62023CJ0394_RES
Věc C‑394/23
MOUSSE
v.
Commission nationale de l’informatique et des libertés (CNIL) a další
[žádost o rozhodnutí o předběžné otázce, kterou podala Conseil d’État (Francie)]
Rozsudek Soudního dvora (prvního senátu) ze dne 9. ledna 2025
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 5 odst. 1 písm. c) – Minimalizace údajů – Článek 6 odst. 1 – Zákonnost zpracování – Údaje o oslovení a genderové identitě – On-line prodej přepravních dokladů – Článek 21 – Právo vznést námitku“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Podmínky zákonnosti zpracování osobních údajů – Zásada minimalizace údajů – Zpracování nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů – Pojem – Shromažďování údajů dopravním podnikem o oslovení a genderové identitě jeho zákazníků za účelem personalizace obchodní komunikace – Vyloučení
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 5 odst. 1 písm. c) a čl. 6 odst. 1 první pododstavec písm. b)]
(viz body 22–29, 33, 34, 36–40, 42, 43, 64, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Podmínky zákonnosti zpracování osobních údajů – Zásada minimalizace údajů – Zpracování nezbytné pro účely oprávněných zájmů správce nebo třetí strany – Pojem – Shromažďování údajů dopravním podnikem o oslovení a genderové identitě jeho zákazníků za účelem personalizace obchodní komunikace – Vyloučení – Podmínky
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 6 odst. 1 první pododstavec písm. f)]
(viz body 22–29, 45–50, 52–64, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Působnost – Pojem zpracování osobních údajů – Shromažďování údajů dopravním podnikem o oslovení a genderové identitě jeho zákazníků – Zahrnutí
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 2 odst. 1 a čl. 4 body 1 a 2)
(viz bod 30)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Podmínky zákonnosti zpracování osobních údajů – Zpracování nezbytné pro účely oprávněných zájmů správce nebo třetí strany – Kritéria pro posouzení – Právo subjektu údajů na námitku – Vyloučení
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 6 odst. 1 první pododstavec písm. f) a článek 21]
(viz body 66–70, výrok 2)
Shrnutí
Soudní dvůr, kterému Conseil d’État (Státní rada, Francie) předložila žádost o rozhodnutí o předběžné otázce, upřesnil rozsah zásad zákonnosti a minimalizace údajů stanovených GDPR (
1
) v kontextu zpracování údajů o oslovení zákazníků za účelem personalizace obchodní komunikace, které provádí dopravní podnik.
Společnost SNCF Connect prodává prostřednictvím svých internetových stránek a on-line aplikací přepravní doklady pro železniční přepravu. Její zákazníci jsou při nákupu těchto přepravních dokladů povinni uvést své oslovení zaškrtnutím údaje „pan“ nebo „paní“.
Sdružení Mousse podalo ke Commission nationale de l’informatique et des libertés (Národní komise pro informatiku a svobody, CNIL) stížnost proti společnosti SNCF Connect z důvodu, že podmínky shromažďování a zaznamenávání údajů o oslovení zákazníků této společnosti nejsou v souladu s požadavky GDPR. Sdružení Mousse konkrétně tvrdilo, že shromažďování těchto údajů společností SNCF Connect porušuje zásady zákonnosti a minimalizace údajů, jakož i povinnost transparentnosti a informační povinnost, které vyplývají z téhož nařízení (
2
).
Rozhodnutím ze dne 23. března 2021 CNIL rozhodla, že zpracování údajů prováděné společností SNCF Connect bylo zákonné, protože je nezbytné pro splnění dotyčné smlouvy o poskytnutí přepravních služeb (
3
), a v souladu se zásadou minimalizace údajů.
Dne 21. května 2021 podalo sdružení Mousse k předkládajícímu soudu žalobu na neplatnost rozhodnutí CNIL, v níž tvrdilo, že povinnost zákazníků SNCF Connect uvést své oslovení není nezbytná pro splnění smlouvy o poskytnutí přepravních služeb, může porušovat zejména právo na respektování soukromého života a vyvolala by riziko diskriminace na základě genderové identity.
V tomto kontextu si předkládající soud klade otázku, zda lze za účelem posuzování nezbytnosti shromažďování údajů o oslovení zákazníků prováděné společností SNCF Connect zohlednit zaprvé zvyklosti v oblasti obchodních, občanských a správních sdělení a zadruhé skutečnost, že tito zákazníci mohou poté, co tyto údaje poskytli správci, vykonat právo vznést námitku proti použití těchto údajů z důvodů týkajících se jejich konkrétní situace (
4
).
Závěry Soudního dvora
V první řadě Soudní dvůr posuzoval, zda zpracování osobních údajů o oslovení zákazníků dopravního podniku, jehož účelem je personalizace obchodní komunikace, může být považováno za nezbytné pro splnění smlouvy (
5
) nebo pro účely oprávněných zájmů příslušného správce či třetí strany (
6
).
Pokud jde o nezbytnost takového zpracování pro splnění smlouvy (
7
), upřesnil Soudní dvůr, že toto zpracování musí být objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí splnění smlouvy. Konkrétně musí být takové zpracování zásadní pro správné splnění smlouvy uzavřené mezi správcem a subjektem údajů, a tudíž nesmí existovat jiná proveditelná a méně omezující řešení.
Vzhledem k tomu, že v projednávané věci je hlavním předmětem dotčené přepravní smlouvy poskytnutí služby železniční přepravy zákazníkům a účelem zpracování údajů, o něž se jedná ve věci v původním řízení, personalizace obchodní komunikace ve vztahu k zákazníkovi, může tato komunikace představovat účel, který je nedílnou součástí splnění smlouvy. Poskytování takové služby totiž v zásadě vyžaduje komunikaci se zákazníkem zejména za účelem zaslání přepravního dokladu elektronickými prostředky, informování jej o případných změnách ovlivňujících příslušnou cestu, jakož i umožnění přístupu k poprodejním službám. Tato komunikace může vyžadovat dodržení zvyklostí a zahrnovat zejména zdvořilostní výrazy, aby dotyčný podnik vyjádřil úctu svému zákazníkovi.
Soudní dvůr však uvedl, že taková komunikace nemusí být nezbytně personalizována na základě genderové identity dotyčného zákazníka. V projednávaném případě, pokud jde o služby dotčené ve věci v původním řízení, personalizace obchodní komunikace založená na předpokládané genderové identitě dle oslovení se nejeví být objektivně nezbytná ani zásadní pro správné splnění smlouvy, a tudíž nemůže být považována za nezbytnou pro její splnění. Podle všeho totiž existuje proveditelné a méně omezující řešení, jelikož společnost SNCF Connect se může rozhodnout užívat v případě zákazníků, kteří si nepřejí uvádět své oslovení, nebo všeobecně komunikaci založenou na obecných a inkluzivních zdvořilostních formulacích bez spojitosti s předpokládanou genderovou identitou zákazníků.
Pokud jde o nezbytnost zpracování osobních údajů o oslovení zákazníků dopravního podniku pro účely oprávněných zájmů příslušného správce či třetí strany (
8
), připomněl Soudní dvůr nejprve tři podmínky, které musí být splněny, aby takové zpracování bylo zákonné.
Pokud jde zaprvé o podmínku týkající se sledování oprávněného zájmu správcem nebo třetí stranou, Soudní dvůr zdůraznil, že je na správci, aby subjektu, o němž shromažďuje osobní údaje, sdělil oprávněné zájmy, které sleduje při dotčeném zpracování. Takový zájem by mohl být dán například v případě, kdy existuje relevantní a odpovídající vztah mezi subjektem údajů a správcem, například pokud je subjekt údajů zákazníkem správce.
V projednávané věci Soudní dvůr uvedl, že předkládajícímu soudu přísluší ověřit, zda společnost SNCF Connect informovala své zákazníky o oprávněném zájmu (
9
), a upřesnil, že zpracování osobních údajů pro účely přímého marketingu může představovat oprávněný zájem. V této souvislosti může být konkrétně personalizace reklamy postavena na roveň přímého marketingu.
Pokud jde zadruhé o podmínku týkající se nezbytnosti zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu, vysvětlil Soudní dvůr, že tato podmínka musí být posuzována společně se zásadou minimalizace údajů (
10
). Předkládajícímu soudu tedy přísluší, aby ověřil, zda sledovaného oprávněného zájmu na zpracování údajů nemůže být rozumně dosaženo stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv a svobod subjektů údajů. V projednávaném případě se jeví, že personalizace obchodní komunikace může být omezena na zpracování příjmení a jmen zákazníků, přičemž jejich oslovení nebo jejich genderová identita není v tomto kontextu informací nezbytně nutnou, zejména ve světle zásady minimalizace údajů. V této souvislosti Soudní dvůr uvedl, že ačkoli GDPR (
11
) nestanoví zohlednění společenských zvyklostí a konvencí vlastních každému členskému státu za účelem posouzení nezbytnosti zpracování osobních údajů, správce může tyto společenské zvyklosti a konvence dodržovat. Tento správce totiž může užívat v případě zákazníků, kteří si nepřejí uvádět své oslovení, nebo všeobecně obecné a inkluzivní zdvořilostní formulace bez spojitosti s genderovou identitou těchto zákazníků.
Pokud jde zatřetí o podmínku, která se vztahuje k tomu, že zájmy nebo základní svobody a práva subjektu, na který se vztahuje ochrana údajů, nemají přednost před oprávněným zájmem správce nebo třetí strany, má Soudní dvůr za to, že tato podmínka zahrnuje vyvážení dotčených protichůdných práv a zájmů. Je na dotyčném vnitrostátním soudu, aby provedl toto vyvážení mimo jiné s přihlédnutím k rozumným očekáváním subjektu údajů, rozsahu dotyčného zpracování a jeho dopadu na tuto osobu. V projednávaném případě s výhradou ověření předkládajícím soudem by zákazník dopravního podniku neměl očekávat, že údaje o jeho oslovení nebo genderové identitě budou tímto podnikem zpracovávány v souvislosti s nákupem přepravního dokladu. Tak by tomu bylo zejména v případě, kdy by toto zpracování bylo prováděno výlučně pro účely přímého marketingu. Soudní dvůr však upřesnil, že oprávněný zájem na přímém marketingu nemůže v žádném případě převážit, pokud existuje riziko porušení základních práv a svobod subjektu údajů. Předkládajícímu soudu tak přísluší, aby ověřil existenci rizika diskriminace na základě genderové identity tvrzeného sdružením Mousse, a to zejména ve světle směrnice 2004/113 (
12
). V tomto ohledu Soudní dvůr dodal, že působnost této směrnice nemůže být omezena pouze na diskriminaci vyplývající z příslušnosti k jednomu či druhému pohlaví. Vzhledem ke svému předmětu a povaze práv, která má chránit, se uvedená směrnice použije rovněž na diskriminaci, která má původ ve změně genderové identity osoby.
S ohledem na výše uvedené dospěl Soudní dvůr k závěru, že zpracování osobních údajů o oslovení zákazníků dopravního podniku, jehož účelem je personalizace obchodní komunikace na základě jejich genderové identity, nemůže být považováno za nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, pokud při shromažďování údajů nebyl těmto zákazníkům sdělen sledovaný oprávněný zájem, pokud zpracování není prováděno v mezích toho, co je nezbytně nutné k uskutečnění tohoto oprávněného zájmu nebo pokud s ohledem na všechny relevantní okolnosti mohou mít základní práva a svobody uvedených zákazníků přednost před uvedeným oprávněným zájmem, zejména z důvodu rizika diskriminace na základě genderové identity.
Ve druhé řadě Soudní dvůr zkoumal, zda je třeba pro posouzení nezbytnosti zpracování osobních údajů o oslovení zákazníků dopravního podniku pro účely oprávněných zájmů příslušného správce či třetí strany zohlednit případnou existenci práva subjektu údajů vznést námitku (
13
). Případná existence práva vznést námitku totiž předpokládá existenci zákonného zpracování založeného v projednávaném případě na oprávněných zájmech správce či třetí strany. Aby přitom bylo takové zpracování zákonné, musí nejprve splňovat podmínku naprosté nezbytnosti pro uskutečnění sledovaného oprávněného zájmu. Ze znění a systematiky ustanovení GDPR tak vyplývá, že existenci práva vznést námitku nelze zohlednit za účelem posouzení zákonnosti, a zvláště nezbytnosti zpracování osobních údajů založeného na oprávněných zájmech správce či třetí strany.
(
1
) – Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“), čl. 5 odst. 1 písm. a) a c).
(
2
) – Článek 13 GDPR.
(
3
) – Článek 6 odst. 1 první pododstavec písm. b) GDPR.
(
4
) – Článek 21 GDPR.
(
5
) – Článek 6 odst. 1 první pododstavec písm. b) GDPR.
(
6
) – Článek 6 odst. 1 první pododstavec písm. f) GDPR.
(
7
) – Článek 6 odst. 1 první pododstavec písm. b) GDPR uvádí, že zpracování osobních údajů je zákonné, je-li „nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů“.
(
8
) – Podle čl. 6 odst. 1 prvního pododstavce písm. f) GDPR je zpracování osobních údajů zákonné, pokud je „nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě“.
(
9
) – V souladu s čl. 13 odst. 1 písm. d) GDPR má správce osobních údajů povinnost informovat přímo subjekty údajů o oprávněném zájmu v okamžiku shromažďování osobních údajů.
(
10
) – V souladu s čl. 13 odst. 1 písm. d) GDPR má správce osobních údajů povinnost informovat přímo subjekty údajů o oprávněném zájmu v okamžiku shromažďování osobních údajů.
(
11
) – Článek 6 odst. 1 první pododstavec písm. f) GDPR.
(
12
) – Směrnice Rady 2004/113/ES ze dne 13. prosince 2004, kterou se zavádí zásada rovného zacházení s muži a ženami v přístupu ke zboží a službám a jejich poskytování (Úř. věst. 2004, L 373, s. 37).
(
13
) – Podle článku 21 GDPR má subjekt údajů z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 prvního pododstavce písm. e) a f) GDPR, včetně profilování založeného na těchto ustanoveních.