62023CJ0394_RES
C‑394/23. sz. ügy
MOUSSE
kontra
Commission nationale de l’informatique et des libertés (CNIL) és társai
(a Conseil d’État [Franciaország] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (első tanács), 2025. január 9.
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – Az 5. cikk (1) bekezdésének c) pontja – Adattakarékosság – A 6. cikk (1) bekezdése – Az adatkezelés jogszerűsége – A megszólításra és a nemi identitásra vonatkozó adatok – Menetjegyek online értékesítése – 21. cikk – A tiltakozáshoz való jog”
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A személyesadat–kezelés jogszerűségének feltételei – Az adattakarékosság elve – Olyan szerződés teljesítéséhez szükséges adatkezelés, amelyben az érintett az egyik fél – Fogalom – Valamely közlekedési vállalat ügyfeleinek megszólítására és nemi identitására vonatkozó adatoknak a kereskedelmi kommunikáció nemi identitáson alapuló személyre szabását célzó gyűjtése – Kizártság
(2016/679 európai parlamenti és tanácsi rendelet, 5. cikk, (1) bekezdés, c) pont, és 6. cikk, (1) bekezdés, első albekezdés, b) pont)
(lásd: 22–29., 33., 34., 36–40., 42., 43., 64. pont és a rendelkező rész 1. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A személyesadat–kezelés jogszerűségének feltételei – Az adattakarékosság elve – Az adatkezelő vagy egy harmadik személy jogos érdekeinek érvényesítéséhez szükséges adatkezelés – Fogalom – Valamely közlekedési vállalat ügyfeleinek megszólítására és nemi identitására vonatkozó adatoknak a kereskedelmi kommunikáció személyre szabását célzó gyűjtése – Kizártság – Feltételek
(2016/679 európai parlamenti és tanácsi rendelet, 6. cikk, (1) bekezdés, első albekezdés, f) pont)
(lásd: 22–29., 45–50., 52–64. pont és a rendelkező rész 1. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Hatály – A személyes adatok kezelésének fogalma – Valamely közlekedési vállalat ügyfeleinek megszólítására és nemi identitására vonatkozó adatok gyűjtése – Bennfoglaltság
(2016/679 európai parlamenti és tanácsi rendelet, 2. cikk, (1) bekezdés, és 4. cikk, 1. és 2. pont)
(lásd: 30. pont)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A személyesadat–kezelés jogszerűségének feltételei – Az adatkezelő vagy egy harmadik személy jogos érdekeinek érvényesítéséhez szükséges adatkezelés – Értékelési szempontok – Az adatkezeléssel érintett személy tiltakozási joga – Kizártság
(2016/679 európai parlamenti és tanácsi rendelet, 6. cikk, (1) bekezdés, első albekezdés, f) pont, és 21. cikk)
(lásd: 66–70. pont és a rendelkező rész 2. pontja)
Összefoglalás
A Conseil d’État (államtanács, Franciaország) által előterjesztett előzetes döntéshozatal iránti kérelem alapján a Bíróság pontosítja a jogszerűség és az adattakarékosság GDPR‑ban (
1
) előírt elveinek terjedelmét a valamely közlekedési vállalat ügyfeleinek megszólítására vonatkozó személyes adatoknak az e vállalat által folytatott, a kereskedelmi kommunikációjának személyre szabását célzó kezelésével összefüggésben.
Az SNCF Connect internetes oldalán és online alkalmazásokon keresztül vasúti menetjegyeket forgalmaz. Ügyfeleinek az „Úr” vagy „Hölgy” megjelölés kiválasztásával kötelezően fel kell tüntetniük megszólításukat, amikor e menetjegyeket online vásárolják meg.
A Mousse egyesület panaszt nyújtott be az SNCF Connecttel szemben a Commission nationale de l’informatique et des libertés‑hez (CNIL, adatvédelmi hatóság, Franciaország) azzal az indokkal, hogy az ügyfeleinek megszólításával kapcsolatos adatok gyűjtésének és rögzítésének feltételei nem felelnek meg a GDPR követelményeinek. A Mousse konkrétan azt állította, hogy ezen adatoknak az SNCF Connect általi gyűjtése megsértette a jogszerűség és az adattakarékosság elvét, valamint az ugyanezen rendeletből eredő átláthatósági és tájékoztatási kötelezettséget. (
2
)
2021. március 23‑i határozatában a CNIL úgy határozott, hogy az SNCF Connect általi adatkezelés jogszerű volt, mivel az az érintett szállítási szolgáltatási szerződés (
3
) teljesítéséhez szükséges, és összhangban van az adattakarékosság elvével.
