–

za Mousse: E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans a D. Holemans, advocaten,

–

za SNCF Connect: E. Drouard, J.-J. Gatineau a A. Ligot, avocats,

–

za francouzskou vládu: R. Bénard, B. Dourthe a B. Fodda, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 5 odst. 1 písm. c), čl. 6 odst. 1 prvního pododstavce písm. b) a f), jakož i článku 21 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi Mousse, sdružením, a Commission nationale de l’informatique et des libertés (Národní komise pro informatiku a svobody, CNIL) (Francie), jehož předmětem je zamítnutí stížnosti podané sdružením Mousse ohledně zpracování údajů o oslovení zákazníků při on-line prodeji jízdenek společností SNCF Connect.

3

V bodech 1, 4, 10, 47 a 75 odůvodnění GDPR je uvedeno:

[…]

[…]

[…]

[…]

4

Článek 1 tohoto nařízení, nadepsaný „Předmět a cíle“, v odstavci 2 stanoví:

„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“

5

Článek 2 odst. 1 uvedeného nařízení uvádí:

„Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.“

6

Článek 4 téhož nařízení, nadepsaný „Definice“, stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“

7

Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

„1.   Osobní údaje musí být:

[…]

[…]“

8

Článek 6 tohoto nařízení, nadepsaný „Zákonnost zpracování“, v odstavci 1 stanoví:

„Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

[…]“

9

Článek 13 uvedeného nařízení, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, stanoví:

„1.   Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

[…]

[…]“

10

Článek 21 téhož nařízení, nadepsaný „Právo vznést námitku“, v odstavci 1 stanoví:

„Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.“

11

Účelem směrnice Rady 2004/113/ES ze dne 13. prosince 2004, kterou se zavádí zásada rovného zacházení s muži a ženami v přístupu ke zboží a službám a jejich poskytování (Úř. věst. 2004, L 373, s. 37), je podle jejího článku 1 stanovit rámec pro boj proti diskriminaci na základě pohlaví v přístupu ke zboží a službám a jejich poskytování s cílem zavést v členských státech zásadu rovného zacházení s muži a ženami.

12

Článek 8 loi no 78–17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (zákon č. 78–17 ze dne 6. ledna 1978 o výpočetní technice, evidencích a svobodách) (JORF ze dne 7. ledna 1978, s. 227), ve znění použitelném na spor v původním řízení, stanoví:

„I A. [CNIL] je nezávislým správním orgánem.

I. Je vnitrostátním dohledovým orgánem ve smyslu a pro účely uplatňování [GDPR]. Plní tyto úkoly:

[…]

2° Zajišťuje, aby zpracování osobních údajů bylo prováděno v souladu s ustanoveními tohoto zákona a s ostatními ustanoveními o ochraně osobních údajů zakotvenými právními a správními předpisy, unijním právem […] a mezinárodními závazky [Francouzské republiky].

Z tohoto titulu:

[…]

13

Společnost SNCF Connect prodává prostřednictvím svých internetových stránek a on-line aplikací přepravní doklady pro železniční přepravu, jako jsou vlakové jízdenky, časové jízdenky a slevové karty. Zákazníci tohoto podniku jsou při nákupu těchto přepravních dokladů povinni na těchto internetových stránkách nebo v těchto on-line aplikacích uvést své oslovení zaškrtnutím údaje „pan“ nebo „paní“.

14

Vzhledem k tomu, že sdružení Mousse mělo za to, že podmínky shromažďování a zaznamenávání údajů o oslovení těchto zákazníků nejsou v souladu s požadavky GDPR, podalo proti společnosti SNCF Connect stížnost k CNIL. Na podporu této stížnosti sdružení Mousse tvrdilo, že shromažďování těchto údajů není v souladu se zásadou zákonnosti, jak je zakotvena v čl. 5 odst. 1 písm. a) GDPR, protože se neopírá o žádný z důvodů stanovených v čl. 6 odst. 1 GDPR. Mimoto takové shromažďování porušilo zásadu minimalizace údajů uvedenou v čl. 5 odst. 1 písm. c) GDPR, jakož i zejména povinnosti transparentnosti a informační povinnost, které plynou z článku 13 GDPR.

