–

za Mousse, E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans i D. Holemans, advocaten,

–

za SNCF Connect, E. Drouard, J.-J. Gatineau i A. Ligot, avocats,

–

za francusku vladu, R. Bénard, B. Dourthe i B. Fodda, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar i H. Kranenborg, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 5. stavka 1. točke (c), članka 6. stavka 1. prvog podstavka točaka (b) i (f) kao i članka 21. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).

2

Taj je zahtjev podnesen u okviru spora između udruge Mousse i Commission nationale de l’informatique et des libertés (CNIL) (Francuska) u vezi s njegovim odbijanjem pritužbe koju je ta udruga podnijela u vezi s obradom, od strane društva SNCF Connect, podataka o načinu oslovljavanja klijenata tog društva prilikom prodaje prijevoznih isprava na internetu.

3

Uvodne izjave 1., 4., 10., 47., i 75. OUZP‑a glase:

[…]

[…]

[…]

[…]

4

Članak 1. te uredbe, naslovljen „Predmet i ciljevi”, u stavku 2. određuje:

„Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”

5

U skladu s člankom 2. stavkom 1. navedene uredbe:

„Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti [ili djelomično] obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.”

6

Članak 4. te uredbe, naslovljen „Definicije”, glasi:

„Za potrebe ove Uredbe:

[…]

[…]

[…]”

7

Člankom 5. OUZP‑a, naslovljenim „Načela obrade osobnih podataka”, propisano je:

„(1)   Osobni podaci moraju biti:

[…]

[…]”

8

Članak 6. te uredbe, naslovljen „Zakonitost obrade”, u stavku 1. predviđa:

„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]”

9

Člankom 13. te uredbe, naslovljenim „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, propisano je:

„(1)   Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

[…]

[…]”

10

U članku 21. te uredbe, naslovljenim „Pravo na prigovor”, njegovu stavku 1. propisano je:

„Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkama (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.”

11

U skladu s odredbama njezina članka 1., svrha je Direktive Vijeća 2004/113/EZ od 13. prosinca 2004. o provedbi načela jednakog postupanja prema muškarcima i ženama u pristupu i nabavi robe, odnosno pružanju usluga (SL 2004., L 373, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 5., svezak 1., str. 101.) utvrditi okvir za suzbijanje spolne diskriminacije u pogledu mogućnosti dobivanja i nabave robe, odnosno pružanja usluga, radi učinkovite primjene načela jednakog postupanja prema muškarcima i ženama u državama članicama.

12

Člankom 8. Zakona br. 78‑17 od 6. siječnja 1978. o informatičkim tehnologijama, sustavima pohrane i slobodama (JORF od 7. siječnja 1978., str. 227.), u verziji koja se primjenjuje u glavnom postupku, propisano je:

„I A. [CNIL] je neovisno upravno tijelo.

I. To je nacionalno nadzorno tijelo u smislu i za potrebe primjene [OUZP‑a]. To tijelo obavlja sljedeće zadaće:

[…]

2° Osigurava da se obrade osobnih podataka provode u skladu s odredbama ovog zakona i drugim odredbama o zaštiti osobnih podataka predviđenima zakonodavnim i regulatornim tekstovima, pravom […] Unije i međunarodnim obvezama [Francuske Republike].

U tu svrhu:

[…]

13

SNCF Connect putem svoje internetske stranice i aplikacija prodaje prijevozne isprave za željeznicu kao što su karte za vlak, pretplate i kartice za popust. Prilikom kupnje tih prijevoznih isprava na toj internetskoj stranici ili putem aplikacija klijenti tog poduzeća moraju obavezno navesti način svog oslovljavanja tako da označe jedno od dvaju polja izrazima „gospodin” ili „gospođa”.

14

Smatrajući da uvjeti prikupljanja i bilježenja podataka o načinu oslovljavanja klijenata društva SNCF Connect nisu u skladu sa zahtjevima iz OUZP‑a, Mousse je protiv tog društva CNIL‑u podnio pritužbu. Mousse je u prilog toj pritužbi tvrdio da prikupljanje tih podataka nije u skladu s načelom zakonitosti, utvrđenim u članku 5. stavku 1. točki (a) OUZP‑a, jer se ne temelji ni na jednoj od osnova predviđenih u članku 6. stavku 1. OUZP‑a. Usto, takvim su prikupljanjem povrijeđeni načelo smanjenja količine podataka iz članka 5. stavka 1. točke (c) OUZP‑a kao i među ostalim obveze transparentnosti i pružanja informacija koje proizlaze iz članka 13. te uredbe.

15

U odluci od 23. ožujka 2021., CNIL je zaključio da činjenice koje se stavljaju na teret društvu SNCF Connect ne predstavljaju povrede navedene odredbe OUZP‑a i da treba okončati postupak ispitivanja navedene pritužbe. U prilog toj odluci CNIL je utvrdio da je obrada podataka o kojima je riječ u glavnom postupku zakonita na temelju članka 6. stavka 1. prvog podstavka točke (b) OUZP‑a jer je nužna za izvršavanje navedenog ugovora o pružanju usluga prijevoza. Usto, CNIL je istaknuo da je ta obrada, s obzirom na njezine svrhe, u skladu s načelom smanjenja količine podataka jer je personalizirano obraćanje klijentima, korištenjem načina na koji se oni oslovljavaju u skladu s uobičajenom uporabom prihvaćenom u poslovnoj, društvenoj i administrativnoj komunikaciji.

16

Mousse je 21. svibnja 2021. podnio tužbu za poništenje Conseilu d’État (Državno vijeće, Francuska), a riječ je o sudu koji je uputio zahtjev, protiv te odluke CNIL‑a. U svojoj tužbi Mousse među ostalim tvrdi da obveza da se prilikom kupnje na internetu označi izraz „gospodin” ili „gospođa” nije u skladu s načelom zakonitosti utvrđenim u članku 5. stavku 1. točki (a) OUZP‑a ni s načelom smanjenja količine podataka iz članka 5. stavka 1. točke (c) te uredbe jer taj izraz nije nužan za izvršavanje ugovora o pružanju usluga prijevoza ni za potrebe legitimnih interesa društva SNCF Connect. Tvrdi i da činjenica da se izrazi takve prirode koriste u poslovnoj komunikaciji nije dovoljna da bi se takva obveza učinila nužnom. Naposljetku, takva obveza je takve prirode da dovodi u pitanje pravo na putovanje bez obveze navođenja svog načina oslovljavanja, prava na poštovanje privatnog života i slobode rodnog izražavanja i dovodi do rizika od diskriminacije. Kad je osobito riječ o državljanima država u kojima se u pogledu osobnog stanja priznaje „neutralni rod”, taj izraz ne odgovara stvarnosti i može među ostalim dovesti do povrede njihove slobode kretanja koja je zajamčena pravom Unije.

17

CNIL zahtijeva da se ta tužba odbije tvrdeći da se obrada podataka koji se odnose na način oslovljavanja također može kvalificirati „nužnom” za potrebe legitimnih interesa društva SNCF Connect, na temelju članka 6. stavka 1. prvog podstavka, točke (f) OUZP‑a, i da se ispitanici – u skladu s njihovom posebnom situacijom – mogu koristiti pravom na prigovor zajamčenim u članku 21. OUZP‑a.

18

U tim okolnostima, Sud koji je uputio zahtjev pita se među ostalim može li se za potrebe ocjenjivanja nužnosti obrade podataka o kojima je riječ u glavnom postupku u obzir uzeti uobičajena uporaba prihvaćena u poslovnoj, društvenoj i administrativnoj komunikaciji, tako da prikupljanje podataka koji se odnose na način oslovljavanja klijenata, ograničeno na izraze „gospodin” ili „gospođa”, može biti zakonito i u skladu s načelom smanjenja količine podataka. Taj se sud usto pita treba li, za potrebe ocjenjivanja nužnosti tog obveznog prikupljanja i naknadne obrade podataka o načinu oslovljavanja klijenata, kada neki od njih smatraju da se nijedan od dvaju načina oslovljavanja ne odnosi na njih, u obzir uzeti činjenicu da bi se ti klijenti, nakon što su pružili te podatke voditelju obrade kako bi se koristili dotičnom uslugom, na temelju svoje posebne situacije u smislu članka 21. OUZP‑a, mogli koristiti svojim pravom na prigovor na korištenje takvih podataka.

19

U tim je okolnostima Conseil d’État (Državno vijeće) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

20

Svojim prvim pitanjem sud koji je uputio zahtjev u biti želi doznati treba li članak 6. stavak 1. prvi podstavak, točke (b) i (f) OUZP‑a u vezi s člankom 5. stavkom 1. točkom (c) te uredbe tumačiti na način da se obrada osobnih podataka o načinu oslovljavanja klijenata nekog poduzeća za prijevoz, čija je svrha personalizacija poslovne komunikacije koja se temelji na njihovom spolnom identitetu, može smatrati nužnom za izvršavanje ugovora u smislu te točke (b) ili nužnom za potrebe legitimnih interesa voditelja te obrade ili treće strane u smislu te točke (f).

21

Najprije valja podsjetiti na to da je cilj OUZP‑a, kao što to proizlazi iz njegova članka 1. i njegovih uvodnih izjava 1. i 10., među ostalim, osiguranje visoke razine zaštite temeljnih prava i sloboda pojedinaca, osobito njihova prava na poštovanje privatnog života u vezi s obradom osobnih podataka, utvrđenog u članku 8. stavku 1. Povelje i članku 16. stavku 1. UFEU‑a (presuda od 4. listopada 2024., Schrems (Otkrivanje podataka široj javnosti), C‑446/21, EU:C:2024:834, t. 45. i navedena sudska praksa).

22

U skladu s tim ciljem, svaka obrada osobnih podataka mora, među ostalim, biti u skladu s načelima koja se odnose na obradu takvih podataka navedenima u članku 5. te uredbe i ispunjavati uvjete zakonitosti navedene u članku 6. navedene uredbe (presuda od 4. listopada 2024., Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, t. 27. i navedena sudska praksa).

23

Člankom 5. stavkom 1. točkom (a) OUZP‑a propisano je da osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika.

24

U skladu s člankom 5. stavkom 1. točkom (c) te uredbe, u kojem je utvrđeno načelo smanjenja količine podataka, ti podaci moraju također biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju. To je načelo izraz načela proporcionalnosti (vidjeti u tom smislu presudu od 4. listopada 2024., Schrems (Otkrivanje podataka široj javnosti), C‑446/21, EU:C:2024:834, t. 49. i 50. kao i navedenu sudsku praksu).

25

Kad je riječ o uvjetima zakonitosti obrade, kao što je to Sud presudio, članak 6. stavak 1. prvi podstavak OUZP‑a predviđa iscrpan i ograničen popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom. Dakle, da bi se mogla smatrati zakonitom, obrada mora biti obuhvaćena jednim od slučajeva predviđenih tom odredbom (presuda od 4. listopada 2024., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, t. 29. i navedena sudska praksa).

26

U skladu s člankom 6. stavkom 1. prvim podstavkom točkom (a) OUZP‑a, obrada osobnih podataka zakonita je ako i u onoj mjeri u kojoj je ispitanik dao privolu za nju u jednu ili više posebnih svrha. Ako takva privola nije dana uopće ili nije dana dobrovoljno, posebno, informirano i nedvosmisleno, u smislu članka 4. točke 11. te uredbe, takva obrada ipak može biti opravdana ako ispunjava jedan od zahtjeva nužnosti sadržanih u članku 6. stavku 1. prvom podstavku točkama (b) do (f) navedene uredbe (vidjeti u tom smislu presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 91. i 92.).

27

U tom kontekstu, opravdanja sadržana u potonjoj odredbi, u dijelu u kojem omogućuju ozakonjenje obrade osobnih podataka izvršene bez ispitanikove privole, moraju se tumačiti usko (presuda od 4. listopada 2024., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, t. 31. i navedena sudska praksa).

28

Usto, kao što je to Sud presudio, ako je moguće utvrditi da je obrada osobnih podataka nužna s obzirom na jedno od opravdanja sadržanih u članku 6. stavku 1. prvom podstavku točkama (b) do (f) OUZP‑a, više nije potrebno utvrditi je li ta obrada obuhvaćena i nekim od preostalih opravdanja. U tom pogledu valja pojasniti da zahtjev nužnosti koji se odnosi na utvrđeno opravdanje nije ispunjen kad se cilj te obrade podataka može razumno na jednako učinkovit način postići drugim sredstvima kojima se manje zadire u temeljna prava ispitanika, posebno pravâ na poštovanje privatnog života i na zaštitu osobnih podataka, zajamčena člancima 7. i 8. Povelje, s obzirom na to da odstupanja od načela zaštite takvih podataka i njegova ograničenja treba predvidjeti u granicama onog što je nužno (vidjeti u tom smislu presude od 22. lipnja 2021.Latvijas Republikas Saeima (Kazneni bodovi)C‑439/19, EU:C:2021:504, t. 110. i navedenu sudsku praksu kao i od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 94.).

29

Naposljetku, treba pojasniti da u skladu s člankom 13. stavkom 1. točkom (c) OUZP‑a, ako su osobni podaci prikupljeni od ispitanika, zadaća je voditelja obrade da ispitanika informira o svrhama obrade radi kojih se upotrebljavaju ti podaci kao i pravnoj osnovi za tu obradu (presuda od 4. listopada 2024., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, t. 33. i navedena sudska praksa).

30

U konkretnom slučaju, valja primijetiti da nije sporno da se način oslovljavanja, koji odgovara muškom ili ženskom spolnom identitetu, može kvalificirati „osobnim podatkom” kad se odnosi na osobu čiji je identitet utvrđen u smislu članka 4. točke 1. OUZP‑a i da je taj podatak predmet „obrade” u smislu članka 4. točke 2. OUZP‑a, s obzirom na to da ga prikuplja i bilježi društvo SNCF Connect u okviru prodaje prijevoznih isprava na internetu. Slijedom toga, ta je obrada koja je osim toga automatizirana, obuhvaćena materijalnim područjem primjene te uredbe na temelju njezina članka 2. stavka 1.

31

Usto, pitanje koje je postavio sud koji je uputio zahtjev temelji se na dvjema pretpostavkama, i to, s jedne strane, da je obrada podataka o kojima je riječ u glavnom postupku izvršena bez privole ispitanikâ u smislu članka 4. točke 11. i članka 6. stavka 1. prvog podstavka, točke (a) OUZP‑a, i s druge strane, da ta obrada nije nužna radi poštovanja pravnih obveza voditelja obrade u smislu članka 6. stavka 1. prvog podstavka, točke (c) OUZP‑a. Stoga se postavljeno pitanje isključivo odnosi na mogućnost pozivanja na opravdanja iz točaka (b) i (f) članka 6. stavka 1. prvog podstavka OUZP‑a, u okviru obrade podataka o kojima je riječ u glavnom postupku.

32

Člankom 6. stavkom 1. prvim podstavkom, točkom (b) OUZP‑a propisano je da je obrada osobnih podataka zakonita ako je „nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora”.

33

S tim u vezi, kako bi se obrada osobnih podataka smatrala nužnom za izvršavanje ugovora u smislu te odredbe, ona treba biti objektivno neophodna za ostvarenje svrhe koja je sastavni dio ugovorne činidbe koja se pruža ispitaniku. Voditelj te obrade stoga mora moći dokazati zašto se glavni predmet tog ugovora ne bi mogao ostvariti ako se ne izvrši navedena obrada (presuda od 12. rujna 2024., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, t. 43. kao i navedena sudska praksa).

34

Činjenica da je takva obrada navedena u ugovoru ili da je samo korisna za njegovo izvršenje sama po sebi nije relevantna s tim u vezi. Naime, odlučujući element za potrebe primjene opravdanja iz članka 6. stavka 1. prvog podstavka točke (b) OUZP‑a jest taj da obrada osobnih podataka koju provodi voditelj obrade bude ključna za pravilno izvršavanje ugovora koji su sklopili on i ispitanik odnosno taj da ne postoje druga praktična i manje otegotna rješenja (presuda od 12. rujna 2024., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, t. 44. kao i navedena sudska praksa).

35

U tom kontekstu, ako se ugovor sastoji od nekoliko usluga ili različitih elemenata iste usluge koji se mogu pružiti neovisno jedan o drugom, primjenjivost članka 6. stavka 1. prvog podstavka točke (b) OUZP‑a treba ocijeniti u kontekstu svake od tih usluga zasebno (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 100.).

36

U konkretnom slučaju, nesporno je da je glavni predmet ugovora o kojem je riječ u glavnom postupku pružanje usluge željezničkog prijevoza klijentima. Prema mišljenju suda koji je uputio zahtjev, svrha je obrade podataka o kojima je riječ u glavnom postupku personalizacija poslovne komunikacije prema klijentu, u skladu s uobičajenom uporabom koja je prihvaćena u tom području.

37

Kao što je to nezavisni odvjetnik u bitnome primijetio u točki 42. svoga mišljenja, poslovna komunikacija može predstavljati svrhu koja je sastavni dio dotične ugovorne činidbe, s obzirom na to da isporuka takve usluge željezničkog prijevoza načelno podrazumijeva komunikaciju s klijentom kako bi mu se među ostalim elektroničkim putem dostavila prijevozna isprava, kako bi ga se obavijestilo o mogućim promjenama koje utječu na odgovarajuće putovanje i kako bi se omogućila komunikacija sa službom za pomoć korisnicima nakon prodaje. Ta komunikacija može zahtijevati poštovanje uobičajene uporabe i osobito podrazumijevati uporabu izraza oslovljavanja, kako bi se iskazalo poštovanje dotičnog poduzeća prema njegovu klijentu i time očuvao imidž tog poduzeća.

38

Međutim, takva komunikacija ne treba nužno biti personalizirana ovisno o spolnom identitetu dotičnog klijenta. Naime, u skladu sa sudskom praksom, personalizacija sadržaja nije nužna da bi se nekom klijentu ponudile usluge kad mu se te usluge mogu, ovisno o slučaju, pružiti u obliku ekvivalentne alternative koja ne podrazumijeva takvu personalizaciju tako da potonja nije objektivno neophodna za ostvarenje svrhe koja je sastavni dio navedenih usluga (vidjeti u tom smislu presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 102.).

39

Kad je riječ o uslugama o kojima se radi u glavnom postupku, ne čini se da je personalizacija poslovne komunikacije, koja se temelji na spolnom identitetu koji se pretpostavlja ovisno o načinu oslovljavanja, ni objektivno neophodna ni ključna da bi se omogućilo pravilno izvršavanje dotičnog ugovora, u smislu sudske prakse navedene u točkama 33. i 34. ove presude.

40

Naime, čini se da postoji praktično i manje otegotno rješenje, s obzirom na to da bi se dotično poduzeće u odnosu na klijente koji ne žele navesti način svoga oslovljavanja ili općenito, može odlučiti za komunikaciju koja se temelji na ustaljenim izrazima oslovljavanja, koji su inkluzivni i ne dovode se u vezu s predmnijevanim spolnim identitetom klijenata. Osim toga, kao što je to nezavisni odvjetnik naveo u točkama 49. i 50. svog mišljenja, čini se da SNCF Connect, a to treba provjeriti sud koji je uputio zahtjev, već upotrebljava takve izraze oslovljavanja i da, usto, navođenje netočnog načina oslovljavanja ne bi utjecalo na isporuku dotičnih usluga prijevoza, što na neki način potvrđuje da obrada podataka o kojima je riječ u glavnom postupku nije objektivno neophodna za izvršavanje glavnog predmeta ugovora.

41

U tim okolnostima, treba još pojasniti da je SNCF Connect na raspravi tvrdio da se obradom podataka o kojima je riječ u glavnom postupku želi postići druga svrha, odnosno prilagoditi usluge prijevoza noćnim vlakovima što podrazumijeva vagone rezervirane za osobe jednakog spola, i asistenciji putnicima s invaliditetom. SNCF Connect smatra da ta svrha prilagodbe usluga prijevoza može zahtijevati poznavanje spolnog identiteta dotičnih klijenata.

42

Međutim, ta druga svrha ne može opravdati sustavnu i općenitu obradu podataka o načinu oslovljavanja svih klijenata dotičnog poduzeća, uključujući klijente koji putuju po danu ili one bez invaliditeta. Naime, takva je obrada neproporcionalna i zbog toga protivna načelu smanjenja količine podataka navedenom u točki 24. ove presude jer se mogla ograničiti na podatke o spolnom identitetu samo onih klijenata koji žele putovati noćnim vlakom ili se koristiti personaliziranom asistencijom zbog svoga invaliditeta.

43

Stoga članak 6. stavak 1. prvi podstavak točku (b) OUZP‑a u vezi s njegovim člankom 5. stavkom 1. točkom (c) treba tumačiti na način da se obrada osobnih podataka o načinu oslovljavanja klijenata nekog poduzeća za prijevoz, čija je svrha personalizacija poslovne komunikacije koja se temelji na njihovom spolnom identitetu ne čini ni objektivno neophodna ni ključna da bi se omogućilo pravilno izvršavanje ugovora i stoga se ne može smatrati nužnom za izvršavanje tog ugovora.

44

Člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP‑a propisano je da je obrada osobnih podataka zakonita ako je „nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete”.

45

U skladu s ustaljenom sudskom praksom, tom su odredbom predviđena tri kumulativna uvjeta zakonitosti obrade osobnih podataka, odnosno, kao prvo, da je svrha obrade legitiman interes voditelja obrade ili treće strane, kao drugo, da je obrada osobnih podataka nužna za ostvarenje tog legitimnog interesa i, kao treće, uvjet da interesi ili temeljna prava i slobode ispitanika za zaštitu podataka ne nadilaze legitiman interes voditelja obrade ili treće strane (presude od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 106. kao i od 4. listopada 2024., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, t. 37.).

46

Kad je riječ, prvo, o uvjetu koji se odnosi na ostvarivanje legitimnog interesa, valja pojasniti da je, u skladu s člankom 13. stavkom 1. točkom (d) OUZP‑a, zadaća voditelja obrade, u trenutku prikupljanja ispitanikovih osobnih podataka od samog ispitanika, naznačiti mu legitimne interese koji se nastoje ostvariti kada se ta obrada temelji na članku 6. stavku 1. prvom podstavku točki (f) te uredbe. Budući da OUZP ne sadržava definiciju pojma „legitiman interes”, načelno se širok raspon interesa može smatrati legitimnima. Konkretno, taj pojam nije ograničen na zakonom propisane i određene interese (vidjeti u tom smislu presude od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 107. i od 4. listopada 2024., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, t. 38., 40. i 41. kao i navedenu sudsku praksu).

47

Tako iz uvodne izjave 47. OUZP‑a proizlazi da bi takav legitiman interes mogao na primjer postojati u slučaju relevantnog i odgovarajućeg odnosa ispitanika i voditelja obrade u situacijama poput one kada je ispitanik klijent voditelja obrade.

48

Što se tiče, kao drugo, uvjeta koji se odnosi na nužnost obrade osobnih podataka za ostvarivanje legitimnog interesa koji se nastoji postići, i s obzirom na sudsku praksu navedenu u točki 28. ove presude, sud koji je uputio zahtjev dužan je provjeriti može li se legitiman interes obrade podataka, koji se nastoji postići razumno, jednako učinkovito postići drugim sredstvima kojima se manje zadire u temeljne slobode i prava ispitanikâ, s obzirom na to da se takva obrada treba izvršiti u granicama onoga što je strogo nužno za ostvarivanje tog legitimnog interesa.

49

U tom kontekstu također valja podsjetiti na to da se uvjet koji se odnosi na nužnost obrade mora ispitati zajedno s načelom smanjenja količine podataka iz članka 5. stavka 1. točke (c) OUZP‑a, prema kojem osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (presuda od 12. rujna 2024., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, t. 52. kao i navedena sudska praksa).

50

Naposljetku, što se tiče, kao treće, uvjeta da interesi ili temeljne slobode i prava ispitanika za zaštitu podataka ne nadilaze legitiman interes voditelja obrade ili treće strane, Sud je presudio da on podrazumijeva odvagivanje suprotstavljenih prava i interesa o kojima je riječ, koje ovisi, u načelu, o konkretnim okolnostima pojedinog slučaja te je, slijedom toga, zadaća suda koji je uputio zahtjev da izvrši to odvagivanje uzimajući u obzir te posebne okolnosti. Kao što to proizlazi iz uvodne izjave 47. OUZP‑a, interesi i temeljna prava ispitanika posebno mogu nadvladati interes voditelja obrade ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju takvu obradu (vidjeti u tom smislu presudu od 12. rujna 2024., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, t. 53. i 54. i navedenu sudsku praksu).

51

U konkretnom slučaju, iako je u konačnici na sudu koji je uputio zahtjev da ocijeni jesu li u pogledu obrade osobnih podataka o kojima je riječ u glavnim postupcima ispunjena tri uvjeta na koja se podsjeća u točki 45. ove presude, Sud može prilikom odlučivanja o prethodnom pitanju dati pojašnjenja koja nacionalni sud usmjeravaju u tom utvrđivanju (vidjeti po analogiji presudu od 12. rujna 2024., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, t. 55. i navedenu sudsku praksu).

52

Kad je riječ o prvom uvjetu iz točke 46. ove presude, na sudu koji je uputio zahtjev je da provjeri je li SNCF Connect u stadiju prikupljanja podataka o kojima je riječ u glavnom postupku svojim klijentima naznačio legitiman interes koji se nastoji postići u skladu s člankom 13. stavkom 1. točkom (d) OUZP‑a. Kao što je to nezavisni odvjetnik istaknuo u točki 58. svog mišljenja, tom se odredbom nalaže da se ispitanici u trenutku tog prikupljanja moraju izravno obavijestiti o legitimnom interesu, s tim da navedeno prikupljanje bez toga ne može biti opravdano na temelju članka 6. stavka 1. prvog podstavka točke (f) te uredbe. Na temelju spisa kojim raspolaže Sud nije moguće ocijeniti je li taj zahtjev u glavnom postupku bio ispunjen.

53

U tim okolnostima, valja pojasniti da se SNCF Connect u svojim pisanim očitovanjima pozvao na svrhu izravnog poslovnog marketinga, za koju bi mogla biti potrebna personalizacija komunikacije i, slijedom toga, obrada podataka o kojima je riječ u glavnom postupku.

54

U tom pogledu, u skladu sa zadnjom rečenicom uvodne izjave 47. OUZP‑a, može se smatrati da postoji legitiman interes kod obrade osobnih podataka provedene u svrhu izravnog poslovnog marketinga. Konkretno, personalizacija oglašavanja može se u takvom kontekstu izjednačiti s izravnim poslovnim marketingom (vidjeti po analogiji presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 115.).

55

Kad je riječ o drugom uvjetu iz točke 48. ove presude, čini se da se personalizacija poslovne komunikacije, i to treba provjeriti sud koji je uputio zahtjev, može ograničiti na obradu prezimena i imena klijenata, pri čemu se njihov način oslovljavanja i/ili njihov spolni identitet ne čini nužnim podatkom u tom kontekstu, osobito s obzirom na načelo smanjenja količine podataka.

56

U svojim pisanim očitovanjima, SNCF Connect i francuska vlada tvrde da je, u svrhu ocjene nužnosti obrade osobnih podataka, potrebno uzeti u obzir uobičajenu uporabu i društvene običaje karakteristične za svaku državu članicu, posebno kako bi se zaštitile jezična i kulturna raznolikost, navedene u uvodnoj izjavi 4. OUZP‑a. Valja međutim istaknuti da, s jedne strane, člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP‑a nije predviđeno uzimanje u obzir uobičajenih uporaba i društvenih običaja u svrhu ocjene nužnosti takve obrade, pri čemu treba pojasniti da je taj članak potrebno usko tumačiti, kao što je to navedeno u točki 27. ove presude.

57

S druge strane, čini se da izostanak obrade podataka o načinu oslovljavanja ili spolnom identitetu dotičnih klijenata nije takav da bi utjecao na tu raznolikost. Naime, kao što to proizlazi iz točke 40. ove presude, voditelj obrade može poštovati tu uobičajenu uporabu i društvene običaje tako da prema klijentima koji ne žele navesti svoj način oslovljavanja ili općenito koristi ustaljene izraze oslovljavanja koji su inkluzivni i ne dovode se u vezu sa spolnim identitetom tih klijenata, tako da ni u kojem slučaju nije moguće prihvatiti argumentaciju društva SNCF Connect i francuske vlade.

58

Kad je riječ o trećem uvjetu iz točke 50. ove presude i odvagivanju suprotstavljenih prava i interesa o kojima je riječ, to jest onih voditelja obrade, s jedne strane, i ispitanikovih, s druge strane, treba uzeti u obzir osobito ispitanikova razumna očekivanja i opseg obrade o kojoj je riječ te njezin učinak na tu osobu (vidjeti presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 116.).

59

Kao što je to nezavisni odvjetnik u bitnome naveo u točki 70. svog mišljenja, podložno provjeri suda koji je uputio zahtjev, klijent poduzeća za prijevoz ne bi trebao očekivati to da to poduzeće obrađuje podatke o njegovu načinu oslovljavanja ili njegovu spolnom identitetu u kontekstu kupnje prijevozne isprave. To bi konkretno bio slučaj onda kad bi ta obrada bila izvršena isključivo za potrebe izravnog poslovnog marketinga.

60

Legitiman interes koji se odnosi na izravni poslovni marketing ne može ni u kojem slučaju prevladavati u slučaju rizika od povrede ispitanikovih temeljnih prava i sloboda. Naime, kao što to proizlazi iz uvodne izjave 75. OUZP‑a, rizik za prava i [slobode] pojedinaca, različitih vjerojatnosti i ozbiljnosti, može proizići iz obrade osobnih podataka koja bi mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, osobito ako ta obrada može dovesti do diskriminacije.

61

U tom kontekstu konkretno je na sudu koji je uputio zahtjev da provjeri postoji li rizik od diskriminacije koja se temelji na spolnom identitetu, što tvrdi Mousse, osobito s obzirom na Direktivu 2004/113 jer se njome provodi načelo jednakog postupanja prema ženama i muškarcima u pristupu i nabavi robe, odnosno pružanju usluga.

62

U tom pogledu valja pojasniti da se područje primjene te direktive ne može ograničiti samo na diskriminacije do kojih dolazi zbog pripadnosti jednom ili drugom spolu. Uzimajući u obzir njezin predmet i prirodu prava koja se njome štite, navedena se direktiva također primjenjuje na diskriminacije koje su posljedica promjene spolnog identiteta neke osobe (vidjeti po analogiji presudu od 27. travnja 2006., Richards, C‑423/04, EU:C:2006:256, t. 24. i navedenu sudsku praksu).

63

Slijedom toga, članak 6. stavak 1. prvi podstavak točku (f) OUZP‑a u vezi s člankom 5. stavkom 1. točkom (c) te uredbe treba tumačiti na način da se obrada osobnih podataka o načinu oslovljavanja klijenata nekog poduzeća za prijevoz, čija je svrha personalizacija poslovne komunikacije koja se temelji na njihovom spolnom identitetu ne može smatrati nužnom za potrebe legitimnih interesa voditelja te obrade ili treće strane u slučaju kad:

64

S obzirom na sva prethodna razmatranja, na prvo pitanje valja odgovoriti tako da članak 6. stavak 1. prvi podstavak točke (b) i (f) OUZP‑a u vezi s člankom 5. stavkom 1. točkom (c) te uredbe treba tumačiti na način da se:

65

Svojim drugim pitanjem sud koji je uputio zahtjev u biti želi doznati treba li članak 6. stavak 1. prvi podstavak točku (f) OUZP‑a tumačiti na način da radi ocjenjivanja nužnosti obrade osobnih podataka na temelju te odredbe u obzir treba uzeti moguće postojanje ispitanikova prava na prigovor na temelju članka 21. OUZP‑a.

66

Člankom 21. stavkom 1. OUZP‑a propisano je da ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. prvim podstavkom točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

67

Primjenjivost članka 21. OUZP‑a i slijedom toga, moguće postojanje prava na prigovor pretpostavljaju postojanje zakonite obrade koja se u ovom slučaju temelji na članku 6. stavku 1. prvom podstavku točki (f) te uredbe. Naime, kako bi bila zakonita, takva obrada mora prije toga ispuniti uvjet nužnosti iz točke 48. ove presude.

68

Kao što je to nezavisni odvjetnik naveo u točkama 80. i 82. svog mišljenja, iz teksta i strukture dotičnih odredbi slijedom toga proizlazi da se postojanje prava na prigovor ne može uzeti u obzir za potrebe ocjene zakonitosti i posebno, nužnosti obrade osobnih podataka o kojima je riječ u glavnom postupku.

69

To tumačenje potvrđuje cilj koji se želi postići OUZP‑om, koji je, s obzirom na njezinu uvodnu izjavu 10., osigurati visoku razinu zaštite temeljnih prava i sloboda fizičkih osoba u vezi s obradom osobnih podataka. Naime, posljedica bilo kojeg drugog tumačenja bilo bi oslabljenje zahtjeva iz članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a, proširivanjem razloga za zakonitost dotične obrade, iako tu odredbu – imajući u vidu sudsku praksu navedenu u točki 27. ove presude – treba usko tumačiti.

70

S obzirom na sva prethodna razmatranja na drugo pitanje valja odgovoriti tako da članak 6. stavak 1. prvi podstavak točku (f) OUZP‑a treba tumačiti na način da radi ocjenjivanja nužnosti obrade osobnih podataka na temelju te odredbe ne treba uzeti u obzir moguće postojanje ispitanikova prava na prigovor na temelju članka 21. OUZP‑a.

71

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenoga, Sud (prvo vijeće) odlučuje: