–

Mousse ved avocat E. Deshoulières samt advocaten Y. El Kaddouri, M.J. Heymans og D. Holemans,

–

SNCF Connect ved avocats E. Drouard, J.-J. Gatineau og A. Ligot,

–

den franske regering ved R. Bénard, B. Dourthe og B. Fodda, som befuldmægtigede,

–

Europa-Kommissionen ved A. Bouchagiar og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 5, stk. 1, litra c), artikel 6, stk. 1, første afsnit, litra b) og f), og artikel 21 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem foreningen Mousse og Commission nationale de l’informatique et des libertés (den nationale kommission for databehandling og frihedsrettigheder, herefter »CNIL«, Frankrig) vedrørende denne kommissions afslag på en klage indgivet af Mousse vedrørende selskabet SNCF Connects behandling af oplysninger om sine kunders tiltaleform ved onlinekøb af transporthjemmel.

3

Følgende fremgår af 1., 4., 10., 47. og 75. betragtning til databeskyttelsesforordningen:

[...]

[...]

[...]

[...]

4

Denne forordnings artikel 1 med overskriften »Genstand og formål« bestemmer følgende i stk. 2:

»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«

5

Nævnte forordnings artikel 2, stk. 1, har følgende ordlyd:

»Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.«

6

Samme forordnings artikel 4 med overskriften »Definitioner« bestemmer følgende:

»I denne forordning forstås ved:

[...]

[...]

[...]«

7

Databeskyttelsesforordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter følgende:

»1.   Personoplysninger skal:

[...]

[...]«

8

Forordningens artikel 6 med overskriften »Lovlig behandling« bestemmer følgende i stk. 1:

»Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[...]«

9

Forordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« fastsætter følgende:

»1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

[...]

[...]«

10

Samme forordnings artikel 21 med overskriften »Ret til indsigelse« bestemmer følgende i stk. 1:

»Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.«

11

I henhold til artikel 1 i Rådets direktiv 2004/113/EF af 13. december 2004 om gennemførelse af princippet om ligebehandling af mænd og kvinder i forbindelse med adgang til og levering af varer og tjenesteydelser (EUT 2004, L 373, s. 37) er formålet med dette direktiv at fastlægge en ramme for bekæmpelse af forskelsbehandling på grund af køn i forbindelse med adgang til og levering af varer og tjenesteydelser med henblik på gennemførelse i medlemsstaterne af princippet om ligebehandling af mænd og kvinder.

12

Artikel 8 i loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (lov nr. 78-17 af 6.1.1978 om informationsteknologi, registre og frihedsrettigheder, JORF af 7.1.1978, s. 227) i den affattelse, der finder anvendelse på tvisten i hovedsagen, bestemmer følgende:

»I A. [CNIL] er en uafhængig forvaltningsmyndighed.

I. Den er national tilsynsmyndighed som omhandlet i [databeskyttelsesforordningen] og med henblik på anvendelsen af denne forordning. Den varetager følgende opgaver:

[...]

2° Den fører tilsyn med, at behandlingen af personoplysninger gennemføres i overensstemmelse med denne lovs bestemmelser og andre bestemmelser om beskyttelse af personoplysninger, som er fastsat i lovgivningsmæssige og administrative tekster, EU-retten og [Den Franske Republiks] internationale forpligtelser.

Som sådan:

[...]

13

Selskabet SNCF Connect sælger rejsehjemmel til jernbanetransport såsom togbilletter, abonnementer og rabatkort via sit websted og sine onlineapplikationer. Det er obligatorisk for virksomhedens kunder at angive deres tiltaleform ved at vælge betegnelsen »hr.« eller »fru«, når de køber den pågældende rejsehjemmel på dette websted eller via disse onlineapplikationer.

14

Mousse var af den opfattelse, at de vilkår, hvorunder oplysningerne vedrørende disse kunders tiltaleform blev indsamlet og registreret, ikke var i overensstemmelse med databeskyttelsesforordningens krav, og foreningen indgav derfor en klage til CNIL over SNCF Connect. Til støtte for denne klage gjorde Mousse gældende, at indsamlingen af de omhandlede oplysninger ikke var i overensstemmelse med det princip om lovlig behandling, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra a), eftersom den ikke var baseret på et af de grundlag for behandling, der er anført i forordningens artikel 6, stk. 1. Desuden tilsidesatte en sådan indsamling princippet om dataminimering som omhandlet i databeskyttelsesforordningens artikel 5, stk. 1, litra c), og navnlig de forpligtelser til gennemsigtighed og oplysning, der følger af forordningens artikel 13.

15

I en afgørelse af 23. marts 2021 lagde CNIL til grund, at de forhold, som blev bebrejdet SNCF Connect, ikke udgjorde overtrædelser af de omhandlede bestemmelser i databeskyttelsesforordningen, og at behandlingen af klagen kunne afsluttes. Til støtte for denne afgørelse anførte CNIL, at behandlingen af de i hovedsagen omhandlede oplysninger var lovlig i henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), idet den var nødvendig af hensyn til opfyldelsen af den pågældende kontrakt om levering af transportydelser. CNIL anførte desuden, at en sådan behandling, henset til dens formål, var i overensstemmelse med princippet om dataminimering, eftersom den omstændighed, at virksomheden henvendte sig personligt til kunderne ved anvendelse af deres tiltaleform, svarede til praksis inden for forretningsmæssig, civil og administrativ kommunikation.

16

Den 21. maj 2021 anlagde Mousse sag ved Conseil d’État (øverste domstol i forvaltningsretlige sager, Frankrig), der er den forelæggende ret, med påstand om annullation af CNIL’s afgørelse. I stævningen gjorde Mousse bl.a. gældende, at forpligtelsen til at vælge betegnelsen »hr.« eller »fru« ved onlinekøb hverken er i overensstemmelse med princippet om lovlighed som fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra a), eller princippet om dataminimering som omhandlet i forordningens artikel 5, stk. 1, litra c), idet denne betegnelse ikke er nødvendig for at opfylde en kontrakt om levering af transporttjenester og heller ikke for, at SNCF Connect kan forfølge en legitim interesse. Den omstændighed, at betegnelser af denne art anvendes i handelskorrespondance, kan ikke være tilstrækkelig til at gøre en sådan forpligtelse nødvendig. Endelig kan en sådan forpligtelse medføre et indgreb i retten til at rejse uden at meddele sin tiltaleform, retten til respekt for privatlivet og retten til frit at fastlægge sit kønsudtryk samt medføre risiko for forskelsbehandling. Hvad angår statsborgere i stater, hvor myndighederne anerkender et »neutralt køn«, vil denne betegnelse ikke svare til virkeligheden og vil kunne gøre indgreb i bl.a. deres frie bevægelighed, som er sikret ved EU-retten.

17

CNIL har nedlagt påstand om frifindelse og herved gjort gældende, at behandlingen af oplysninger om tiltaleform ligeledes kan anses for »nødvendig« for, at SNCF Connect kan forfølge legitime interesser som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), og at de registrerede – alt efter deres særlige situation – kan udøve retten til indsigelse som sikret ved databeskyttelsesforordningens artikel 21.

18

På denne baggrund er den forelæggende ret bl.a. i tvivl om, hvorvidt der ved vurderingen af, om behandlingen af de i hovedsagen omhandlede oplysninger er nødvendig, kan tages hensyn til praksis inden for forretningsmæssig, civil og forvaltningsmæssig kommunikation, således at indsamling af oplysninger om kundernes tiltaleform, der er begrænset til betegnelserne »hr.« eller »fru«, kan anses for at være lovlig og i overensstemmelse med princippet om dataminimering. Den forelæggende ret er desuden i tvivl om, hvorvidt det med henblik på vurderingen af nødvendigheden af denne obligatoriske indsamling og den efterfølgende behandling af oplysninger om kundernes tiltaleform – idet visse kunder ikke anser sig selv for at være omfattet af nogen af de to tiltaleformer – skal tages i betragtning, at disse kunder, efter at have afgivet disse oplysninger til den dataansvarlige med henblik på at gøre brug af den pågældende tjenesteydelse, kan udøve deres ret til at gøre indsigelse mod brugen af sådanne oplysninger med henvisning til deres særlige situation som omhandlet i databeskyttelsesforordningens artikel 21.

19

På denne baggrund har Conseil d’État (øverste domstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

20

Med det første spørgsmål ønsker den forelæggende ret i det væsentlige oplyst, om databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b) og f), sammenholdt med denne forordnings artikel 5, stk. 1, litra c), skal fortolkes således, at behandling af personoplysninger vedrørende en transportvirksomheds kunders tiltaleform med henblik på en personlig tilpasning af den forretningsmæssige kommunikation baseret på kundernes kønsidentitet kan anses for at være nødvendig af hensyn til opfyldelse af en kontrakt som omhandlet i nævnte litra b) eller nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse som omhandlet i nævnte litra f).

21

Indledningsvis bemærkes, at det formål, der forfølges med databeskyttelsesforordningen, som det fremgår af forordningens artikel 1 samt første og tiende betragtning hertil, bl.a. består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til privatliv i forbindelse med behandlingen af personoplysninger, som er fastsat i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF (dom af 4.10.2024, Schrems (Videregivelse af oplysninger til offentligheden),C‑446/21, EU:C:2024:834, præmis 45 og den deri nævnte retspraksis).

22

I overensstemmelse med dette formål skal enhver behandling af personoplysninger bl.a. overholde de principper vedrørende behandling af sådanne oplysninger, der er fastsat i denne forordnings artikel 5, og opfylde de betingelser for lovlighed, der er anført i forordningens artikel 6 (dom af 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond,C-621/22, EU:C:2024:857, præmis 27 og den deri nævnte retspraksis).

23

Databeskyttelsesforordningens artikel 5, stk. 1, litra a), bestemmer, at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede.

24

I henhold til forordningens artikel 5, stk. 1, litra c), der fastsætter princippet om dataminimering, skal disse oplysninger ligeledes være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles. Dette princip er et udtryk af proportionalitetsprincippet (jf. i denne retning dom af 4.10.2024, Schrems (Videregivelse af oplysninger til offentligheden),C-446/21, EU:C:2024:834, præmis 49 og 50 og den deri nævnte retspraksis).

25

Hvad angår betingelserne for lovlig behandling fastsætter databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, således som Domstolen har fastslået, en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. For at kunne anses for at være lovlig skal behandlingen således være omfattet af et af de tilfælde, som er omhandlet i denne bestemmelse (dom af 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond,C-621/22, EU:C:2024:857, præmis 29 og den deri nævnte retspraksis).

26

I medfør af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), er behandling af personoplysninger lovlig, såfremt og i det omfang den registrerede har givet samtykke til et eller flere specifikke formål. Når der ikke foreligger et sådant samtykke, eller når samtykket ikke er blevet givet frivilligt, specifikt, informeret og utvetydigt som omhandlet i denne forordnings artikel 4, nr. 11), kan en sådan behandling alligevel være begrundet, hvis den opfylder et af de krav om nødvendighed, der er omtalt i denne forordnings i artikel 6, stk. 1, første afsnit, litra b)-f) (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 91 og 92).

27

I denne henseende skal de begrundelser, der er fastsat i sidstnævnte bestemmelse, fortolkes indskrænkende, for så vidt som de giver mulighed for at gøre en behandling af personoplysninger, som foretages uden den registreredes samtykke, lovlig (dom af 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond,C-621/22, EU:C:2024:857, præmis 31 og den deri nævnte retspraksis).

28

Som Domstolen har fastslået, er det, når det kan fastslås, at en behandling af personoplysninger er nødvendig i lyset af en af de begrundelser, der er fastsat i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b)-f), endvidere ikke nødvendigt at afgøre, om denne behandling ligeledes henhører under en anden af disse begrundelser. Det skal i denne henseende præciseres, at det krav om nødvendighed, der er forbundet med den anførte begrundelse, ikke er opfyldt, når det mål, der forfølges med behandlingen, med rimelighed ville kunne nås lige så godt på en anden måde, som er mindre indgribende i de registreredes grundlæggende rettigheder, navnlig den ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8, idet undtagelser og begrænsninger i princippet om beskyttelse af sådanne oplysninger skal holdes inden for det strengt nødvendige (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint),C-439/19, EU:C:2021:504, præmis 110 og den deri nævnte retspraksis, og af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 94).

29

Det skal endelig præciseres, at når personoplysningerne indsamles hos den registrerede, påhviler det i henhold til databeskyttelsesforordningens artikel 13, stk. 1, litra c), den dataansvarlige at oplyse vedkommende om formålene med den behandling, som disse oplysninger skal bruges til, og retsgrundlaget for behandlingen (dom af 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond,C-621/22, EU:C:2024:857, præmis 33 og den deri nævnte retspraksis).

30

I det foreliggende tilfælde bemærkes, at det ikke bestrides, at tiltaleformen svarende til maskulin eller feminin kønsidentitet kan kvalificeres som en »personoplysning«, når den vedrører en identificeret person som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), og at denne oplysning gøres til genstand for »behandling« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2), for så vidt som den indsamles og registreres af SNCF Connect i forbindelse med onlinesalg af rejsehjemmel. Følgelig hører denne behandling – som i øvrigt har en automatisk karakter – under denne forordnings materielle anvendelsesområde i henhold til dens artikel 2, stk. 1.

31

Desuden er den forelæggende rets spørgsmål baseret på to forudsætninger, nemlig for det første, at den i hovedsagen omhandlede behandling af oplysninger foretages uden de registreredes samtykke som omhandlet i databeskyttelsesforordningens artikel 4, nr. 11), og artikel 6, stk. 1, første afsnit, litra a), og for det andet, at denne behandling ikke er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c). Det stillede spørgsmål går således udelukkende på, om de begrundelser, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b) og f), kan gøres gældende i forbindelse med den i hovedsagen omhandlede behandling af oplysninger.

32

Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), bestemmer, at behandling af personoplysninger er lovlig, hvis behandlingen er »nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt«.

33

I denne henseende skal behandlingen af personoplysninger, for at den kan anses for at være nødvendig af hensyn til opfyldelse af en kontrakt som omhandlet i denne bestemmelse, være objektivt uundværlig for at gennemføre et formål, som er en integrerende del af den kontraktlige ydelse til den registrerede. Den dataansvarlige for denne behandling skal således kunne påvise, på hvilken måde denne kontrakts hovedformål ikke vil kunne opfyldes uden den pågældende behandling (dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 43 og den deri nævnte retspraksis).

34

Den omstændighed, at en sådan behandling omtales i kontrakten, eller at den alene er nyttig med henblik på opfyldelsen heraf, er i sig selv uden betydning i denne henseende. Den afgørende faktor med henblik på anvendelsen af begrundelsen i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), er nemlig, at den dataansvarliges behandling af personoplysninger er væsentlig for at kunne opfylde den kontrakt, som er indgået mellem denne og den registrerede, korrekt, og dermed at der ikke findes andre mulige og mindre indgribende løsninger (dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 44 og den deri nævnte retspraksis).

35

I denne forbindelse skal spørgsmålet om anvendeligheden af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), når kontrakten består af flere særskilte tjenester eller aspekter af en tjeneste, der kan opfyldes uafhængigt af hinanden, vurderes særskilt inden for rammerne af hver enkelt af disse tjenester (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 100).

36

I det foreliggende tilfælde står det fast, at den i hovedsagen omhandlede kontrakts hovedformål er levering af en jernbanetransportydelse til kunderne. Ifølge den forelæggende ret er formålet med den i hovedsagen omhandlede behandling af oplysninger at kunne foretage en personlig tilpasning af den forretningsmæssige kommunikation i forhold til kunden under overholdelse af sædvanlig praksis på området.

37

Som generaladvokaten i det væsentlige har anført i punkt 42 i forslaget til afgørelse, kan den forretningsmæssige kommunikation udgøre et formål, som er en integrerende del af den pågældende kontraktlige ydelse, idet levering af en sådan jernbanetransportydelse principielt indebærer kommunikation med kunden med henblik på bl.a. at fremsende en transporthjemmel til denne elektronisk, at informere vedkommende om eventuelle ændringer af betydning for rejsen og at muliggøre korrespondance med kundeservice. Denne kommunikation kan nødvendiggøre iagttagelse af praksis og bl.a. indebære høflighedsfraser for at vise den pågældende virksomheds respekt for sine kunder og herved opretholde virksomhedens image.

38

En sådan kommunikation forekommer dog ikke nødvendigvis at skulle være personligt tilpasset efter den pågældende kundes kønsidentitet. Ifølge retspraksis ses den personlige tilpasning af indhold ikke at være nødvendig for at tilbyde en kunde tjenester, når disse tjenester eventuelt kan leveres til vedkommende i form af et tilsvarende alternativ, som ikke indebærer en sådan personlig tilpasning, hvorfor denne tilpasning ikke er objektivt uundværlig for et formål, der er en integrerende del af disse tjenester (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 102).

39

Med hensyn til de i hovedsagen omhandlede ydelser forekommer en personlig tilpasning af den forretningsmæssige kommunikation baseret på en ud fra tiltaleformen formodet kønsidentitet hverken at være objektivt uundværlig eller væsentlig for at kunne opfylde den pågældende kontrakt korrekt som omhandlet i den retspraksis, der er nævnt i denne doms præmis 33 og 34.

40

Der synes nemlig at være en mulig og mindre indgribende løsning, idet den pågældende virksomhed i forhold til de kunder, der ikke ønsker at angive deres tiltaleform, eller generelt kunne vælge kommunikation baseret på generiske, inkluderende høflighedsfraser uden sammenhæng med kundernes formodede kønsidentitet. Som generaladvokaten har anført i punkt 49 og 50 i forslaget til afgørelse, og med forbehold for den forelæggende rets efterprøvelse, forholder det sig tilsyneladende således, at SNCF Connect allerede anvender sådanne fraser, og at angivelse af en forkert tiltaleform desuden ikke har betydning for leveringen af de omhandlede transportydelser, hvilket synes at bekræfte, at den i hovedsagen omhandlede behandling af oplysninger ikke er objektivt uundværlig for at kunne opfylde kontraktens hovedformål.

41

I denne forbindelse skal det endvidere præciseres, at SNCF Connect i retsmødet har gjort gældende, at den i hovedsagen omhandlede behandling af oplysninger også forfølger et andet formål, nemlig at tilpasse transportydelserne til nattog, med vogne forbeholdt personer med samme kønsidentitet, og til bistand til passagerer med et handicap. Ifølge SNCF Connect kan dette formål om tilpasning af transportydelserne nødvendiggøre kendskab til de pågældende kunders kønsidentitet.

42

Dette andet formål kan imidlertid ikke begrunde den systematiske og generelle behandling af oplysninger om tiltaleformen for samtlige den omhandlede virksomheds kunder, herunder kunder, som rejser om dagen, eller som ikke har et handicap. En sådan behandling vil nemlig være uforholdsmæssig og derfor i strid med princippet om dataminimering, jf. denne doms præmis 24, idet den kunne have været begrænset til oplysninger vedrørende kønsidentiteten på alene de kunder, der ønsker at rejse med nattog eller benytte sig af personlig bistand på grund af et handicap.

43

Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), sammenholdt med denne forordnings artikel 5, stk. 1, litra c), skal derfor fortolkes således, at behandling af personoplysninger vedrørende en transportvirksomheds kunders tiltaleform med henblik på en personlig tilpasning af den forretningsmæssige kommunikation baseret på kundernes kønsidentitet hverken forekommer objektivt uundværlig eller væsentlig for at kunne opfylde en kontrakt korrekt, og den kan derfor ikke anses for at være nødvendig af hensyn til opfyldelsen af denne kontrakt.

44

Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), fastsætter, at behandling af personoplysninger er lovlig, hvis behandlingen er »nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn«.

45

Ifølge fast retspraksis fastsætter denne bestemmelse tre kumulative betingelser for, at de heri omhandlede behandlinger af personoplysninger er lovlige, nemlig for det første, at den dataansvarlige eller en tredjemand forfølger en legitim interesse, for det andet, at behandlingen af personoplysninger er nødvendig for at forfølge den legitime interesse, og for det tredje betingelsen om, at den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder ikke går forud for den dataansvarliges eller tredjemands legitime interesse (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 106, og af 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond,C-621/22, EU:C:2024:857, præmis 37).

46

For det første skal det med hensyn til betingelsen om, at der forfølges en legitim interesse, præciseres, at det følger af databeskyttelsesforordningens artikel 13, stk. 1, litra d), at det påhviler den dataansvarlige ved indsamlingen af personoplysninger hos den registrerede at oplyse den pågældende om de legitime interesser, som forfølges, hvis behandlingen er baseret på denne forordnings artikel 6, stk. 1, første afsnit, litra f). I mangel af en definition af begrebet »legitim interesse« i databeskyttelsesforordningen kan en bred vifte af interesser principielt anses for at være legitime. Navnlig er dette begreb ikke begrænset til de interesser, der er anerkendt og fastsat ved lov (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 107, og af 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond,C-621/22, EU:C:2024:857, præmis 38, 40 og 41 og den deri nævnte retspraksis).

47

Det fremgår således af 47. betragtning til databeskyttelsesforordningen, at sådanne legitime interesser f.eks. kan foreligge, når der er et relevant og passende forhold mellem den registrerede og den dataansvarlige, f.eks. hvis den registrerede er kunde hos den dataansvarlige.

48

Hvad for det andet angår betingelsen om, at behandlingen af personoplysninger er nødvendig for at virkeliggøre den forfulgte legitime interesse, og henset til den retspraksis, der er nævnt i denne doms præmis 28, påhviler det den forelæggende ret at efterprøve, om den legitime interesse, som forfølges med behandlingen af personoplysninger, ikke med rimelighed kan beskyttes lige så effektivt ved andre midler, som er mindre indgribende i de registreredes grundlæggende friheder og rettigheder, idet en sådan behandling skal holdes inden for det strengt nødvendige for at gennemføre denne legitime interesse.

49

Det skal i denne henseende ligeledes bemærkes, at betingelsen om behandlingens nødvendighed skal undersøges sammen med princippet om dataminimering i databeskyttelsesforordningens artikel 5, stk. 1, litra c), hvorefter personoplysningerne skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 52 og den deri nævnte retspraksis).

50

Hvad for det tredje endelig angår betingelsen om, at de interesser eller grundlæggende rettigheder og frihedsrettigheder, som tilkommer den person, der er omfattet af beskyttelsen af oplysninger, ikke går forud for den legitime interesse, som forfølges af den dataansvarlige eller tredjemand, har Domstolen fastslået, at denne betingelse indebærer en afvejning af de foreliggende modstående rettigheder og interesser, som principielt afhænger af de konkrete omstændigheder i det enkelte tilfælde, og at det følgelig tilkom den pågældende forelæggende ret at foretage denne afvejning under hensyn til disse konkrete omstændigheder. Som det fremgår af 47. betragtning til databeskyttelsesforordningen, kan den registreredes interesser og grundlæggende rettigheder navnlig gå forud for den dataansvarliges interesser, når personoplysninger behandles under omstændigheder, hvor de registrerede ikke med rimelighed forventer en sådan behandling (jf. i denne retning dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 53 og 54 og den deri nævnte retspraksis).

51

Selv om det i det foreliggende tilfælde i sidste ende tilkommer den forelæggende ret at vurdere, om de tre betingelser, der er nævnt i denne doms præmis 45, er opfyldt med hensyn til den i hovedsagerne omhandlede behandling af personoplysninger, kan Domstolen, når den træffer afgørelse i en præjudiciel sag, give nærmere oplysninger med henblik på at vejlede den forelæggende ret i dens afgørelse (jf. analogt dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 55 og den deri nævnte retspraksis).

52

Hvad angår den første betingelse, jf. denne doms præmis 46, tilkommer det den forelæggende ret at efterprøve, om SNCF Connect i overensstemmelse med databeskyttelsesforordningens artikel 13, stk. 1, litra d), over for sine kunder angav en legitim interesse på tidspunktet for indsamlingen af de i hovedsagen omhandlede oplysninger. Som generaladvokaten har fremhævet i punkt 58 i forslaget til afgørelse, kræver denne bestemmelse, at de registrerede direkte underrettes om den legitime interesse, der forfølges, på det tidspunkt, hvor oplysningerne indsamles, idet indsamlingen ellers ikke kan begrundes med henvisning til denne forordnings artikel 6 stk. 1, første afsnit, litra f). De sagsakter, som Domstolen råder over, gør det ikke muligt at vurdere, om dette krav er blevet overholdt i forbindelse med hovedsagen.

53

I denne forbindelse skal det præciseres, at SNCF Connect i sit skriftlige indlæg har henvist til et markedsføringsmæssigt formål, som kan nødvendiggøre personlig tilpasning af kommunikationen og følgelig behandlingen af de i hovedsagen omhandlede oplysninger.

54

I denne henseende er det i sidste punktum i 47. betragtning til databeskyttelsesforordningen anført, at behandling af personoplysninger til direkte markedsføring kan anses for at være foretaget i en legitim interesse. Personlig tilpasning af reklamer kan i særdeleshed sammenlignes med markedsføring i en sådan sammenhæng (jf. analogt dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 115).

55

Hvad angår den anden betingelse, jf. denne doms præmis 48, synes en personlig tilpasning af den forretningsmæssige kommunikation, med forbehold for den forelæggende rets efterprøvelse, at kunne begrænses til behandling af kundernes for- og efternavne, idet deres tiltaleform og/eller kønsidentitet er en oplysning, som ikke forekommer strengt nødvendig i denne sammenhæng, bl.a. i lyset af princippet om dataminimering.

56

SNCF Connect og den franske regering har i deres respektive skriftlige indlæg gjort gældende, at der ved vurderingen af nødvendigheden af en behandling af personoplysninger skal tages hensyn til den særlige praksis og de særlige sociale konventioner, der gælder i medlemsstaterne, særligt for at bevare den sproglige og kulturelle mangfoldighed som nævnt i fjerde betragtning til databeskyttelsesforordningen. Det skal imidlertid for det første bemærkes, at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), ikke fastsætter, at der skal tages hensyn til praksis og sociale konventioner ved bedømmelsen af, om en behandling er nødvendig, idet det skal præciseres, at denne artikel skal fortolkes indskrænkende, således som det er anført i denne doms præmis 27.

57

For det andet forekommer manglende behandling af oplysninger om de pågældende kunders tiltaleform eller kønsidentitet ikke at kunne berøre denne mangfoldighed. Som det fremgår af denne doms præmis 40, kan den dataansvarlige nemlig overholde denne praksis og disse sociale konventioner ved i forhold til de kunder, der ikke ønsker at angive deres tiltaleform, eller generelt at anvende generiske, inkluderende høflighedsfraser uden sammenhæng med disse kunders kønsidentitet, således at den af SNCF Connect og den franske regering fremførte argumentation under alle omstændigheder ikke kan tages til følge.

58

Hvad angår den tredje betingelse, jf. denne doms præmis 50, og afvejningen af de foreliggende modstridende rettigheder og interesser, dvs. henholdsvis den dataansvarliges og den registreredes rettigheder og interesser, skal der bl.a. tages hensyn til den registreredes rimelige forventninger samt til omfanget af den pågældende behandling og behandlingens indvirkning på denne person (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 116).

59

Som generaladvokaten i det væsentlige har anført i punkt 70 i forslaget til afgørelse, og med forbehold for den forelæggende rets efterprøvelse, kan en kunde hos en transportvirksomhed ikke antages at forvente, at denne virksomhed behandler oplysninger om vedkommendes tiltaleform eller kønsidentitet i forbindelse med et køb af rejsehjemmel. Dette ville navnlig være tilfældet, hvis behandlingen udelukkende blev foretaget i markedsføringsmæssigt øjemed.

60

Den legitime interesse vedrørende markedsføring kan under alle omstændigheder ikke have forrang, hvis der er risiko for, at den registreredes grundlæggende rettigheder eller frihedsrettigheder vil blive berørt. Som det fremgår af 75. betragtning til databeskyttelsesforordningen, kan risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling.

61

Det vil navnlig i denne sammenhæng tilkomme den forelæggende ret at efterprøve, om der foreligger den af Mousse anførte risiko for forskelsbehandling på grund af kønsidentitet, bl.a. i lyset af direktiv 2004/113, som gennemfører princippet om ligebehandling af mænd og kvinder i forbindelse med adgang til og levering af varer og tjenesteydelser.

62

Det skal i denne henseende præciseres, at dette direktivs anvendelsesområde ikke kan indskrænkes til blot at omfatte forskelsbehandling, som følger af, at den pågældende tilhører det ene eller det andet køn. Når henses til det nævnte direktivs formål og karakteren af de rettigheder, det tilsigter at beskytte, kan det også finde anvendelse på den forskelsbehandling, der udspringer af ændringen af en persons kønsidentitet (jf. analogt dom af 27.4.2006, Richards,C-423/04, EU:C:2006:256, præmis 24 og den deri nævnte retspraksis).

63

Følgelig skal databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), sammenholdt med denne forordnings artikel 5, stk. 1, litra c), fortolkes således, at behandling af personoplysninger vedrørende en transportvirksomheds kunders tiltaleform med henblik på en personlig tilpasning af den forretningsmæssige kommunikation baseret på kundernes kønsidentitet ikke kan anses for at være nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, når

64

Henset til samtlige ovenstående betragtninger skal det første spørgsmål besvares med, at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b) og f), sammenholdt med denne forordnings artikel 5, stk. 1, litra c), skal fortolkes således, at

65

Med det andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), skal fortolkes således, at det ved vurderingen af nødvendigheden af en behandling af personoplysninger i henhold til denne bestemmelse skal tages i betragtning, at den registrerede eventuelt har ret til at gøre indsigelse mod behandlingen i henhold til databeskyttelsesforordningens artikel 21.

66

Databeskyttelsesforordningens artikel 21, stk. 1, bestemmer, at den registrerede til enhver tid har ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på forordningens artikel 6, stk. 1, første afsnit, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

67

Anvendeligheden af databeskyttelsesforordningens artikel 21 og følgelig den eventuelle ret til at gøre indsigelse forudsætter, at der er tale om en lovlig behandling, der i det foreliggende tilfælde er baseret på denne forordnings artikel 6, stk. 1, første afsnit, litra f). En sådan behandling skal – for at være lovlig – først opfylde betingelsen om streng nødvendighed, jf. denne doms præmis 48.

68

Som generaladvokaten har anført i punkt 80 og 82 i forslaget til afgørelse, følger det således af de pågældende bestemmelsers ordlyd og opbygning, at den omstændighed, at der findes en ret til indsigelse, ikke kan tages i betragtning ved vurderingen af lovligheden og navnlig nødvendigheden af den i hovedsagen omhandlede behandling af personoplysninger.

69

Denne fortolkning bekræftes af det formål, der forfølges med databeskyttelsesforordningen, og som set i lyset af tiende betragtning hertil er at sikre et højt niveau for beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger. Enhver anden fortolkning ville nemlig bevirke en svækkelse af de krav, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), ved at udvide de forhold, som gør den pågældende behandling lovlig, selv om denne bestemmelse skal fortolkes indskrænkende henset til den retspraksis, der er nævnt i denne doms præmis 27.

70

Henset til samtlige ovenstående betragtninger skal det andet spørgsmål besvares med, at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), skal fortolkes således, at det ved vurderingen af nødvendigheden af en behandling af personoplysninger i henhold til denne bestemmelse ikke skal tages i betragtning, at den registrerede eventuelt har ret til at gøre indsigelse mod behandlingen i henhold til databeskyttelsesforordningens artikel 21.

71

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret: