62023CJ0394_RES
Vec C‑394/23
MOUSSE
proti
Commission nationale de l’informatique et des libertés (CNIL) a i.
(návrh na začatie prejudiciálneho konania, ktorý podala Conseil d’État (Štátna rada, Francúzsko)
Rozsudok Súdneho dvora (prvá komora) z 9. januára 2025
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 5 ods. 1 písm. c) – Minimalizácia údajov – Článok 6 ods. 1 – Zákonnosť spracúvania – Údaje týkajúce sa oslovenia a rodovej identity – Predaj cestovných lístkov online – Článok 21 – Právo namietať“
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Podmienky zákonnosti spracovania osobných údajov – Zásada minimalizácie údajov – Spracúvanie nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba – Pojem – Získavanie údajov dopravným podnikom týkajúcich sa oslovenia a rodovej identity jeho zákazníkov na účely personalizácie obchodnej komunikácie – Vylúčenie
[Nariadenie Európskeho parlamentu a Rady 2016/679, článok 5 ods. 1 písm. c) a článok 6 ods. 1 prvý pododsek písm. b)]
(pozri body 22 – 29, 33, 34, 36 – 40, 42, 43, 64, bod 1 výroku)
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Podmienky zákonnosti spracovania osobných údajov – Zásada minimalizácie údajov – Spracúvanie údajov nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana – Pojem – Získavanie údajov dopravným podnikom týkajúcich sa oslovenia a rodovej identity jeho zákazníkov na účely personalizácie obchodnej komunikácie – Vylúčenie – Podmienky
[Nariadenie Európskeho parlamentu a Rady 2016/679, článok 6 ods. 1 prvý pododsek písm. f)]
(pozri body 22 – 29, 45 – 50, 52 – 64, bod 1 výroku)
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Pôsobnosť – Pojem spracúvanie osobných údajov – Získavanie údajov dopravným podnikom týkajúcich sa oslovenia a rodovej identity jeho zákazníkov – Zahrnutie
(Nariadenie Európskeho parlamentu a Rady 2016/679, článok 2 ods. 1 a článok 2 ods. 4 body 1 a 2)
(pozri bod 30)
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Podmienky zákonnosti spracovania osobných údajov – Spracúvanie údajov nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana – Kritériá posúdenia – Právo osoby, ktorej sa spracúvanie údajov týka, namietať – Vylúčenie
[Nariadenie Európskeho parlamentu a Rady 2016/679, článok 6 ods. 1 prvý pododsek písm. f) a článok 21]
(pozri body 66 – 70, bod 2 výroku)
Zhrnutie
Súdny dvor rozhodujúci o návrhu na začatie prejudiciálneho konania, ktorý podala Conseil d’État (Štátna rada, Francúzsko), spresnil pôsobnosť zásad zákonnosti a minimalizácie údajov upravených v GDPR (
1
) v kontexte spracúvania údajov dopravným podnikom týkajúcich sa oslovenia a rodovej identity jeho zákazníkov na účely personalizácie jeho obchodnej komunikácie.
Spoločnosť SNCF Connect predáva cestovné lístky na železničnú dopravu prostredníctvom svojej internetovej stránky a online aplikácií. Pri kúpe týchto cestovných lístkov online sú jej zákazníci povinní uviesť oslovenie zaškrtnutím údaju „pán“ alebo „pani“.
Združenie Mousse sa obrátilo na Commission nationale de l’informatique et des libertés [Národná komisia pre informačné technológie a slobody, Francúzsko (CNIL)] so sťažnosťou z dôvodu, že podmienky získavania a zaznamenávania údajov o oslovovaní zákazníkov tejto spoločnosti nie sú v súlade s požiadavkami GDPR. Konkrétne Mousse tvrdilo, že získavanie týchto údajov spoločnosťou SNCF Connect nie je v súlade so zásadami zákonnosti a minimalizácie údajov, ako aj povinnosťami transparentnosti a informovania vyplývajúcimi z tohto nariadenia. (
2
)
Rozhodnutím z 23. marca 2021 CNIL konštatovala, že spracúvanie údajov uskutočnené spoločnosťou SNCF Connect je zákonné z dôvodu, že bolo nevyhnutné na plnenie predmetnej zmluvy o poskytnutí služieb prepravy (
3
) a je v súlade so zásadou minimalizácie údajov.
Dňa 21. mája 2021 Mousse podalo na vnútroštátny súd žalobu o neplatnosť proti rozhodnutiu CNIL, pričom tvrdilo, že povinnosť uložená zákazníkom spoločnosti SNCF Connect uviesť svoje oslovenie nie je nevyhnutná na plnenie zmluvy o poskytnutí služieb prepravy, že môže porušovať najmä právo na rešpektovanie súkromného života a že predstavuje riziko diskriminácie na základe rodovej identity.
V tomto kontexte sa vnútroštátny súd najmä pýta, či na účely posúdenia nevyhnutnosti získavania údajov týkajúcich sa oslovenia zákazníkov spoločnosťou SNCF Connect možno zohľadniť jednak uznávané používanie v obchodných, občianskoprávnych a administratívnych komunikáciách, a jednak skutočnosť, že títo zákazníci môžu po tom, čo tieto údaje poskytli prevádzkovateľovi, uplatniť svoje právo namietať proti použitiu takýchto údajov z dôvodu týkajúcich sa ich konkrétnej situácie. (
4
)
Posúdenie Súdnym dvorom
V prvom rade Súdny dvor skúmal, či spracovanie osobných údajov týkajúcich sa oslovenia zákazníkov dopravného podniku, ktorého cieľom je personalizácia obchodnej korešpondencie, možno považovať za nevyhnutné na plnenie zmluvy (
5
) alebo na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana. (
6
)
Pokiaľ ide jednak o nevyhnutnosť takéhoto spracúvanie údajov na plnenie zmluvy (
7
) Súdny dvor spresnil, že toto spracúvanie musí byť objektívne nevyhnutné na dosiahnutie cieľa, ktorý je neoddeliteľnou súčasťou zmluvného plnenia. Presnejšie, takéto spracúvanie musí byť zásadné pre riadne plnenie zmluvy uzatvorenej medzi prevádzkovateľom a dotknutou osobou, a teda nesmú existovať iné vykonateľné a menej obmedzujúce riešenia.
V prejednávanej veci vzhľadom na to, že hlavný predmet dotknutej zmluvy o preprave je poskytnutie služby železničnej prepravy zákazníkom a že predmetné spracúvanie údajov ma za cieľ personalizáciu obchodnej komunikácie vo vzťahu k zákazníkovi, táto komunikácia môže predstavovať cieľ, ktorý je neoddeliteľnou súčasťou zmluvného plnenia. Poskytovanie takejto služby totiž v zásade zahŕňa komunikáciu so zákazníkom najmä s cieľom elektronicky mu zaslať prepravný lístok, informovať ho o prípadných zmenách ovplyvňujúcich príslušnú cestu, ako aj umožniť výmenu informácií so zákazníckym servisom po predaji. Táto komunikácia si môže vyžadovať dodržiavanie zvyklostí a môže obsahovať najmä zdvorilostné formy na účely svedectva, že dotknutý podnik rešpektuje svojho zákazníka.
Súdny dvor však zdôraznil, že takáto komunikácia nemusí byť nevyhnutne personalizovaná podľa rodovej identity dotknutého zákazníka. Pokiaľ ide v prejednávanej veci o predmetné služby, personalizácia obchodnej komunikácie založená na predpokladanej rodovej identite v závislosti od oslovenia sa nezdá byť ani objektívne nevyhnutná, ani podstatná na umožnenie riadneho plnenia dotknutej zmluvy, a preto nemôže byť považovaná za nevyhnutnú na je vykonávanie. Zdá sa totiž, že existuje praktické a menej invazívne riešenie, keďže SNCF Connect by sa mohla vo vzťahu k zákazníkom, ktorí si neželajú uviesť svoje oslovenie alebo vo všeobecnosti, rozhodnúť pre komunikáciu založenú na generickej a inkluzívnej forme a bez korelácie s predpokladanou rodovou identitou zákazníkov.
Pokiaľ ide na druhej strane o nevyhnutnosť spracúvania osobných údajov týkajúcich sa oslovenia zákazníkov dopravného podniku na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, (
8
) Súdny dvor v prvom rade pripomenul, že na to, aby takéto spracúvanie bolo zákonné, musia byť splnené tri podmienky.
Pokiaľ ide po prvé o podmienku sledovania oprávnených záujmov prevádzkovateľom alebo treťou stranou, Súdny dvor zdôraznil, že prevádzkovateľovi prislúcha, aby dotknutej osobe, ktorej osobné údaje získava, oznámil aké oprávnené záujmy sleduje pri tomto spracúvaní údajov. Takýto oprávnený záujem by mohol existovať napríklad vtedy, keby medzi dotknutou osobou a prevádzkovateľom existoval relevantný a primeraný vzťah, napríklad keby bola dotknutá osoba voči prevádzkovateľovi v postavení zákazníka.
Súdny dvor v prejednávanej veci konštatoval, že vnútroštátnemu súdu prináleží overiť, či SNCF Connect oznámila oprávnený záujem svojim zákazníkom (
9
) a spresnil, že spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem. Personalizácia reklamy môže byť v takomto kontexte prirovnateľná ku komerčnému marketingu.
Pokiaľ ide po druhé o podmienku týkajúcu sa nevyhnutnosti spracúvania osobných údajov pre dosiahnutie sledovaného oprávneného záujmu, Súdny dvor vysvetlil, že táto podmienka musí byť skúmaná v spojení so zásadou minimalizácie údajov. (
10
) Vnútroštátnemu súdu pritom prináleží, aby overil, či oprávnený záujem na sledovanom spracovaní údajov nemožno rozumne dosiahnuť rovnako účinným spôsobom inými prostriedkami, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb. V prejednávanej veci sa zdá, že personalizácia obchodnej komunikácie sa môže obmedziť na spracovanie priezvisk a mien zákazníkov, pričom ich oslovenie a/alebo ich rodová identita nie je informáciou, ktorá by v tomto kontexte bola pravdepodobne nevyhnutná, najmä vzhľadom na zásadu minimalizácie údajov. V tomto kontexte Súdny dvor konštatoval, že hoci GDPR (
11
) na účely posúdenia nevyhnutnosti spracovania osobných údajov nevyžaduje, aby boli zohľadnené zvyklosti a spoločenské konvencie vlastné každému členskému štátu, prevádzkovateľ môže dodržiavať tieto zvyklosti a spoločenské konvencie. Tento prevádzkovateľ môže totiž používať vo vzťahu ku zákazníkom, ktorí si neželajú uviesť svoje oslovenie alebo všeobecne, zdvorilostné generické formuly, ktoré sú inkluzívne a bez korelácie s rodovou identitou týchto zákazníkov.
Pokiaľ ide po tretie o podmienku týkajúcu sa toho, že záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany, Súdny dvor usúdil, že táto podmienka si vyžaduje zváženie dotknutých protichodných práv a záujmov. Príslušný vnútroštátny súd musí uskutočniť toto zváženie a zohľadniť najmä primerané očakávania dotknutej osoby, rozsah predmetného spracúvania a jeho vplyv na túto osobu. S výhradou overenia vnútroštátnym súdom v prejednávanej veci nemôže zákazník dopravného podniku rozumne očakávať, že tento podnik bude spracovávať údaje týkajúce sa jeho oslovenia alebo rodovej identity pri zakúpení si cestovného lístka. Tak je to najmä v prípade, ak by sa toto spracovanie vykonávalo výlučne na účely obchodnej reklamy. Súdny dvor však spresnil, že legitímny záujem týkajúci sa obchodného marketingu nemôže v žiadnom prípade prevažovať v prípade rizika zásahu do základných práv a slobôd dotknutej osoby. Vnútroštátnemu súdu tak prináleží overiť, či existuje riziko diskriminácie založené na rodovej identite, na ktoré poukazuje Mousse, najmä s ohľadom na smernicu 2004/113 (
12
). Súdny dvor v tejto súvislosti spresnil, že pôsobnosť tejto smernice nemôže byť obmedzená jedine na diskrimináciu vyplývajúcu z príslušnosti k jednému alebo druhému pohlaviu. Vzhľadom na účel tejto smernice a povahu práv, ktoré má chrániť, treba uvedenú smernicu uplatniť takisto na diskrimináciu, ktorá má pôvod v zmene rodovej identity dotknutej osoby.
Vzhľadom na vyššie uvedené Súdny dvor dospel k záveru, že spracúvanie osobných údajov týkajúcich sa oslovenia zákazníkov dopravného podniku, ktorého účelom je personalizácia obchodnej komunikácie na základe ich rodovej identity, nemožno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, ak sledovaný oprávnený záujem nebol týmto zákazníkom pri získavaní týchto údajov oznámený, ak uvedené spracovanie sa neuskutočňuje v hraniciach toho, čo je striktne nevyhnutné na dosiahnutie tohto oprávneného záujmu, alebo ak vzhľadom na všetky relevantné okolnosti môžu základné práva a slobody týchto zákazníkov prevažovať nad uvedeným oprávneným záujmom, najmä z dôvodu rizika diskriminácie na základe rodovej identity.
V druhom rade Súdny dvor skúmal, či na účely posúdenia nevyhnutnosti spracúvania osobných údajov týkajúcich sa oslovenia zákazníkov dopravného podniku na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, je potrebné zohľadniť prípadnú existenciu práva dotknutej osoby namietať. (
13
) Prípadná existencia práva namietať vyžaduje existenciu zákonného spracúvania údajov, ktorá je v prejednávanej veci založená na oprávnených záujmoch, ktoré sleduje prevádzkovateľ alebo tretia strana. Aby bolo takéto spracovanie zákonné, musí najprv spĺňať podmienku prísnej nevyhnutnosti sledovaného oprávneného záujmu. Zo znenia a systematiky ustanovení GDPR tak vyplýva, že existenciu práva namietať nemožno zohľadňovať na účely posúdenia zákonnosti a najmä nevyhnutnosti spracúvania osobných údajov založeného na oprávnených záujmoch, ktoré sleduje prevádzkovateľ alebo tretia strana.
(
1
)	Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“), článok 5 ods. 1 písm. a) a c).
(
2
)	Článok 13 GDPR.
(
3
)	Článok 6 ods. 1 prvý pododsek písm. b) GDPR.
(
4
)	Článok 21 GDPR.
(
5
)	Článok 6 ods. 1 prvý pododsek písm. b) GDPR.
(
6
)	Článok 6 ods. 1 prvý pododsek písm. f) GDPR.
(
7
)	Článok 6 ods. 1 prvý pododsek písm. b) GDPR stanovuje, že spracúvanie osobných údajov je zákonné, ak je „nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy“.
(
8
)	Článok 6 ods. 1 prvý pododsek písm. f) GDPR stanovuje, že spracúvanie osobných údajov je zákonné, ak je „nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa“.
(
9
)	V súlade s článkom 13 ods. 1 písm. d) GDPR prevádzkovateľovi prislúcha, aby pri získavaní osobných údajov priamo oznámil priamo dotknutej osobe sledované oprávnené záujmy.
(
10
)	V súlade s článkom 13 ods. 1 písm. d) GDPR prevádzkovateľovi prislúcha, aby pri získavaní osobných údajov priamo oznámil priamo dotknutej osobe sledované oprávnené záujmy.
(
11
)	Článok 6 ods. 1 prvý pododsek písm. f) GDPR.
(
12
)	Smernica Rady 2004/113/ES z 13. decembra 2004 o vykonávaní zásady rovnakého zaobchádzania medzi mužmi a ženami v prístupe k tovaru a službám a k ich poskytovaniu (Ú. v. EÚ L 373, 2004, s. 37).
(
13
)	Podľa článku 21 GDPR dotknutá osoba má právo kedykoľvek namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týka, ktoré je vykonávané na základe článku 6 ods. 1 prvého pododseku písm. e) alebo f) GDPR vrátane namietania proti profilovaniu založenému na uvedených ustanoveniach.