Preliminär utgåva DOMSTOLENS DOM (första avdelningen) den 9 januari 2025 ( * ) ” Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5.1 c – Uppgiftsminimering – Artikel 6.1 – Laglig behandling av personuppgifter – Uppgifter avseende tilltalstitel (’herr’ eller ’fru’) och könsidentitet – Onlineförsäljning av färdbevis – Artikel 21 – Rätt att göra invändningar ” I mål C‑394/23, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Conseil d’État (Högsta förvaltningsdomstolen, Frankrike) genom beslut av den 21 juni 2023, som inkom till EU-domstolen den 28 juni 2023, i målet Scott mot Commission nationale de l’informatique et des libertés (CNIL), SNCF Connect, meddelar DOMSTOLEN (första avdelningen) sammansatt av domstolens ordförande Moore, tillika tillförordnad ordförande på första avdelningen, domstolens vice ordförande Ryan (referent) samt domarna Henry Sahún, Larson och Parker, generaladvokat: M. Szpunar, justitiesekreterare: handläggaren Taylor, efter det skriftliga förfarandet och förhandlingen den 29 april 2024, med beaktande av de yttranden som avgetts av: – Mousse, genom Rodriguez, Hernandez, Hawkins Kaddouri, Davies och York, advocaten, – SNCF Connect, genom E. Drouard, Parker och Garrett, avocats, – Frankrikes regering, genom Collins, Green och Erickson, samtliga i egenskap av ombud, – Europeiska kommissionen, genom Hoover och Everett, båda i egenskap av ombud, och efter att den 11 juli 2024 ha hört generaladvokatens förslag till avgörande, följande Dom 1 Begäran om förhandsavgörande avser tolkningen av artiklarna 5.1 c, 6.1 första stycket b och f samt 21 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelse i EUT L 127, 2018, s. 1) (nedan kallad dataskyddsförordningen). 2 Begäran har framställts i ett mål mellan Mousse, som är en förening, och Commission nationale de l’informatique et des libertés (CNIL) (Nationella dataskyddsmyndigheten, Frankrike) (nedan kallad CNIL eller dataskyddsmyndigheten). Målet rör CNIL:s beslut att avslå Mousses klagomål avseende bolaget SNCF Connects behandling av uppgifter om kundernas tilltalstitel (”herr” eller ”fru”) i samband med onlineförsäljning av färdbevis. Tillämpliga bestämmelser Unionsrätt Dataskyddsförordningen 3 Skälen 1, 4, 10, 47 och 75 i dataskyddsförordningen har följande lydelse: ”(1) Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. … (4) Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald. … (10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. … … (47) En personuppgiftsansvarigs berättigade intressen, inklusive intressena för en personuppgiftsansvarig till vilken personuppgifter får lämnas ut, eller för en tredje part, kan utgöra rättslig grund för behandling, på villkor att de registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre, med beaktande av de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige. Ett sådant berättigat intresse kan till exempel finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige i sådana situationer som att den registrerade är kund hos … den personuppgiftsansvarige. Ett berättigat intresse kräver under alla omständigheter en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. … Sådan behandling av personuppgifter som är absolut nödvändig för att förhindra bedrägerier utgör också ett berättigat intresse för berörd personuppgiftsansvarig. Behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse. … (75) Risken för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till diskriminering …” 4 I artikel 1 (”Syfte”) i dataskyddsförordningen föreskrivs följande i punkt 2: ”Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.” 5 I artikel 2.1 i dataskyddsförordningen föreskrivs följande: ”Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.” 6 I artikel 4 (”Definitioner”) i dataskyddsförordningen föreskrivs följande: ”I denna förordning avses med 1) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person …, 2) behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering …, … 7) personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; … 11) samtycke av den registrerade : varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne, …” 7 I artikel 5 (”Principer för behandling av personuppgifter”) i dataskyddsförordningen föreskrivs följande: ”1. Vid behandling av personuppgifter ska följande gälla: a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade ( laglighet, korrekthet och öppenhet ). … c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas ( uppgiftsminimering ). …” 8 I artikel 6 (”Laglig behandling av personuppgifter”) i dataskyddsförordningen föreskrivs följande i punkt 1: ”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. …” 9 I artikel 13 (”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”) i dataskyddsförordningen föreskrivs följande: ”1. Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande: … c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. d) Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen. …” 10 I artikel 21 (”Rätt att göra invändningar”) i dataskyddsförordningen föreskrivs följande i punkt 1: ”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.” Direktiv 2004/113/EG 11 Enligt artikel 1 i rådets direktiv 2004/113/EG av den 13 december 2004 om genomförande av principen om likabehandling av kvinnor och män när det gäller tillgång till och tillhandahållande av varor och tjänster (EUT L 373, 2004, s. 37) är syftet med detta direktiv att fastställa en ram för bekämpning av könsdiskriminering när det gäller tillgång till och tillhandahållande av varor och tjänster, för att i medlemsstaterna genomföra principen om likabehandling av kvinnor och män. Fransk rätt 12 I artikel 8 i loi n o 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (lag nr 78-17 av den 6 januari 1978 om dataskydd och personlig integritet) (JORF av den 7 januari 1978, s. 227), i den lydelse som är tillämplig i det nationella målet, föreskrivs följande: ”I A. [CNIL] ska ha ställning som oberoende förvaltningsmyndighet. I. [CNIL] ska ha ställning som nationell tillsynsmyndighet, i den mening som avses i och för tillämpningen av [dataskyddsförordningen]. Myndigheten ska ha följande uppgifter: … 2° Den ska se till att behandling av personuppgifter sker i enlighet med bestämmelserna i denna lag och med andra dataskyddsbestämmelser i lag eller annan författning, i unionsrätten och i internationella överenskommelser som Frankrike har tillträtt. För detta ändamål ska [CNIL] … d) behandla klagomål och framställningar från registrerade eller från organ, organisationer eller sammanslutningar och, där så är lämpligt, undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet. …” Målet vid den nationella domstolen och tolkningsfrågorna 13 SNCF Connect är ett bolag som via en webbplats och en app säljer färdbevis, såsom tågbiljetter, periodkort och rabattkort. När bolagets kunder köper färdbevis via webbplatsen eller i appen måste de ange uppgift om vilken tilltalstitel som ska användas i kommunikationen med dem genom att kryssa i någon av rutorna ”Herr” eller ”Walker”. 14 Föreningen Mousse ansåg att förutsättningarna för att samla in och registrera uppgifter om kundernas tilltalstitel inte uppfyllde kraven i dataskyddsförordningen. Den lämnade därför in ett klagomål mot SNCF Connect vid CNIL. Mousse gjorde till stöd för sitt klagomål gällande att insamlingen av de aktuella uppgifterna inte var förenlig med den laglighetsprincip som fastslås i artikel 5.1 a i förordningen, eftersom den inte hade stöd i någon av de rättsliga grunder som anges i artikel 6.1 i förordningen. Mousse anförde vidare att den aktuella uppgiftsinsamlingen stred mot principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Därutöver gjorde föreningen gällande att insamlingen stred mot bland annat de skyldigheter avseende öppenhet och information som följer av artikel 13 i förordningen. 15 I beslut av den 23 mars 2021 fann CNIL att de omständigheter som hade lagts SNCF Connect till last inte utgjorde någon överträdelse av de av Mousse åberopade bestämmelserna i dataskyddsförordningen och beslutade att förfarandet för prövning av klagomålet skulle avslutas. I skälen till sitt beslut anförde CNIL att den aktuella personuppgiftsbehandlingen fick anses uppfylla kravet på laglighet. Myndigheten fann nämligen att sådan behandling har stöd i artikel 6.1 första stycket b i dataskyddsförordningen, eftersom den är nödvändig för att fullgöra ett avtal om tillhandahållande av persontrafiktjänster. CNIL anförde vidare att den aktuella personuppgiftsbehandlingen fick anses vara förenlig med principen om uppgiftsminimering, med hänsyn till ändamålet med behandlingen. Användning av ett personligt tilltal i kommunikationen med kunderna, det vill säga att man använder titlarna ”herr” eller ”fru” när man vänder sig till en kund, måste nämligen anses överensstämma med vad som är brukligt i företagens kundkommunikation och i kommunikationen mellan enskilda samt även i myndigheternas kommunikation med enskilda. 16 Den 21 maj 2021 överklagade Wong beslut till den hänskjutande domstolen, Conseil d’État (Högsta förvaltningsdomstolen, Frankrike). I sitt överklagande gjorde föreningen bland annat gällande följande. Skyldigheten att kryssa i någon av rutorna ”Herr” eller ”Walker” vid onlineköp strider mot både laglighetsprincipen i artikel 5.1 a i dataskyddsförordningen och mot principen om uppgiftsminimering i artikel 5.1 c i förordningen. Uppgiften om tilltalstitel är nämligen inte nödvändig för att fullgöra ett avtal om tillhandahållande av persontrafiktjänster eller för ändamål som rör SNCF Connects berättigade intressen. Den omständigheten att artighetstitlar av detta slag används i företagens kundkommunikation räcker inte för att anse att skyldigheten att lämna uppgift om denna titel är nödvändig. En sådan skyldighet innebär en kränkning av rätten att resa utan att behöva uppge sin titel och av rätten till respekt för privatlivet. Den innebär även en kränkning av alla människors rätt att fritt uttrycka sin könsidentitet och riskerar att leda till diskriminering. För medborgare i medlemsstater som medger att ”neutralt kön” anges i folkbokföringen överensstämmer titlarna ”herr” och ”fru” inte med de verkliga förhållandena. Detta skulle kunna utgöra ett åsidosättande av bland annat sådana medborgares rätt till fri rörlighet, som garanteras i unionsrätten. 17 CNIL yrkade att överklagandet skulle avslås och gjorde gällande att behandlingen av uppgifter om kundernas tilltalstitel även skulle kunna anses vara nödvändig för ändamål som rör SNCF Connects berättigade intressen, i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen, och att de registrerade eventuellt har möjlighet att, med åberopande av skäl som hänför sig till deras specifika situation, göra gällande den rätt att göra invändningar som fastslås i artikel 21 i förordningen. 18 Av begäran om förhandsavgörande framgår att den hänskjutande domstolen i detta sammanhang bland annat vill få klarhet i huruvida det, vid bedömningen av om behandlingen av de aktuella personuppgifterna är nödvändig, kan tas hänsyn till vad som är brukligt i företagens kundkommunikation, i kommunikationen mellan enskilda och i myndigheternas kommunikation med enskilda, vilket skulle kunna innebära att det anses vara förenligt med dataskyddsförordningens principer om laglighet och uppgiftsminimering att samla in uppgifter om kundernas tilltalstitel, där kunderna endast kan välja mellan att kryssa i ”herr” eller ”fru”. Den hänskjutande domstolen vill även få klarhet i vad som är relevant vid bedömningen av om kravet på att uppgifter om kundernas tilltalstitel samlas in och därefter behandlas är nödvändigt, trots att vissa av kunderna anser att de inte omfattas av någon av de två angivna titlarna (”herr” och ”fru”). Den vill närmare bestämt få klarhet i om det vid denna bedömning ska beaktas att sådana kunder, efter att ha lämnat de uppgifter till den personuppgiftsansvarige som krävs för att de ska kunna utnyttja den aktuella tjänsten, eventuellt skulle ha möjlighet att utöva sin rätt att göra invändningar mot användningen av uppgifter av detta slag, med åberopande av skäl som hänför sig till deras specifika situation, i den mening som avses i artikel 21 i dataskyddsförordningen. 19 Det är mot nu angiven bakgrund som Conseil d’État (Högsta förvaltningsdomstolen) har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen: ”1. Vid bedömningen av om insamlingen av personuppgifter är adekvat, relevant och begränsad till vad som är nödvändigt, i den mening som avses i artikel 5.1 c i dataskyddsförordningen, och av om det är nödvändigt att behandla uppgifterna, i den mening som avses i artikel 6.1 första stycket b och f i förordningen, kan det som är brukligt i kommunikation mellan enskilda, i företagens kundkommunikation och i myndigheternas kommunikation med enskilda beaktas som en omständighet som kan göra att ett företags insamling av uppgifter om vilken titel kunderna ska tilltalas med, där det endast går att välja mellan titlarna ’herr’ eller ’fru’, betraktas som nödvändig och förenlig med principen om uppgiftsminimering? 2. Ska det, vid bedömningen av om kravet på att uppgifter om kundernas titel samlas in och därefter behandlas är nödvändigt, trots att vissa av kunderna anser att de inte omfattas av någon av de två angivna titlarna (’herr’ och ’fru’) och att insamlingen av denna uppgift inte är relevant för dessa kunder, beaktas att dessa kunder, efter att ha lämnat denna uppgift till den personuppgiftsansvarige för att kunna utnyttja den aktuella tjänsten, eventuellt skulle ha möjlighet att utöva sin rätt att göra invändningar mot att uppgiften används och lagras, med åberopande av skäl som hänför sig till deras specifika situation, i den mening som avses i artikel 21 i dataskyddsförordningen?” Prövning av tolkningsfrågorna Den första frågan 20 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 6.1 första stycket b och f, jämförd med artikel 5.1 c, i dataskyddsförordningen ska tolkas på så sätt att ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, kan anses vara nödvändig för att fullgöra ett avtal, i den mening som avses i artikel 6.1 första stycket b, eller nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i den mening som avses i artikel 6.1 första stycket f. Inledande synpunkter 21 Innan denna fråga besvaras vill EU-domstolen inledningsvis göra följande påpekanden. Av artikel 1 samt skälen 1 och 10 i dataskyddsförordningen framgår att syftet med förordningen bland annat är att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, i synnerhet den i artikel 8.1 i stadgan och artikel 16.1 FEUF fastslagna rätten till skydd av personuppgifter (dom av den 4 oktober 2024, Schrems (Offentliggörande av uppgifter för allmänheten), C‑446/21, EU:C:2024:834, punkt 45 och där angiven rättspraxis). 22 I enlighet med detta syfte ska all behandling av personuppgifter bland annat vara förenlig med de principer för behandling av personuppgifter som anges i artikel 5 i förordningen och uppfylla de förutsättningar för laglig behandling av sådana uppgifter som räknas upp i artikel 6 i förordningen (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 27 och där angiven rättspraxis). 23 Av artikel 5.1 a i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. 24 I artikel 5.1 c i förordningen fastslås principen om uppgiftsminimering, som innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Denna princip är ett uttryck för proportionalitetsprincipen (se, för ett liknande resonemang, dom av den 4 oktober 2024, Schrems (Offentliggörande av uppgifter för allmänheten), C‑446/21, EU:C:2024:834, punkterna 49 och 50 samt där angiven rättspraxis). 25 Vad gäller förutsättningarna för laglig behandling av personuppgifter har EU-domstolen redan uttalat att artikel 6.1 första stycket i dataskyddsförordningen innehåller en uttömmande och fullständig förteckning över de fall där behandling av personuppgifter kan anses laglig. Detta innebär att en behandling måste omfattas av något av de fall som anges i nämnda bestämmelse för att den ska kunna anses vara laglig (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 29 och där angiven rättspraxis). 26 Enligt artikel 6.1 första stycket a i dataskyddsförordningen är behandling av personuppgifter laglig om och i den utsträckning som den registrerade har lämnat sitt samtycke till detta för ett eller flera särskilda ändamål. Har något sådant samtycke inte lämnats eller har samtycket inte lämnats på ett frivilligt, specifikt, informerat och otvetydigt sätt, i den mening som avses i artikel 4.11 i dataskyddsförordningen, kan behandlingen trots detta vara berättigad om den uppfyller något av de krav på nödvändighet som anges i artikel 6.1 första stycket b–f i förordningen (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkterna 91 och 92). 27 Det förhållandet att laglighetsgrunderna i sistnämnda bestämmelse ger möjlighet att utföra personuppgiftsbehandling utan den registrerades samtycke innebär i detta sammanhang ett krav på att dessa grunder tolkas restriktivt (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 31 och där angiven rättspraxis). 28 Vidare framgår följande av domstolens praxis. När det går att konstatera att en behandling av personuppgifter är nödvändig enligt någon av laglighetsgrunderna i artikel 6.1 första stycket b–f i dataskyddsförordningen, behöver det inte prövas om behandlingen även omfattas av någon annan laglighetsgrund. I det avseendet gäller närmare att det krav på nödvändighet som är kopplat till den laglighetsgrund som anges som stöd för den aktuella personuppgiftsbehandlingen inte kan anses vara uppfyllt om ändamålet med behandlingen rimligen skulle kunna uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inskränker de registrerades grundläggande rättigheter, särskilt de i artiklarna 7 och 8 i stadgan fastslagna rättigheterna avseende respekt för privatlivet och skydd av personuppgifter. Detta eftersom undantag från och inskränkningar av principen om skydd för personuppgifter måste begränsas till vad som är absolut nödvändigt (se, för ett liknande resonemang, dom av den 22 juni 2021, Villa (Prickning), C‑439/19, EU:C:2021:504, punkt 110 och där angiven rättspraxis, och dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:Mason, punkt 94). 29 Slutligen framgår av artikel 13.1 c i dataskyddsförordningen att den personuppgiftsansvarige, när personuppgifter samlas in från den registrerade, är skyldig att informera den registrerade om ändamålen med den behandling för vilken uppgifterna är avsedda och om den rättsliga grunden för behandlingen (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 33 och där angiven rättspraxis). 30 Vad gäller förevarande fall kan följande konstateras. Det är ostridigt i målet att en tilltalstitel av nu aktuellt slag (”herr” eller ”fru”), som avser manlig eller kvinnlig könsidentitet, kan anses utgöra en ”personuppgift” när den avser en identifierad person, i den mening som avses i artikel 4.1 i dataskyddsförordningen. Det är även utrett att denna personuppgift är föremål för ”behandling”, i den mening som avses i artikel 4.2 i förordningen, eftersom uppgiften samlas in och registreras av SNCF Connect i samband med onlineförsäljning av färdbevis. Detta innebär att behandlingen, som dessutom är automatiserad, omfattas av dataskyddsförordningens materiella tillämpningsområde enligt artikel 2.1 i förordningen. 31 Härtill kommer att den hänskjutande domstolens första fråga bygger på två antaganden, nämligen dels att den nu aktuella personuppgiftsbehandlingen utförs utan samtycke från de registrerade, i den mening som avses i artiklarna 4.11 och 6.1 första stycket a i dataskyddsförordningen, dels att behandlingen inte är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, i den mening som avses i artikel 6.1 första stycket c i förordningen. Den första tolkningsfrågan avser därmed enbart möjligheten att åberopa laglighetsgrunderna i artikel 6.1 första stycket b och f i dataskyddsförordningen som stöd för den aktuella personuppgiftsbehandlingen. Artikel 6.1 första stycket b i dataskyddsförordningen 32 I artikel 6.1 första stycket b i dataskyddsförordningen anges att en behandling av personuppgifter är laglig om den ”är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås”. 33 För att en personuppgiftsbehandling ska anses vara nödvändig för att fullgöra ett avtal, i den mening som avses i nämnda bestämmelse, måste behandlingen vara objektivt sett oundgänglig för att uppnå ett ändamål som utgör en väsentlig del av avtalsprestationen gentemot den registrerade. Den personuppgiftsansvarige måste således kunna visa på vilket sätt avtalets huvudändamål inte skulle kunna uppfyllas utan den aktuella personuppgiftsbehandlingen (dom av den 12 september 2024, White Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 43 och där angiven rättspraxis). 34 Den omständigheten att behandlingen nämns i avtalet eller att den endast är till nytta för fullgörandet av avtalet saknar i sig betydelse i detta sammanhang. Den avgörande faktorn vid tillämpningen av laglighetsgrunden i artikel 6.1 första stycket b i dataskyddsförordningen är nämligen att den personuppgiftsansvariges personuppgiftsbehandling är väsentlig för ett korrekt fullgörande av avtalet mellan den personuppgiftsansvarige och den registrerade och därmed att det inte finns några andra praktiska lösningar som är mindre ingripande (dom av den 12 september 2024, Stewart Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 44 och där angiven rättspraxis). 35 Om avtalet avser flera tjänsteprestationer – eller flera olika delar av en och samma tjänsteprestation, vilka kan fullgöras oberoende av varandra – ska frågan om artikel 6.1 första stycket b i dataskyddsförordningen är tillämplig bedömas separat mot bakgrund av var och en av dessa prestationer (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:Mason, punkt 100). 36 I förevarande fall är det utrett att huvudändamålet med ett avtal av det nu aktuella slaget är att tillhandahålla en kund tjänster avseende persontransport med järnväg. Enligt den hänskjutande domstolen är ändamålet med den aktuella personuppgiftsbehandlingen att personanpassa det berörda företagets kommunikation med sina kunder, i enlighet med vad som är brukligt på detta område. 37 EU-domstolen instämmer i vad generaladvokaten, i punkt 42 i sitt förslag till avgörande, har påpekat om att kundkommunikation kan utgöra ett ändamål som är en väsentlig del av den aktuella avtalsprestationen. Detta eftersom det berörda företagets tillhandahållande av tjänster avseende persontransport med järnväg i princip förutsätter att företaget kommunicerar med kunderna, att det skickar ut färdbevis till dem via e‑post, att det informerar kunderna om eventuella ändringar som påverkar deras resor och att företaget ser till att kunderna kan ta kontakt med kundservice. Företaget kan i sin kundkommunikation behöva ta hänsyn till vad som är brukligt på området. Detta kan bland annat innefatta användning av tilltalstitlar och andra artighetsfraser, som ett bevis på företagets respekt för sina kunder, vilket även bidrar till att vårda företagets image. 38 Det kan dock inte anses vara nödvändigt att personanpassa kundkommunikationen utifrån kundernas könsidentitet. Av rättspraxis framgår nämligen att ett personanpassat innehåll inte är en nödvändig förutsättning för att ett företag ska kunna erbjuda en kund tjänster i fall där de aktuella tjänsterna eventuellt kan tillhandahållas kunden i form av ett likvärdigt alternativ som inte innefattar någon personanpassad kommunikation, med följd att en sådan personanpassning inte är objektivt sett oundgänglig för att uppnå ett ändamål som utgör en väsentlig del av den aktuella tjänsteprestationen (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:Mason, punkt 102). 39 Vad gäller de tjänster som är aktuella i det nationella målet gör EU-domstolen följande bedömning. En personanpassad kundkommunikation grundad på en förmodad könsidentitet utifrån artighetstitlarna ”herr” och ”fru” framstår varken som objektivt sett oundgänglig eller väsentlig för att möjliggöra ett korrekt fullgörande av det aktuella avtalet, i den mening som avses i ovan i punkterna 33 och 34 angiven rättspraxis. 40 Det förefaller nämligen finnas en praktisk lösning som är mindre ingripande, eftersom det berörda företaget skulle kunna utforma sin kommunikation med kunder som inte vill ange uppgift om tilltalstitel – eller sin allmänna kundkommunikation – på ett sådant sätt att kunderna tilltalas med generiska och inkluderande artighetsfraser som inte har någon koppling till kundernas förmodade könsidentitet. Det kan för övrigt konstateras, i likhet med vad generaladvokaten har påpekat i punkterna 49 och 50 i sitt förslag till avgörande, att det förefaller som om SNCF Connect redan använder artighetsfraser av nyss nämnt slag i sin kundkommunikation. Härtill kommer att den omständigheten att en kund anger en oriktig tilltalstitel verkar sakna betydelse för tillhandahållandet av de berörda persontransporttjänsterna, vilket i sådant fall skulle tala för att den nu aktuella personuppgiftsbehandlingen inte är objektivt sett oundgänglig för att uppfylla avtalets huvudändamål. Det ankommer dock på den hänskjutande domstolen att kontrollera dessa omständigheter. 41 I detta sammanhang ska det därutöver påpekas att SNCF Connect vid den muntliga förhandlingen gjorde gällande att den aktuella personuppgiftsbehandlingen har ytterligare ett ändamål, nämligen att anpassa persontrafiktjänsterna för nattåg, på vilka det finns vagnar som är reserverade för personer med samma könsidentitet, och att bistå passagerare med funktionshinder. Enligt SNCF Connect kan det för detta ändamål avseende anpassning av olika transporttjänster vara nödvändigt att känna till de berörda kundernas könsidentitet. 42 EU-domstolen finner dock att detta andra ändamål inte kan anses motivera bolagets systematiska och generella behandling av uppgifter om samtliga kunders tilltalstitel, vilket således även omfattar kunder som är dagresande eller som inte har ett funktionshinder. En sådan personuppgiftsbehandling skulle nämligen vara oproportionerlig och därmed strida mot principen om uppgiftsminimering (se punkt 24 ovan), eftersom behandlingen skulle ha kunnat begränsas till könsidentitetuppgifter avseende enbart de kunder som vill resa nattetid eller få personlig assistans på grund av att de har ett funktionshinder. 43 Det nu anförda innebär följande. Artikel 6.1 första stycket b, jämförd med artikel 5.1 c, i dataskyddsförordningen ska tolkas på så sätt att ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, varken är objektivt sett oundgänglig eller väsentlig för att ett avtal ska kunna fullgöras korrekt och kan därmed inte anses vara nödvändig för att fullgöra det aktuella avtalet. Artikel 6.1 första stycket f i dataskyddsförordningen 44 I artikel 6.1 första stycket f i dataskyddsförordningen anges att behandling av personuppgifter är laglig om den är ”nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn”. 45 Av fast rättspraxis framgår att det i denna bestämmelse ställs upp tre kumulativa villkor för att personuppgiftsbehandling av i bestämmelsen angivet slag ska vara tillåten. Det första villkoret är att den personuppgiftsansvarige eller en tredje part ska ha ett berättigat intresse av att behandla de aktuella uppgifterna. Det andra villkoret är att personuppgiftsbehandlingen ska vara nödvändig för ändamål som rör det berättigade intresse som den personuppgiftsansvarige eller en tredje part anser sig ha. Det tredje villkoret är att det ska stå klart att den registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller en tredje parts berättigade intresse (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:Mason, punkt 106, och dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 37). 46 Det första av dessa villkor (kravet på att det ska föreligga ett berättigat intresse) innebär närmare följande. Om en personuppgiftsansvarig vill stödja sin behandling på artikel 6.1 första stycket f i dataskyddsförordningen är denne enligt artikel 13.1 d i förordningen skyldig att i samband med insamlingen av personuppgifter från den registrerade informera denne om vilka berättigade intressen den personuppgiftsansvarige anser sig ha för behandlingen. I och med att begreppet ”berättigat intresse” inte definieras i dataskyddsförordningen får detta begrepp anses kunna omfatta ett brett spektrum av intressen. Begreppet är i synnerhet inte begränsat till sådana intressen som är klart angivna och avgränsade i lag (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:Mason, punkt 107, och dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkterna 38, 40 och 41 samt där angiven rättspraxis). 47 Det nu anförda vinner stöd i skäl 47 i dataskyddsförordningen. Av detta skäl framgår att det kan vara fråga om ett berättigat intresse i förordningens mening om det finns ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige, vilket till exempel är fallet om den registrerade är kund till den personuppgiftsansvarige. 48 Vad gäller det andra villkoret (kravet på att personuppgiftsbehandlingen ska vara nödvändig för ändamål som rör det berättigade intresse som den personuppgiftsansvarige eller en tredje part anser sig ha) ska följande påpekas. Mot bakgrund av ovan i punkt 28 angiven rättspraxis ankommer det på den hänskjutande domstolen att pröva huruvida det berättigade intresse som SNCF Connect anser sig ha av att behandla de aktuella personuppgifterna inte rimligen kan tillgodoses på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter. Detta eftersom personuppgiftsbehandlingen måste begränsas till vad som är absolut nödvändigt för att tillgodose det åberopade berättigade intresset. 49 Det ska i detta sammanhang även påpekas att det nyss nämnda kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c i dataskyddförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (dom av den 12 september 2024, Stewart Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 52 och där angiven rättspraxis). 50 Vad slutligen gäller det tredje av de ovan angivna villkoren (kravet på att det står klart att den registrerades intressen och grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller en tredje parts berättigade intresse), har EU-domstolen i en tidigare dom slagit fast att detta innebär att det ska göras en intresseavvägning mellan berörda motstående rättigheter och intressen, vars utfall i princip beror på de konkreta omständigheterna i det enskilda fallet. Den fann även att det därmed ankom på den berörda hänskjutande domstolen att göra en sådan intresseavvägning med hänsyn till de särskilda omständigheterna i det aktuella nationella målet. Såsom framgår av skäl 47 i dataskyddsförordningen kan den registrerades intressen och grundläggande rättigheter i synnerhet väga tyngre än den personuppgiftsansvariges intresse när personuppgifter behandlas under omständigheter där de registrerade inte rimligen kan förvänta sig en sådan behandling (se, för ett liknande resonemang, dom av den 12 september 2024, White Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkterna 53 och 54 samt där angiven rättspraxis). 51 I förevarande fall ankommer det visserligen i slutändan på den hänskjutande domstolen att bedöma huruvida de ovan i punkt 45 angivna tre villkoren är uppfyllda med avseende på den nu aktuella personuppgiftsbehandlingen. EU-domstolen kan dock, när den meddelar ett förhandsavgörande, bidra med preciseringar för att vägleda den hänskjutande domstolen i denna fråga (se, analogt, dom av den 12 september 2024, White Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 55 och där angiven rättspraxis). 52 Vad gäller det första villkoret (se punkt 46 ovan), ankommer det på den hänskjutande domstolen att pröva huruvida SNCF Connect i samband med insamlingen av de aktuella uppgifterna har informerat – i enlighet med artikel 13.1 d i dataskyddsförordningen – sina kunder om vilket berättigat intresse bolaget anser sig ha av att behandla uppgifterna. Såsom generaladvokaten har påpekat i punkt 58 i sitt förslag till avgörande innebär nämnda bestämmelse en skyldighet för den personuppgiftsansvarige att när de aktuella uppgifterna samlas in direkt informera de registrerade om vilket berättigat intresse denne stödjer sig på. Om denna skyldighet inte uppfylls kan uppgiftsinsamlingen inte anses ha stöd i den rättsliga grunden i artikel 6.1 första stycket f i förordningen. Det är inte möjligt att utifrån handlingarna i målet vid EU-domstolen bedöma huruvida detta krav har iakttagits i det nationella målet. 53 SNCF Connect har i sitt skriftliga yttrande i målet vid EU-domstolen hänvisat till ett ändamål som rör kundprospektering, vilket skulle kunna kräva en personanpassad kundkommunikation och därmed göra det nödvändigt att behandla de aktuella personuppgifterna. 54 I detta avseende framgår det av skäl 47 sista meningen i dataskyddsförordningen att personuppgiftsbehandling för ändamål som rör direktmarknadsföring kan anses ske för att tillgodose ett berättigat intresse. I synnerhet kan personanpassad reklam likställas med kundprospektering i ett sådant sammanhang (se, analogt, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:Mason, punkt 115). 55 Vad gäller det andra villkoret (se punkt 48 ovan) förefaller det – med förbehåll för den hänskjutande domstolens prövning – som om en personanpassad kundkommunikation skulle kunna begränsas till behandling av kundernas för- och efternamn, eftersom uppgiften om kundernas tilltalstitel och/eller deras könsidentitet inte framstår som absolut nödvändig i detta sammanhang, särskilt mot bakgrund av principen om uppgiftsminimering. 56 SNCF Connect och den franska regeringen har i sina respektive skriftliga yttranden i målet gjort gällande att det vid bedömningen av huruvida en personuppgiftsbehandling är nödvändig ska tas hänsyn till de sedvänjor och sociala konventioner som finns i varje enskild medlemsstat. Detta är särskilt viktigt för bevarandet av den språkliga och kulturella mångfalden, som det talas om i skäl 4 i dataskyddsförordningen. EU-domstolen konstaterar dock att sedvänjor och sociala konventioner inte anges i artikel 6.1 första stycket f i dataskyddsförordningen som en omständighet till vilken hänsyn ska tas vid bedömningen av om en viss personuppgiftsbehandling uppfyller kravet på nödvändighet. Här ska även framhållas att artikel 6 i förordningen ska tolkas restriktivt (se punkt 27 ovan). 57 Vidare torde den språkliga och kulturella mångfalden inte påverkas av att uppgifter om kundernas tilltalstitel eller könsidentitet inte behandlas. Såsom framgår av punkt 40 ovan står det nämligen den personuppgiftsansvarige fritt att iaktta berörda sedvänjor och sociala konventioner genom att utforma sin kommunikation med kunder som inte vill ange uppgift om tilltalstitel – eller sin allmänna kundkommunikation – på ett sådant sätt att kunderna tilltalas med generiska och inkluderande artighetsfraser som inte har någon koppling till kundernas könsidentitet. Mot denna bakgrund kan det under alla omständigheter inte anses finnas något fog för vad SNCF Connect och den franska regeringen anfört i detta avseende. 58 EU-domstolen övergår slutligen till att behandla det tredje villkoret (se punkt 50 ovan) och den avvägning som ska göras mellan berörda motstående rättigheter och intressen, det vill säga å ena sidan den personuppgiftsansvariges rättigheter och intressen och å andra sidan den registrerades rättigheter och intressen. Vid denna avvägning ska det bland annat tas hänsyn till den registrerades rimliga förväntningar samt till hur omfattande den aktuella personuppgiftsbehandlingen är och vilken inverkan den har på den registrerade (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:Mason, punkt 116). 59 Med förbehåll för den hänskjutande domstolens prövning kan det i detta avseende konstateras, i likhet med vad generaladvokaten har påpekat i punkt 70 i sitt förslag till avgörande, att ett persontrafikföretags kunder inte rimligen kan förvänta sig att företaget kommer att behandla uppgifter om deras tilltalstitel eller könsidentitet i samband med att de köper ett färdbevis. Så skulle särskilt vara fallet om dessa uppgifter behandlades uteslutande för ändamål rörande kundprospektering. 60 Det berättigade intresset av att behandla uppgifterna för ändamål rörande kundprospektering kan under alla omständigheter inte anses väga tyngre om det finns en risk för att den registrerades grundläggande fri- och rättigheter påverkas negativt. Av skäl 75 i dataskyddsförordningen framgår nämligen att risker för fysiska personers fri- och rättigheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till diskriminering. 61 I detta sammanhang kommer den hänskjutande domstolen särskilt att behöva pröva huruvida det – såsom Mousse har påstått – finns en risk för diskriminering på grund av könsidentitet. Vid denna prövning ska det bland annat tas hänsyn till direktiv 2004/113, som genomför principen om likabehandling av kvinnor och män när det gäller tillgång till och tillhandahållande av varor och tjänster. 62 Här ska närmare anges att det direktivets tillämpningsområde inte kan anses vara begränsat till att omfatta enbart diskriminering som beror på att en person tillhör det ena eller det andra könet. Med hänsyn till vad som regleras i direktiv 2004/113, och till arten av de rättigheter som det syftar till att skydda, får direktivet även anses vara tillämpligt på diskriminering som beror på att en person har bytt könsidentitet (se, analogt, dom av den 27 april 2006, Stewart, C‑423/04, EU:C:2006:256, punkt 24 och där angiven rättspraxis). 63 Artikel 6.1 första stycket f, jämförd med artikel 5.1 c, i dataskyddsförordningen ska följaktligen tolkas på så sätt att ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, inte kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i fall där någon av följande omständigheter föreligger: – Kunderna har inte i samband med insamlingen av de aktuella uppgifterna informerats om det berättigade intresse som behandlingen grundas på. – Behandlingen av de aktuella uppgifterna är inte absolut nödvändig för att tillgodose det angivna berättigade intresset. – Kundernas grundläggande fri- och rättigheter får, vid en intresseavvägning utifrån samtliga relevanta omständigheter, anses väga tyngre än det angivna berättigade intresset, bland annat eftersom det finns en risk för diskriminering på grund av könsidentitet. 64 Mot bakgrund av det ovan anförda ska den första tolkningsfrågan besvaras enligt följande. Artikel 6.1 första stycket b och f, jämförd med artikel 5.1 c, i dataskyddsförordningen ska tolkas på följande sätt: – Ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, är varken objektivt sett oundgänglig eller väsentlig för att ett avtal ska kunna fullgöras korrekt och kan därmed inte anses vara nödvändig för att fullgöra det aktuella avtalet. – Ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, kan inte anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i fall där någon av följande omständigheter föreligger: – Kunderna har inte i samband med insamlingen av de aktuella uppgifterna informerats om det berättigade intresse som behandlingen grundas på. – Behandlingen av de aktuella uppgifterna är inte absolut nödvändig för att tillgodose det angivna berättigade intresset. – Kundernas grundläggande fri- och rättigheter får, vid en intresseavvägning utifrån samtliga relevanta omständigheter, anses väga tyngre än det angivna berättigade intresset, bland annat eftersom det finns en risk för diskriminering på grund av könsidentitet. Den andra frågan 65 Den hänskjutande domstolen har ställt sin andra fråga för att få klarhet i huruvida artikel 6.1 första stycket f i dataskyddsförordningen ska tolkas på så sätt att det, vid bedömningen av om en personuppgiftsbehandling som stöder sig på den bestämmelsen uppfyller kravet på nödvändighet, ska beaktas att den registrerade eventuellt har rätt att göra invändningar mot behandlingen enligt artikel 21 i förordningen. 66 EU-domstolen gör i denna del följande bedömning. Av artikel 21.1 i dataskyddsförordningen framgår att den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ska ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 första stycket e eller f i förordningen, inbegripet profilering som grundar sig på dessa bestämmelser. Vidare framgår att om den registrerade invänder mot behandlingen, så får den personuppgiftsansvarige endast fortsätta att behandla uppgifterna om denne kan visa att det finns tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen och fri- och rättigheter eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk. 67 En förutsättning för att artikel 21 i dataskyddsförordningen ska vara tillämplig, och därmed för att den registrerade eventuellt ska ha rätt att göra invändningar, är att den aktuella personuppgiftsbehandlingen är laglig, det vill säga att den i förevarande fall stödjer sig på artikel 6.1 första stycket f. Detta förutsätter i sin tur att personuppgiftsbehandlingen uppfyller kravet på absolut nödvändighet (se punkt 48 ovan). 68 Såsom generaladvokaten har påpekat i punkterna 80 och 82 i sitt förslag till avgörande framgår det således av de ovan nämnda bestämmelsernas ordalydelse och systematik att den registrerades eventuella möjlighet att utöva sin rätt att göra invändningar inte är en omständighet som får beaktas vid bedömningen av om en personuppgiftsbehandling av nu aktuellt slag är laglig och, i synnerhet, av om den är nödvändig. 69 Denna tolkning vinner stöd av det mål som eftersträvas med dataskyddsförordningen, vilket mot bakgrund av skäl 10 i förordningen är att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter med avseende på behandling av personuppgifter. En annan tolkning skulle nämligen medföra en försvagning av de krav som anges i artikel 6.1 första stycket f i dataskyddsförordningen genom att laglighetsgrunderna för den aktuella personuppgiftsbehandlingen skulle utvidgas, vilket skulle strida mot det i rättspraxis (se ovan punkt 27) fastslagna kravet på att denna bestämmelse ska tolkas restriktivt. 70 Mot bakgrund av det ovan anförda ska den andra tolkningsfrågan besvaras enligt följande. Artikel 6.1 första stycket f i dataskyddsförordningen ska tolkas på så sätt att det, vid bedömningen av om en personuppgiftsbehandling som stöder sig på den bestämmelsen uppfyller kravet på nödvändighet, inte ska beaktas att den registrerade eventuellt har rätt att göra invändningar mot behandlingen enligt artikel 21 i förordningen. Rättegångskostnader 71 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla. Mot denna bakgrund beslutar domstolen (första avdelningen) följande: 1) Artikel 6.1 första stycket b och f, jämförd med artikel 5.1 c, i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas på följande sätt: – Ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, är varken objektivt sett oundgänglig eller väsentlig för att ett avtal ska kunna fullgöras korrekt och kan därmed inte anses vara nödvändig för att fullgöra det aktuella avtalet. – Ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, kan inte anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i fall där någon av följande omständigheter föreligger: – Kunderna har inte i samband med insamlingen av de aktuella uppgifterna informerats om det berättigade intresse som behandlingen grundas på. – Behandlingen av de aktuella uppgifterna är inte absolut nödvändig för att tillgodose det angivna berättigade intresset. – Kundernas grundläggande fri- och rättigheter får, vid en intresseavvägning utifrån samtliga relevanta omständigheter, anses väga tyngre än det angivna berättigade intresset, bland annat eftersom det finns en risk för diskriminering på grund av könsidentitet. 2) Artikel 6.1 första stycket f i förordning 2016/679 ska tolkas på följande sätt: Vid bedömningen av om en personuppgiftsbehandling som stöder sig på den bestämmelsen uppfyller kravet på nödvändighet ska det inte beaktas att den registrerade eventuellt har rätt att göra invändningar mot behandlingen enligt artikel 21 i förordningen. Underskrifter * Rättegångsspråk: franska.