2021. május 21‑én a Mousse keresetet indított a kérdést előterjesztő bíróság előtt a CNIL határozatának megsemmisítése iránt, azt állítva, hogy az SNCF Connect ügyfeleinek a személyazonosságuk közlésére vonatkozó kötelezettsége nem szükséges a szállítási szolgáltatások nyújtására irányuló szerződés teljesítéséhez, az sértheti többek között a magánélet tiszteletben tartásához való jogot, és a nemi identitáson alapuló hátrányos megkülönböztetés kockázatát idézi elő.
Ebben az összefüggésben a kérdést előterjesztő bíróság arra keresi a választ, hogy az ügyfelek állampolgárságára vonatkozó adatoknak az SNCF Connect által végzett gyűjtése szükségességének értékelése céljából figyelembe lehet‑e venni a kereskedelmi, polgári és közigazgatási kommunikációban elfogadott gyakorlatokat, másrészt pedig azt a tényt, hogy ezen ügyfelek ezen adatoknak az adatkezelő rendelkezésére bocsátását követően a saját helyzetükből eredően gyakorolhatják az ilyen adatok felhasználásával szembeni tiltakozáshoz való jogukat. (
4
)
A Bíróság álláspontja
Először is a Bíróság azt vizsgálja, hogy a közlekedési vállalat ügyfeleinek állampolgárságára vonatkozó személyes adatok olyan kezelése, amelynek célja a kereskedelmi kommunikáció személyre szabása, szükségesnek tekinthető‑e a szerződés teljesítéséhez, (
5
) illetve az adatkezelő vagy valamely harmadik fél jogos érdekeinek érvényesítéséhez. (
6
)
Ami egyrészt az ilyen adatkezelésnek a szerződés teljesítéséhez való szükségességét (
7
) illeti, a Bíróság pontosítja, hogy annak objektíve elengedhetetlennek kell lennie a szerződés teljesítésének szerves részét képező cél eléréséhez. Konkrétabban, az ilyen adatkezelésnek lényegesnek kell lennie az adatkezelő és az érintett között létrejött szerződés megfelelő teljesítéséhez, és ezért nem állhat rendelkezésre más megvalósítható és kevésbé beavatkozó jellegű megoldás.
A jelen ügyben, mivel a szóban forgó szállítási szerződés elsődleges tárgya egy vasúti szállítási szolgáltatás ügyfelek részére történő nyújtása, és mivel az alapügyben szóban forgó adatkezelés célja a kereskedelmi kommunikáció ügyféllel szembeni személyre szabása, e közlés a szerződés teljesítésének szerves részét képező célnak minősülhet. Az ilyen szolgáltatás nyújtása ugyanis főszabály szerint magában foglalja többek között a menetjegy elektronikus úton történő továbbítása, a megfelelő utazást érintő esetleges változásokról való tájékoztatás, valamint az ügyfélszolgálat megkeresésének lehetővé tétele érdekében az ügyféllel folytatott kommunikációt. E közlés szükségessé teheti a szokások tiszteletben tartását, és többek között udvariassági kifejezéseket tartalmazhat annak érdekében, hogy az érintett vállalkozás részéről tiszteletet mutasson az ügyfél iránt.
Ugyanakkor a Bíróság kiemeli, hogy az ilyen kommunikációnak nem kell feltétlenül az érintett ügyfél nemi identitása alapján személyre szabottnak lennie. Ami a jelen esetben az alapügyben szóban forgó szolgáltatásokat illeti, a kereskedelmi kommunikációnak a megszólítás alapján feltételezett nemi azonosságon alapuló személyre szabása nem bizonyul sem objektíve elengedhetetlennek, sem lényegesnek a szerződés megfelelő teljesítésének lehetővé tételéhez, és ennélfogva nem tekinthető szükségesnek annak teljesítéséhez. Úgy tűnik ugyanis, hogy létezik más, a gyakorlatban megvalósítható és kevésbé beavatkozó jellegű megoldás, mivel az SNCF Connect olyan ügyfelekkel szemben, akik nem akarják megjelölni a megszólításukat, vagy akár általánosságban is választhat olyan kommunikációt, amely általános, inkluzív és az ügyfelek feltételezett nemi identitásával össze nem függő udvariassági kifejezéseken alapul.
Másrészt, ami a közlekedési vállalat ügyfeleinek állampolgárságára vonatkozó személyes adatoknak az adatkezelő vagy valamely harmadik személy jogos érdekeinek érvényesítése érdekében történő kezelésének szükségességét illeti, (
8
) a Bíróság mindenekelőtt emlékeztet arra a három feltételre, amelyeknek teljesülniük kell ahhoz, hogy az ilyen adatkezelés jogszerű legyen.
Először is, ami az adatkezelő vagy harmadik fél jogos érdekének érvényesítésére vonatkozó feltételt illeti, a Bíróság hangsúlyozza, hogy az adatkezelőnek tájékoztatnia kell azon személyt, akinek a személyes adatait gyűjti, a szóban forgó adatkezelés során általa érvényesíteni kívánt jogos érdekekről. Ilyen érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele.
A jelen ügyben a Bíróság rámutat arra, hogy a kérdést előterjesztő bíróság feladata annak vizsgálata, hogy az SNCF Connect jelezte‑e jogos érdek fennállását ügyfeleinek, (
9
) és pontosítja, hogy a személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető. A hirdetések személyre szabása ilyen összefüggésben a kereskedelmi üzletszerzéssel azonos megítélés alá eshet.
Másodszor, ami a személyes adatok kezelésének valamely jogos érdek érvényesítéséhez való szükségességére vonatkozó feltételt illeti, a Bíróság kifejti, hogy azt az adattakarékosság elvével együttesen kell vizsgálni. (
10
) Így a kérdést előterjesztő bíróság feladata annak vizsgálata, hogy az adatkezeléshez fűződő, érvényesíteni kívánt jogos érdek észszerűen nem érhető‑e el ugyanolyan hatékonyan más, az érintettek szabadságait és alapvető jogait kevésbé sértő eszközökkel. A jelen ügyben úgy tűnik, hogy a kereskedelmi kommunikáció személyre szabása csupán az ügyfelek családi nevének és utóneveinek kezelésére korlátozódhat, mivel megszólításuk és/vagy nemi identitásuk ebben az összefüggésben – különösen az adattakarékosság elvére tekintettel – nem feltétlenül szükséges információ. Ebben az összefüggésben a Bíróság rámutat arra, hogy bár a GDPR (
11
) nem írja elő az egyes tagállamokra jellemző társadalmi szokások és konvenciók figyelembevételét a személyes adatok kezelése szükségességének értékelése céljából, az adatkezelő tiszteletben tarthatja e szokásokat és a szociális érintkezés konvencióit. Ezen adatkezelő ugyanis azon ügyfelekkel, akik nem akarják megjelölni megszólításukat, vagy akár általánosságban is használhat általános, inkluzív és ezen ügyfelek nemi identitásával össze nem függő udvariassági kifejezést.
Harmadszor, ami azt a feltételt illeti, hogy az adatvédelemmel érintett személy érdekei vagy alapvető jogai és szabadságai ne élvezzenek elsőbbséget az adatkezelő vagy valamely harmadik személy jogos érdekével szemben, a Bíróság úgy véli, hogy az a szóban forgó ellentétes jogok és érdekek mérlegelését igényli. E mérlegelés elvégzése az érintett nemzeti bíróság feladata, figyelembe véve többek között az érintett személy észszerű elvárásait, az érintett adatkezelés terjedelmét és annak e személyre gyakorolt hatását. Jelen esetben, a kérdést előterjesztő bíróság által elvégzendő vizsgálatra is figyelemmel, valamely közlekedési vállalat ügyfele nem számíthat arra, hogy e vállalat a megszólítására vagy a nemi identitására vonatkozó adatokat menetjegy megvásárlásával összefüggésben kezeli. Ez a helyzet áll fenn különösen akkor, ha ezt az adatkezelést kizárólag kereskedelmi üzletszerzési célból végzik. A Bíróság mindazonáltal pontosítja, hogy a kereskedelmi üzletszerzéshez fűződő jogos érdek semmiképpen nem érvényesülhet az érintett személy alapvető jogai és szabadságai megsértésének kockázata esetén. A kérdést előterjesztő bíróság feladata tehát annak vizsgálata, hogy – különösen a 2004/113 irányelv fényében (
12
) – fennáll‑e a nemi identitáson alapuló hátrányos megkülönböztetésnek a Mousse által hivatkozott veszélye. A Bíróság e tekintetben hozzáfűzi, hogy ezen irányelv hatályát nem lehet csak az olyan megkülönböztetésre korlátozni, amely azon alapul, hogy a személy az egyik vagy a másik nemhez tartozik. Tekintettel a céljára és azon jogok jellegére, amelyeket biztosítani hivatott, az említett irányelv olyan megkülönböztetésre is alkalmazandó, amely, mint ebben az esetben is, valamely személy nemi identitásának megváltoztatásából ered.
A fentiekre tekintettel a Bíróság kimondja, hogy a valamely közlekedési vállalat ügyfeleinek megszólítására vonatkozó személyes adatoknak a kereskedelmi kommunikációnak az ügyfelek nemi identitásán alapuló személyre szabását célzó kezelése nem tekinthető szükségesnek az adatkezelő vagy valamely harmadik személy jogos érdekei szempontjából, amennyiben ezen adatok gyűjtése során a vállalat nem tájékoztatta ezen ügyfeleket a fennálló jogos érdekről; az adatkezelés nem e jogos érdek érvényesítéséhez feltétlenül szükséges határokon belül történik, vagy a releváns körülmények összességére tekintettel ezen ügyfelek alapvető jogai és szabadságai – különösen a nemi identitáson alapuló hátrányos megkülönböztetés kockázata miatt – elsőbbséget élvezhetnek az említett jogos érdekkel szemben.
Másodsorban a Bíróság azt vizsgálja, hogy a valamely közlekedési vállalat ügyfeleinek megszólítására vonatkozó személyes adatoknak az adatkezelő vagy valamely harmadik személy jogos érdekeinek érvényesítése érdekében történő kezelése szükségességének értékelése szempontjából figyelembe kell‑e venni az érintett tiltakozáshoz való jogának esetleges fennállását. (
13
) A tiltakozáshoz való jog esetleges fennállása ugyanis jogszerű adatkezelés fennállását feltételezi, amely a jelen ügyben az adatkezelő vagy valamely harmadik személy jogos érdekein alapul. Márpedig az ilyen adatkezelésnek ahhoz, hogy jogszerű legyen, előzetesen meg kell felelnie az érvényesíteni kívánt jogos érdek szigorú szükségességére vonatkozó feltételnek. A GDPR rendelkezéseinek szövegéből és rendszeréből tehát az következik, hogy a tiltakozáshoz való jog fennállása nem vehető figyelembe a jogszerűségnek, és különösen annak értékelése céljából, hogy szükséges‑e a személyes adatoknak az adatkezelő vagy valamely harmadik személy jogos érdekein alapuló kezelése.
(
1
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR).
(
2
)	A GDPR 13. cikke:
(
3
)	A GDPR 6. cikke (1) bekezdése első albekezdésének b) pontja.
(
4
)	A GDPR 21. cikke.
(
5
)	A GDPR 6. cikke (1) bekezdése első albekezdésének b) pontja.
(
6
)	A GDPR 6. cikke (1) bekezdése első albekezdésének f) pontja.
(
7
)	A GDPR 6. cikke (1) bekezdése első albekezdésének b) pontja értelmében a személyes adatok kezelése jogszerű, ha „olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges”.
(
8
)	A GDPR 6. cikke (1) bekezdése első albekezdésének f) pontja értelmében a személyes adatok kezelése jogszerű, ha „az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek”.
(
9
)	A GDPR 13. cikke (1) bekezdésének d) pontja értelmében a személyes adatok kezelője köteles közvetlenül tájékoztatni az érintetteket az adatgyűjtés időpontjában fennálló jogos érdekről.
(
10
)	A GDPR 13. cikke (1) bekezdésének d) pontja értelmében a személyes adatok kezelője köteles közvetlenül tájékoztatni az érintetteket az adatgyűjtés időpontjában fennálló jogos érdekről.
(
11
)	A GDPR 6. cikke (1) bekezdése első albekezdésének f) pontja.
(
12
)	A nők és férfiak közötti egyenlő bánásmód elvének az árukhoz és szolgáltatásokhoz való hozzáférés, valamint azok értékesítése, illetve nyújtása tekintetében történő végrehajtásáról szóló, 2004. december 13‑i 2004/113/EK tanácsi irányelv (HL 2004. L 373., 37. o.).
(
13
)	A GDPR 21. cikke értelmében az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a GDPR 6. cikke (1) bekezdésének e) és f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is.