–

en nombre de Mousse, por el Sr. É. Deshoulières, avocat, y la Sra. Y. El Kaddouri, el Sr. J. Heymans y la Sra. D. Holemans, advocaten;

–

en nombre de SNCF Connect, por los Sres. É. Drouard y J.‑J. Gatineau y por la Sra. A. Ligot, avocats;

–

en nombre del Gobierno francés, por el Sr. R. Bénard, la Sra. B. Dourthe y el Sr. B. Fodda, en calidad de agentes;

–

en nombre de la Comisión Europea, por los Sres. A. Bouchagiar y H. Kranenborg, en calidad de agentes;

1

La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 5, apartado 1, letra c), 6, apartado 1, párrafo primero, letras b) y f), y 21 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).

2

Esta petición se ha presentado en el contexto de un litigio entre la asociación Mousse y la Commission nationale de l’informatique et des libertés (CNIL) (Comisión Nacional de Informática y Libertades, Francia) en relación con la desestimación, por parte de esta última, de la reclamación presentada por Mousse en cuanto al tratamiento que la sociedad SNCF Connect realiza, con ocasión de la venta en línea de títulos de transporte, de datos relativos al término de cortesía con que dirigirse a sus clientes.

3

Según los considerandos 1, 4, 10, 47 y 75 del RGPD:

[…]

[…]

[…]

[…]

4

El artículo 1 de este Reglamento, titulado «Objeto», dispone lo siguiente en su apartado 2:

«El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.»

5

A tenor del artículo 2, apartado 1, de dicho Reglamento:

«El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.»

6

El artículo 4 de este Reglamento, con el título «Definiciones», tiene la siguiente redacción:

«A efectos del presente Reglamento se entenderá por:

[…]

[…]

[…]».

7

Según el artículo 5 del RGPD, titulado «Principios relativos al tratamiento»:

«1.   Los datos personales serán:

[…]

[…]».

8

El artículo 6 de dicho Reglamento, titulado «Licitud del tratamiento», establece lo siguiente en su apartado 1:

«El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

[…]»

9

El artículo 13 del referido Reglamento, titulado «Información que deberá facilitarse cuando los datos personales se obtengan del interesado», dispone:

«1.   Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

[…]

[…]».

10

El artículo 21 del mismo Reglamento, titulado «Derecho de oposición», establece en su apartado 1:

«El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.»

11

A tenor de su artículo 1, la Directiva 2004/113/CE del Consejo, de 13 de diciembre de 2004, por la que se aplica el principio de igualdad de trato entre hombres y mujeres al acceso a bienes y servicios y su suministro (DO 2004, L 373, p. 37), tiene por objeto crear un marco para combatir la discriminación sexual en el acceso a bienes y servicios y su suministro, con vistas a que entre en vigor en los Estados miembros el principio de igualdad de trato entre hombres y mujeres.

12

El artículo 8 de la loi no 78‑17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (Ley n.o 78‑17, de 6 de enero de 1978, relativa a la Informática, a los Ficheros y a las Libertades) (JORF de 7 de enero de 1978, p. 227), en su versión aplicable al litigio principal, dispone:

«I A. La [CNIL] es una autoridad administrativa independiente.

I. Es la autoridad nacional de control en el sentido y a efectos del [RGPD]. Tiene encomendadas las siguientes funciones:

[…]

2° Velar por que el tratamiento de los datos personales se efectúe de conformidad con las disposiciones de la presente Ley y las demás disposiciones en materia de protección de datos personales derivadas de los textos legislativos y reglamentarios, del Derecho de la Unión […] y de los compromisos internacionales de [la República Francesa].

Con este objetivo:

[…]

13

SNCF Connect vende títulos de transporte por ferrocarril, como billetes de tren, abonos de temporada y tarjetas de descuento, a través de su sitio de Internet y de aplicaciones en línea. Los clientes de esta empresa están obligados a indicar el término de cortesía con que dirigirse a ellos, marcando la indicación «Señor» o «Señora», al adquirir dichos títulos de transporte en ese sitio de Internet o en esas aplicaciones en línea.

14

Al considerar que las condiciones en las que se recogían y registraban los datos relativos al término de cortesía con que dirigirse a estos clientes no cumplían los requisitos del RGPD, Mousse presentó una reclamación contra SNCF Connect ante la CNIL. En apoyo de dicha reclamación, Mousse alegó que la recogida de estos datos no se ajustaba al principio de licitud, establecido en el artículo 5, apartado 1, letra a), del RGPD, ya que no se basaba en ninguna de las razones previstas en el artículo 6, apartado 1, del RGPD. Además, afirmaba que tal recogida violaba el principio de minimización de los datos, establecido en el artículo 5, apartado 1, letra c), del RGPD, y, en particular, las obligaciones de transparencia e información derivadas del artículo 13 del RGPD.

15

Mediante decisión de 23 de marzo de 2021, la CNIL consideró que los hechos que se reprochaban a SNCF Connect no constituían una infracción de las disposiciones pertinentes del RGPD y que procedía archivar el procedimiento de examen de dicha reclamación. Para fundamentar esta decisión, la CNIL declaró que el tratamiento de datos controvertido en el litigio principal era lícito, de conformidad con el artículo 6, apartado 1, párrafo primero, letra b), del RGPD, por ser necesario para la ejecución del contrato de prestación de servicios de transporte de que se trata. Además, la CNIL señaló que, habida cuenta de sus fines, dicho tratamiento era conforme con el principio de minimización de datos, ya que dirigirse a los clientes de manera personalizada utilizando el correspondiente término de cortesía responde a la práctica aceptada en el ámbito de las comunicaciones comerciales, civiles y administrativas.

16

El 21 de mayo de 2021, Mousse interpuso un recurso de anulación contra dicha decisión de la CNIL ante el Conseil d’État (Consejo de Estado, actuando como Tribunal Supremo de lo Contencioso-Administrativo, Francia), que es el órgano jurisdiccional remitente. En su demanda, Mousse alega, en particular, que la obligación de marcar la indicación «Señor» o «Señora» en una compra en línea no responde al principio de licitud consagrado en el artículo 5, apartado 1, letra a), del RGPD ni al principio de minimización de datos recogido en el artículo 5, apartado 1, letra c), de este, puesto que no considera dichas indicaciones necesarias para la ejecución de un contrato de prestación de servicios de transporte ni para los intereses legítimos de SNCF Connect. El hecho de que en la correspondencia comercial se utilicen indicaciones de esta naturaleza no basta para hacer necesaria tal obligación. Por último, a juicio de Mousse, una obligación de este tipo puede vulnerar el derecho a viajar sin revelar el término de cortesía correspondiente, el derecho al respeto de la vida privada y la libertad de definir libremente la expresión del género, además de entrañar un riesgo de discriminación. Añade que, en el caso de los nacionales de Estados donde el estado civil admite un «género neutro», esta indicación no responde a la realidad y puede menoscabar, en particular, su libertad de circulación, garantizada por el Derecho de la Unión.

17

La CNIL solicita que se desestime el recurso, alegando que el tratamiento de los datos relativos al término de cortesía también puede calificarse de necesario para la satisfacción de intereses legítimos de SNCF Connect, en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, y que los interesados pueden ejercer, en función de su situación particular, el derecho de oposición reconocido en el artículo 21 del RGPD.

18

En este contexto, el órgano jurisdiccional remitente se pregunta, en particular, si puede tenerse en cuenta, para apreciar la necesidad del tratamiento de los datos controvertidos en el litigio principal, la práctica aceptada en las comunicaciones comerciales, civiles y administrativas, de modo que la recogida de datos relativos al término de cortesía con que dirigirse a los clientes, que se limita a las indicaciones «Señor» o «Señora», podría ser lícita y conforme con el principio de minimización de datos. El tribunal remitente se pregunta, además, si, para apreciar la necesidad de esta recogida obligatoria y el posterior tratamiento de los datos relativos al término de cortesía con que dirigirse a los clientes, cuando algunos de ellos consideran que no les es aplicable ninguno de los dos términos de cortesía, debe tenerse en cuenta que, tras haber facilitado esos datos al responsable del tratamiento para disfrutar del servicio de que se trate, dichos clientes podrían ejercer su derecho de oposición al uso de tales datos, alegando su situación particular, en el sentido del artículo 21 del RGPD.

