62023CJ0394_RES
Sag C-394/23
MOUSSE
mod
Commission nationale de l’informatique et des libertés (CNIL) m.fl.
(anmodning om præjudiciel afgørelse indgivet af Conseil d’État (Frankrig))
Domstolens dom (Første Afdeling) af 9. januar 2025
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 5, stk. 1, litra c) – dataminimering – artikel 6, stk. 1 – lovlig behandling – oplysninger om tiltaleform og kønsidentitet – onlinesalg af rejsehjemmel – artikel 21 – ret til indsigelse«
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – betingelser for lovligheden af en behandling af personoplysninger – princippet om dataminimering – behandling nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i – begreb – en transportvirksomheds indsamling af oplysninger om sine kunders tiltaleform og kønsidentitet med henblik på personlig tilpasning af den forretningsmæssige kommunikation – ikke omfattet
[Europa-Parlamentets og Rådets forordning 2016/679, art. 5, stk. 1, litra c), og art. 6, stk. 1, første afsnit, litra b)]
(jf. præmis 22-29, 33, 34, 36-40, 42, 43 og 64 samt domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – betingelser for lovligheden af en behandling af personoplysninger – princippet om dataminimering – behandling, som er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse – begreb – en transportvirksomheds indsamling af oplysninger om sine kunders tiltaleform og kønsidentitet med henblik på personlig tilpasning af den forretningsmæssige kommunikation – ikke omfattet – betingelser
[Europa-Parlamentets og Rådets forordning 2016/679, art. 6, stk. 1, første afsnit, litra f)]
(jf. præmis 22-29, 45-50 og 52-64 samt domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – anvendelsesområde – begrebet behandling af personoplysninger – en transportvirksomheds indsamling af oplysninger om sine kunders tiltaleform og kønsidentitet – omfattet
[Europa-Parlamentets og Rådets forordning 2016/679, art. 2, stk. 1, og art 4, nr. 1) og 2)]
(jf. præmis 30)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – betingelser for lovligheden af en behandling af personoplysninger – behandling, som er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse – bedømmelseskriterier – den registreredes indsigelsesret – ikke omfattet
[Europa-Parlamentets og Rådets forordning 2016/679, art. 6, stk. 1, første afsnit, litra f), og art. 21]
(jf. præmis 66-70 og domskonkl. 2)
Resumé
I forbindelse med en anmodning om præjudiciel afgørelse fra Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig) præciserede Domstolen rækkevidden af princippet om lovlighed og princippet om dataminimering som fastsat i databeskyttelsesforordningen (
1
) ved en transportvirksomheds behandling af sine kunders tiltaleform med henblik på personlig tilpasning af den forretningsmæssige kommunikation.
SNCF Connect sælger rejsehjemmel til jernbanetransport via sit websted og sine onlineapplikationer. Virksomhedens kunder skal angive deres tiltaleform ved at vælge betegnelsen »hr.« eller »fru«, når de køber rejsehjemmel online.
Foreningen Mousse indgav en klage til Commission nationale de l’informatique et des libertés (den nationale kommission for databehandling og frihedsrettigheder, herefter »CNIL«, Frankrig) over SNCF Connect med den begrundelse, at de vilkår, hvorunder oplysningerne vedrørende denne virksomheds kunders tiltaleform blev indsamlet og registreret, ikke var i overensstemmelse med databeskyttelsesforordningens krav. Mousse gjorde nærmere bestemt gældende, at SNCF Connects indsamling af disse oplysninger var i strid med princippet om lovlighed og princippet om dataminimering samt med de forpligtelser til gennemsigtighed og oplysning, der følger af samme forordning (
2
).
Ved en afgørelse af 23. marts 2021 fastslog CNIL, at SNCF Connects behandling af oplysningerne var lovlig, idet den var nødvendig af hensyn til opfyldelsen af den pågældende kontrakt om levering af transportydelser (
3
) og i overensstemmelse med princippet om dataminimering.
Den 21. maj 2021 anlagde Mousse sag ved den forelæggende ret med påstand om annullation af CNIL’s afgørelse, idet foreningen gjorde gældende, at den forpligtelse, som SNCF Connects kunder blev pålagt til at angive deres tiltaleform, ikke var nødvendig for opfyldelsen af en kontrakt om levering af transportydelser, kunne udgøre et indgreb i bl.a. retten til respekt for privatlivet og medføre risiko for forskelsbehandling på grund af kønsidentitet.
På denne baggrund ønskede den forelæggende ret oplyst, om der ved vurderingen af nødvendigheden af SNCF Connects indsamling af oplysninger om kundernes tiltaleform kunne tages hensyn til for det første praksis inden for forretningsmæssig, civil og forvaltningsmæssig kommunikation og for det andet den omstændighed, at disse kunder, efter at have afgivet disse oplysninger til den dataansvarlige, kunne udøve deres ret til at gøre indsigelse mod brugen af sådanne oplysninger med henvisning til deres særlige situation (
4
).
Domstolens bemærkninger
Domstolen undersøgte for det første, om en behandling af personoplysninger vedrørende en transportvirksomheds kunders tiltaleform med henblik på en personlig tilpasning af den forretningsmæssige kommunikation kan anses for at være nødvendig af hensyn til opfyldelse af en kontrakt (
5
) eller for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse (
6
).
Hvad i første række angår spørgsmålet om, hvorvidt en sådan behandling er nødvendig for opfyldelsen af en kontrakt (
7
), præciserede Domstolen, at behandlingen skal være objektivt uundværlig for at gennemføre et formål, der er en integrerende del af opfyldelsen af kontrakten. Behandlingen skal nærmere bestemt være væsentlig for at kunne opfylde den kontrakt, som er indgået mellem den dataansvarlige og den registrerede, korrekt, og der må ikke findes andre mulige og mindre indgribende løsninger.
Eftersom den i hovedsagen omhandlede kontrakts hovedformål var levering af en jernbanetransportydelse til kunderne, og den i hovedsagen omhandlede behandling af oplysninger tog sigte på personlig tilpasning af den forretningsmæssige kommunikation med kunden, kunne denne kommunikation i det foreliggende tilfælde udgøre et formål, der var en integrerende del af opfyldelsen af kontrakten. Leveringen af en sådan jernbanetransportydelse indebærer principielt kommunikation med kunden med henblik på bl.a. at fremsende en transporthjemmel til denne elektronisk, informere vedkommende om eventuelle ændringer af betydning for rejsen og muliggøre korrespondance med kundeservice. Denne kommunikation kan nødvendiggøre iagttagelse af praksis og bl.a. indebære høflighedsfraser for at vise den pågældende virksomheds respekt for sine kunder.
Domstolen fremhævede imidlertid, at en sådan kommunikation ikke nødvendigvis skal være personligt tilpasset efter kundens kønsidentitet. Med hensyn til de i hovedsagen omhandlede ydelser forekom en personlig tilpasning af den forretningsmæssige kommunikation baseret på en ud fra tiltaleformen formodet kønsidentitet i det foreliggende tilfælde hverken at være objektivt uundværlig eller væsentlig for at kunne opfylde den pågældende kontrakt korrekt, og den kunne derfor ikke anses for at være nødvendig for opfyldelsen af kontrakten. Der syntes nemlig at være en mulig og mindre indgribende løsning, idet SNCF Connect i forhold til de kunder, der ikke ønskede at angive deres tiltaleform, eller generelt kunne vælge kommunikation baseret på generiske, inkluderende høflighedsfraser uden sammenhæng med kundernes formodede kønsidentitet.
Hvad i anden række angår spørgsmålet om, hvorvidt en behandling af personoplysninger om en transportvirksomheds kunders tiltaleform er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse (
8
), erindrede Domstolen først om de tre betingelser, der skal være opfyldt, for at en sådan behandling er lovlig.
Hvad for det første angår betingelsen om, at den dataansvarlige eller en tredjemand forfølger en legitim interesse, fremhævede Domstolen, at det påhviler den dataansvarlige at oplyse den person, hvorom den dataansvarlige indsamler personoplysninger, om, hvilken legitim interesse der forfølges med behandlingen. En sådan legitim interesse kan f.eks. foreligge, når der er et relevant og passende forhold mellem den registrerede og den dataansvarlige, f.eks. hvis den registrerede er kunde hos den dataansvarlige.
Domstolen anførte, at det i det foreliggende tilfælde tilkom den forelæggende ret at efterprøve, om SNCF Connect havde angivet en legitim interesse over for sine kunder (
9
), og præciserede, at en behandling af personoplysninger til direkte markedsføring kan være en legitim interesse. Personlig tilpasning af reklamer kan i særdeleshed sammenlignes med markedsføring i en sådan sammenhæng.
Hvad for det andet angår betingelsen om, at behandlingen af personoplysninger er nødvendig for at virkeliggøre den forfulgte legitime interesse, forklarede Domstolen, at denne betingelse skal undersøges sammen med princippet om dataminimering (
10
). Det påhviler således den nationale ret at efterprøve, om den legitime interesse, som forfølges med en behandling af personoplysninger, ikke med rimelighed kan beskyttes lige så effektivt ved andre midler, som er mindre indgribende i de registreredes grundlæggende friheder og rettigheder. I den foreliggende sag syntes en personlig tilpasning af den forretningsmæssige kommunikation at kunne begrænses til behandling af kundernes for- og efternavne, idet deres tiltaleform og/eller kønsidentitet ikke var en oplysning, som var strengt nødvendig i denne sammenhæng, bl.a. i lyset af princippet om dataminimering. I denne sammenhæng anførte Domstolen, at selv om databeskyttelsesforordningen (
11
) ikke fastsætter, at der skal tages hensyn til den særlige praksis og de særlige sociale konventioner, der gælder i medlemsstaterne, ved vurderingen af nødvendigheden af en behandling af personoplysninger, kunne den dataansvarlige godt overholde denne praksis og disse sociale konventioner. Den dataansvarlige kunne nemlig i forhold til de kunder, der ikke ønskede at angive deres tiltaleform, eller generelt bruge generiske, inkluderende høflighedsfraser uden sammenhæng med kundernes kønsidentitet.
Hvad for det tredje angår betingelsen om, at de interesser eller grundlæggende rettigheder og frihedsrettigheder, som tilkommer den person, der er omfattet af beskyttelsen af oplysninger, ikke går forud for den legitime interesse, som forfølges af den dataansvarlige eller tredjemand, bemærkede Domstolen, at denne betingelse indebærer en afvejning af de foreliggende modstående rettigheder og interesser. Det tilkommer den pågældende nationale ret at foretage denne afvejning under hensyntagen til bl.a. den registreredes rimelige forventninger, omfanget af den pågældende behandling og behandlingens indvirkning på denne person. I det foreliggende tilfælde, og med forbehold for den forelæggende rets efterprøvelse, kunne en kunde hos en transportvirksomhed ikke antages at forvente, at denne virksomhed behandlede oplysninger om vedkommendes tiltaleform eller kønsidentitet i forbindelse med et køb af rejsehjemmel. Dette ville navnlig være tilfældet, hvis behandlingen udelukkende blev foretaget i markedsføringsmæssigt øjemed. Domstolen præciserede dog, at den legitime interesse vedrørende markedsføring under alle omstændigheder ikke kunne have forrang, hvis der var risiko for, at den registreredes grundlæggende rettigheder eller frihedsrettigheder ville blive berørt. Det tilkom således den nationale ret at efterprøve, om der forelå den af Mousse anførte risiko for forskelsbehandling på grund af kønsidentitet, bl.a. i lyset af direktiv 2004/113 (
12
). Domstolen tilføjede i denne henseende, at dette direktivs anvendelsesområde ikke kan indskrænkes til blot at omfatte forskelsbehandling, som følger af, at den pågældende tilhører det ene eller det andet køn. Når henses til det nævnte direktivs formål og karakteren af de rettigheder, det tilsigter at beskytte, kan det også finde anvendelse på den forskelsbehandling, der udspringer af ændringen af en persons kønsidentitet.
Henset til det ovenstående fastslog Domstolen, at behandling af personoplysninger vedrørende en transportvirksomheds kunders tiltaleform med henblik på en personlig tilpasning af den forretningsmæssige kommunikation baseret på kundernes kønsidentitet ikke kan anses for at være nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, når virksomheden ikke har angivet den legitime interesse, som forfølges, over for disse kunder ved indsamlingen af oplysningerne, når behandlingen ikke holdes inden for det strengt nødvendige for gennemførelsen af denne legitime interesse, eller når de nævnte kunders grundlæggende rettigheder og frihedsrettigheder, henset til samtlige relevante omstændigheder, kan gå forud for denne legitime interesse, bl.a. på grund af en risiko for forskelsbehandling på grund af kønsidentitet.
Domstolen undersøgte for det andet, om det ved vurderingen af, om en behandling af personoplysninger vedrørende en transportvirksomheds kunders tiltaleform var nødvendig for, at den dataansvarlige eller en tredjemand kunne forfølge en legitim interesse, skulle tages i betragtning, at den registrerede eventuelt havde ret til at gøre indsigelse mod behandlingen (
13
). En eventuel ret til indsigelse forudsætter nemlig, at der foreligger en lovlig behandling, som i det foreliggende tilfælde ville være baseret på de legitime interesser, som den dataansvarlige eller en tredjemand forfulgte. En sådan behandling skal – for at være lovlig – først opfylde betingelsen om streng nødvendighed for den legitime interesse, som forfølges. Det følger således af ordlyden og opbygningen af databeskyttelsesforordningens bestemmelser, at den omstændighed, at der findes en ret til indsigelse, ikke kan tages i betragtning ved vurderingen af lovligheden og navnlig nødvendigheden af en behandling af personoplysninger baseret på de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand.
(
1
) – Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«), artikel 5, stk. 1, litra a) og c).
(
2
) – Databeskyttelsesforordningens artikel 13.
(
3
) – Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b).
(
4
) – Databeskyttelsesforordningens artikel 21.
(
5
) – Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b).
(
6
) – Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f).
(
7
) – I henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), er en behandling af personoplysninger lovlig, hvis den er »nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt«.
(
8
) – I henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), er en behandling af personoplysninger lovlig, hvis den er »nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn«.
(
9
) – I henhold til databeskyttelsesforordningens artikel 13, stk. 1, litra d), har den ansvarlige for behandlingen af personoplysningerne pligt til direkte at underrette de registrerede om den legitime interesse, der forfølges, på det tidspunkt, hvor personoplysningerne indsamles.
(
10
) – I henhold til databeskyttelsesforordningens artikel 13, stk. 1, litra d), har den ansvarlige for behandlingen af personoplysningerne pligt til direkte at underrette de registrerede om den legitime interesse, der forfølges, på det tidspunkt, hvor personoplysningerne indsamles.
(
11
) – Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f).
(
12
) – Rådets direktiv 2004/113/EF af 13.12.2004 om gennemførelse af princippet om ligebehandling af mænd og kvinder i forbindelse med adgang til og levering af varer og tjenesteydelser (EUT 2004, L 373, s. 37).
(
13
) – I henhold til databeskyttelsesforordningens artikel 21 har den registrerede til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, første afsnit, litra e) eller f), herunder profilering baseret på disse bestemmelser.