62023CJ0394_RES
Zadeva C‑394/23
MOUSSE
proti
Commission nationale de l’informatique et des libertés (CNIL) in drugim
(Predlog za sprejetje predhodne odločbe, ki ga je vložil Conseil d’État (Francija))
Sodba Sodišča (prvi senat) z dne 9. januarja 2025
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 5(1)(c) – Najmanjši obseg podatkov – Člen 6(1) – Zakonitost obdelave – Podatki o nazivu in spolni identiteti – Spletna prodaja vozovnic – Člen 21 – Pravica do ugovora“
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pogoji za zakonitost obdelave osebnih podatkov – Načelo najmanjšega obsega podatkov. – Obdelava, potrebna za izvajanje pogodbe, ki veže posameznika, na katerega se nanašajo osebni podatki – Pojem – Zbiranje podatkov, ki ga izvaja prevozno podjetje, o nazivu in spolni identiteti svojih strank zaradi personalizacije poslovne komunikacije – Izključitev
(Uredba Evropskega parlamenta in Sveta 2016/679, člena 5(1)(c) in 6(1), prvi pododstavek, točka (b))
(Gej točke od 22 do 29, 33, 34, od 36 do 40, 42, 43 in 64 ter točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pogoji za zakonitost obdelave osebnih podatkov – Načelo najmanjšega obsega podatkov. – Obdelava, ki je potrebna zaradi legitimnih interesov, za katere si prizadeva upravljavec ali tretja oseba – Pojem – Zbiranje podatkov, ki ga izvaja prevozno podjetje, o nazivu in spolni identiteti svojih strank zaradi personalizacije poslovne komunikacije – Izključitev – Pogoji
(Uredba Evropskega parlamenta in Sveta 2016/679, člen 6(1), prvi pododstavek, točka (f))
(Glej točke od 22 do 29, od 45 do 50 in od 52 do 64 ter točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Področje uporabe – Pojem obdelave osebnih podatkov – Zbiranje podatkov, ki ga izvaja prevozno podjetje, o nazivu in spolni identiteti svojih strank – Vključitev
(Uredba Evropskega parlamenta in Sveta 2016/679, člena 2(1) ter 4, točki 1 in 2)
(Glej točko 30.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pogoji za zakonitost obdelave osebnih podatkov – Obdelava, ki je potrebna zaradi legitimnih interesov, za katere si prizadeva upravljavec ali tretja oseba – Merila presoje – Pravica posameznika, na katerega se nanašajo osebni podatki, do ugovora – Izključitev
(Uredba Evropskega parlamenta in Sveta 2016/679, člena 6(1), prvi pododstavek, točka (f), in 21)
(Glej točke od 66 do 70 in točko 2 izreka.)
Povzetek
Sodišče, pri katerem je Conseil d’État (državni svet, Francija) vložil predlog za sprejetje predhodne odločbe, je pojasnilo obseg načel zakonitosti in najmanjšega obsega podatkov, določenih v SUVP, (
1
) v okviru obdelave podatkov, ki jo izvaja prevozno podjetje, o nazivu svojih strank zaradi personalizacije svoje poslovne komunikacije.
Družba SNCF Connect prek svojega spletnega mesta in spletnih aplikacij prodaja vozovnice za železniški promet. Njene stranke morajo ob spletnem nakupu vozovnic navesti svoj naziv, tako da označijo navedbo „gospod“ ali „gospa“.
Združenje Mousse je pri Commission nationale de l’informatique et des libertés (nacionalna komisija za informatiko in svoboščine, CNIL) (Francija) vložilo pritožbo zoper družbo SNCF Connect, ker naj pogoji, pod katerimi se zbirajo in beležijo podatki o nazivu strank te družbe, ne bi bili v skladu z zahtevami iz SUVP. Natančneje, združenje Mousse je trdilo, da so bili s tem, da je družba SNCF Connect zbirala te podatke, kršeni načeli zakonitosti in najmanjšega obsega podatkov ter obveznosti preglednosti in obveščanja, ki izhajajo iz te uredbe. (
2
)
CNIL je z odločbo z dne 23. marca 2021 odločila, da je obdelava podatkov, ki jo izvaja družba SNCF Connect, zakonita, ker je potrebna za izvajanje zadevne pogodbe o opravljanju prevoznih storitev, (
3
) in v skladu z načelom najmanjšega obsega podatkov.
Združenje Mousse je 21. maja 2021 pri predložitvenem sodišču vložilo ničnostno tožbo zoper odločbo CNIL, pri čemer je trdilo, da obveznost, naložena strankam družbe SNCF Connect, da navedejo svoj naziv, ni potrebna za izvajanje pogodbe o opravljanju prevoznih storitev, lahko posega zlasti v pravico do zasebnosti in povzroča tveganje diskriminacije na podlagi spolne identitete.
V tem okviru se je predložitveno sodišče spraševalo, ali je pri presoji potrebnosti zbiranja podatkov o nazivu strank, ki ga izvaja družba SNCF Connect, mogoče upoštevati na eni strani sprejete prakse v poslovnih, civilnih in upravnih komunikacijah ter na drugi strani dejstvo, da bi lahko te stranke po tem, ko so te podatke zagotovile upravljavcu, uveljavljale svojo pravico do ugovora zoper uporabo takih podatkov zaradi svojega posebnega položaja. (
4
)
Presoja Sodišča
Na prvem mestu, Sodišče je preučilo, ali je mogoče šteti, da je obdelava osebnih podatkov o nazivu strank prevoznega podjetja, katere namen je personalizacija poslovne komunikacije, potrebna za izvajanje pogodbe (
5
) ali zaradi legitimnih interesov, za katere si prizadeva upravljavec ali tretja oseba. (
6
)
Na eni strani je Sodišče v zvezi s potrebnostjo take obdelave za izvajanje pogodbe (
7
) pojasnilo, da mora biti ta obdelava objektivno nujna za uresničitev namena, ki je sestavni del izvajanja pogodbe. Natančneje, taka obdelava mora biti bistvena za pravilno izvajanje pogodbe, sklenjene med upravljavcem in posameznikom, na katerega se nanašajo osebni podatki, ter zato ne smejo obstajati druge izvedljive in manj vsiljive rešitve.
V obravnavani zadevi glede na to, da je glavni predmet zadevne prevozne pogodbe zagotavljanje storitve železniškega prevoza strankam in da je namen obdelave podatkov iz postopka v glavni stvari personalizacija poslovne komunikacije s stranko, ta komunikacija lahko pomeni namen, ki je sestavni del izvajanja pogodbe. Opravljanje take storitve načeloma vključuje komunikacijo s stranko, da se ji med drugim pošlje vozovnica v elektronski obliki, da se jo obvesti o morebitnih spremembah v zvezi z zadevnim potovanjem in da se omogoči izmenjava informacij s službo za stike s strankami. Ta komunikacija lahko zahteva spoštovanje praks in med drugim vključuje vljudnostne izraze, da se izkaže spoštovanje zadevnega podjetja v razmerju do svoje stranke.
Vendar je Sodišče poudarilo, da ni nujno, da je taka komunikacija prilagojena glede na spolno identiteto zadevne stranke. V obravnavani zadevi se, kar zadeva storitve iz postopka v glavni stvari, personalizacija poslovne komunikacije, ki temelji na domnevani spolni identiteti glede na naziv, ne zdi niti objektivno nujna niti bistvena za pravilno izvajanje pogodbe in je zato ni mogoče šteti za potrebno za izvajanje te pogodbe. Zdi se namreč, da obstaja izvedljiva in manj vsiljiva rešitev, ker bi se lahko družba SNCF Connect v razmerju do strank, ki ne želijo navesti svojega naziva, ali na splošno odločila za komunikacijo, ki temelji na vljudnostnih izrazih, ki so generični, vključujoči in se ne navezujejo na domnevano spolno identiteto strank.
Na drugi strani je Sodišče v zvezi s potrebnostjo obdelave osebnih podatkov o nazivu strank prevoznega podjetja zaradi legitimnih interesov, za katere si prizadeva upravljavec te obdelave ali tretja oseba, (
8
) najprej opozorilo na tri pogoje, ki morajo biti izpolnjeni, da je taka obdelava zakonita.
Prvič, v zvezi s pogojem, da si upravljavec obdelave ali tretja oseba prizadeva za legitimni interes, je Sodišče poudarilo, da mora upravljavec posameznika, od katerega pridobi osebne podatke, obvestiti o legitimnih interesih, ki jim sledi v zvezi z zadevno obdelavo. Tak interes bi lahko obstajal na primer v primeru upoštevnega in ustreznega razmerja med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem obdelave v položajih, kakršni so ti, v katerih je posameznik, na katerega se nanašajo osebni podatki, stranka upravljavca.
V obravnavani zadevi je Sodišče navedlo, da mora predložitveno sodišče preveriti, ali je družba SNCF Connect svojim strankam sporočila legitimni interes, (
9
) in pojasnilo, da je obdelava osebnih podatkov za namene neposrednega trženja lahko opravljena v legitimnem interesu. Zlasti je v takih okoliščinah personalizacijo oglaševanja mogoče enačiti z neposrednim trženjem.
Drugič, v zvezi s pogojem, ki se nanaša na potrebnost obdelave osebnih podatkov za uresničitev legitimnega interesa, ki se mu sledi, je Sodišče pojasnilo, da je treba ta pogoj preučiti skupaj z načelom najmanjšega obsega podatkov. (
10
) Tako mora nacionalno sodišče preveriti, ali legitimnega interesa, ki se mu sledi z obdelavo podatkov, ni mogoče razumno doseči enako učinkovito z drugimi sredstvi, ki manj posegajo v temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. V obravnavani zadevi se zdi, da je personalizacijo poslovne komunikacije mogoče omejiti na obdelavo imen in priimkov strank, saj njihova naziv in/ali spolna identiteta nista informacija, ki bi bila v tem okviru nujno potrebna, zlasti ob upoštevanju načela najmanjšega obsega podatkov. V tem okviru je Sodišče navedlo, da čeprav SUVP (
11
) ne določa upoštevanja praks in družbenih norm vsake države članice pri presoji potrebnosti obdelave osebnih podatkov, upravljavec lahko upošteva te prakse in družbene norme. Ta upravljavec bi se namreč lahko v razmerju do strank, ki ne želijo navesti svojega naziva, ali na splošno odločil za uporabo vljudnostnih izrazov, ki so generični, vključujoči in se ne navezujejo na spolno identiteto teh strank.
Tretjič, v zvezi s pogojem, da interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov, ne prevladajo nad legitimnim interesom upravljavca ali tretje osebe, je Sodišče štelo, da ta pogoj zahteva tehtanje obstoječih nasprotujočih si pravic in interesov. Zadevno nacionalno sodišče mora pri tem tehtanju upoštevati zlasti razumna pričakovanja posameznika, na katerega se nanašajo osebni podatki, obseg zadevne obdelave in njen vpliv na tega posameznika. V obravnavani zadevi stranka prevoznega podjetja, kar mora preveriti predložitveno sodišče, ne pričakuje, da bo to podjetje v okviru nakupa vozovnice obdelovalo podatke v zvezi z njenim nazivom ali spolno identiteto. Tako bi bilo zlasti, če bi se ta obdelava izvajala izključno za namene neposrednega trženja. Vendar je Sodišče pojasnilo, da legitimni interes v zvezi z neposrednim trženjem nikakor ne more prevladati, če obstaja tvegaje posega v temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Tako mora nacionalno sodišče preveriti obstoj tveganja diskriminacije na podlagi spolne identitete, ki jo zatrjuje združenje Mousse, zlasti glede na Direktivo 20041/113. (
12
) Sodišče je v zvezi s tem dodalo, da področja uporabe te direktive ni mogoče omejiti zgolj na diskriminacijo, ki izhaja iz pripadnosti enemu ali drugemu spolu. Navedena direktiva se ob upoštevanju njenega cilja in narave pravic, ki jih varuje, uporablja tudi za diskriminacijo, ki izhaja iz spremembe spolne identitete osebe.
Glede na navedeno je Sodišče ugotovilo, da obdelave osebnih podatkov o nazivu strank prevoznega podjetja, katere namen je personalizacija poslovne komunikacije na podlagi njihove spolne identitete, ni mogoče šteti za potrebno zaradi legitimnih interesov, za katere si prizadeva upravljavec te obdelave ali tretja oseba, kadar podjetje te stranke ob zbiranju teh podatkov ni obvestilo o legitimnem interesu, ki se mu sledi, kadar se navedena obdelava ne izvaja v mejah tega, kar je nujno potrebno za uresničitev tega legitimnega interesa, ali kadar glede na vse upoštevne okoliščine temeljne pravice in svoboščine strank lahko prevladajo nad navedenim legitimnim interesom, zlasti zaradi tveganja diskriminacije na podlagi spolne identitete.
Na drugem mestu, Sodišče je preučilo, ali je treba pri presoji potrebnosti obdelave osebnih podatkov o nazivu strank prevoznega podjetja zaradi legitimnih interesov, za katere si prizadeva upravljavec te obdelave ali tretja oseba, upoštevati morebiten obstoj pravice posameznika, na katerega se nanašajo osebni podatki, do ugovora. (
13
) Morebitni obstoj pravice do ugovora namreč predpostavljata obstoj zakonite obdelave, ki v obravnavani zadevi temelji na legitimnih interesih, za katere si prizadeva upravljavec te obdelave ali tretja oseba. Da pa bi bila taka obdelava zakonita, mora predhodno izpolnjevati pogoj nujne potrebnosti zaradi legitimnega interesa, ki se mu sledi. Tako iz besedila in sistematike določb SUVP izhaja, da obstoja pravice do ugovora ni mogoče upoštevati pri presoji zakonitosti in zlasti potrebnosti obdelave osebnih podatkov, ki temelji na legitimnih interesih, za katere si prizadeva upravljavec ali tretja oseba.
(
1
)	Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2; v nadaljevanju: SUVP), člen 5(1)(a) in (c).
(
2
)	Člen 13 SUVP.
(
3
)	Člen 6(1), prvi pododstavek, točka (b), SUVP.
(
4
)	Člen 21 SUVP.
(
5
)	Člen 6(1), prvi pododstavek, točka (b), SUVP.
(
6
)	Člen 6(1), prvi pododstavek, točka (f), SUVP.
(
7
)	V skladu s členom 6(1), prvi pododstavek, točka (b), SUVP je obdelava osebnih podatkov zakonita, če je „potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe“.
(
8
)	V skladu s členom 6(1), prvi pododstavek, točka (f), SUVP je obdelava osebnih podatkov zakonita, če je „potrebna zaradi zakonitih [legitimnih] interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok“.
(
9
)	V skladu s členom 13(1)(d) SUVP mora upravljavec osebnih podatkov posameznike, na katere se nanašajo osebni podatki, neposredno obvestiti o legitimnem interesu, za katerega si prizadeva ob zbiranju osebnih podatkov.
(
10
)	V skladu s členom 13(1)(d) SUVP mora upravljavec osebnih podatkov posameznike, na katere se nanašajo osebni podatki, neposredno obvestiti o legitimnem interesu, za katerega si prizadeva ob zbiranju osebnih podatkov.
(
11
)	Člen 6(1), prvi pododstavek, točka (f), SUVP.
(
12
)	Direktiva Sveta 2004/113/ES z dne 13. decembra 2004 o izvajanju načela enakega obravnavanja moških in žensk pri dostopu do blaga in storitev ter oskrbi z njimi (UL 2004, L 373, str. 37).
(
13
)	V skladu s členom 21 SUVP ima posameznik, na katerega se nanašajo osebni podatki, na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na členu 6(1), prvi pododstavek, točki (e) in (f), SUVP, vključno z oblikovanjem profilov na podlagi teh določb.