62023CJ0394_RES
Lieta C‑394/23
MOUSSE
pret
Commission nationale de l’informatique et des libertés (CNIL) u.c.
(Conseil d État (Francija) lūgums sniegt prejudiciālu nolēmumu)
Tiesas (pirmā palāta) 2025. gada 9. janvāra spriedums
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 5. panta 1. punkta c) apakšpunkts – Datu minimizēšana – 6. panta 1. punkts – Apstrādes likumīgums – Dati par uzrunu un dzimtisko identitāti – Transporta biļešu pārdošana tiešsaistē – 21. pants – Tiesības iebilst
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu apstrādes likumīguma nosacījumi – “Datu minimizēšanas” princips – Apstrāde, kas vajadzīga datu subjektam saistoša līguma izpildei – Jēdziens – Transporta uzņēmuma veikta savu klientu uzrunas un dzimtiskās identitātes datu ievākšana komerciālās saziņas personalizēšanas nolūkā – Izslēgšana
(Eiropas Parlamenta un Padomes Regulas 2016/679 5. panta 1. punkta c) apakšpunkts un 6. panta 1. punkta pirmās daļas b) apakšpunkts)
(skat. 22.–29., 33., 34., 36.–40., 42., 43., 64. punktu un rezolutīvās daļas 1. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu apstrādes likumīguma nosacījumi – “Datu minimizēšanas” princips – Apstrāde, kas vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai – Jēdziens – Transporta uzņēmuma veikta savu klientu uzrunas un dzimtiskās identitātes datu ievākšana komerciālās saziņas personalizēšanas nolūkā – Izslēgšana – Nosacījumi
(Eiropas Parlamenta un Padomes Regulas 2016/679 6. panta 1. punkta pirmās daļas f) apakšpunkts)
(skat. 22.–29., 45.–50., 52.–64. punktu un rezolutīvās daļas 1. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Piemērošanas joma – Jēdziens “personas datu apstrāde” – Transporta uzņēmuma veikta savu klientu uzrunas un dzimtiskās identitātes datu ievākšana komerciālās saziņas personalizēšanas nolūkā – Iekļaušana
(Eiropas Parlamenta un Padomes Regulas 2016/679 2. panta 1. punkts un 4. panta 1. un 2. punkts)
(skat. 30. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu apstrādes likumīguma nosacījumi – Apstrāde, kas vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai – Vērtēšanas kritēriji – Apstrādāto datu subjekta tiesības iebilst – Izslēgšana
(Eiropas Parlamenta un Padomes Regulas 2016/679 6. panta 1. punkta pirmās daļas f) apakšpunkts un 21. pants)
(skat. 66.–70. punktu un rezolutīvās daļas 2. punktu)
Rezumējums
Saņēmusi Conseil d’État (Valsts padome, Francija) lūgumu sniegt prejudiciālu nolēmumu, Tiesa precizē, kāds ir VDAR (
1
) paredzēto datu likumīguma principa un datu minimizēšanas principa tvērums situācijā, kad transporta uzņēmums apstrādā savu klientu uzrunas datus komerciālās saziņas personalizēšanas nolūkā.
SNCF Connect ar savas tīmekļvietnes un tiešsaistes lietotņu palīdzību tirgo dzelzceļa transporta biļetes. Tās klientiem, iegādājoties šīs biļetes tiešsaistē, jānorāda, kā tie uzrunājami, atzīmējot norādi “Monsieur” (kungs) vai “Madame” (kundze).
Apvienība Mousse iesniedza sūdzību Commission nationale de l’informatique et des libertés (CNIL) (Valsts informātikas un brīvību komisija, Francija) pret SNCF Connect, pamatojoties uz to, ka nosacījumi, kādos tiek vākti un reģistrēti dati par šo klientu uzrunu, neatbilst VDAR prasībām. Precīzāk, Mousse apgalvoja, ka SNCF Connect veiktā šo datu vākšana neatbilst likumīguma un datu minimizēšanas principiem, kā arī no šīs pašas regulas izrietošajiem pārredzamības un informēšanas pienākumiem (
2
).
Ar 2021. gada 23. marta lēmumu CNIL atzina, ka SNCF Connect veiktā datu apstrāde ir likumīga, jo tā ir nepieciešama attiecīgā transporta pakalpojumu sniegšanas līguma izpildei (
3
) un atbilst datu minimizēšanas principam.
2021. gada 21. maijāMousse vērsās iesniedzējtiesā ar prasību atcelt CNIL lēmumu, apgalvojot, ka SNCF Connect klientiem noteiktais pienākums norādīt, kā tie uzrunājami, neesot nepieciešams transporta pakalpojumu sniegšanas līguma izpildei un aizskarot tostarp tiesības uz privātās dzīves neaizskaramību, kā arī izraisot risku, ka radīsies diskriminācija dzimtiskās identitātes dēļ.
Šajā kontekstā iesniedzējtiesa vēlas noskaidrot, vai, lai novērtētu SNCF Connect veiktās klientu uzrunas datu vākšanas nepieciešamību, var ņemt vērā, pirmkārt, komerciālajā, formālajā un administratīvajā saziņā ierasto praksi un, otrkārt, apstākli, ka šie klienti pēc tam, kad tie šos datus snieguši pārzinim, varētu īstenot savas tiesības iebilst pret šo datu izmantošanu, balstoties uz iemesliem saistībā ar viņu īpašo situāciju (
4
).
Tiesas vērtējums
Pirmām kārtām, Tiesa pārbauda, vai ar transporta uzņēmuma klientu uzrunu saistīto personas datu apstrāde ar nolūku personalizēt komerciālo saziņu var tikt uzskatīta par nepieciešamu vai nu līguma izpildei (
5
), vai šīs apstrādes pārziņa vai trešās personas leģitīmo interešu ievērošanai (
6
).
No vienas puses, par šādas apstrādes nepieciešamību līguma izpildei (
7
) Tiesa precizē, ka šai apstrādei jābūt objektīvi nepieciešamai, lai īstenotu mērķi, kas ir līguma izpildes neatņemama sastāvdaļa. Konkrētāk, šādai apstrādei jābūt būtiskai, lai varētu pienācīgi izpildīt līgumu, kas noslēgts starp pārzini un datu subjektu, un līdz ar to nedrīkst eksistēt citi praktiski īstenojami risinājumi, kas rada mazāku aizskārumu.
Šajā gadījumā, ņemot vērā, ka attiecīgā pārvadājumu līguma galvenais mērķis ir dzelzceļa pārvadājumu pakalpojuma sniegšana klientiem un ka pamatlietā aplūkotās datu apstrādes nolūks ir personalizēt komerciālo saziņu ar klientu, šī saziņa var būt mērķis, kas ir līguma izpildes neatņemama sastāvdaļa. Proti, lai varētu sniegt šādu pakalpojumu, principā vajadzīgs sazināties ar klientu citastarp tālab, lai viņam elektroniski nosūtītu transporta biļeti, informētu viņu par iespējamām izmaiņām, kas varētu ietekmēt attiecīgo braucienu, kā arī ļautu tam sazināties ar pēcpārdošanas pakalpojumu dienestu. Šajā saziņā var būt nepieciešams ievērot ierasto praksi un tostarp ietvert pieklājības frāzes, lai apliecinātu attiecīgā uzņēmuma cieņu pret savu klientu.
Tomēr Tiesa uzsver, ka šādai saziņai nav obligāti jābūt personalizētai atkarībā no attiecīgā klienta dzimtiskās identitātes. Šajā gadījumā pamatlietā aplūkoto pakalpojumu kontekstā komerciālās saziņas personalizēšana, balstoties uz dzimtisko identitāti, kas prezumēta atkarībā no uzrunas, nešķiet esam nedz objektīvi obligāti nepieciešama, nedz būtiska, lai varētu pienācīgi izpildīt līgumu, un līdz ar to nav uzskatāma par nepieciešamu tā izpildei. Proti, šķiet, ka pastāv praktiski īstenojams un mazāku aizskārumu radošs risinājums, jo SNCF Connect – vai nu attiecībā uz klientiem, kuri nevēlas norādīt savu uzrunu, vai vispārīgi – varētu izvēlēties izmantot tādu saziņu, kas balstīta uz vispārīgām, iekļaujošām un ar klientu domājamo dzimtisko identitāti nesaistītām pieklājības frāzēm.
No otras puses, jautājumā par nepieciešamību apstrādāt transporta uzņēmuma klientu ar uzrunu saistītos personas datus tālab, lai ievērotu šīs apstrādes pārziņa vai trešās personas leģitīmās intereses (
8
), Tiesa vispirms atgādina trīs nosacījumus, kas jāizpilda, lai šāda apstrāde būtu likumīga.
Pirmkārt, attiecībā uz nosacījumu par pārziņa vai trešās personas leģitīmo interešu īstenošanu Tiesa uzsver, ka pārzinim attiecīgās apstrādes brīdī šīs leģitīmās intereses jānorāda personai, kuras personas datus tas ievāc. Šādas intereses varētu būt, piemēram, tad, ja starp datu subjektu un pārzini pastāv būtiskas un atbilstošas attiecības, piemēram, ja datu subjekts ir pārziņa klients.
Šajā gadījumā Tiesa norāda, ka iesniedzējtiesai jāpārbauda, vai SNCF Connect ir saviem klientiem norādījusi leģitīmās intereses (
9
), un paskaidro, ka personas datu apstrāde tiešās tirgvedības vajadzībām var būt veikta leģitīmās interesēs. Konkrēti, šādā kontekstā reklāmas personalizēšana var tikt pielīdzināta tiešajai tirgvedībai.
Otrkārt, attiecībā uz nosacījumu par personas datu apstrādes nepieciešamību leģitīmo interešu īstenošanai Tiesa paskaidro, ka šis nosacījums jāaplūko kopā ar datu minimizēšanas principu (
10
). Tādējādi valsts tiesai jāpārbauda, vai ar datu apstrādi īstenotās leģitīmās intereses nevar saprātīgi īstenot tikpat efektīvi ar citiem līdzekļiem, kas mazāk aizskartu datu subjektu pamattiesības un pamatbrīvības. Šajā gadījumā šķiet, ka komerciālās saziņas personalizēšana var aprobežoties ar klientu uzvārdu un vārdu apstrādi, jo viņu uzruna un/vai dzimtiskā identitāte nav informācija, kas šajā kontekstā būtu absolūti nepieciešama, ņemot vērā tostarp datu minimizēšanas principu. Šajā kontekstā Tiesa norāda, ka, lai arī VDAR (
11
) neparedz, ka personas datu apstrādes nepieciešamības novērtēšanai būtu jāņem vērā katrai dalībvalstij raksturīgās paražas un sociālās normas, pārzinim tomēr ir iespējams ievērot šīs paražas un sociālās normas. Proti, šis pārzinis – vai nu attiecībā uz klientiem, kuri nevēlas norādīt savu uzrunu, vai vispārīgi – varētu izmantot vispārīgas, iekļaujošas un ar klientu dzimtisko identitāti nesaistītas pieklājības frāzes.
Treškārt, attiecībā uz nosacījumu par to, ka aizsargājamo datu subjekta intereses vai pamatbrīvības un pamattiesības neprevalē pār pārziņa vai trešās personas leģitīmajām interesēm, Tiesa uzskata, ka šā nosacījuma dēļ jāveic attiecīgo pretnostatīto tiesību un interešu samērošana. Attiecīgajai valsts tiesai šī samērošana jāveic, ņemot vērā tostarp gan to, ar ko datu subjektam ir pamats rēķināties, gan attiecīgās apstrādes apjomu un šīs apstrādes ietekmi uz šo subjektu. Šajā gadījumā šķiet – lai gan to pārbaudīt ir iesniedzējtiesas ziņā –, ka transporta uzņēmuma klientam nav jārēķinās ar to, ka šis uzņēmums biļetes iegādes kontekstā apstrādās datus par viņa uzrunu vai dzimtisko identitāti. Tā tas būtu it īpaši gadījumā, ja šī apstrāde tiktu veikta vienīgi tiešās tirgvedības nolūkos. Tomēr Tiesa precizē, ka leģitīmas intereses saistībā ar tiešo tirgvedību katrā ziņā nevar prevalēt tad, ja pastāv datu subjekta pamattiesību un pamatbrīvību aizskāruma risks. Tādējādi iesniedzējtiesai jāpārbauda, vai pastāv Mousse apgalvotais risks, ka varētu rasties diskriminācija dzimtiskās identitātes dēļ, tostarp ņemot vērā Direktīvu 2004/113 (
12
). Šajā ziņā Tiesa piebilst, ka šīs direktīvas piemērošanas jomu nevar reducēt tikai līdz diskriminācijai, kas izriet no piederības vienam vai otram dzimumam. Ņemot vērā minētās direktīvas mērķi un ar to aizsargāt paredzēto tiesību iedabu, šī direktīva ir vienlīdz piemērojama arī tādai diskriminācijai, kas radusies attiecīgās personas dzimtiskās identitātes maiņas rezultātā.
Ņemot vērā iepriekš minēto, Tiesa secina, ka ar transporta uzņēmuma klientu uzrunu saistīto personas datu apstrādi ar nolūku personalizēt komerciālo saziņu, pamatojoties uz viņu dzimtisko identitāti, nevar uzskatīt par nepieciešamu šīs apstrādes pārziņa vai trešās personas leģitīmo interešu ievērošanai tad, ja šis uzņēmums attiecīgās leģitīmās intereses šiem klientiem nav norādījis šo datu vākšanas brīdī, ja apstrāde netiek veikta šo leģitīmo interešu īstenošanai absolūti nepieciešamā robežās vai arī ja, ņemot vērā visus nozīmīgos apstākļus, pār šīm leģitīmajām interesēm var prevalēt klientu pamattiesības un pamatbrīvības tostarp tāpēc, ka ir risks, ka radīsies diskriminācija dzimtiskās identitātes dēļ.
Otrām kārtām, Tiesa spriež par to, vai, vērtējot ar transporta uzņēmuma klientu uzrunu saistīto personas datu apstrādes nepieciešamību šīs apstrādes pārziņa vai trešās personas leģitīmo interešu īstenošanai, jāņem vērā tas, vai iespējami pastāv datu subjekta tiesības iebilst (
13
). Proti, lai iespējami pastāvētu tiesības iebilst, jābūt likumīgai apstrādei, kam šajā gadījumā jābūt balstītai uz pārziņa vai trešās personas leģitīmajām interesēm. Taču, lai šāda apstrāde būtu likumīga, tai vispirms jau jāatbilst nosacījumam par absolūtu nepieciešamību īstenojamajām leģitīmajām interesēm. Tādējādi no VDAR normu formulējuma un sistēmas izriet, ka tiesību iebilst esamība nav ņemama vērā, vērtējot personas datu apstrādes likumīgumu un konkrēti nepieciešamību, balstoties uz pārziņa vai trešās personas leģitīmajām interesēm.
(
1
)	Proti, Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 5. panta 1. punkta a) un c) apakšpunktā.
(
2
)	VDAR 13. pants.
(
3
)	VDAR 6. panta 1. punkta pirmās daļas b) apakšpunkts.
(
4
)	VDAR 21. pants.
(
5
)	VDAR 6. panta 1. punkta pirmās daļas b) apakšpunkts.
(
6
)	VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts.
(
7
)	Saskaņā ar VDAR 6. panta 1. punkta pirmās daļas b) apakšpunktu personas datu apstrāde ir likumīga, ja tā ir “vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas”.
(
8
)	Saskaņā ar VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu personas datu apstrāde ir likumīga tad, ja tā ir “vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns”.
(
9
)	Saskaņā ar VDAR 13. panta 1. punkta d) apakšpunktu personas datu pārzinim ir pienākums tieši informēt datu subjektus par īstenotajām leģitīmajām interesēm personas datu vākšanas brīdī.
(
10
)	Saskaņā ar VDAR 13. panta 1. punkta d) apakšpunktu personas datu pārzinim ir pienākums tieši informēt datu subjektus par īstenotajām leģitīmajām interesēm personas datu vākšanas brīdī.
(
11
)	VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts.
(
12
)	Padomes Direktīva 2004/113/EK (2004. gada 13. decembris), ar kuru īsteno principu, kas paredz vienlīdzīgu attieksmi pret vīriešiem un sievietēm, attiecībā uz pieeju precēm un pakalpojumiem, preču piegādi un pakalpojumu sniegšanu (OV 2004, L 373, 37. lpp.).
(
13
)	Saskaņā ar VDAR 21. pantu datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 6. panta 1. punkta pirmās daļas e) vai f) apakšpunktu, tostarp profilēšanu, kas pamatojas uz minētajiem noteikumiem.