15

Rozhodnutím ze dne 23. března 2021 měla CNIL za to, že skutky vytýkané společnosti SNCF Connect nejsou porušeními uvedených ustanovení GDPR a že je třeba přistoupit k ukončení řízení o uvedené stížnosti. Na podporu tohoto rozhodnutí CNIL konstatovala, že zpracování údajů dotčené ve věci v původním řízení je na základě čl. 6 odst. 1 prvního pododstavce písm. b) GDPR zákonné, a to z důvodu, že je nezbytné pro splnění dotyčné smlouvy o poskytnutí přepravních služeb. CNIL mimoto uvedla, že s ohledem na svoje účely je toto zpracování v souladu se zásadou minimalizace údajů, jelikož obracet se na zákazníky personalizovaným způsobem s využitím jejich oslovení odpovídá zvyklostem v oblasti obchodních, občanských a správních sdělení.

16

Dne 21. května 2021 napadlo sdružení Mousse toto rozhodnutí CNIL žalobou na neplatnost u Conseil d’État (Státní rada, Francie), která je předkládajícím soudem. V žalobě sdružení Mousse zejména tvrdí, že povinnost zaškrtnout údaj „pan“ nebo „paní“ při nákupu on-line neodpovídá zásadě zákonnosti zakotvené v čl. 5 odst. 1 písm. a) GDPR, ani zásadě minimalizace údajů uvedené v čl. 5 odst. 1 písm. c) GDPR, jelikož tento údaj není nezbytný pro splnění smlouvy o poskytnutí přepravních služeb, ani pro účely oprávněných zájmů společnosti SNCF Connect. Skutečnost, že údaje této povahy jsou použity v obchodní korespondenci, nemůže stačit k tomu, aby byla taková povinnost nezbytná. Taková povinnost může konečně porušovat právo cestovat bez sdělování vlastního oslovení, právo na respektování soukromého života a svobodu volně vymezit své genderové vyjádření a vyvolala by riziko diskriminace. Pokud jde o státní příslušníky států, v jejichž evidencích obyvatel se připouští „neutrální gender“, neodpovídá tento údaj skutečnosti a může porušovat zejména jejich svobodu pohybu zaručenou unijním právem.

17

CNIL navrhuje, aby byla tato žaloba zamítnuta, přičemž tvrdí, že zpracování údajů o oslovení může být kvalifikováno jako nezbytné i pro účely oprávněných zájmů sledovaných společností SNCF Connect na základě čl. 6 odst. 1 prvního pododstavce písm. f) GDPR a že subjekty údajů mohou dle konkrétní situace uplatnit právo vznést námitku, které je zaručeno v článku 21 GDPR.

18

V tomto kontextu si předkládající soud zejména klade otázku, zda lze pro účely posuzování nezbytnosti zpracování údajů dotčených v původním řízení zohlednit zvyklosti v oblasti obchodních, občanských a správních sdělení, takže by shromažďování údajů o oslovení zákazníků omezené na údaje „pan“ nebo „paní“ mohlo být zákonné a v souladu se zásadou minimalizace údajů. Tento soud si mimo jiné klade otázku, zda je za účelem posuzování nezbytnosti tohoto povinného shromažďování a následného zpracování údajů o oslovení zákazníků, i když někteří z nich mají za to, že nespadají do rámce žádného z obou těchto oslovení, třeba zohlednit, že tito zákazníci mohou poté, co tyto údaje poskytli správci za účelem využití dotyčné služby, vykonat právo vznést námitku proti použití těchto údajů z důvodů týkajících se jejich konkrétní situace ve smyslu článku 21 GDPR.

19

Za těchto podmínek se Conseil d’État (Státní rada) rozhodla přerušit řízení a předložit Soudnímu dvoru následující předběžné otázky:

20

Podstatou první otázky předkládajícího soudu je, zda čl. 6 odst. 1 první pododstavec písm. b) a f) GDPR ve spojení s čl. 5 odst. 1 písm. c) tohoto nařízení musí být vykládán v tom smyslu, že zpracování osobních údajů o oslovení zákazníků dopravního podniku, jehož účelem je personalizace obchodní komunikace na základě jejich genderové identity, může být považováno za nezbytné pro splnění smlouvy ve smyslu tohoto písmene b), nebo nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany ve smyslu tohoto písm. f).

21

Úvodem je třeba připomenout, že cíl sledovaný GDPR spočívá, jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, zejména v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů, zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU [rozsudek ze dne 4. října 2024, Schrems (Sdělení údajů široké veřejnosti),C‑446/21, EU:C:2024:834, bod 45 a citovaná judikatura].

22

V souladu s tímto cílem musí být každé zpracování osobních údajů zejména v souladu se zásadami zpracování takových údajů uvedenými v článku 5 tohoto nařízení a musí splňovat podmínky zákonnosti zpracování vyjmenované v článku 6 uvedeného nařízení (rozsudek ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 27 a citovaná judikatura).

23

Článek 5 odst. 1 písm. a) GDPR stanoví, že osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem.

24

Podle čl. 5 odst. 1 písm. c) tohoto nařízení, který zakotvuje zásadu minimalizace údajů, musí být tyto údaje rovněž přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány. Tato zásada je vyjádřením zásady proporcionality [v tomto smyslu viz rozsudek ze dne 4. října 2024, Schrems (Sdělení údajů široké veřejnosti), C‑446/21, EU:C:2024:834, body 49 a 50, jakož i citovaná judikatura].

25

Pokud jde o podmínky zákonnosti zpracování, Soudní dvůr rozhodl, že čl. 6 odst. 1 první pododstavec GDPR stanoví taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí tedy jít o některý z případů stanovených v tomto ustanovení (rozsudek ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 29 a citovaná judikatura).

26

Podle čl. 6 odst. 1 prvního pododstavce písm. a) GDPR je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu. Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 tohoto nařízení, může být takové zpracování přesto odůvodněné, pokud splňuje jeden z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) uvedeného nařízení [v tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, body 91 a 92].

27

V této souvislosti musí být důvody stanovené v posledně uvedeném ustanovení – jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů – vykládány restriktivně (rozsudek ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 31 a citovaná judikatura).

28

Kromě toho, jak rozhodl Soudní dvůr, je-li možné konstatovat, že zpracování osobních údajů je nezbytné s ohledem na některý z důvodů stanovených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, není třeba zjišťovat, zda se na toto zpracování vztahuje i nějaký další z těchto důvodů. V tomto ohledu je třeba upřesnit, že požadavek nezbytnosti týkající se zvoleného důvodu není naplněn, pokud lze cíle sledovaného tímto zpracováním přiměřeně dosáhnout stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv subjektů údajů, zejména pak do práva na respektování soukromého života a na ochranu osobních údajů, která jsou zaručena v článcích 7 a 8 Listiny; výjimky ze zásady ochrany takových údajů a její omezení přitom musí být činěny v mezích toho, co je naprosto nezbytné [v tomto smyslu viz rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 110 a citovaná judikatura, jakož i ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 94].

29

Konečně je třeba upřesnit, že podle čl. 13 odst. 1 písm. c) GDPR platí, že pokud jsou osobní údaje získány od subjektu údajů, je správce povinen informovat subjekt údajů o účelech zpracování, pro které jsou tyto údaje určeny, a o právním základu tohoto zpracování (rozsudek ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 33 a citovaná judikatura).

30

V projednávané věci je třeba poznamenat, že není zpochybňováno, že oslovení, které odpovídá mužské nebo ženské genderové identitě, může být kvalifikováno jako „osobní údaj“, pokud se týká identifikované osoby ve smyslu čl. 4 bodu 1 GDPR, a že tento údaj je předmětem „zpracování“ ve smyslu čl. 4 bodu 2 GDPR, jelikož je shromažďován a zaznamenáván společností SNCF Connect při on-line prodeji přepravních dokladů. Toto zpracování, které má kromě toho automatickou povahu, proto spadá do věcné působnosti tohoto nařízení na základě jeho čl. 2 odst. 1.

31

Kromě toho otázka předkládajícího soudu spočívá ve dvou předpokladech, a sice že zpracování údajů dotčené ve věci v původním řízení je prováděno bez souhlasu subjektů údajů ve smyslu čl. 4 bodu 11 a čl. 6 odst. 1 prvního pododstavce písm. a) GDPR a dále že toto zpracování není nezbytné pro splnění právní povinnosti, která se na správce vztahuje ve smyslu čl. 6 odst. 1 prvního pododstavce písm. c) GDPR. Položená otázka se tedy týká výlučně možnosti dovolávat se důvodů uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) a f) GDPR v rámci zpracování údajů dotčeného ve věci v původním řízení.

32

Článek 6 odst. 1 první pododstavec písm. b) GDPR stanoví, že zpracování osobních údajů je zákonné, je-li „nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů“.

33

V tomto ohledu k tomu, aby bylo zpracování osobních údajů považováno za nezbytné pro splnění smlouvy ve smyslu tohoto ustanovení, musí být objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného subjektu údajů. Správce tedy musí být schopen prokázat, proč by bez uvedeného zpracování nemohlo být dosaženo hlavního předmětu této smlouvy (rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 43, jakož i citovaná judikatura).

34

Skutečnost, že je takové zpracování zmíněno ve smlouvě nebo že je pouze užitečné pro její splnění, je sama o sobě v tomto ohledu irelevantní. Pro účely uplatnění důvodu uvedeného v čl. 6 odst. 1 prvním pododstavci písm. b) GDPR je totiž rozhodující, že zpracování osobních údajů prováděné správcem je zásadní pro správné splnění smlouvy uzavřené mezi správcem a subjektem údajů, a tudíž neexistují jiná proveditelná a méně omezující řešení (rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 44 a citovaná judikatura).

35

V tomto kontextu, pokud smlouva upravuje několik služeb nebo několik různých složek jedné služby, které mohou být poskytnuty nezávisle na sobě, musí být použitelnost čl. 6 odst. 1 prvního pododstavce písm. b) GDPR posuzována odděleně v kontextu každé z těchto služeb [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 100].

36

V projednávaném případě je nesporné, že hlavním předmětem smlouvy dotčené v původním řízení je poskytnutí služby železniční přepravy zákazníkům. Podle předkládajícího soudu je účelem zpracování údajů, o které se jedná ve věci v původním řízení, personalizace obchodní komunikace ve vztahu k zákazníkovi v souladu s obecně přijímanými zvyklostmi v této oblasti.

37

Jak v podstatě uvedl generální advokát v bodě 42 svého stanoviska, obchodní komunikace může představovat účel, který je nedílnou součástí dotyčného smluvního plnění, jelikož poskytování takové služby železniční přepravy v zásadě vyžaduje komunikaci se zákazníkem zejména za účelem zaslání přepravního dokladu elektronickými prostředky, informování jej o případných změnách ovlivňujících příslušnou cestu, jakož i umožnění přístupu k poprodejním službám. Tato komunikace může vyžadovat dodržení zvyklostí a zahrnovat zejména zdvořilostní výrazy, aby dotyčný podnik vyjádřil úctu svému zákazníkovi a zachoval si tak dobrou pověst.

38

Jeví se však, že taková komunikace nemusí být nezbytně personalizována na základě genderové identity dotyčného zákazníka. Podle judikatury se totiž personalizace obsahu nejeví jako nezbytná k nabízení služeb zákazníkovi, pokud mu tyto služby mohou být případně poskytovány ve formě rovnocenné alternativy nezahrnující takovou personalizaci, takže tato personalizace není objektivně nezbytná pro účel, který je nedílnou součástí uvedených služeb [v tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 102].

39

Pokud jde o služby dotčené ve věci v původním řízení, personalizace obchodní komunikace založená na předpokládané genderové identitě dle oslovení se nejeví být objektivně nezbytná ani zásadní pro správné splnění dotyčné smlouvy ve smyslu judikatury připomenuté v bodech 33 a 34 tohoto rozsudku.

40

Podle všeho totiž existuje proveditelné a méně omezující řešení, jelikož dotyčný podnik se může rozhodnout užívat v případě zákazníků, kteří si nepřejí uvádět své oslovení, nebo všeobecně komunikaci založenou na obecných a inkluzivních zdvořilostních formulacích bez spojitosti s předpokládanou genderovou identitou zákazníků. Jak ostatně uvedl generální advokát v bodech 49 a 50 svého stanoviska, s výhradou ověření předkládajícím soudem se jeví, že společnost SNCF Connect již takové formulace používá a uvedení nepřesného oslovení nemá vliv na poskytování dotčených přepravních služeb, což potvrzuje, že zpracování údajů dotčené ve věci v původním řízení není objektivně nezbytné pro splnění hlavního předmětu smlouvy.

41

V této souvislosti je třeba ještě upřesnit, že společnost SNCF Connect na jednání tvrdila, že zpracování údajů dotčené ve věci v původním řízení sledovalo druhý účel, a sice přizpůsobení přepravních služeb pro noční vlaky, zahrnující vozidla vyhrazená pro osoby se stejnou genderovou identitou, a pro asistenci cestujícím se zdravotním postižením. Podle společnosti SNCF Connect může tento účel přizpůsobení přepravních služeb vyžadovat, aby byla známa genderová identita dotyčných zákazníků.

42

Tento druhý účel přitom nemůže odůvodnit systematické a obecné zpracování údajů o oslovení všech zákazníků dotyčného podniku, včetně zákazníků, kteří denně cestují nebo nejsou zdravotně postiženi. Takové zpracování je totiž nepřiměřené, a z tohoto důvodu v rozporu se zásadou minimalizace údajů připomenutou v bodě 24 tohoto rozsudku, jelikož se mohlo omezit na údaje o genderové identitě pouze u těch zákazníků, kteří chtějí cestovat nočním vlakem nebo jim je poskytována osobní asistence z důvodu zdravotního postižení.

43

Článek 6 odst. 1 první pododstavec písm. b) GDPR ve spojení s jeho čl. 5 odst. 1 písm. c) musí být vykládán v tom smyslu, že zpracování osobních údajů o oslovení zákazníků dopravního podniku, jehož účelem je personalizace obchodní komunikace na základě jejich genderové identity, se nejeví být objektivně nezbytné ani podstatné pro umožnění správného splnění smlouvy, a tudíž nemůže být považováno za nezbytné pro splnění této smlouvy.

44

Článek 6 odst. 1 první pododstavec písm. f) GDPR stanoví, že zpracování osobních údajů je zákonné, pokud je „nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě“.

45

Podle ustálené judikatury stanoví toto ustanovení tři kumulativní podmínky pro to, aby byla zpracování osobních údajů zákonná, a to zaprvé sledování oprávněného zájmu správce nebo třetí strany, zadruhé nezbytnost zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu a zatřetí podmínku, aby před oprávněným zájmem správce nebo třetí strany neměly přednost zájmy nebo základní práva a svobody osoby, na kterou se vztahuje ochrana údajů [rozsudky ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 106, jakož i ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 37].

46

Pokud jde zaprvé o podmínku týkající se sledování oprávněného zájmu, je třeba upřesnit, že v souladu s čl. 13 odst. 1 písm. d) GDPR je na správci, aby v okamžiku, kdy jsou osobní údaje týkající se subjektu údajů od tohoto subjektu získány, sdělil uvedenému subjektu sledované oprávněné zájmy, pokud je toto zpracování založeno na čl. 6 odst. 1 prvním pododstavci písm. f) tohoto nařízení. Vzhledem k tomu, že GDPR neobsahuje definici pojmu „oprávněný zájem“, lze jako oprávněnou v zásadě považovat širokou škálu zájmů. Tento pojem se konkrétně neomezuje na zájmy zakotvené a definované zákonem [v tomto smyslu viz rozsudky ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 107, jakož i ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, body 38, 40 a 41, jakož i citovaná judikatura].

47

Z bodu 47 odůvodnění GDPR vyplývá, že takový oprávněný zájem by mohl být dán například v případě, kdy existuje relevantní a odpovídající vztah mezi subjektem údajů a správcem, například pokud je subjekt údajů zákazníkem správce.

48

Pokud jde zadruhé o podmínku týkající se nezbytnosti zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu a s ohledem na judikaturu připomenutou v bodě 28 tohoto rozsudku, je na předkládajícím soudu, aby ověřil, zda sledovaného oprávněného zájmu na zpracování údajů nemůže být rozumně dosaženo stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv a svobod subjektů údajů, přičemž takové zpracování musí být prováděno v mezích toho, co je nezbytně nutné pro uskutečnění tohoto oprávněného zájmu.

49

V této souvislosti je třeba rovněž připomenout, že podmínka nezbytnosti zpracování údajů musí být posuzována společně se zásadou minimalizace údajů zakotvenou v čl. 5 odst. 1 písm. c) GDPR, podle kterého musí být osobní údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 52, jakož i citovaná judikatura).

50

Nakonec, pokud jde zatřetí o podmínku, která se vztahuje k tomu, že zájmy nebo základní svobody a práva subjektu, na který se vztahuje ochrana údajů, nemají přednost před oprávněným zájmem správce nebo třetí strany, Soudní dvůr rozhodl, že tato podmínka zahrnuje vyvážení dotčených protichůdných práv a zájmů, které v zásadě závisí na konkrétních okolnostech každého jednotlivého případu, a je tedy na dotyčném předkládajícím soudu, aby toto vyvážení provedl s přihlédnutím k těmto specifickým okolnostem. Jak vyplývá z bodu 47 odůvodnění GDPR, zájmy a základní práva subjektu údajů by mohly mít přednost před zájmy správce údajů zejména tehdy, když ke zpracování osobních údajů dochází za okolností, kdy subjekty údajů takové zpracování důvodně neočekávají (v tomto smyslu viz rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, body 53 a 54, jakož i citovaná judikatura).

51

Ačkoli je v projednávaném případě v konečném důsledku na předkládajícím soudu, aby posoudil, zda jsou v souvislosti se zpracováním osobních údajů, o které se jedná ve věci v původním řízení, splněny tři podmínky připomenuté v bodě 45 tohoto rozsudku, Soudní dvůr může při rozhodování o předběžné otázce podat upřesnění, aby tomuto soudu poskytl vodítko při tomto určení (v tomto smyslu viz rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 55, jakož i citovaná judikatura).

52

Pokud jde o první podmínku uvedenou v bodě 46 tohoto rozsudku, bude na předkládajícím soudu, aby ověřil, zda společnost SNCF Connect informovala své zákazníky o oprávněném zájmu v souladu s čl. 13 odst. 1 písm. d) GDPR ve fázi shromažďování údajů dotčených ve věci v původním řízení. Jak uvedl generální advokát v bodě 58 svého stanoviska, toto ustanovení ukládá povinnost informovat přímo subjekty údajů o oprávněném zájmu sledovaném v okamžiku tohoto shromažďování, jinak by uvedené shromažďování nemohlo být odůvodněno na základě čl. 6 odst. 1 prvního pododstavce písm. f) tohoto nařízení. Spis, který má Soudní dvůr k dispozici, neumožňuje posoudit, zda byl tento požadavek ve věci v původním řízení dodržen.

53

V této souvislosti je třeba upřesnit, že společnost SNCF Connect v písemném vyjádření odkázala na účel přímého marketingu, pro který by mohla být nezbytná personalizace komunikace, a tudíž i zpracování údajů dotčené ve věci v původním řízení.

54

V tomto ohledu lze podle poslední věty bodu 47 odůvodnění GDPR zpracování osobních údajů pro účely přímého marketingu považovat za zpracování prováděné z důvodu oprávněného zájmu. Konkrétně personalizace reklamy může být v takovém kontextu postavena na roveň přímého marketingu [obdobně viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 115].

55

Pokud jde o druhou podmínku uvedenou v bodě 48 tohoto rozsudku, s výhradou ověření předkládajícím soudem se jeví, že personalizace obchodní komunikace může být omezena na zpracování příjmení a jmen zákazníků, přičemž jejich oslovení nebo jejich genderová identita je informací, která se v tomto kontextu nejeví být nezbytně nutná, zejména ve světle zásady minimalizace údajů.

56

Společnost SNCF Connect a francouzská vláda v písemných vyjádřeních tvrdí, že za účelem posouzení nezbytnosti zpracování osobních údajů je třeba zohlednit společenské zvyklosti a konvence vlastní každému členskému státu, konkrétně v zájmu zachování jazykové a kulturní rozmanitosti uvedené v bodě 4 odůvodnění GDPR. Je však třeba uvést, že čl. 6 odst. 1 první pododstavec písm. f) GDPR nestanoví, že mají být za účelem posouzení nezbytnosti takového zpracování zohledněny společenské zvyklosti a konvence, přičemž je třeba upřesnit, že tento článek musí být vykládán restriktivně, jak bylo připomenuto v bodě 27 tohoto rozsudku.

57

Kromě toho se nejeví, že by nezpracování údajů o oslovení nebo genderové identitě dotyčných zákazníků mohlo tuto rozmanitost ovlivnit. Jak totiž vyplývá z bodu 40 tohoto rozsudku, správce může dodržovat tyto společenské zvyklosti a konvence tím, že bude užívat v případě zákazníků, kteří si nepřejí uvádět své oslovení, nebo všeobecně, obecné a inkluzivní zdvořilostní formulace bez spojitosti s genderovou identitou těchto zákazníků, takže argumentace společnosti SNCF Connect a francouzské vlády nemůže v žádném případě obstát.

58

Pokud jde o třetí podmínku uvedenou v bodě 50 tohoto rozsudku a vyvažování dotčených protichůdných práv a zájmů, a sice práv a zájmů správce na straně jedné a práv a zájmů subjektu údajů na straně druhé, je třeba zohlednit mimo jiné rozumné očekávání subjektu údajů a rozsah dotyčného zpracování a jeho dopad na tuto osobu [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 116].

59

Jak v podstatě uvedl generální advokát v bodě 70 svého stanoviska, s výhradou ověření předkládajícím soudem by zákazník dopravního podniku neměl očekávat, že údaje o jeho oslovení nebo jeho genderové identitě budou tímto podnikem zpracovávány v souvislosti s nákupem přepravního dokladu. Tak by tomu bylo zejména v případě, kdy by toto zpracování bylo prováděno výlučně pro účely přímého marketingu.

60

Oprávněný zájem na přímém marketingu nemůže v žádném případě převážit, pokud existuje riziko porušení základních práv a svobod subjektu údajů. Jak totiž vyplývá z bodu 75 odůvodnění GDPR, různě pravděpodobná a závažná rizika pro práva a svobody fyzických osob mohou vyplynout ze zpracování osobních údajů, které by mohlo vést k fyzické, hmotné nebo nehmotné újmě, zejména v případech, kdy by takové zpracování mohlo vést k diskriminaci.

61

V tomto kontextu bude zejména příslušet předkládajícímu soudu, aby ověřil existenci rizika diskriminace na základě genderové identity tvrzeného sdružením Mousse, a to zejména ve světle směrnice 2004/113, která zavádí zásadu rovného zacházení s muži a ženami v přístupu ke zboží a službám a jejich poskytování.

62

V tomto ohledu je třeba upřesnit, že působnost této směrnice nemůže být omezena pouze na diskriminaci vyplývající z příslušnosti k jednomu či druhému pohlaví. Vzhledem ke svému předmětu a povaze práv, která má chránit, se uvedená směrnice použije rovněž na diskriminaci, která má původ ve změně genderové identity osoby (obdobně viz rozsudek ze dne 27. dubna 2006, Richards, C‑423/04, EU:C:2006:256, bod 24 a citovaná judikatura).

63

Proto musí být čl. 6 odst. 1 první pododstavec písm. f) GDPR ve spojení s čl. 5 odst. 1 písm. c) tohoto nařízení vykládán v tom smyslu, že zpracování osobních údajů o oslovení zákazníků dopravního podniku, jehož účelem je personalizace obchodní komunikace na základě jejich genderové identity, nemůže být považováno za nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, pokud

64

S ohledem na všechny výše uvedené úvahy je třeba na první otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. b) a f) GDPR ve spojení s čl. 5 odst. 1 písm. c) tohoto nařízení musí být vykládán v tom smyslu, že

65

Druhou otázkou se předkládající soud v podstatě snaží zjistit, zda čl. 6 odst. 1 první pododstavec písm. f) GDPR musí být vykládán v tom smyslu, že pro účely posuzování nezbytnosti zpracování osobních údajů ve smyslu tohoto ustanovení je třeba zohlednit existenci případného práva subjektu údajů vznést námitku na základě článku 21 GDPR.

66

Článek 21 odst. 1 GDPR stanoví, že subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 prvního pododstavce písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro takové zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.

67

Použitelnost článku 21 GDPR, a tudíž případná existence práva vznést námitku předpokládají existenci zákonného zpracování založeného v projednávaném případě na čl. 6 odst. 1 prvním pododstavci písm. f) tohoto nařízení. Aby přitom bylo takové zpracování zákonné, musí nejprve splňovat podmínku naprosté nezbytnosti uvedenou v bodě 48 tohoto rozsudku.

68

Jak uvedl generální advokát v bodech 80 a 82 svého stanoviska, ze znění a systematiky dotyčných ustanovení tedy vyplývá, že existenci práva vznést námitku nelze zohlednit pro účely posouzení zákonnosti a konkrétně nezbytnosti zpracování osobních údajů dotčeného ve věci v původním řízení.

69

Tento výklad je potvrzen cílem sledovaným GDPR, kterým je ve světle bodu 10 odůvodnění tohoto nařízení zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. Jakýkoli jiný výklad by totiž měl za následek oslabení požadavků stanovených v čl. 6 odst. 1 prvním pododstavci písm. f) GDPR, a to rozšířením důvodů zákonnosti dotyčného zpracování, ačkoli toto ustanovení musí být s ohledem na judikaturu připomenutou v bodě 27 tohoto rozsudku vykládáno restriktivně.

70

S ohledem na všechny výše uvedené úvahy je třeba na druhou otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. f) GDPR musí být vykládán v tom smyslu, že pro účely posuzování nezbytnosti zpracování osobních údajů ve smyslu tohoto ustanovení není namístě zohlednit existenci případného práva subjektu údajů vznést námitku na základě článku 21 GDPR.

71

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto: