62023CJ0394_RES
Kawża C‑394/23
MOUSSE
vs
Commission nationale de l’informatique et des libertés (CNIL) et
(talba għal deċiżjoni preliminari, imressqa mill-Conseil d’État (Franza))
Sentenza tal-Qorti tal-Ġustizzja (L-Ewwel Awla) tad‑9 ta’ Jannar 2025
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 5(1)(c) – Minimizzazzjoni tad-data – Artikolu 6(1) – Legalità tal-ipproċessar – Data dwar it-titolu u l-identità tal-ġeneru – Bejgħ online ta’ biljetti tat-trasport – Artikolu 21 – Dritt ta’ oġġezzjoni”
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kundizzjonijiet għal-legalità ta’ pproċessar ta’ data personali – Prinċipju ta’ minimizzazzjoni tad-data – Ipproċessar neċessarju għall-eżekuzzjoni ta’ kuntratt li jorbot lis-suġġett tad-data – Kunċett – Ġbir, minn impriża tat-trasport, ta’ data dwar l-istatus ċivili u l-identità tal-ġeneru tal-klijenti tagħha għall-finijiet tal-personalizzazzjoni tal-komunikazzjoni kummerċjali – Esklużjoni
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 5(1)(c) u l-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1))
(ara l-punti 22 sa 29, 33, 34, 36 sa 40, 42, 43 u 64, u d-dispożittiv 1)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kundizzjonijiet għal-legalità ta’ pproċessar ta’ data personali – Prinċipju ta’ minimizzazzjoni tad-data – Ipproċessar neċessarju għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur responsabbli għall-ipproċessar jew minn terz – Kunċett – Ġbir, minn impriża tat-trasport, ta’ data dwar l-istatus ċivili u l-identità tal-ġeneru tal-klijenti tagħha għall-finijiet tal-personalizzazzjoni tal-komunikazzjoni kummerċjali – Esklużjoni – Kundizzjonijiet
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1))
(ara l-punti 22 sa 29, 45 sa 50, u 52 sa 64, u d-dispożittiv 1)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kamp ta’ applikazzjoni – Kunċett ta’ pproċessar ta’ data personali – Ġbir, minn impriża tat-trasport, ta’ data dwar l-istatus ċivili u l-identità tal-ġeneru tal-klijenti tagħha – Inklużjoni
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 2(1) u l-punti 1 u 2 tal-Artikolu 4)
(ara l-punt 30)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kundizzjonijiet għal-legalità ta’ pproċessar ta’ data personali – Ipproċessar neċessarju għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur responsabbli għall-ipproċessar jew minn terz – Kriterji ta’ evalwazzjoni – Dritt tas-suġġett tad-data kkonċernat mill-ipproċessar li jagħmel oġġezzjoni – Esklużjoni
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) u l-Artikolu 21)
(ara l-punti 66 sa 70, u d-dispożittiv 2)
Sunt
Adita b’talba għal deċiżjoni preliminari mill-Conseil d’État (il-Kunsill tal-Istat, Franza), il-Qorti tal-Ġustizzja ppreċiżat il-portata tal-prinċipji ta’ legalità u ta’ minimizzazzjoni tad-data, previsti mill-GDPR (
1
), fil-kuntest tal-ipproċessar minn impriża tat-trasport ta’ data dwar l-istatus ċivili tal-klijenti tagħha, għall-finijiet tal-personalizzazzjoni tal-komunikazzjoni kummerċjali tagħha.
SNCF Connect kienet tikkummerċjalizza biljetti tat-trasport ferrovjarju permezz tas-sit internet tagħha u ta’ applikazzjonijiet online. Il-klijenti tagħha kienu obbligati jindikaw l-istatus ċivili tagħhom, billi jagħżlu l-kliem “Sinjur” jew “Sinjura” meta jixtru dawn il-biljetti online.
L-assoċjazzjoni Mousse ressqet ilment quddiem il-Commission nationale de l’informatique et des libertés (CNIL) (il-Kummissjoni Nazzjonali tal-Informatika u tal-Libertajiet, Franza, iktar ’il quddiem iċ-“CNIL”) kontra SNCF Connect, minħabba li l-kundizzjonijiet tal-ġbir u tar-reġistrazzjoni tad-data relatata mal-istatus ċivili tal-klijenti ta’ din tal-aħħar ma kinux konformi mar-rekwiżiti tal-GDPR. B’mod iktar preċiż, Mousse allegat li l-ġbir ta’ din id-data minn SNCF Connect kien jikser il-prinċipji ta’ legalità u ta’ minimizzazzjoni tad-data, kif ukoll l-obbligi ta’ trasparenza u ta’ informazzjoni li jirriżultaw minn dan l-istess regolament (
2
).
Permezz ta’ deċiżjoni tat‑23 ta’ Marzu 2021, iċ-CNIL iddeċidiet li l-ipproċessar tad-data mwettaq minn SNCF Connect kien legali, minħabba li kien neċessarju għall-eżekuzzjoni tal-kuntratt ta’ provvista ta’ servizzi ta’ trasport ikkonċernat (
3
) u kien konformi mal-prinċipju ta’ minimizzazzjoni tad-data.
Fil‑21 ta’ Mejju 2021, Mousse adixxiet lill-qorti tar-rinviju b’rikors għal annullament kontra d-deċiżjoni taċ-CNIL, filwaqt li allegat li l-obbligu impost fuq il-klijenti tas-SNCF Connect li jindikaw l-istatus ċivili tagħhom ma kienx neċessarju għall-eżekuzzjoni ta’ kuntratt ta’ provvista ta’ servizzi ta’ trasport, li dan l-obbligu kien ta’ natura li jippreġudika b’mod partikolari d-dritt għar-rispett tal-ħajja privata u li kien joħloq riskju ta’ diskriminazzjoni bbażata fuq l-identità tal-ġeneru.
F’dan il-kuntest, il-qorti tar-rinviju staqsiet jekk, sabiex tiġi evalwata n-neċessità tal-ġbir tad-data dwar l-istatus ċivili tal-klijenti mwettaq minn SNCF Connect, setgħux jittieħdu inkunsiderazzjoni, minn naħa, l-użanzi ammessi fil-komunikazzjonijiet kummerċjali, ċivili u amministrattivi u, min-naħa l-oħra, il-fatt li dawn il-klijenti setgħu, wara li jkunu pprovdew din id-data lill-kontrollur responsabbli għall-ipproċessar, jeżerċitaw id-dritt ta’ oppożizzjoni tagħhom għall-użu ta’ tali data, għal raġunijiet marbuta mas-sitwazzjoni partikolari tagħhom (
4
).
Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja
Fl-ewwel lok, il-Qorti tal-Ġustizzja eżaminat jekk ipproċessar tad-data personali dwar l-istatus ċivili tal-klijenti ta’ impriża tat-trasport, li jkollu bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali, setax jitqies bħala neċessarju għall-eżekuzzjoni ta’ kuntratt (
5
) jew għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur responsabbli għal dan l-ipproċessar jew minn terz (
6
).
Fir-rigward, minn naħa, tan-neċessità ta’ tali pproċessar għall-eżekuzzjoni ta’ kuntratt (
7
), il-Qorti tal-Ġustizzja ppreċiżat li dan l-ipproċessar għandu jkun oġġettivament indispensabbli sabiex jintlaħaq għan li jagħmel parti integrali mill-eżekuzzjoni tal-kuntratt. B’mod iktar preċiż, tali pproċessar għandu jkun essenzjali għall-eżekuzzjoni korretta tal-kuntratt konkluż bejn il-kontrollur responsabbli għall-ipproċessar u s-suġġett tad-data u, għaldaqstant, ma għandux ikun hemm soluzzjonijiet prattiċi oħra u inqas intrużivi.
F’dan il-każ, peress li l-għan prinċipali tal-kuntratt ta’ trasport inkwistjoni kien il-provvista lill-klijenti ta’ servizz ta’ trasport ferrovjarju u peress li l-ipproċessar ta’ data inkwistjoni fil-kawża prinċipali kellu bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali fir-rigward tal-klijent, din il-komunikazzjoni setgħet tikkostitwixxi għan li jagħmel parti integrali mill-eżekuzzjoni tal-kuntratt. Fil-fatt, il-provvista ta’ tali servizz timplika, bħala prinċipju, il-komunikazzjoni mal-klijent sabiex, b’mod partikolari, jiġi trażmess lilu biljett ta’ trasport b’mezz elettroniku, sabiex jiġi informat b’eventwali bidliet li jaffettwaw il-vjaġġ korrispondenti kif ukoll sabiex ikunu jistgħu jsiru skambji mas-servizz ta’ wara l-bejgħ. Din il-komunikazzjoni tista’ teħtieġ li jiġu osservati l-użanzi u tinkludi, b’mod partikolari, espressjonijiet ta’ korteżija, bħala xhieda tar-rispett min-naħa tal-impriża kkonċernata fir-rigward tal-klijent tagħha.
Madankollu, il-Qorti tal-Ġustizzja enfasizzat li tali komunikazzjoni ma għandhiex neċessarjament tkun ippersonalizzata skont l-identità tal-ġeneru tal-klijent ikkonċernat. F’dan il-każ, fir-rigward tas-servizzi inkwistjoni fil-kawża prinċipali, personalizzazzjoni tal-komunikazzjoni kummerċjali, ibbażata fuq identità tal-ġeneru preżunta skont l-istatus ċivili, la kienet tidher oġġettivament indispensabbli u lanqas essenzjali sabiex tippermetti l-eżekuzzjoni korretta ta’ kuntratt u, għaldaqstant, ma setgħetx titqies li kienet neċessarja għall-eżekuzzjoni tiegħu. Fil-fatt, jidher li kienet teżisti soluzzjoni prattikabbli u inqas intrużiva, peress li SNCF Connect setgħet tagħżel, fir-rigward tal-klijenti li ma xtaqux jindikaw l-istatus ċivili tagħhom jew b’mod ġenerali, komunikazzjoni bbażata fuq formoli ta’ korteżija ġeneriċi, inklużivi u mingħajr korrelazzjoni mal-identità tal-ġeneru preżunta tal-klijenti.
Fir-rigward, min-naħa l-oħra, tan-neċessità ta’ pproċessar tad-data personali dwar l-istatus ċivili tal-klijenti ta’ impriża tat-trasport għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur responsabbli għal dan l-ipproċessar jew minn terz (
8
), il-Qorti tal-Ġustizzja fakkret qabelxejn it-tliet kundizzjonijiet li għandhom jiġu ssodisfatti sabiex tali pproċessar ikun legali.
Fir-rigward, l-ewwel nett, tal-kundizzjoni dwar it-tfittxija ta’ interess leġittimu mill-kontrollur responsabbli għall-ipproċessar jew minn terz, il-Qorti tal-Ġustizzja enfasizzat li huwa l-kontrollur li għandu jindika lill-persuna li jkun qiegħed jiġbor id-data personali tagħha l-interessi leġittimi li huwa jfittex bl-ipproċessar inkwistjoni. Tali interess jista’ jeżisti pereżempju fil-każ ta’ relazzjoni rilevanti u adatta bejn is-suġġett tad-data u l-kontrollur f’sitwazzjonijiet bħalma huma dawk fejn is-suġġett tad-data jkun klijent tal-kontrollur.
F’dan il-każ, il-Qorti tal-Ġustizzja indikat li kienet il-qorti tar-rinviju li kellha tivverifika jekk SNCF Connect kinitx indikat interess leġittimu lill-klijenti tagħha (
9
) u ppreċiżat li pproċessar ta’ data personali għal finijiet ta’ kummerċjalizzazzjoni kummerċjali jista’ jissodisfa interess leġittimu. B’mod partikolari, f’tali kuntest, il-personalizzazzjoni tar-reklamar tista’ tiġi assimilata ma’ kummerċjalizzazzjoni kummerċjali.
F’dak li jirrigwarda, it-tieni nett, il-kundizzjoni dwar in-neċessità tal-ipproċessar tad-data personali għat-twettiq tal-interess leġittimu mfittex, il-Qorti tal-Ġustizzja spjegat li din kellha tiġi eżaminata flimkien mal-prinċipju ta’ minimizzazzjoni tad-data (
10
). B’hekk, hija l-qorti nazzjonali li għandha tivverifika jekk l-interess leġittimu mfittex mill-ipproċessar tad-data jistax raġonevolment jintlaħaq b’mod daqstant effettiv b’mezzi oħra li jippreġudikaw inqas il-libertajiet u d-drittijiet fundamentali tas-suġġetti tad-data. F’dan il-każ, kien jidher li l-personalizzazzjoni tal-komunikazzjoni kummerċjali setgħet tkun limitata għall-ipproċessar tal-ismijiet u tal-kunjomijiet tal-klijenti, peress li l-istatus ċivili u/jew l-identità tal-ġeneru tagħhom ma kinux informazzjoni strettament neċessarja f’dan il-kuntest, b’mod partikolari fid-dawl tal-prinċipju ta’ minimizzazzjoni tad-data. F’dan il-kuntest, il-Qorti tal-Ġustizzja indikat li, minkejja li l-GDPR (
11
) ma jipprevedix it-teħid inkunsiderazzjoni tal-użanzi u tal-konvenzjonijiet soċjali speċifiċi għal kull Stat Membru sabiex tiġi evalwata n-natura neċessarja ta’ pproċessar tad-data personali, huwa permissibbli għall-kontrollur li josserva dawn l-użanzi u l-konvenzjonijiet soċjali. Fil-fatt, dan il-kontrollur jista’ juża, fir-rigward tal-klijenti li ma jkunux jixtiequ jindikaw l-istatus ċivili tagħhom jew b’mod ġenerali, formoli ta’ korteżija ġeneriċi, inklużivi u mingħajr korrelazzjoni mal-identità tal-ġeneru ta’ dawn il-klijenti.
It-tielet nett, fir-rigward tal-kundizzjoni li l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data li jgawdi mill-protezzjoni tad-data ma jipprevalixxux fuq l-interess leġittimu tal-kontrollur responsabbli għall-ipproċessar jew ta’ terz, il-Qorti tal-Ġustizzja qieset li din il-kundizzjoni timplika bbilanċjar tad-drittijiet u tal-interessi opposti inkwistjoni. Hija l-qorti nazzjonali kkonċernata li għandha twettaq dan l-ibbilanċjar billi tieħu inkunsiderazzjoni, b’mod partikolari, l-aspettattivi raġonevoli tas-suġġett tad-data, il-portata tal-ipproċessar ikkonċernat u l-impatt tiegħu fuq dan is-suġġett tad-data. F’dan il-każ, bla ħsara għal verifika mill-qorti tar-rinviju, il-klijent ta’ impriża tat-trasport ma kienx mistenni jipprevedi li din l-impriża kienet ser tipproċessa data dwar l-istatus ċivili jew l-identità tal-ġeneru tiegħu fil-kuntest tax-xiri ta’ biljett tat-trasport. Dan kien ikun il-każ, b’mod partikolari, li kieku dan l-ipproċessar kien ser jitwettaq biss għal finijiet ta’ marketing. Madankollu, il-Qorti tal-Ġustizzja ppreċiżat li l-interess leġittimu relatat mal-marketing ma jistax, fi kwalunkwe każ, jipprevali fil-każ ta’ riskju ta’ ksur tad-drittijiet u tal-libertajiet fundamentali tas-suġġett tad-data. Għalhekk, kienet il-qorti nazzjonali li kellha tivverifika l-eżistenza tar-riskju ta’ diskriminazzjoni bbażata fuq l-identità tal-ġeneru, allegat minn Mousse, b’mod partikolari fid-dawl tad-Direttiva 2004/113 (
12
). Il-Qorti tal-Ġustizzja żiedet, f’dan ir-rigward, li l-kamp ta’ applikazzjoni ta’ din id-direttiva ma jistax jiġi limitat biss għad-diskriminazzjonijiet li jirriżultaw mill-appartenenza għal ġeneru wieħed jew ieħor. Fid-dawl tal-għan tagħha u tan-natura tad-drittijiet li hija tfittex li tipproteġi, l-imsemmija direttiva hija intiża wkoll li tapplika għad-diskriminazzjonijiet li joriġinaw mill-bidla tal-identità tal-ġeneru ta’ persuna.
Fid-dawl tal-kunsiderazzjonijiet preċedenti, il-Qorti tal-Ġustizzja kkonkludiet li l-ipproċessar ta’ data personali dwar l-istatus ċivili tal-klijenti ta’ impriża tat-trasport, li jkollu bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali bbażata fuq l-identità tal-ġeneru tagħhom, ma jistax jitqies li huwa neċessarju għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur responsabbli għal dan l-ipproċessar jew minn terz, meta l-interess leġittimu mfittex ma jkunx ġie indikat mill-impriża lil dawn il-klijenti waqt il-ġbir ta’ din id-data, meta l-ipproċessar ma jsirx fil-limiti ta’ dak li jkun strettament neċessarju għat-twettiq ta’ dan l-interess leġittimu jew inkella meta, fid-dawl taċ-ċirkustanzi rilevanti kollha, il-libertajiet u d-drittijiet fundamentali tal-klijenti jistgħu jipprevalu fuq l-imsemmi interess leġittimu, b’mod partikolari minħabba riskju ta’ diskriminazzjoni bbażata fuq l-identità tal-ġeneru.
Fit-tieni lok, il-Qorti tal-Ġustizzja eżaminat jekk, sabiex tiġi evalwata n-neċessità ta’ pproċessar ta’ data personali dwar l-istatus ċivili tal-klijenti ta’ impriża tat-trasport għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur responsabbli għal dan l-ipproċessar jew minn terz, għandhiex tittieħed inkunsiderazzjoni l-eżistenza eventwali ta’ dritt ta’ oppożizzjoni tas-suġġett tad-data (
13
). Fil-fatt, l-eventwali eżistenza ta’ dritt ta’ oppożizzjoni tippreżupponi l-eżistenza ta’ pproċessar legali, ibbażat f’dan il-każ fuq l-interessi leġittimi mfittxija mill-kontrollur jew minn terz. Issa, sabiex ikun legali, tali pproċessar għandu qabel kollox jissodisfa l-kundizzjoni ta’ neċessità stretta għall-interess leġittimu mfittex. Għalhekk, mill-kliem u mill-istruttura tad-dispożizzjonijiet tal-GDPR jirriżulta li l-eżistenza ta’ dritt ta’ oppożizzjoni ma tistax tittieħed inkunsiderazzjoni għall-finijiet tal-evalwazzjoni tal-legalità u, b’mod partikolari, tan-neċessità ta’ pproċessar ta’ data personali bbażat fuq l-interessi leġittimi mfittxija mill-kontrollur jew minn terz.
(
1
)	Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”), Artikolu 5(1)(a) u (c).
(
2
)	L-Artikolu 13 tal-GDPR.
(
3
)	Il-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.
(
4
)	L-Artikolu 21 tal-GDPR.
(
5
)	Il-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.
(
6
)	Il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.
(
7
)	Skont il-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1)(b) tal-GDPR, l-ipproċessar ta’ data personali jkun legali jekk ikun “meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt”.
(
8
)	Skont il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, l-ipproċessar ta’ data personali jkun legali jekk dan ikun “meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni”.
(
9
)	Skont l-Artikolu 13(1) (d) tal-GDPR, il-kontrollur responsabbli għall-ipproċessar tad-data personali għandu l-obbligu li jinforma direttament lis-suġġetti tad-data dwar l-interess leġittimu mfittex fil-mument tal-ġbir tad-data personali.
(
10
)	Skont l-Artikolu 13(1)(d) tal-GDPR, il-kontrollur responsabbli għall-ipproċessar tad-data personali għandu l-obbligu li jinforma direttament lis-suġġetti tad-data dwar l-interess leġittimu mfittex fil-mument tal-ġbir tad-data personali.
(
11
)	Il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.
(
12
)	Direttiva tal-Kunsill 2004/113/KE tat‑13 ta’ Diċembru 2004 li timplimenta l-prinċipju ta’ trattament ugwali bejn l-irġiel u n-nisa fl-aċċess għal u l-provvista ta' merkanzija u servizzi (ĠU 2006, L 153M, p. 294).
(
13
)	Skont l-Artikolu 21 tar-GDPR, is-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li tkun ibbażata fuq l-punt (e) jew (f) tal-ewwel subparagrafu tal-Artikolu 6(1), inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet.