Privremena verzija

MIŠLJENJE NEZAVISNOG ODVJETNIKA

MACIEJA SZPUNARA

od 11. srpnja 2024.(1)

Predmet C-394/23

Udruga Mousse

protiv

Commission nationale de l’informatique et des libertés (CNIL),

SNCF Connect

(zahtjev za prethodnu odluku koji je uputio Conseil d’État (Francuska))

„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 6. stavak 1. – Načelo zakonitosti obrade – Članak 5. stavak 1. točka (c) – Načelo smanjenja količine podataka – Način oslovljavanja – Kupnja usluge prijevoza na internetu – Članak 21. – Pravo na prigovor”

I.      Uvod

1.        Uredbom (EU) 2016/679(2) (u daljnjem tekstu: OUZP) želi se osigurati visoka razina zaštite pojedinaca u vezi s obradom njihovih osobnih podataka. U tu se svrhu tom uredbom voditeljima obrade nalaže da prilikom obrade osobnih podataka poštuju određeni broj načela, među kojima takozvano načelo „smanjenja količine podataka” i načelo zakonitosti obrade.

2.        Ta su dva načela u središtu ovog predmeta, koji se odnosi na spor između udruge i nacionalnog nadzornog tijela u pogledu obrade koju prijevoznik provodi nad podacima o načinu oslovljavanja svojih kupaca kako bi se ti podaci, kako se navodi, koristili u njihovoj poslovnoj komunikaciji te koji Sudu stoga pruža priliku da pobliže odredi doseg te obrade.

II.    Pravni okvir

A.      Pravo Unije

3.        U uvodnim izjavama 4., 10., 39., 40., 44., 47., 69. i 75. OUZP-a navodi se:

„(4)      Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Ovom se Uredbom poštuju sva temeljna prava i uvažavaju slobode i načela priznata Poveljom [Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja)] koja su sadržana u Ugovorima, osobito poštovanje privatnog i obiteljskog života, doma i komuniciranja, zaštita osobnih podataka, sloboda mišljenja, savjesti i vjeroispovijedi, sloboda izražavanja i informiranja, sloboda poduzetništva, pravo na učinkoviti pravni lijek i pošteno suđenje te pravo na kulturnu, vjersku i jezičnu raznolikost.

[…]

(10)      Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. […]

[…]

(39)      […] Osobni podaci trebali bi biti primjereni, bitni i ograničeni na ono što je nužno za svrhe u koje se podaci obrađuju. […] Osobni podaci trebali bi se obrađivati samo ako se svrha obrade opravdano ne bi mogla postići drugim sredstvima. […]

(40)      Kako bi obrada bila zakonita, osobne podatke trebalo bi obrađivati na temelju privole dotičnog ispitanika ili neke druge legitimne osnove, bilo propisane u ovoj Uredbi bilo u drugom pravu Unije ili pravu države članice na koji upućuje ova Uredba, uključujući […] obvezno izvršavanje ugovora u kojem je ispitanik jedna od stranaka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora.

[…]

(44)      Obrada bi se trebala smatrati zakonitom ako je potrebna u kontekstu ugovora ili namjere sklapanja ugovora.

[…]

(47)      Legitimni interesi voditelja obrade, među ostalim on[i] interes[i] voditelja obrade kojem se osobni podaci mogu otkriti ili treće strane, mogu predstavljati pravnu osnovu za obradu pod uvjetom da interesi ili temeljna prava i slobode ispitanika nemaju prednost, uzimajući u obzir razumna očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade. Takav legitiman interes mogao bi na primjer postojati u slučaju relevantnog i odgovarajućeg odnosa ispitanika i voditelja obrade u situacijama poput one kada je ispitanik klijent voditelja obrade […]. U svakom slučaju postojanje legitimnog interesa zahtijevalo bi pažljivu procjenu, među ostalim i toga može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu. […] Obrada osobnih podataka koja je nužna u svrhe sprečavanja prijevara također predstavlja legitiman interes dotičnog voditelja obrade podataka. Može se smatrati da postoji legitiman interes kod obrade osobnih podataka provedene za potrebe izravnog marketinga.

[…]

(69)      Ako bi se osobni podaci mogli zakonito obrađivati jer je obrada potrebna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade ili na temelju legitimnih interesa voditelja obrade ili treće strane, svaki bi ispitanik ipak trebao imati pravo prigovora na obradu bilo kojih osobnih podataka povezanih s njegovom posebnom situacijom. Voditelj obrade trebao bi pokazati da njegovi uvjerljivi legitimni interesi imaju prednost pred interesima temeljnih prava i sloboda ispitanika.

[…]

(75)      Rizik za prava i [slobode] pojedinaca, različitih vjerojatnosti i ozbiljnosti, može proizaći iz obrade osobnih podataka koja bi mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, posebno ako ta obrada može dovesti do diskriminacije […]”

4.        U skladu s člankom 2. stavkom 1., OUZP se primjenjuje na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

5.        Člankom 4. OUZP-a, naslovljenim „Definicije”, određuje se:

„Za potrebe ove Uredbe:

1.      ‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi […];

2.      ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje […]

[…]

7.      ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; […]

[…]

11.      ‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;

[…]”

6.        Člankom 5. OUZP-a, naslovljenim „Načela obrade osobnih podataka”, propisuje se:

„1.      Osobni podaci moraju biti:

(a)      zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);

[…]

(c)      primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);

(d)      točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (‚točnost’);

[…]”

7.        Člankom 6. OUZP-a, naslovljenim „Zakonitost obrade”, stavkom 1. određuje se:

„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)      ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

(b)      obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

(c)      obrada je nužna radi poštovanja pravnih obveza voditelja obrade;

(d)      obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;

(e)      obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

(f)      obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

[…]”

8.        Člankom 13. OUZP-a, naslovljenim „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, propisuje se:

„1.      Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

[…]

(d)      ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili treće strane;

[…]”

9.        Člankom 21. OUZP-a, naslovljenim „Pravo na prigovor”, stavkom 1. određuje se:

„Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.”

10.      Člankom 25. OUZP-a, naslovljenim „Tehnička i integrirana zaštita podataka”, stavkom 2. propisuje se:

„Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. […]”

B.      Francusko pravo

11.      Člankom 8. loia n° 78-17 relative à l’informatique, aux fichiers et aux libertés (Zakon br. 78-17 o informatičkim tehnologijama, sustavima pohrane i slobodama)(3) od 6. siječnja 1978. određuje se:

„Commission nationale de l’informatique et des libertés [(Državna komisija za informatičke tehnologije i slobode, Francuska) (CNIL)] neovisno je upravno tijelo. To je nacionalno nadzorno tijelo u smislu i za potrebe primjene [OUZP-a]. To tijelo obavlja sljedeće zadaće:

[…]

2°       Osigurava da se obrada osobnih podataka provodi u skladu s odredbama ovog Zakona i drugim odredbama o zaštiti osobnih podataka predviđenima zakonodavnim i regulatornim tekstovima, pravom Europske unije i međunarodnim obvezama Francuske.

U tu svrhu:

[…]

(d)      Obrađuje pritužbe i predstavke koje podnese ispitanik ili tijelo, organizacija ili udruga, ispituje ili istražuje predmet pritužbe, u mjeri u kojoj je to potrebno, te u razumnom roku obavještava podnositelja pritužbe o tijeku i ishodu istrage, posebno ako je potrebna daljnja istraga ili koordinacija s drugim nadzornim tijelom; […]”.

III. Činjenice u glavnom postupku, postupak pred Sudom i prethodna pitanja

12.      SNCF Connect je društvo koje preko svoje internetske stranice i aplikacija prodaje prijevozne isprave za željeznicu kao što su karte za vlak, pretplate i kartice za popust. Prilikom kupnje tih prijevoznih isprava kupci tog društva moraju obvezno naznačiti način na koji se oslovljavaju tako da označe polje s izrazom „gospodin” ili ono s izrazom „gospođa”.

13.      Budući da je smatrao da uvjeti u skladu s kojima su podaci o načinu oslovljavanja kupaca prikupljani i bilježeni prilikom kupnje prijevoznih isprava nisu u skladu sa zahtjevima iz OUZP-a, tužitelj iz glavnog postupka, udruga Mousse (u daljnjem tekstu: Mousse), podnio je CNIL-u pritužbu protiv društva SNCF Connect. Mousse je u potporu toj pritužbi istaknuo da prikupljanje predmetnih podataka nije u skladu s načelom zakonitosti, utvrđenim u članku 5. stavku 1. točki (a) te uredbe, jer nije utemeljeno ni na jednoj od osnova predviđenih u članku 6. stavku 1. navedene uredbe. Usto, takvim se prikupljanjem povređuje načelo smanjenja količine podataka i načelo točnosti, koja su utvrđena u članku 5. stavku 1. točki (c) i (d) iste uredbe, kao i obveze transparentnosti i pružanja informacija koje proizlaze, među ostalim, iz njezina članka 13. U tom je kontekstu Mousse tvrdio da SNCF Connect ne bi trebao prikupljati te podatke ili da bi barem trebao ponuditi svojim kupcima dodatne mogućnosti, kao što su izraz „neutralno” ili „drugo”.

14.      Odlukom od 23. ožujka 2021. CNIL je zaključio obradu pritužbe koja mu je podnesena smatrajući da se činjenicama koje se navode protiv društva SNCF Connect ne povređuju navedene odredbe OUZP-a. CNIL je utvrdio da je obrada podataka zakonita, na temelju članka 6. stavka 1. točke (b) te uredbe, jer je nužna za izvršavanje ugovora o pružanju prijevoznih usluga. Usto, CNIL je istaknuo da je, s obzirom na njezine svrhe, takva obrada u skladu s načelom smanjenja količine podataka jer je obraćanje kupcima korištenjem izraza kojim se oni oslovljavaju uobičajeno u društvenoj, poslovnoj i administrativnoj komunikaciji.

15.      Mousse je 21. svibnja 2021. protiv odluke CNIL-a od 23. ožujka 2021. podnio tužbu za poništenje Conseilu d’État (Državno vijeće, Francuska). U svojoj tužbi Mousse među ostalim tvrdi da obveza da se prilikom kupnje na internetu odabere izraz „gospodin” ili „gospođa” nije u skladu s načelom zakonitosti ni načelom smanjenja količine podataka, utvrđenima u članku 5. stavku 1. točki (a) odnosno točki (c) OUZP-a, jer taj izraz nije nužan za izvršavanje ugovora niti za potrebe legitimnih interesa društva SNCF Connect. Okolnost da su navedeni izrazi u uporabi u poslovnoj komunikaciji ne može biti dostatna da se prikupljanje tih podataka smatra nužnim. Naposljetku, takva obveza može dovesti do povrede prava na putovanje ako osoba ne priopći način na koji se oslovljava, prava na poštovanje privatnog života i slobode rodnog izražavanja. Kad je osobito riječ o državljanima zemalja u kojima se u pogledu osobnog stanja priznaje „neutralni rod”, ti izrazi ne bi odgovarali stvarnosti te bi se stoga mogli pokazati protivnima načelu točnosti, utvrđenom u članku 5. stavku 1. točki (d) te uredbe, a ujedno bi se povrijedila njihova sloboda kretanja, zajamčena pravom Unije.

16.      CNIL zahtijeva da se ta tužba odbije te tvrdi da se obrada podataka koji se odnose na način oslovljavanja također može kvalificirati kao „nužna” za potrebe legitimnih interesa društva SNCF Connect, u smislu članka 6. stavka 1. točke (f) OUZP-a, i da se ispitanici mogu – ovisno o njihovoj posebnoj situaciji – koristiti pravom na prigovor zajamčenim u članku 21. te uredbe.

17.      Sud koji je uputio zahtjev pita se, s jedne strane, može li se prilikom ocjenjivanja primjerenosti, relevantnosti i ograničenosti prikupljanja podataka na ono što je nužno te nužnosti njihove obrade u obzir uzeti uobičajena praksa općeprihvaćena u društvenoj, poslovnoj i administrativnoj komunikaciji, tako da se prikupljanje podataka koji se odnose na način oslovljavanja kupaca, ograničeno na izraze „gospodin” ili „gospođa”, može kvalificirati kao „zakonito i u skladu s” načelom smanjenja količine podataka. Taj se sud pita, s druge strane, treba li prilikom ocjenjivanja nužnosti obveznog prikupljanja i naknadne obrade podataka koji se odnose na način oslovljavanja kupaca, kada neki od njih smatraju da se na njih ne odnosi nijedan od dvaju načina oslovljavanja, u obzir uzeti to da bi ti kupci, nakon što pruže te podatke voditelju obrade kako bi se koristili ponuđenom uslugom, zbog svoje posebne situacije mogli ostvariti svoje pravo na prigovor na korištenje takvim podacima u smislu članka 21. OUZP-a.

18.      U tim je okolnostima Conseil d’État (Državno vijeće) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1.      Može li se prilikom ocjenjivanja primjerenosti, relevantnosti i ograničenosti prikupljanja podataka na ono što je nužno u smislu odredbi članka 5. stavka 1. točke (c) OUZP-a i nužnosti njihove obrade u smislu članka 6. stavka 1. točaka (b) i (f) [te uredbe] u obzir uzeti uobičajena uporaba općeprihvaćena u društvenoj, poslovnoj i administrativnoj komunikaciji, tako da se prikupljanje podataka o načinu oslovljavanja kupaca, ograničeno na izraze ‚gospodin’ ili ‚gospođa’, može smatrati nužnim a da se to ne protivi načelu smanjenja količine podataka?

2.      Treba li prilikom ocjenjivanja nužnosti obveznog prikupljanja i obrade podataka koji se odnose na način oslovljavanja kupaca, kada određeni kupci smatraju da se na njih ne odnosi nijedan od dvaju načina oslovljavanja i da prikupljanje tog podatka u odnosu na njih nije relevantno, u obzir uzeti to da bi oni, nakon što pruže te podatke voditelju obrade kako bi se koristili ponuđenom uslugom, mogli ostvariti svoje pravo na prigovor na njihovo korištenje i pohranjivanje pozivajući se na svoju posebnu situaciju, u skladu s člankom 21. OUZP-a?”

19.      Pisana očitovanja podnijeli su Mousse, SNCF Connect, francuska vlada i Europska komisija. Iste su stranke sudjelovale na raspravi održanoj 29. travnja 2024.

IV.    Analiza

A.      Prvo prethodno pitanje

20.      Svojim prvim prethodnim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 5. stavak 1. točku (c) i članak 6. stavak 1. točke (b) i (f) OUZP-a tumačiti na način da obradu osobnih podataka koji se odnose na način oslovljavanja kupaca prijevoznika treba smatrati nužnom za izvršavanje ugovora ili poduzimanje radnji prije sklapanja ugovora ili nužnom za potrebe legitimnih interesa voditelja obrade ili treće strane, kada se tom obradom želi omogućiti personalizirana poslovna komunikacija u kojoj je osigurano poštovanje uobičajene prakse općeprihvaćene u poslovnoj komunikaciji.

21.      U tom pogledu moram odmah iznijeti dvije uvodne napomene.

22.      S jedne strane, ističem da se stranke slažu i da je nedvojbeno da su podaci koji se odnose na način oslovljavanja kupaca prijevoznika osobni podaci, u smislu članka 4. točke 1. OUZP-a, te da, usto, njihovo prikupljanje i bilježenje koje provodi SNCF Connect treba smatrati obradom, u smislu članka 4. točke 2. te uredbe, tako da ih valja ispitati s obzirom na odredbe navedene uredbe.

23.      S druge strane, SNCF Connect i francuska vlada zagovaraju stajalište prema kojem bi niječni odgovor na prvo prethodno pitanje doveo do primjenjivanja OUZP-a u kontekstu koji mu nije svojstven, s obzirom na to da zakonodavac Unije prilikom donošenja te uredbe nije namjeravao urediti uobičajenu praksu u komunikaciji ili pitanje roda. Iako u potpunosti priznajem, kao i nezavisni odvjetnik M. Bobek, da se propisi o zaštiti privatnog života katkad mogu „primjenj[ivati] u prilično iznenađujućim okolnostima”(4), ipak mi se čini da to nije slučaj u ovoj situaciji. Činjenica da je riječ o podacima o građanskom identitetu i da se, zbog toga, u pozadini nalaze postojeće rasprave u nacionalnim pravnim poredcima o pitanju rodne binarnosti ne može prikriti to da je u ovom slučaju doista riječ o automatskoj obradi koju prijevoznik provodi nad osobnim podacima svojih kupaca, koja nije samo objektivno obuhvaćena područjem primjene OUZP-a nego i doista čini postupak obrade podataka koji je zakonodavac Unije namjeravao urediti(5).

24.      Stoga ću svoju analizu prvog prethodnog pitanja započeti općim napomenama u pogledu uvjeta koji se odnosi na zakonitost obrade podataka, koji se, u skladu s OUZP-om, primjenjuje na voditelje obrade, a zatim ću utvrditi treba li, s obzirom na iznesena načela, taj uvjet smatrati ispunjenim kad je riječ o obradi podataka koji se odnose na način oslovljavanja kupaca prijevoznika u svrhu komunikacije s tim kupcima uz pridržavanje uobičajene prakse koja je općeprihvaćena u poslovnoj komunikaciji.

1.      Zakonitost obrade osobnih podataka

25.      U članku 5. OUZP-a navodi se određeni broj načela obrade osobnih podataka. Konkretno, tom se odredbom propisuje da takvi podaci „moraju biti zakonito […] obrađivani”(6) i da „moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju”(7). Drugim riječima, svaka obrada podataka mora biti u skladu s, među ostalim, načelom zakonitosti i načelom smanjenja količine podataka.

26.      Člankom 6. OUZP-a pobliže se određuje opseg načela zakonitosti obrade podataka. U dijelu u kojem se njime dopušta ograničenje prava na zaštitu osobnih podataka(8) članak 6. stavak 1. te uredbe ispunjava uvjete navedene u članku 52. stavku 1. Povelje: ograničenje o kojem je riječ predviđeno je zakonom i poštuje bit tog prava. Usto, to je ograničenje nužno i odgovara cilju od općeg interesa koji priznaje Unija ili potrebama zaštite prava i sloboda drugih osoba(9).

27.      Stoga je zakonodavac predvidio šest osnova na temelju kojih je obrada podataka zakonita, izričito navodeći ciljeve od općeg interesa te prava i slobode koje treba zaštititi koji mogu opravdati ograničenje prava na zaštitu osobnih podataka. Člankom 6. stavkom 1. OUZP-a tako se predviđa „iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom”(10).

28.      Članak 6. stavak 1. OUZP-a ne utvrđuje strogu hijerarhiju(11) osnova na temelju kojih obradu podataka treba smatrati zakonitom. Sud je stoga u svojoj sudskoj praksi pobliže odredio odnose između njih.

29.      S jedne strane, podsjetio je na to da je, u skladu s člankom 6. stavkom 1. točkom (a) OUZP-a, „obrada osobnih podataka zakonita […] samo ako i u onoj mjeri u kojoj je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha”. Sud je dodao da, „[a]ko takva privola nije dana, […] takva je obrada ipak opravdana ako ispunjava jedan od zahtjeva nužnosti sadržanih u članku 6. stavku 1. […] točkama (b) do (f) te uredbe”(12). Usto, odlučio je da se „opravdanja [o kojima je riječ], u dijelu u kojem ona omogućuju ozakonjenje obrade osobnih podataka izvršene bez ispitanikove privole, moraju […] tumačiti usko”(13). Osnove za obradu osobnih podataka predviđene u članku 6. stavku 1. navedene uredbe stoga su jednakovrijedne i nijednu ne treba smatrati podrednom u odnosu na druge.

30.      S druge strane, Sud je pojasnio nekumulativnost opravdanja predviđenih u članku 6. stavku 1. OUZP-a. Tako je naveo da, „ako je moguće utvrditi da je obrada osobnih podataka nužna s obzirom na jedno od opravdanja sadržanih u članku 6. stavku 1. […] točkama (b) do (f) OUZP-a, više nije potrebno utvrditi je li ta obrada obuhvaćena i nekim od preostalih opravdanja”(14). Drugim riječima, kao što sam to već naveo(15), obrada osobnih podataka zakonita je kada je opravdana na temelju samo jedne osnove, pri čemu se nijedna osnova ne može smatrati podrednom drugima.

31.      Međutim, načelo zakonitosti detaljno prikazano u članku 6. stavku 1. OUZP-a ne može se analizirati izolirano. Tako sud dosljedno presuđuje da se taj uvjet „mora ispitati zajedno s takozvanim načelom ‚smanjenja količine podataka’ iz članka 5. stavka 1. točke (c) [te uredbe]”(16). To je načelo, prema sudskoj praksi Suda i kao što sam to već naglasio(17), izraz načela proporcionalnosti(18) koje zahtijeva, kao što to u svojim pisanim očitovanjima tvrdi francuska vlada, da korištena sredstva budu prikladna za ostvarenje predviđenog cilja te da ne prekoračuju ono što je nužno za njegovo postizanje(19).

32.      Drugim riječima, načelo smanjenja količine podataka pretpostavlja da se utvrdi da se obrađivanim podacima može postići svrha predviđena njihovom obradom – u skladu s osnovama navedenima u članku 6. stavku 1. OUZP-a – i da se obrađivani podaci obrađuju samo ako se svrha obrade razumno ne može postići drugim sredstvima. Opseg podataka koji se tako obrađuju, i s kvantitativnog i s materijalnog gledišta, nije širi od onog što je nužno za postizanje te svrhe(20).

33.      U tom ću pogledu iznijeti dodatnu napomenu. Ističem da je Sud tumačio načelo smanjenja količine podataka zajedno s načelom zakonitosti obrade samo u situacijama u kojima se obrada o kojoj je bila riječ temeljila na jednoj od osnova predviđenih u članku 6. stavku 1. točkama (b) do (f) OUZP-a. Drugim riječima, Sud nije jasno odredio primjenjuje li se načelo smanjenja količine podataka i kada je ispitanik dao privolu za obradu svojih osobnih podataka. Točno je da bi se moglo braniti stajalište prema kojem, ako je osoba za to dala privolu, voditelj obrade može obrađivati sve podatke a da se to ne protivi načelu smanjenja količine podataka.

34.      Međutim, čini mi se da takvo tumačenje nije u skladu ni s ciljem OUZP-a da se osigura visoka razina zaštite pojedinaca u vezi s obradom njihovih osobnih podataka ni s tekstom odredbi o kojima je riječ.

35.      Naime, ističem da se člankom 6. stavkom 1. točkom (a) OUZP-a propisuje da je obrada zakonita pod uvjetom da je ispitanik dao „privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha”(21). U tom pogledu, naglašavam da privola znači „svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja”(22). Drugim riječima, ne može biti riječ o općenitoj privoli za obradu svih podataka. Usto, svrha u koju se daje privola za obradu podataka mora se priopćiti ispitaniku. Člankom 5. stavkom 1. točkom (c) te uredbe propisuje se pak da su obrađivani podaci „primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju”(23). U tim okolnostima, čini mi se da se načelo smanjenja količine podataka primjenjuje čak i u slučaju u kojem se obrada tih podataka provodi uz ispitanikovu privolu i da navodi na to da se provjeri jesu li podaci o kojima je riječ doista ograničeni na ono što je nužno za ostvarivanje posebne svrhe obrade.

36.      Imajući u vidu upravo ta razmatranja valja ispitati obradu koju SNCF Connect provodi nad podacima o načinu oslovljavanja svojih kupaca s obzirom na članak 6. stavak 1. točke (b) i (f) OUZP-a, pri čemu valja pojasniti da sud koji je uputio zahtjev upućuje isključivo na te dvije svrhe obrade.

2.      Članak 6. stavak 1. točka (b) OUZP-a: nužnost obrade za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora

37.      Člankom 6. stavkom 1. točkom (b) OUZP-a propisuje se da je obrada osobnih podataka zakonita ako je „nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora”.

38.      Sud je u presudi Meta Platforms i dr. pojasnio doseg te odredbe. Tako je presudio da, „kako bi se obrada osobnih podataka smatrala nužnom za izvršavanje ugovora, u smislu te odredbe, ona treba biti objektivno neophodna za ostvarivanje svrhe koja je sastavni dio ugovorne činidbe koja se pruža ispitaniku. Stoga voditelj obrade mora moći dokazati zašto se glavni predmet ugovora ne bi mogao ostvariti ako se ne izvrši obrada o kojoj je riječ”(24).

39.      Stranke se slažu oko toga da glavnim predmetom ugovora treba odrediti isporuku prijevozne isprave i, in fine, prijevoz kupaca željeznicom. Treba dakle provjeriti, s jedne strane, obrađuju li se podaci o načinu oslovljavanja kupca radi ostvarivanja svrhe koja je sastavni dio pružanja usluge prijevoza i, s druge strane, je li ta obrada objektivno neophodna za to.

a)      Utvrđivanje svrhe obrade

40.      SNCF Connect i francuska vlada tvrde da izvršavanje ugovora o prijevozu pretpostavlja komuniciranje s kupcem, i prilikom rezervacije i tijekom i nakon putovanja o kojem je riječ, te iziskuje poznavanje načina na koji se taj kupac oslovljava radi personalizirane komunikacije s kupcem i u skladu s uobičajenom uporabom općeprihvaćenom u poslovnoj komunikaciji.

41.      SNCF Connect dodaje da je za izvršavanje ugovora o prijevozu važno znati spol osobe o kojoj je riječ kako bi se usluga mogla prilagoditi u posebnim slučajevima, kao što su pomoć osobama sa smanjenom pokretljivošću ili pristup vagonima za žene u noćnim vlakovima. U tom pogledu, ističem da o takvom cilju nije, strogo gledano, riječ u prvom prethodnom pitanju kako ga je sastavio sud koji je uputio zahtjev, koji izričito upućuje na pridržavanje uobičajene prakse koja je općeprihvaćena u poslovnoj komunikaciji. Međutim, s obzirom na to da sud koji je uputio zahtjev Sud općenitije pita o prikupljanju podataka o načinu oslovljavanja s obzirom na načela smanjenja količine podataka i zakonitosti obrade, ipak ću ispitati takav argument.

42.      Kad je riječ o svrsi koja se odnosi na komunikaciju s kupcem, smatram da bi je trebalo smatrati sastavnim dijelom ugovora o prijevozu. Naime, takav ugovor pretpostavlja isporuku prijevozne isprave i, stoga, stupanje u kontakt s kupcem kako bi mu se ona dostavila. Čini mi se da potreba za komunikacijom s kupcem usto postoji i tijekom izvršavanja prijevoza kako bi ga se, među ostalim, upozorilo na svaki incident koji utječe na njegovo putovanje te nakon prijevoza, osobito u slučaju razmjena sa službom za korisnike u vezi s tim putovanjem.

43.      U tom pogledu, moram pojasniti da treba odbiti argument koji je iznijela francuska vlada prema kojem svrha obrade nije samo komunikacija s kupcem nego, konkretnije, komunikacija s kupcem u skladu s uobičajenom praksom u poslovnoj komunikaciji. S jedne strane, čini mi se da tako određena svrha nije sastavni dio pružanja usluge prijevoza: ništa ne upućuje na to da se ta usluga ne bi mogla izvršiti bez komunikacije u skladu s uobičajenom praksom općeprihvaćenom u poslovnoj komunikaciji. S druge strane, taj je argument rezultat kružnog rasuđivanja. Tako određena svrha obrade podataka – komunikacija u skladu s uobičajenom praksom koja je općeprihvaćena u poslovnoj komunikaciji – miješa se, naime, sa sredstvima koja se koriste za postizanje te svrhe – uporabom uobičajene prakse koja je općeprihvaćena u poslovnoj komunikaciji.

44.      Kad je riječ o prilagodbi usluge prijevoza u posebnim slučajevima kako ih navodi SNCF Connect, također smatram da je teško osporiti da je ona sastavni dio pružanja te usluge, s obzirom na to da se njome želi upravo osigurati izvršenje te usluge.

45.      Međutim, iako su prema mojem mišljenju svrhe obrade o kojima je riječ doista svojstvene pružanju usluge prijevoza te se mogu prihvatiti na temelju članka 6. stavka 1. točke (b) OUZP-a, obrada osobnih podataka također mora biti neophodna za ostvarivanje navedene svrhe, na način da se glavni predmet ugovora ne bi mogao ostvariti ako se ne izvrši ta obrada i da ne postoje druga izvediva rješenja, kojima se manje zadire u prava osoba, za ostvarivanje iste svrhe.

46.      Naime, smatram da obrada podataka o načinu oslovljavanja prekoračuje ono što je nužno da se omogući pravilno izvršavanje ugovora.

b)      Nužnost obrade za ostvarivanje utvrđenih svrha

47.      Kao prvo, kad je riječ o svrsi koja se odnosi na komunikaciju, pravilno izvršavanje ugovora o prijevozu ne može ovisiti o uporabi izraza za oslovljavanje u komunikaciji prijevoznog društva s njegovim kupcima, i to čak i ako voditelj obrade namjerava voditi personaliziranu komunikaciju s kupcima. Naime, prijevozno društvo može jednostavno personalizirano komunicirati sa svojim kupcima bez uporabe izraza kojima se oni oslovljavaju.

48.      Usto, iako je SNCF Connect na raspravi istaknuo potrebu da se očuva imidž uporabom formula izražavanja koje su općeprihvaćene u poslovnoj komunikaciji, drugim formulama izražavanja koje pokazuju poštovanje prema kupcu i koje ne ovise o načinu njegova oslovljavanja može se isto tako postići taj rezultat.

49.      To vrijedi tim više jer, kao što to tvrdi Mousse, podložno provjerama suda koji je uputio zahtjev, SNCF Connect se u praksi ne pridržava sustavno uobičajene prakse u poslovnoj komunikaciji koja bi iziskivala poznavanje načina na koji se kupac oslovljava, nego se koristi drugim općenitijim formulama izražavanja kao što su „Hvala, sretan put” ili pak „Poštovani”. Čini mi se da to što se u komunikaciji društva SNCF Connect oslovljavanje kupaca ne primjenjuje sustavno jasno pokazuje ne samo to da obrada tih podataka nije nužna za izvršavanje ugovora o kojem je riječ, nego i, s obzirom na načelo smanjenja količine podataka, to da se obrađuje više podataka nego što je to nužno.

50.      U istom smislu, ističem da je SNCF Connect, kada mu je na raspravi postavljeno pitanje o tome, priznao da namjerno navođenje načina oslovljavanja koji nije način na koji se ispitanik u stvarnosti oslovljava zapravo ne utječe na pružanje usluge prijevoza. U tim okolnostima, treba utvrditi da se glavni predmet ugovora može ostvariti i ako se ne izvrši obrada podataka o kojoj je riječ.

51.      Kao drugo, kad je riječ o svrsi koja se odnosi na prilagodbu usluge prijevoza, također smatram da obrada podataka o načinu oslovljavanja prekoračuje ono što je nužno da se omogući izvršavanje te usluge. S jedne strane, čini mi se da osobni podaci koji su relevantni za to da se omogući takva prilagodba nisu podaci o načinu oslovljavanja, koji, prema mišljenju francuske vlade, ne čine element osobnog stanja osobe, nego podaci o spolu kupca, kako je on naznačen u osobnom stanju osobe. S druge strane, taj bi se isti cilj mogao postići na način da se ti podaci ne prikupljaju i obrađuju prilikom svih narudžbi prijevoznih isprava, nego samo u posebnim slučajevima koji to zahtijevaju, kao što je narudžba prijevozne isprave za putovanje u vagonu za žene u noćnim vlakovima ili zahtjev za pomoć za osobu sa smanjenom pokretljivošću.

52.      U tim okolnostima, smatram da članak 6. stavak 1. točku (b) i članak 5. stavak 1. točku (c) OUZP-a, treba tumačiti na način da se sustavna obrada podataka o načinu oslovljavanja ne može smatrati nužnom za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, kada je svrha te obrade omogućiti personaliziranu poslovnu komunikaciju u kojoj je osigurano poštovanje uobičajene prakse općeprihvaćene u poslovnoj komunikaciji ili osigurati prilagodbu usluge prijevoza zbog spola osobe o kojoj je riječ.

3.      Članak 6. stavak 1. točka (f) OUZP-a: nužnost obrade za potrebe legitimnih interesa voditelja obrade ili treće strane

53.      Člankom 6. stavkom 1. točkom (f) OUZP-a propisuje se da je obrada osobnih podataka zakonita ako je „nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete”.

54.      U sudskoj praksi Suda dosljedno se utvrđuje da iz te odredbe proizlazi da trebaju biti ispunjena tri kumulativna uvjeta da bi obrada osobnih podataka na koju se ona odnosi bila zakonita. Kao prvo, voditelj obrade ili treća strana mora imati legitiman interes. Kao drugo, obrada osobnih podataka nužna je za ostvarenje legitimnog interesa. Kao treće, interesi ili temeljna prava i slobode osobe na koju se odnosi zaštita podataka ne prevladavaju nad legitimnim interesom voditelja obrade ili treće strane(25).

55.      Kad je riječ o prvom uvjetu, koji se odnosi na ostvarivanje legitimnog interesa, Sud je u presudi Meta Platforms i dr. naglasio da je „u skladu s člankom 13. stavkom 1. točkom (d) OUZP‑a, zadaća voditelja obrade, u trenutku prikupljanja ispitanikovih osobnih podataka od samog ispitanika, naznačiti mu legitimne interese koji se nastoje ostvariti kada se ta obrada temelji na članku 6. stavku 1. […] točki (f) te uredbe”(26). Sud je stoga u toj presudi presudio da potonju odredbu treba tumačiti na način da se obrada osobnih podataka „može smatrati nužnom za potrebe legitimnih interesa voditelja obrade ili treće strane, u smislu te odredbe, samo pod uvjetom da je navedeni operator korisnicima od kojih su prikupljeni podaci naznačio legitimni interes koji se ostvaruje tom obradom”(27).

56.      Drugim riječima, sankcija za nepoštovanje obveze pružanja informacija predviđene u članku 13. stavku 1. točki (d) OUZP-a je nezakonitost obrade osobnih podataka o kojoj je riječ.

57.      Doista, kao što to tvrdi Komisija, podložno provjerama suda koji je uputio zahtjev, čini mi se da SNCF Connect nije postupao u skladu s tom obvezom.

58.      Kao što to naglašava Komisija, SNCF Connect u svojoj „politici povjerljivosti” dostupnoj na njegovoj internetskoj stranici navodi „legitiman interes” kao pravnu osnovu za obradu podataka o načinu oslovljavanja. U tom ću pogledu iznijeti dvije napomene. S jedne strane, samim navođenjem legitimnog interesa, a da se pritom ne odredi što točno čini taj legitiman interes, ne može se ispuniti obveza pružanja informacija navedena u članku 13. stavku 1. točki (d) OUZP-a, kojim se voditelju obrade nalaže da naznači legitiman interes koji se ostvaruje. S druge strane, a u svakom slučaju, općenito navođenje legitimnog interesa u „politici povjerljivosti”, koju, iako je dostupna na internetskoj stranici voditelja obrade, kupac treba svojom voljom potražiti, nije ni u skladu s člankom 13. stavkom 1. točkom (d) te uredbe. Naime, tom se odredbom nalaže da se ispitanik obavještava o legitimnom interesu koji se ostvaruje u trenutku prikupljanja podataka, što prema mojem mišljenju pretpostavlja da se takva informacija kupcu izravno priopćava kada on pruža predmetne podatke koji se na njega odnose.

59.      Usto, kada mu je na raspravi postavljeno pitanje o obvezi pružanja informacija, SNCF Connect nije mogao navesti da se legitiman interes koji se ostvaruje obradom doista priopćava njegovim kupcima u trenutku prikupljanja podataka o načinu oslovljavanja.

60.      Prema tome, prvi uvjet iz članka 6. stavka 1. točke (f) OUZP-a, koji se odnosi na postojanje legitimnog interesa, tumačen s obzirom na obvezu priopćavanja tog interesa koja je predviđena člankom 13. stavkom 1. točkom (d) te uredbe, nije ispunjen. Stoga se obrada podataka o načinu oslovljavanja u takvoj situaciji ne može smatrati zakonitom u smislu te odredbe a da pritom nije potrebno ispitati jesu li ispunjena druga dva uvjeta predviđena člankom 6. stavkom 1. točkom (f) navedene uredbe.

a)      Zaključak o tumačenju članka 6. stavka 1. točke (f) OUZP-a

61.      Iz prethodno navedenog proizlazi da, prema mojem mišljenju, članak 6. stavak 1. točku (f) i članak 5. stavak 1. točku (c) OUZP-a, treba tumačiti na način da se obrada podataka o načinu oslovljavanja kupaca prijevoznog društva ne može smatrati nužnom za potrebe legitimnih interesa voditelja obrade ili treće strane u smislu te odredbe, s obzirom na to da to društvo korisnicima od kojih su prikupljeni podaci nije naznačilo legitimni interes koji se ostvaruje obradom tih podataka.

b)      Dodatne napomene

62.      Radi sveobuhvatnosti i za slučaj da Sud dođe do zaključka da je predmetni legitimni interes priopćen u skladu s člankom 13. stavkom 1. točkom (d) OUZP-a, ipak ću nastaviti s analizom uvjeta koji trebaju biti ispunjeni da bi se obrada osobnih podataka smatrala zakonitom na temelju članka 6. stavka 1. točke (f) te uredbe.

63.      Kad je riječ, kao prvo, o uvjetu koji se odnosi na postojanje legitimnog interesa, SNCF Connect i francuska vlada tvrde da je legitiman interes koji se nastoji ostvariti komunikacija s kupcem.

64.      Ističem da je Sud, kad je riječ o pojmu „legitiman interes”, presudio da „zbog nepostojanja definicije tog pojma u OUZP‑u valja naglasiti […] da se legitimnim načelno može smatrati širok raspon interesa”(28).

65.      U tom pogledu, podsjećam na to da je SNCF Connect poduzetnik koji na internetu prodaje isprave za prijevoz željeznicom. Kao što sam to naveo(29), ta usluga pretpostavlja stupanje u kontakt s kupcem, barem kako bi mu se dostavila prijevozna isprava. Stoga mi se čini da svrha koja se odnosi na komunikaciju s kupcem može činiti legitiman interes za tog poduzetnika, u smislu članka 6. stavka 1. točke (f) OUZP-a, tako da bi prema mojem mišljenju prvi uvjet, koji se odnosi na postojanje takvog legitimnog interesa, trebalo smatrati ispunjenim.

66.      Kad je riječ, kao drugo, o uvjetu koji se odnosi na nužnost obrade osobnih podataka za ostvarivanje legitimnog interesa, čini mi se da taj uvjet nije ispunjen. Kao što sam to pokazao u okviru analize članka 6. stavka 1. točke (b) OUZP-a, obrada podataka o načinu oslovljavanja prekoračuje ono što je nužno da bi se omogućilo postizanje svrhe koja se odnosi na komunikaciju s kupcem, s obzirom na to da se ta komunikacija može ostvariti bez uporabe tih podataka(30).

67.      Kad je riječ, kao treće, naposljetku, o uvjetu da interesi ili temeljna prava i slobode ispitanika ne prevladavaju nad legitimnim interesom voditelja obrade ili treće strane, naglašavam da je Sud presudio da „on podrazumijeva odvagivanje […] prava i interesa o kojima je riječ, koje ovisi, u načelu, o konkretnim okolnostima pojedinog slučaja te je, slijedom toga, zadaća suda koji je uputio zahtjev da izvrši to odvagivanje uzimajući u obzir te posebne okolnosti”(31). Iznijet ću ipak određene napomene kako bi se tom sudu pružile smjernice za tu ocjenu.

68.      Sud je tako presudio da „[u] okviru tog odvagivanja suprotstavljenih prava i interesa o kojima je riječ, to jest onih voditelja obrade, s jedne strane i ispitanikovih, s druge strane, valja uzeti u obzir […] osobito ispitanikova razumna očekivanja i opseg obrade o kojoj je riječ te njezin učinak na tu osobu”(32).

69.      Usto, iz uvodne izjave 47. OUZP-a proizlazi da bi „postojanje legitimnog interesa zahtijevalo […] pažljivu procjenu, među ostalim i toga može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu”.

70.      U tom pogledu, ne vidim u kojoj bi mjeri kupac prijevoznika mogao razumno očekivati da taj poduzetnik obrađuje podatke o načinu njegova oslovljavanja u svrhu komunikacije u okviru pružanja usluge kupnje prijevozne isprave.

71.      U svakom slučaju, ne smatram da je postojanje razumnih očekivanja sâmo dostatno da se osigura da legitiman interes voditelja obrade prevladava nad interesima ili temeljnim pravima i slobodama ispitanika. Iako je takav element zasigurno relevantan u okviru odvagivanja koje treba provesti, ne može, međutim, sustavno dovoditi do zaključka da je legitiman interes voditelja obrade jači, osobito onda kada bi obrada osobnih podataka o kojoj je riječ mogla ugroziti temeljno pravo ili slobodu ispitanika kako su zajamčeni Poveljom.

72.      Doista, kao što to tvrdi Mousse, čini mi se da je to ovdje slučaj. Naime, ta udruga ističe postojanje opasnosti od rodne diskriminacije zbog obrade podataka o načinu oslovljavanja, osobito kad je riječ o transrodnim osobama ili osobama koje su državljani države koja priznaje neutralni rod.

73.      U tim okolnostima, podložno provjerama suda koji je uputio zahtjev, smatram da legitiman interes komunikacije s kupcem ne može prevladavati nad interesima ili temeljnim pravima i slobodama ispitanika.

B.      Drugo prethodno pitanje

74.      Svojim drugim prethodnim pitanjem sud koji je uputio zahtjev nastoji doznati, u biti, treba li članak 6. stavak 1. točku (f) OUZP-a tumačiti na način da u svrhu ocjenjivanja nužnosti obrade osobnih podataka u smislu te odredbe u obzir treba uzeti moguće postojanje ispitanikova prava na prigovor na temelju članka 21. stavka 1. te uredbe.

75.      Člankom 21. stavkom 1. OUZP-a propisuje se da ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f) te uredbe, uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

76.      Prema ustaljenoj sudskoj praksi, prilikom tumačenja odredbe prava Unije valja uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve propisa kojeg je dio(33).

77.      Kad je riječ o tekstu članka 21. stavka 1. OUZP-a, ističem da zakonodavac Unije naglašava da se pravo na prigovor odnosi na obradu osobnih podataka koja se temelji, među ostalim, na članku 6. stavku 1. točki (f) te uredbe. Drugim riječima, kao što to tvrde Mousse i Komisija, pravo na prigovor pretpostavlja postojanje zakonite obrade, među ostalim na osnovi legitimnog interesa voditelja obrade. To se pravo stoga može ostvariti samo kada se provede zakonita obrada, radi njezina prestanka.

78.      To prema mojem mišljenju potvrđuje drugi dio članka 21. stavka 1. OUZP-a, kojim se predviđa da u slučaju ispitanikova prigovora na temelju te odredbe voditelj obrade više ne smije obrađivati podatke o kojima je riječ(34). Prema mojem mišljenju, takav izraz jasno podrazumijeva da je predmetna obrada podataka zakonita u skladu s uvjetima navedenima u članku 6. stavku 1. točki (f) te uredbe, ali da se nakon podnošenja prigovora nad tim podacima više ne može provoditi takva obrada.

79.      Drugim riječima, članak 21. stavak 1. OUZP-a može biti relevantan tek kada se utvrdi zakonitost obrade.

80.      Stoga iz teksta članka 21. stavka 1. OUZP-a proizlazi da postojanje prava na prigovor nije ni u kojem pogledu relevantno za ocjenu nužnosti takve obrade na temelju članka 6. stavka 1. točke (f) te uredbe, s obzirom na to da provedba članka 21. stavka 1. navedene uredbe pretpostavlja da su uvjeti iz članka 6. stavka 1. točke (f) iste uredbe već ispunjeni.

81.      Takvo doslovno tumačenje članka 21. stavka 1. OUZP-a usto potvrđuje njegova analiza s obzirom na kontekst i ciljeve te uredbe.

82.      Kad je riječ o kontekstualnom tumačenju te odredbe, ističem da se osnove na kojima se može temeljiti obrada osobnih podataka navode u članku 6. OUZP-a, koji se odnosi na načelo zakonitosti, u okviru poglavlja II. te uredbe o načelima koja uređuju obradu podataka. Članak 21. navedene uredbe dio je pak poglavlja III., koje se odnosi na prava ispitanika. Usto, kao što sam to već naglasio, osnove u članku 6. iste uredbe navedene su, u skladu s ustaljenom sudskom praksom, iscrpno(35). U tim okolnostima, dvije odredbe o kojima je riječ imaju dvije različite funkcije te se ne može smatrati da bi se članak 21. OUZP-a mogao uzeti u obzir prilikom ispitivanja zakonitosti obrade, koja je uređena samo člankom 6. te uredbe.

83.      Kad je riječ o teleološkom tumačenju članka 6. stavka 1. točke (f) i članka 21. OUZP-a, uzimanje u obzir postojanja prava na prigovor u svrhu ocjenjivanja zakonitosti obrade podataka na temelju članka 6. te uredbe značilo bi da se priznaje da je obrada podataka zakonita samo zbog toga što ispitanik naknadno može podnijeti prigovor na tu obradu. To bi dovelo do proširenja osnova zakonitosti obrade izvan okvira samo onih slučajeva koji su predviđeni u članku 6. navedene uredbe i do toga da bi razina zaštite ispitanika ovisila o njihovoj savjesnosti da podnesu prigovor na obradu svojih osobnih podataka, a ako to ne učine, ta bi se obrada mogla smatrati zakonitom. Stoga mi se čini da bi se takvim tumačenjem mogao ugroziti cilj osiguravanja visoke razine zaštite pojedinaca u vezi s obradom njihovih osobnih podataka.

84.      Prema tome, smatram da na drugo prethodno pitanje valja odgovoriti tako da članak 6. stavak 1. točku (f) OUZP-a treba tumačiti na način da mu se protivi to da se u svrhu ocjenjivanja nužnosti obrade osobnih podataka u smislu te odredbe u obzir uzme moguće postojanje ispitanikova prava na prigovor na temelju članka 21. stavka 1. te uredbe.

V.      Zaključak

85.      S obzirom na sva prethodna razmatranja, predlažem da se na prethodna pitanja koja je uputio Conseil d’État (Državno vijeće, Francuska) odgovori na sljedeći način:

Članak 6. stavak 1. točku (b) i članak 5. stavak 1. točku (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da se:

sustavna obrada podataka o načinu oslovljavanja ne može smatrati nužnom za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, kada je svrha te obrade omogućiti personaliziranu poslovnu komunikaciju u kojoj je osigurano poštovanje uobičajene prakse općeprihvaćene u poslovnoj komunikaciji ili osigurati prilagodbu usluge prijevoza zbog spola osobe o kojoj je riječ.

Članak 6. stavak 1. točku (f) i članak 5. stavak 1. točku (c) Uredbe 2016/679

treba tumačiti na način da se:

obrada podataka o načinu oslovljavanja kupaca prijevoznog društva ne može smatrati nužnom za potrebe legitimnih interesa voditelja obrade ili treće strane u smislu te odredbe, s obzirom na to da to društvo korisnicima od kojih su prikupljeni podaci nije naznačilo legitimni interes koji se ostvaruje obradom tih podataka.

Članak 6. stavak 1. točku (f) Uredbe 2016/679

treba tumačiti na način da mu se:

protivi to da se u svrhu ocjenjivanja nužnosti obrade osobnih podataka u smislu te odredbe u obzir uzme moguće postojanje ispitanikova prava na prigovor na temelju članka 21. stavka 1. te uredbe.

1      Izvorni jezik: francuski

2      Uredba Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.)

3      JORF od 7. siječnja 1978., str. 227., kako je izmijenjen ordonnanceom n^o 2018-1125 od 12. prosinca 2018. (Rješenje br. 2018-1125) (JORF br. 288 od 13. prosinca 2018.)

4      Mišljenje nezavisnog odvjetnika M. Bobeka u predmetu Rīgas satiksme (C-13/16, EU:C:2017:43, t. 93.)

5      Suprotno tomu, u predmetu u kojem je donesena presuda od 4. svibnja 2017., Rīgas satiksme (C-13/16, EU:C:2017:336), bila je riječ o pitanju prijenosa fizičkoj osobi osobnih podataka potrebnih za pokretanje građanskog postupka protiv druge fizičke osobe koja je navodno počinila upravni prekršaj.

6      Članak 5. stavak 1. točka (a) OUZP-a

7      Članak 5. stavak 1. točka (c) OUZP-a

8      Kako je utvrđeno člankom 8. stavkom 1. Povelje i člankom 16. stavkom 1. UFEU-a.

9      O vezi između članka 6. stavka 1. OUZP-a i članka 52. stavka 1. Povelje vidjeti Kotschy, W., „Article 6. Lawfulness of Processing”, The EU General Data Protection Regulation (GDPR), A Commentary, Kuner, C., Bygrave, L. A. i Docksey, C. (ur.), Oxford University Press, Oxford, 2020., str. 325. i 326.

10      Presude od 22. lipnja 2021. Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 99.) i od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže) (C-252/21, u daljnjem tekstu: presuda Meta Platforms i dr., EU:C:2023:537, t. 90.)

11      Vidjeti Kotschy, W., „Article 6. Lawfulness of processing”, The EU General Data Protection Regulation (GDPR), a Commentary, op. cit., str. 329.

12      Presuda Meta Platforms i dr. (t. 91. i 92.)

13      Presuda Meta Platforms i dr. (t. 93.)

14      Presuda Meta Platforms i dr. (t. 94.)

15      Vidjeti moje mišljenje u predmetu Latvijas Republikas Saeima (Kazneni bodovi) (C-439/19, EU:C:2020:1054, t. 93.).

16      Presude Meta Platforms i dr. (t. 109.) i od 7. prosinca 2023., SCHUFA Holding (Otpis dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 78.)

17      Vidjeti moje mišljenje u predmetu Latvijas Republikas Saeima (Kazneni bodovi) (C-439/19, EU:C:2020:1054, t. 109.)

18      Presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C-439/19, EU:C:2021:504, t. 98.). U tom pogledu vidjeti i Lubasz, D., u Lubasz D. (ur.), Ochrona danych osobowych, Wolters Kluwer, Varšava, 2020., t. 202.

19      Vidjeti na primjer presudu od 9. studenoga 2010., Volker und Markus Schecke i Eifert (C-92/09 i C-93/09, EU:C:2010:662, t. 74. i navedenu sudsku praksu).

20      Vidjeti de Terwangne, C., „Article 5. Principles Relating to Processing of Personal Data”, The EU General Data Protection Regulation (GDPR), A Commentary, op. cit., str. 317.

21      Moje isticanje

22      Članak 4. točka 11. OUZP-a

23      Moje isticanje

24      Presuda Meta Platforms i dr. (t. 98.). Moje isticanje

25      Vidjeti presudu od 17. lipnja 2021., M. I. C. M. (C-597/19, EU:C:2021:492, t. 106.) i presudu Meta Platforms i dr. (t. 106.).

26      Presuda Meta Platforms i dr. (t. 107.)

27      Presuda Meta Platforms i dr. (t. 126. i izreka)

28      Presuda od 7. prosinca 2023., SCHUFA Holding (Otpis dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 76.)

29      Vidjeti točku 42. ovog mišljenja.

30      Vidjeti točku 47. i sljedeće ovog mišljenja.

31      Presuda Meta Platforms i dr. (t. 110.)

32      Presuda Meta Platforms i dr. (t. 116.)

33      Presude od 11. svibnja 2017., Krijgsman (C-302/16, EU:C:2017:359, t. 24.); od 29. rujna 2022., LOT (Odšteta koju nalaže upravno tijelo) (C-597/20, EU:C:2022:735, t. 21.) i od 29. veljače 2024., Eventmedia Soluciones (C-11/23, EU:C:2024:194, t. 24.)

34      Vidjeti verzije na njemačkom („Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr […]”), engleskom („The controller shall no longer process the personal data […]”) ili poljskom jeziku („Administratorowi nie wolno już przetwarzać tych danych osobowych […]”). Moje isticanje

35      Vidjeti točku 27. ovog mišljenja. Vidjeti također presudu Meta Platforms i dr. (t. 90.).