19

En estas circunstancias, el Conseil d’État (Consejo de Estado) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

20

Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente desea saber, en esencia, si el artículo 6, apartado 1, párrafo primero, letras b) y f), del RGPD, en relación con el artículo 5, apartado 1, letra c), de dicho Reglamento, debe interpretarse en el sentido de que el tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte, cuya finalidad es la personalización de la comunicación comercial basada en su identidad de género, puede considerarse necesario para la ejecución de un contrato, en el sentido de dicha letra b), o para la satisfacción de intereses legítimos perseguidos por el responsable de dicho tratamiento o por un tercero, en el sentido de dicha letra f).

21

Con carácter preliminar, procede recordar que el objetivo perseguido por el RGPD, tal como se desprende de su artículo 1 y de sus considerandos 1 y 10, consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 [sentencia de 4 de octubre de 2024, Schrems (Comunicación de datos al público en general), C‑446/21, EU:C:2024:834, apartado 45 y jurisprudencia citada].

22

De conformidad con este objetivo, todo tratamiento de datos personales deberá, en particular, cumplir los principios relativos al tratamiento de dichos datos establecidos en el artículo 5 del RGPD y satisfacer las condiciones de licitud enumeradas en el artículo 6 de dicho Reglamento (sentencia de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, apartado 27 y jurisprudencia citada).

23

El artículo 5, apartado 1, letra a), del RGPD dispone que los datos personales deben tratarse de manera lícita, leal y transparente en relación con el interesado.

24

A tenor del artículo 5, apartado 1, letra c), de dicho Reglamento, que establece el principio de minimización de datos, estos últimos deben ser también adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Este principio es un reflejo del principio de proporcionalidad [véase, en este sentido, la sentencia de 4 de octubre de 2024, Schrems (Comunicación de datos al público en general), C‑446/21, EU:C:2024:834, apartados 49 y 50 y jurisprudencia citada].

25

Por lo que respecta a las condiciones de licitud del tratamiento, como ha declarado el Tribunal de Justicia, el artículo 6, apartado 1, párrafo primero, del RGPD establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. Así pues, para poder ser considerado legítimo, el tratamiento de datos personales debe estar comprendido en alguno de los casos contemplados en esa disposición (sentencia de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, apartado 29 y jurisprudencia citada).

26

A tenor del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, el tratamiento de datos personales solo será lícito si el interesado dio su consentimiento para uno o varios fines específicos. A falta de tal consentimiento, o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, de este Reglamento, tal tratamiento puede estar, no obstante, justificado cuando cumple alguno de los requisitos de necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b) a f), del citado Reglamento [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartados 91y 92].

27

En este contexto, las justificaciones previstas en esta última disposición, en la medida en que permiten que un tratamiento de datos personales realizado sin el consentimiento del interesado sea lícito, deben ser objeto de una interpretación restrictiva (sentencia de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, apartado 31 y jurisprudencia citada).

28

Además, como ha declarado el Tribunal de Justicia, cuando un tratamiento de datos personales pueda considerarse necesario a la vista de alguna de las justificaciones previstas en el artículo 6, apartado 1, párrafo primero, letras b) a f), del RGPD, no es preciso determinar si también está comprendido en otra de esas justificaciones. Procede precisar, a este respecto, que el requisito de la necesidad correspondiente a la justificación invocada no se cumple cuando el objetivo perseguido por ese tratamiento de datos podría alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios respecto de los derechos fundamentales de los interesados, en particular respecto de los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta, puesto que las excepciones y restricciones al principio de protección de dichos datos deben establecerse sin sobrepasar los límites de lo estrictamente necesario [véanse, en este sentido, las sentencias de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico), C‑439/19, EU:C:2021:504, apartado 110 y jurisprudencia citada, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 94].

29

Por último, debe precisarse que, de conformidad con el artículo 13, apartado 1, letra c), del RGPD, cuando se obtengan de un interesado datos personales relativos a él, incumbe al responsable del tratamiento facilitarle los fines del tratamiento a que se destinan esos datos y su base jurídica (sentencia de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, apartado 33 y jurisprudencia citada).

30

En el caso de autos, procede observar que no se discute que el término de cortesía, que responde a una identidad de género masculina o femenina, puede calificarse de «dato personal» cuando se refiere a una persona identificada, en el sentido del artículo 4, punto 1, del RGPD, y que este dato es objeto de un «tratamiento», en el sentido del artículo 4, punto 2, del RGPD, en la medida en que SNCF Connect lo recoge y registra en el contexto de la venta en línea de títulos de transporte. Por consiguiente, este tratamiento, que, por otra parte, tiene carácter automatizado, está comprendido en el ámbito de aplicación material de dicho Reglamento, en virtud del artículo 2, apartado 1, de este.

31

Además, la cuestión prejudicial planteada por el órgano jurisdiccional remitente se basa en dos premisas, a saber, por una parte, que el tratamiento de datos controvertido en el litigio principal se efectúa sin el consentimiento de los interesados, en el sentido de los artículos 4, punto 11, y 6, apartado 1, párrafo primero, letra a), del RGPD, y, por otra parte, que dicho tratamiento no es necesario para el cumplimiento de ninguna obligación legal aplicable al responsable del tratamiento, en el sentido del artículo 6, apartado 1, párrafo primero, letra c), del RGPD. Por lo tanto, la cuestión prejudicial planteada se refiere exclusivamente a la posibilidad de invocar las justificaciones a que se refieren las letras b) y f) del artículo 6, apartado 1, párrafo primero, del RGPD en el marco del tratamiento de datos controvertido en el litigio principal.

32

El artículo 6, apartado 1, párrafo primero, letra b), del RGPD establece que el tratamiento de datos personales es lícito si es «necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales».

33

A este respecto, para que un tratamiento de datos personales se considere necesario para la ejecución de un contrato, en el sentido de esa disposición, debe ser objetivamente indispensable para conseguir un fin que forme parte integrante de la prestación contractual destinada al interesado. Así pues, el responsable de este tratamiento debe poder demostrar por qué no podría alcanzarse el objeto principal del contrato sin el tratamiento en cuestión (sentencia de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartado 43 y jurisprudencia citada).

34

El hecho de que tal tratamiento se mencione en el contrato o de que únicamente sea útil para la ejecución de este carece, en sí mismo, de pertinencia a este respecto. En efecto, el elemento determinante a efectos de la aplicación de la justificación prevista en el artículo 6, apartado 1, párrafo primero, letra b), del RGPD es que el tratamiento de datos personales efectuado por el responsable del tratamiento sea esencial para permitir la correcta ejecución del contrato celebrado entre este y el interesado y, por lo tanto, que no existan soluciones viables y menos intrusivas (sentencia de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartado 44 y jurisprudencia citada).

35

En este contexto, cuando el contrato conste de varios servicios o de varios elementos separados de un servicio que pueden ejecutarse de manera independiente entre sí, la aplicabilidad del artículo 6, apartado 1, párrafo primero, letra b), del RGPD debe evaluarse en el contexto de cada uno de esos servicios por separado [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 100].

36

En el caso de autos, consta que el objeto principal del contrato de que se trata en el litigio principal es la prestación a los clientes de un servicio de transporte por ferrocarril. Según el órgano jurisdiccional remitente, el tratamiento de datos controvertido en el litigio principal tiene como finalidad la personalización de la comunicación comercial con el cliente, respetando las prácticas generalmente aceptadas en la materia.

37

Como observó el Abogado General, en esencia, en el punto 42 de sus conclusiones, la comunicación comercial puede constituir una finalidad que forma parte integrante de la prestación contractual en cuestión, ya que la prestación de tal servicio de transporte por ferrocarril implica, en principio, comunicarse con el cliente para, entre otras cosas, transmitirle un título de transporte por vía electrónica, informarle de posibles cambios que afecten al viaje correspondiente y permitir el contacto con el servicio posventa. Esta comunicación puede requerir la observancia de ciertas prácticas e incluir, en particular, fórmulas de cortesía para mostrar el respeto que la empresa de que se trate tiene hacia su cliente y, de este modo, proteger la imagen de marca de dicha empresa.

38

Sin embargo, parece que tal comunicación no tiene por qué personalizarse necesariamente en función de la identidad de género del cliente de que se trate. En efecto, según la jurisprudencia, la personalización de los contenidos no resulta necesaria para ofrecer servicios a un cliente cuando estos servicios pueden prestársele, en su caso, en forma de una alternativa equivalente que no implique tal personalización, de modo que esta última no es objetivamente indispensable para una finalidad que forme parte integrante de los mismos servicios [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 102].

39

Por lo que respecta a los servicios controvertidos en el litigio principal, una personalización de la comunicación comercial, basada en una identidad de género que se presume en función del término de cortesía, no parece ni objetivamente indispensable ni esencial para permitir la correcta ejecución del contrato en cuestión, en el sentido de la jurisprudencia recordada en los apartados 33 y 34 de la presente sentencia.

40

En efecto, parece existir una solución viable y menos intrusiva, ya que la empresa de que se trata podría optar, respecto de los clientes que no deseen indicar un término de cortesía con que dirigirse a ellos o de manera general, por una comunicación basada en fórmulas de cortesía genéricas, inclusivas y sin correlación con una presunción de identidad de género de los clientes. Por lo demás, como observó el Abogado General en los puntos 49 y 50 de sus conclusiones, parece, sin perjuicio de que el órgano jurisdiccional remitente compruebe este extremo, que SNCF Connect utiliza ya tales fórmulas y que, además, la indicación de un término de cortesía inexacto no afectaría a la prestación de los servicios de transporte de que se trata, lo que parece confirmar que el tratamiento de datos controvertido en el litigio principal no es objetivamente indispensable para ejecutar el objeto principal del contrato.

41

En este contexto, debe precisarse igualmente que, en la vista, SNCF Connect alegó que el tratamiento de datos controvertido en el litigio principal perseguía una segunda finalidad, a saber, la adaptación de los servicios de transporte para los trenes nocturnos, que incluyen vagones reservados a personas con una misma identidad de género, y para la asistencia a los pasajeros con discapacidad. Según SNCF Connect, esta finalidad de adaptación de los servicios de transporte puede requerir que se conozca la identidad de género de los clientes afectados.

42

Pues bien, esta segunda finalidad no puede justificar el tratamiento sistemático y generalizado de los datos relativos a la fórmula de cortesía con que dirigirse a todos los clientes de la empresa de que se trata, incluidos los clientes que viajan de día o los que no tienen una discapacidad. En efecto, tal tratamiento sería desproporcionado y, por ello, contrario al principio de minimización de datos, recordado en el apartado 24 de la presente sentencia, ya que habría podido limitarse únicamente a los datos relativos a la identidad de género de los clientes que desean viajar en un tren nocturno o recibir una asistencia personalizada debido a una discapacidad.

43

Así pues, el artículo 6, apartado 1, párrafo primero, letra b), del RGPD, en relación con el artículo 5, apartado 1, letra c), de este, debe interpretarse en el sentido de que el tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte, cuya finalidad es la personalización de la comunicación comercial basada en su identidad de género, no parece ni objetivamente indispensable ni esencial para permitir la correcta ejecución de un contrato y, por tanto, no puede considerarse necesario para la ejecución de ese contrato.

44

El artículo 6, apartado 1, párrafo primero, letra f), del RGPD dispone que el tratamiento de datos personales será lícito si es «necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño».

45

Según reiterada jurisprudencia, esta disposición establece tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito, a saber, en primer lugar, que el responsable del tratamiento o el tercero persigan un interés legítimo; en segundo lugar, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo y, en tercer lugar, que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado en la protección de los datos sobre el interés legítimo del responsable del tratamiento o de un tercero [sentencias de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 106, y de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, apartado 37].

46

Por lo que respecta, en primer lugar, al requisito relativo a la satisfacción de un interés legítimo, procede precisar que, de conformidad con el artículo 13, apartado 1, letra d), del RGPD, incumbe al responsable del tratamiento, en el momento en que se obtengan de un interesado los datos personales relativos a él, informarle de los intereses legítimos perseguidos cuando ese tratamiento se base en el artículo 6, apartado 1, párrafo primero, letra f), de dicho Reglamento. A falta de una definición del concepto de «interés legítimo» en el RGPD, una amplia gama de intereses es, en principio, susceptible de ser considerada legítima. En particular, este concepto no se limita a los intereses consagrados y determinados por una ley [véanse, en este sentido, las sentencias de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 107, y de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, apartados 38, 40 y 41 y jurisprudencia citada].

47

Así, del considerando 47 del RGPD se desprende que tal interés legítimo podría darse, por ejemplo, en el caso de una relación pertinente y apropiada entre el interesado y el responsable del tratamiento en situaciones en las que el interesado es cliente del responsable del tratamiento.

48

Por lo que respecta, en segundo lugar, al requisito de que el tratamiento de datos personales sea necesario para la satisfacción del interés legítimo que se persigue, y habida cuenta de la jurisprudencia recordada en el apartado 28 de la presente sentencia, corresponde al órgano jurisdiccional remitente comprobar si tal interés legítimo del tratamiento de los datos puede alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios respecto de las libertades y los derechos fundamentales de los interesados, puesto que tal tratamiento debe efectuarse sin sobrepasar los límites de lo estrictamente necesario para la satisfacción de ese interés legítimo.

49

En este contexto, procede recordar igualmente que el requisito relativo a la necesidad del tratamiento debe examinarse en relación con el principio de minimización de datos, consagrado en el artículo 5, apartado 1, letra c), del RGPD, conforme al cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (sentencia de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartado 52 y jurisprudencia citada).

50

Finalmente, por lo que respecta, en tercer lugar, al requisito de que los intereses o las libertades y los derechos fundamentales del interesado en la protección de los datos no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero, el Tribunal de Justicia ha declarado que dicho requisito implica la ponderación de los derechos e intereses en conflicto, que dependerá, en principio, de las circunstancias concretas del caso particular y que, en consecuencia, corresponde al órgano jurisdiccional remitente efectuar esa ponderación teniendo en cuenta estas circunstancias particulares. Además, como resulta del considerando 47 del RGPD, los intereses y los derechos fundamentales del interesado pueden, en particular, prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de datos personales en circunstancias en las que el interesado no espera razonablemente que se realice tal tratamiento (véase, en este sentido, la sentencia de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartados 53 y 54 y jurisprudencia citada).

51

En el caso de autos, si bien corresponde, en definitiva, al órgano jurisdiccional remitente apreciar si, en relación con el tratamiento de datos personales controvertido en el litigio principal, se cumplen los tres requisitos mencionados en el apartado 45 de la presente sentencia, el Tribunal de Justicia, al pronunciarse sobre la cuestión prejudicial, puede aportar precisiones destinadas a orientar a dicho órgano jurisdiccional a efectos de proceder a esa apreciación (véase, por analogía, la sentencia de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartado 55 y jurisprudencia citada).

52

Por lo que respecta al primer requisito, mencionado en el apartado 46 de la presente sentencia, corresponderá al órgano jurisdiccional remitente comprobar si SNCF Connect indicó un interés legítimo a sus clientes, de conformidad con el artículo 13, apartado 1, letra d), del RGPD, en la fase de recogida de los datos de que se trata en el litigio principal. Como señaló el Abogado General en el punto 58 de sus conclusiones, esta disposición obliga a informar directamente a las personas afectadas del interés legítimo perseguido en el momento de esa recogida, pues de otro modo tal recogida no podría justificarse sobre la base del artículo 6, apartado 1, párrafo primero, letra f), de dicho Reglamento. Los autos que obran en poder del Tribunal de Justicia no permiten apreciar si este requisito se ha cumplido en el marco del litigio principal.

53

En este contexto, debe precisarse que, en sus observaciones escritas, SNCF Connect se refirió a una finalidad de mercadotecnia, que, según afirmó, puede requerir una personalización de la comunicación y, por consiguiente, el tratamiento de los datos controvertido en el litigio principal.

54

A este respecto, según el considerando 47, última frase, del RGPD, el tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo. En particular, la personalización de la publicidad puede asimilarse a la mercadotecnia directa en tal contexto [véase, por analogía, la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 115].

55

Por lo que atañe al segundo requisito, mencionado en el apartado 48 de la presente sentencia, sin perjuicio de las comprobaciones que efectúe el órgano jurisdiccional remitente, parece que una personalización de la comunicación comercial puede limitarse al tratamiento de los nombres y apellidos de los clientes, y que el término de cortesía con que dirigirse a ellos o su identidad de género es una información que podría no ser estrictamente necesaria en este contexto, en particular a la luz del principio de minimización de datos.

56

En sus respectivas observaciones escritas, SNCF Connect y el Gobierno francés alegan que, para apreciar la necesidad de un tratamiento de datos personales, deben tenerse en cuenta las prácticas y convenciones sociales propias de cada Estado miembro, en particular para preservar la diversidad lingüística y cultural, mencionada en el considerando 4 del RGPD. No obstante, procede señalar, por una parte, que el artículo 6, apartado 1, párrafo primero, letra f), del RGPD no contempla la toma en consideración de las prácticas y convenciones sociales a efectos de apreciar el carácter necesario de tal tratamiento, con la precisión de que dicho artículo debe ser objeto de una interpretación restrictiva, como se ha recordado en el apartado 27 de la presente sentencia.

57

Por otra parte, no parece que la falta de tratamiento de datos relativos al término de cortesía o a la identidad de género de los clientes concernidos pueda afectar a esta diversidad. En efecto, como se desprende del apartado 40 de la presente sentencia, el responsable del tratamiento puede respetar estas prácticas y convenciones sociales utilizando, respecto de los clientes que no deseen indicar un término de cortesía con que dirigirse a ellos o de manera general, fórmulas de cortesía genéricas, inclusivas y sin correlación con la identidad de género de estos clientes, de modo que la argumentación desarrollada por SNCF Connect y por el Gobierno francés no puede prosperar en ningún caso.

58

En cuanto al tercer requisito, mencionado en el apartado 50 de la presente sentencia, y a la ponderación de los derechos e intereses en conflicto, a saber, los del responsable del tratamiento, por una parte, y los del interesado, por otra, es preciso tener en cuenta, en particular, las expectativas razonables del interesado, así como el alcance del tratamiento en cuestión y el impacto de este sobre ese interesado [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 116].

59

Como observó el Abogado General, en esencia, en el punto 70 de sus conclusiones, sin perjuicio de que el órgano jurisdiccional remitente compruebe este extremo, los clientes de una empresa de transporte no tienen por qué prever que dicha empresa tratará los datos relativos al término de cortesía con que dirigirse a ellos o a su identidad de género en el contexto de la compra de un título de transporte. Así sucedería, en particular, si dicho tratamiento se realizara únicamente con fines de mercadotecnia directa.

60

En cualquier caso, el interés legítimo relativo a la mercadotecnia directa no puede prevalecer cuando hay riesgo de que se vulneren los derechos y libertades fundamentales del interesado. En efecto, como se desprende del considerando 75 del RGPD, los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que tal tratamiento pueda dar lugar a problemas de discriminación.

61

En este contexto, en particular, corresponderá al órgano jurisdiccional remitente comprobar la existencia del riesgo de discriminación basada en la identidad de género, alegado por Mousse, en especial a la luz de la Directiva 2004/113, que aplica el principio de igualdad de trato entre hombres y mujeres al acceso a los bienes y servicios y su suministro.

62

A este respecto, debe precisarse que el ámbito de aplicación de esta Directiva no puede reducirse únicamente a las discriminaciones que se derivan de la pertenencia a uno u otro género. En atención a su objeto y a los derechos que pretende proteger, dicha Directiva debe aplicarse igualmente a las discriminaciones que tienen lugar a consecuencia del cambio de identidad de género de una persona (véase, por analogía, la sentencia de 27 de abril de 2006, Richards, C‑423/04, EU:C:2006:256, apartado 24 y jurisprudencia citada).

63

Por consiguiente, el artículo 6, apartado 1, párrafo primero, letra f), del RGPD, en relación con el artículo 5, apartado 1, letra c), de dicho Reglamento, debe interpretarse en el sentido de que el tratamiento de datos personales relativos al término de cortesía con que dirigirse a los clientes de una empresa de transporte, cuya finalidad es la personalización de la comunicación comercial basada en su identidad de género, no puede considerarse necesario para la satisfacción de intereses legítimos perseguidos por el responsable de dicho tratamiento o por un tercero cuando:

64

Habida cuenta de todas las consideraciones anteriores, procede responder a la primera cuestión prejudicial que el artículo 6, apartado 1, párrafo primero, letras b) y f), del RGPD, en relación con el artículo 5, apartado 1, letra c), de dicho Reglamento, debe interpretarse en el sentido de que

65

Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente solicita que se dilucide, en esencia, si el artículo 6, apartado 1, párrafo primero, letra f), del RGPD debe interpretarse en el sentido de que, para apreciar la necesidad de un tratamiento de datos personales con arreglo a dicha disposición, debe tenerse en cuenta la eventual existencia de un derecho de oposición del interesado, conforme al artículo 21 del RGPD.

66

El artículo 21, apartado 1, del RGPD establece que el interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en las letras e) o f) del artículo 6, apartado 1, párrafo primero, de este Reglamento, incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para tal tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.

67

La aplicabilidad del artículo 21 del RGPD y, por consiguiente, la eventual existencia de un derecho de oposición suponen la existencia de un tratamiento lícito, en este caso basado en el artículo 6, apartado 1, párrafo primero, letra f), de dicho Reglamento. Pues bien, para ser lícito, tal tratamiento debe cumplir previamente el requisito de estricta necesidad, al que se refiere el apartado 48 de la presente sentencia.

68

Como observó el Abogado General en los puntos 80 y 82 de sus conclusiones, del tenor y de la estructura de las disposiciones en cuestión se desprende, pues, que la existencia de un derecho de oposición no puede tomarse en consideración a efectos de la apreciación de la licitud y, en particular, de la necesidad del tratamiento de datos personales controvertido en el litigio principal.

69

Esta interpretación se ve confirmada por el objetivo perseguido por el RGPD, que, a la luz de su considerando 10, consiste en garantizar un elevado nivel de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos personales. En efecto, cualquier otra interpretación tendría por efecto debilitar los requisitos establecidos en el artículo 6, apartado 1, párrafo primero, letra f), del RGPD, ampliando los motivos de licitud del tratamiento en cuestión, pese a que esta disposición debe ser objeto de una interpretación restrictiva, a la luz de la jurisprudencia recordada en el apartado 27 de la presente sentencia.

70

Habida cuenta de todas las consideraciones anteriores, procede responder a la segunda cuestión prejudicial que el artículo 6, apartado 1, párrafo primero, letra f), del RGPD debe interpretarse en el sentido de que, para apreciar la necesidad de un tratamiento de datos personales con arreglo a dicha disposición, no debe tenerse en cuenta la eventual existencia de un derecho de oposición del interesado, conforme al artículo 21 del RGPD.

71

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Primera) declara: