Tarybos direktyva 2004/113/EB, įgyvendinanti vienodo požiūrio į moteris ir vyrus principą dėl galimybės naudotis prekėmis bei paslaugomis ir prekių tiekimo bei paslaugų teikimo (OL L 373, 2004, p. 37).
(
13
)	BDAR 21 straipsnyje numatyta, kad duomenų subjektas turi teisę dėl su jo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad jo asmens duomenys būtų tvarkomi, kai toks duomenų tvarkymas vykdomas pagal 6 straipsnio 1 dalies e arba f punktus, įskaitant profiliavimą remiantis tomis nuostatomis.