TEISINGUMO TEISMO (pirmoji kolegija) SPRENDIMAS

2025 m. sausio 9 d. ( *1 )

„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 5 straipsnio 1 dalies c punktas – Duomenų kiekio mažinimo principas – 6 straipsnio 1 dalis – Tvarkymo teisėtumas – Duomenys apie mandagumo kreipinį ir lytinę tapatybę – Transporto bilietų pardavimas internetu – 21 straipsnis – Teisė nesutikti“

Byloje C‑394/23

dėl Conseil d’État (Valstybės Taryba, Prancūzija) 2023 m. birželio 21 d. sprendimu, kurį Teisingumo Teismas gavo 2023 m. birželio 28 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

Mousse

prieš

Commission nationale de l’informatique et des libertés (CNIL),

SNCF Connect

TEISINGUMO TEISMAS (pirmoji kolegija),

kurį sudaro pirmosios kolegijos pirmininko pareigas einantis Teisingumo Teismo pirmininkas K. Lenaerts, Teisingumo Teismo pirmininko pavaduotojas T. von Danwitz (pranešėjas), teisėjai M. L. Arastey Sahún, A. Kumin ir I. Ziemele,

generalinis advokatas M. Szpunar,

posėdžio sekretorius I. Illéssy, administratorius,

atsižvelgęs į rašytinę proceso dalį ir įvykus 2024 m. balandžio 29 d. posėdžiui,

išnagrinėjęs pastabas, pateiktas:

–	Mousse, atstovaujamos avocat E. Deshoulières, advocaten Y. El Kaddouri, J. Heymans ir D. Holemans,

–	SNCF Connect, atstovaujamos avocats E. Drouard, J.‑J. Gatineau ir A. Ligot,

–	Prancūzijos vyriausybės, atstovaujamos R. Bénard, B. Dourthe ir B. Fodda,

–	Europos Komisijos, atstovaujamos A. Bouchagiar ir H. Kranenborg,

susipažinęs su 2024 m. liepos 11 d. posėdyje pateikta generalinio advokato išvada,

priima šį

Sprendimą

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR) 5 straipsnio 1 dalies c punkto, 6 straipsnio 1 dalies pirmos pastraipos b ir f punktų ir 21 straipsnio išaiškinimo.

Šis prašymas pateiktas nagrinėjant asociacijos Mousse ginčą su Commission nationale de l’informatique et des libertés (Nacionalinė informatikos ir laisvių komisija (CNIL), Prancūzija) dėl šios sprendimo atmesti Mousse skundą dėl to, kaip bendrovė SNCF Connect tvarko duomenis apie klientų mandagumo kreipinius parduodama transporto bilietus internetu.

Teisinis pagrindas

Sąjungos teisė

BDAR

BDAR 1, 4, 10, 47 ir 75 konstatuojamosiose dalyse nurodyta:

„(1)	fizinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 1 dalyje ir [SESV] 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą.

<…>

(4)

asmens duomenys turėtų būti tvarkomi taip, kad tai pasitarnautų žmonijai. Teisė į asmens duomenų apsaugą nėra absoliuti; ji turi būti vertinama atsižvelgiant į jos visuomeninę paskirtį ir derėti su kitomis pagrindinėmis teisėmis, remiantis proporcingumo principu. Šiuo reglamentu paisoma visų Chartijoje pripažintų ir Sutartyse įtvirtintų pagrindinių teisių ir laisvių bei principų, visų pirma teisės į privatų ir šeimos gyvenimą, būsto neliečiamybę ir komunikacijos slaptumą, teisės į asmens duomenų apsaugą, minties, sąžinės ir religijos laisvės, saviraiškos ir informacijos laisvės, laisvės užsiimti verslu, teisės į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą ir kultūrų, religijų ir kalbų įvairovės;

<…>

(10)

siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. <…>

<…>

(47)

teisėti duomenų valdytojo, įskaitant duomenų valdytoją, kuriam gali būti atskleisti asmens duomenys, arba trečiosios šalies interesai gali būti teisiniu duomenų tvarkymo pagrindu, jeigu duomenų subjekto interesai arba pagrindinės teisės ir laisvės nėra viršesni, atsižvelgiant į pagrįstus duomenų subjektų lūkesčius jų santykių su duomenų valdytoju pagrindu. Toks teisėtas interesas galėtų būti, pavyzdžiui, kai egzistuoja susijęs ir atitinkamas santykis tarp duomenų subjekto ir duomenų valdytojo, pavyzdžiui, kai duomenų subjektas yra duomenų valdytojo klientas arba dirba duomenų valdytojo tarnyboje. Bet kuriuo atveju reikėtų atidžiai įvertinti, ar esama teisėto intereso, be kita ko, siekiant nustatyti, ar duomenų subjektas gali tuo metu, kai renkami asmens duomenys, arba asmens duomenų rinkimo kontekste tikėtis, kad duomenys gali būti tvarkomi tuo tikslu. <…> Asmens duomenų tvarkymas tik tiek, kiek tai yra būtina sukčiavimo prevencijos tikslais, taip pat yra atitinkamo duomenų valdytojo teisėtas interesas. Asmens duomenų tvarkymas tiesioginės rinkodaros tikslais gali būti vertinamas kaip atliekamas vadovaujantis teisėtu interesu.

<…>

(75)	įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms gali kilti dėl tokio asmens duomenų tvarkymo, kurio metu galėtų būti padarytas kūno sužalojimas, materialinė ar nematerialinė [turtinė ar neturtinė] žala, visų pirma kai dėl tvarkymo gali kilti diskriminacija <…>“

4	Šio reglamento 1 straipsnio „Dalykas ir tikslai“ 2 dalyje nustatyta: „Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.“

5	Nurodyto reglamento 2 straipsnio 1 dalyje numatyta: „Šis reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio dalį ar yra skirti ją sudaryti, tvarkymui ne automatizuotomis priemonėmis.“

To paties reglamento 4 straipsnyje „Apibrėžtys“ įtvirtinta:

„Šiame reglamente:

1)	asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti <…>;

2)	duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas <…>;

<…>

7)	duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; <…>

<…>

11)	duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys;

<…>“

BDAR 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ numatyta:

„1. Asmens duomenys turi būti:

a)	duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);

<…>

c)	adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);

<…>“

Šio reglamento 6 straipsnio „Tvarkymo teisėtumas“ 1 dalyje nustatyta:

„Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:

a)	duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;

b)	tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį;

c)	tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė;

d)	tvarkyti duomenis būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito fizinio asmens interesus;

e)	tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;

f)	tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.

<…>“

BDAR 13 straipsnyje „Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“, nustatyta:

„1. Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:

<…>

c)	duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą;

d)	kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus duomenų valdytojo arba trečiosios šalies interesus;

<…>“

To paties reglamento 21 straipsnio „Teisė nesutikti“ 1 dalyje nustatyta:

„Duomenų subjektas turi teisę dėl su jo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi, kai toks duomenų tvarkymas vykdomas pagal 6 straipsnio 1 dalies e arba f punktus, įskaitant profiliavimą remiantis tomis nuostatomis. Duomenų valdytojas nebetvarko asmens duomenų, išskyrus atvejus, kai įrodo, kad duomenys tvarkomi dėl įtikinamų teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus.“

Direktyva 2004/113/EB

2004 m. gruodžio 13 d. Tarybos direktyvos 2004/113/EB, įgyvendinančios vienodo požiūrio į moteris ir vyrus principą dėl galimybės naudotis prekėmis bei paslaugomis ir prekių tiekimo bei paslaugų teikimo (OL L 373, 2004, p. 37), 1 straipsnyje numatyta, kad šios direktyvos tikslas – sukurti sistemą kovai su diskriminacija dėl lyties galimybės naudotis prekėmis bei paslaugomis ir tiekti prekes bei teikti paslaugas srityje, siekiant valstybėse narėse įgyvendinti vienodo požiūrio į vyrus ir moteris principą.

Prancūzijos teisė

Pagrindinėje byloje taikytinos redakcijos Loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (1978 m. sausio 7 d. Įstatymas Nr. 78-17 dėl informatikos, rinkmenų ir laisvių; 1978 m. sausio 7 d. JORF, p. 227) 8 straipsnyje nustatyta:

„I A. [CNIL] yra nepriklausoma administracinė institucija.

I. Ji yra nacionalinė priežiūros institucija, kaip tai suprantama pagal [BDAR] ir jo taikymo tikslu. Ji atlieka šias užduotis:

<…>

2° Užtikrina, kad asmens duomenys būtų tvarkomi laikantis šio įstatymo nuostatų ir kitų su asmens duomenų apsauga susijusių nuostatų, įtvirtintų įstatymuose ir kituose teisės aktuose, <…> Sąjungos teisėje ir Prancūzijos [Respublikos] tarptautiniuose įsipareigojimuose.

Šiuo tikslu:

<…>

Ji nagrinėja pretenzijas, peticijas ir skundus, kuriuos pateikė duomenų subjektas arba įstaiga, organizacija ar asociacija, ir tinkamu mastu tiria skundo dalyką, taip pat per pagrįstą laikotarpį informuoja skundo pateikėją apie skundo tyrimo pažangą ir rezultatus, visų pirma, tais atvejais, kai būtina tęsti tyrimą arba derinti veiksmus su kita priežiūros institucija; <…>“

Pagrindinė byla ir prejudiciniai klausimai

SNCF Connect savo interneto svetainėje ir taikomosiose programose prekiauja geležinkelių transporto bilietais, pavyzdžiui, traukinio bilietais, abonementais ir nuolaidų kortelėmis. Pirkdami šiuos bilietus interneto svetainėje ar taikomosiose programose šios bendrovės klientai privalo nurodyti jiems taikytiną mandagumo kreipinį, pažymėdami nuorodą „ponas“ arba „ponia“.

Manydama, kad sąlygos, kuriomis renkami ir registruojami duomenys apie klientų mandagumo kreipinius, neatitinka BDAR reikalavimų, Mousse pateikė CNIL skundą dėl SNCF Connect. Skundui pagrįsti Mousse nurodė, kad atitinkamų duomenų rinkimas neatitinka BDAR 5 straipsnio 1 dalies a punkte įtvirtinto teisėtumo principo, nes nėra pagrįstas nė vienu iš šio reglamento 6 straipsnio 1 dalyje numatytų pagrindų. Be to, tokiu duomenų rinkimu pažeidžiamas BDAR 5 straipsnio 1 dalies c punkte nustatytas duomenų kiekio mažinimo principas, taip pat, be kita ko, iš BDAR 13 straipsnio kylančios pareigos užtikrinti skaidrumą ir teikti informaciją.

2021 m. kovo 23 d. sprendime CNIL laikėsi nuomonės, kad veiksmai, kuriais kaltinama SNCF Connect, nelaikytini atitinkamų BDAR nuostatų pažeidimu ir kad reikia baigti skundo nagrinėjimo procedūrą. Šio sprendimo motyvuose CNIL nustatė, kad pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos b punktą ginčijamas duomenų tvarkymas buvo teisėtas, nes jis buvo būtinas transporto paslaugų teikimo sutarčiai vykdyti. Be to, CNIL pažymėjo, kad, atsižvelgiant į jo tikslus, toks duomenų tvarkymas atitiko duomenų kiekio mažinimo principą, nes individualizuotas kreipimasis į klientus naudojant mandagumo kreipinius atitinka civilinių, verslo ir administracinių ryšių srityje nusistovėjusius papročius.

2021 m. gegužės 21 d.Mousse pateikė Conseil d’État (Valstybės Taryba, Prancūzija) – nagrinėjamą prašymą priimti prejudicinį sprendimą pateikusiam teismui – skundą dėl to sprendimo panaikinimo. Savo skunde Mousse, be kita ko, teigia, kad reikalavimas perkant internetu pasirinkti nuorodą „ponas“ arba „ponia“ neatitinka nei BDAR 5 straipsnio 1 dalies a punkte įtvirtinto teisėtumo principo, nei jo 5 straipsnio 1 dalies c punkte įtvirtinto duomenų kiekio mažinimo principo, nes ši nuoroda nėra būtina transporto paslaugų teikimo sutarčiai įvykdyti ar SNCF Connect teisėtiems interesams užtikrinti. To, kad šie kreipiniai vartojami verslo korespondencijoje, nepakanka norint pripažinti šį reikalavimą būtinu. Galiausiai tokiu reikalavimu pažeidžiama teisė keliauti, nenurodant savo mandagumo kreipinio, teisė į privatų gyvenimą ir laisvė nevaržomai apibrėžti savo lyties išraišką bei keliamas diskriminacijos pavojus. Valstybių, kuriose leidžiama tokia civilinė būklė kaip „neutrali lytis“, piliečių atveju šie kreipiniai neatitiktų tikrovės, todėl galėtų pažeisti jų judėjimo laisvę, garantuojamą pagal Sąjungos teisę.

CNIL prašo atmesti skundą ir nurodo, kad duomenų apie mandagumo kreipinius tvarkymas taip pat galėtų būti laikomas būtinu SNCF Connect siekiamų teisėtų interesų tikslais, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies f punktą, ir kad duomenų subjektai gali – nelygu jų konkreti padėtis – pasinaudoti BDAR 21 straipsniu garantuojama teise nesutikti.

Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikęs teismas pirmiausia siekia išsiaiškinti, ar norint įvertinti pagrindinėje byloje nagrinėjamų duomenų tvarkymo būtinumą, galima atsižvelgti į plačiai paplitusius papročius civilinių, verslo ir administracinių ryšių srityje, kad duomenų apie klientų mandagumo kreipinius rinkimas, apimantis tik nuorodas „ponas“ arba „ponia“, galėtų būti pripažintas teisėtu ir atitinkančiu duomenų kiekio mažinimo principą. Be to, tas teismas kelia klausimą, ar vertinant būtinybę privalomai rinkti ir paskui tvarkyti duomenis apie klientų mandagumo kreipinius ir kai kuriems iš jų laikantis nuomonės, kad jiems netaikytinas nė vienas iš dviejų mandagumo kreipinių, reikia atsižvelgti į tai, kad šie klientai, pateikę šiuos duomenis duomenų valdytojui norėdami pasinaudoti siūloma paslauga, galėtų įgyvendinti savo teisę nesutikti su tokių duomenų naudojimu dėl su jų konkrečiu atveju susijusių priežasčių, kaip tai suprantama pagal BDAR 21 straipsnį.

Šiomis aplinkybėmis Conseil d’État (Valstybės Taryba) nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

„1.

Ar vertinant, ar asmens duomenų rinkimas yra adekvatus, tinkamas ir tik toks, kokio reikia, kaip tai suprantama pagal BDAR 5 straipsnio 1 dalies c punktą, taip pat būtinybę juos tvarkyti, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos b ir f punktus, galima atsižvelgti į plačiai paplitusius papročius civilinių, verslo ir administracinių ryšių srityje, todėl duomenų apie klientų mandagumo kreipinius rinkimas, apimantis tik nuorodas „ponas“ arba „ponia“, galėtų būti laikomas būtinu ir neprieštaraujančiu duomenų kiekio mažinimo principui?

Ar vertinant privalomo klientų mandagumo kreipinių duomenų rinkimo ir tvarkymo poreikį ir atsižvelgiant į tai, kad kai kurie klientai mano, jog jiems netaikytinas nė vienas iš dviejų mandagumo kreipinių ir kad šių duomenų rinkimas jų atveju nėra aktualus, reikia atsižvelgti į tai, kad jie, pateikę šiuos duomenis duomenų valdytojui, norėdami pasinaudoti siūloma paslauga, galėtų pasinaudoti teise nesutikti su jų naudojimu ir saugojimu dėl su savo konkrečiu atveju susijusių priežasčių pagal BDAR 21 straipsnį?“

Dėl prejudicinių klausimų

Dėl pirmojo klausimo

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 6 straipsnio 1 dalies pirmos pastraipos b ir f punktai, siejami su šio reglamento 5 straipsnio 1 dalies c punktu, turi būti aiškinami taip, kad duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymas, turint tikslą individualizuoti komercinę komunikaciją remiantis jų lytine tapatybe, gali būti laikomas būtinu sutarčiai vykdyti, kaip tai suprantama pagal minėtą b punktą, arba siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, kaip tai suprantama pagal minėtą f punktą.

Pirminės pastabos

Pirmiausia svarbu priminti, kad BDAR siekiamas tikslas, kuris išplaukia iš jo 1 straipsnio ir 1 bei 10 konstatuojamųjų dalių, yra, be kita ko, užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių, visų pirma jų teisės į privatų gyvenimą tvarkant asmens duomenis, įtvirtintos Chartijos 8 straipsnio 1 dalyje ir SESV 16 straipsnio 1 dalyje, apsaugos lygį (2024 m. spalio 4 d. Sprendimo Schrems (Duomenų perdavimas plačiajai visuomenei), C‑446/21, EU:C:2024:834, 45 punktas ir jame nurodyta jurisprudencija).

Atsižvelgiant į šį tikslą, bet koks asmens duomenų tvarkymas turi atitikti šio reglamento 5 straipsnyje nurodytus tokių duomenų tvarkymo principus ir tenkinti jo 6 straipsnyje išvardytas teisėtumo sąlygas (2024 m. spalio 4 d. Sprendimo Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 27 punktas ir jame nurodyta jurisprudencija).

23	BDAR 5 straipsnio 1 dalies a punkte reikalaujama, kad asmens duomenys duomenų subjekto atžvilgiu būtų tvarkomi teisėtai, sąžiningai ir skaidriai.

Pagal šio reglamento 5 straipsnio 1 dalies c punktą, kuriame įtvirtintas duomenų kiekio mažinimo principas, tvarkomi duomenys taip pat turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi. Šis principas yra proporcingumo principo išraiška (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Schrems (Duomenų perdavimas plačiajai visuomenei), C‑446/21, EU:C:2024:834, 49 ir 50 punktus ir juose nurodytą jurisprudenciją).

Dėl tvarkymo teisėtumo sąlygų Teisingumo Teismas yra nusprendęs, kad BDAR 6 straipsnio 1 dalies pirmoje pastraipoje numatytas išsamus ir baigtinis atvejų, kai asmens duomenų tvarkymas gali būti laikomas teisėtu, sąrašas. Tam, kad tvarkymas galėtų būti laikomas teisėtu, jis turi patekti į kurį nors iš šioje nuostatoje numatytų atvejų (2024 m. spalio 4 d. Sprendimo Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 29 punktas ir jame nurodyta jurisprudencija).

Pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos a punktą asmens duomenų tvarkymas yra teisėtas, jeigu ir tiek, kiek duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu arba keliais konkrečiais tikslais. Nesant tokio sutikimo arba kai šis sutikimas nebuvo duotas laisva valia, konkrečiai, informuotai ir nedviprasmiškai, kaip tai suprantama pagal šio reglamento 4 straipsnio 11 punktą, toks duomenų tvarkymas vis dėlto gali būti pateisinamas, jeigu atitinka vieną iš to reglamento 6 straipsnio 1 dalies pirmos pastraipos b–f punktuose nurodytų būtinumo reikalavimų (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 91 ir 92 punktus).

Esant tokiai situacijai, 6 straipsnio 1 dalyje numatyti pagrindai, kiek jie leidžia teisėtai tvarkyti asmens duomenis, nesant duomenų subjekto sutikimo, turi būti aiškinami siaurai (2024 m. spalio 4 d. Sprendimo Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 31 punktas ir jame nurodyta jurisprudencija).

Be to, kaip nurodė Teisingumo Teismas, kai galima konstatuoti, kad asmens duomenų tvarkymas yra būtinas dėl vieno iš BDAR 6 straipsnio 1 dalies pirmos pastraipos b–f punktuose numatytų pagrindų, nereikia nustatyti, ar toks tvarkymas taip pat susijęs su kitu iš šių pagrindų. Šiuo klausimu reikia pabrėžti, kad pasirinkto pagrindo būtinumo reikalavimas nėra įvykdomas, jei duomenų tvarkymu siekiamas tikslas gali būti tinkamai ir taip pat veiksmingai pasiektas kitomis priemonėmis, kurios mažiau ribotų duomenų subjektų pagrindines teises, ypač teises į privatų gyvenimą ir asmens duomenų apsaugą, garantuojamas Chartijos 7 ir 8 straipsniuose, o nukrypti nuo tokių duomenų apsaugos principo leidžiančios nuostatos ir šio principo apribojimai negali viršyti to, kas yra griežtai būtina (šiuo klausimu žr. 2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 110 punktą ir jame nurodytą jurisprudenciją, taip pat 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 94 punktą).

Galiausiai pažymėtina, kad pagal BDAR 13 straipsnio 1 dalies c punktą, kai asmens duomenys renkami iš duomenų subjekto, duomenų valdytojas turi jį informuoti apie duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti šiuos duomenis, ir tokio tvarkymo teisinį pagrindą (2024 m. spalio 4 d. Sprendimo Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 33 punktas ir jame nurodyta jurisprudencija).

Reikia konstatuoti, jog nagrinėjamu atveju neginčijama, kad vyriškąją ar moteriškąją lytį atitinkantį mandagumo kreipinį galima pripažinti „asmens duomenimis“, kai jis skirtas asmeniui, kurio tapatybė nustatyta, kaip tai suprantama pagal BDAR 4 straipsnio 1 punktą, ir kad šie duomenys yra „tvarkomi“, kaip tai suprantama pagal BDAR 4 straipsnio 2 punktą, nes SNCF Connect juos renka ir įrašo parduodama transporto bilietus internetu. Vadinasi, šis duomenų tvarkymas – beje, atliekamas automatizuotai – patenka į šio reglamento dalykinę taikymo sritį pagal jo 2 straipsnio 1 dalį.

Be to, prašymą priimti prejudicinį sprendimą pateikusio teismo klausimas remiasi dviem prielaidomis: pirma, pagrindinėje byloje nagrinėjamas duomenų tvarkymas atliekamas be duomenų subjektų sutikimo, kaip tai suprantama pagal BDAR 4 straipsnio 11 punktą ir 6 straipsnio 1 dalies pirmos pastraipos a punktą, ir, antra, šis tvarkymas nėra būtinas, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos c punktą. Taigi pateiktas klausimas susijęs išimtinai su galimybe remtis BDAR 6 straipsnio 1 dalies pirmos pastraipos b ir f punktuose numatytais pagrindais tvarkant pagrindinėje byloje nagrinėjamus duomenis.

Dėl BDAR 6 straipsnio 1 dalies pirmos pastraipos b punkto

32	BDAR 6 straipsnio 1 dalies pirmos pastraipos b punkte numatyta, kad asmens duomenų tvarkymas yra teisėtas, jeigu jis „būtinas siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį“.

Tam, kad asmens duomenų tvarkymas būtų laikomas būtinu sutarčiai įvykdyti, kaip tai suprantama pagal šią nuostatą, jis turi būti objektyviai būtinas siekiant tikslo, kuris yra duomenų subjektui skirtos sutartinės paslaugos sudedamoji dalis. Taigi duomenų valdytojas turi galėti įrodyti, kodėl pagrindinis sutarties tikslas negalėtų būti pasiektas be atitinkamo duomenų tvarkymo (2024 m. rugsėjo 12 d. Sprendimo HTBNeunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C‑17/22 ir C‑18/22, EU:C:2024:738, 43 punktas ir jame nurodyta jurisprudencija).

Aplinkybė, kad toks tvarkymas yra paminėtas sutartyje arba kad jis tik naudingas jai vykdyti, šiuo klausimu pati savaime neturi reikšmės. Iš tiesų lemiamas veiksnys taikant BDAR 6 straipsnio 1 dalies pirmos pastraipos b punkte nurodytą pagrindą yra tai, kad duomenų valdytojo atliekamas asmens duomenų tvarkymas yra esminis, kad būtų galima tinkamai įvykdyti jo ir duomenų subjekto sudarytą sutartį, taigi nėra kitų įmanomų ir mažiau ribojančių sprendimų (2024 m. rugsėjo 12 d. Sprendimo HTBNeunte Immobilien Portfolio ir Ökorenta Neue Energien Ökostabil IV, C‑17/22 ir C‑18/22, EU:C:2024:738, 44 punktas ir jame nurodyta jurisprudencija).

Šiomis aplinkybėmis, kai sutartį sudaro kelios paslaugos arba atskiri tos pačios paslaugos elementai, kurie gali būti teikiami nepriklausomai vienas nuo kito, galimybė taikyti BDAR 6 straipsnio 1 dalies pirmos pastraipos b punktą turėtų būti vertinama atsižvelgiant į kiekvieną tą paslaugą atskirai (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 100 punktas).

Šiuo atveju yra aišku, kad pagrindinėje byloje nagrinėjamos sutarties dalykas yra geležinkelių transporto paslaugos teikimas klientams. Anot prašymą priimti prejudicinį sprendimą pateikusio teismo, pagrindinėje byloje nagrinėjamu duomenų tvarkymu siekiama individualizuoti komercinę komunikaciją su klientais, remiantis šioje srityje plačiai paplitusiais papročiais.

Kaip generalinis advokatas iš esmės pažymėjo savo išvados 42 punkte, komercinė komunikacija gali būti neatskiriamą atitinkamos sutartinės paslaugos dalį sudarantis tikslas, nes teikiant nurodytą geležinkelių transporto paslaugą iš esmės reikia užmegzti kontaktą su klientu, kad būtų galima elektroniniu būdu jam perduoti transporto bilietą, įspėti jį apie įtakos kelionei turinčius pakeitimus, taip pat sudaryti galimybę keistis informacija su klientų aptarnavimo tarnyba. Ši komunikacija gali reikalauti paisyti nusistovėjusių papročių ir vartoti, be kita ko, mandagumo kreipinius, siekiant parodyti atitinkamos įmonės pagarbą savo klientams ir taip išsaugoti įmonės reputaciją.

Vis dėlto panašu, kad tokia komunikacija nebūtinai turi būti individualizuojama remiantis atitinkamo kliento lytine tapatybe. Iš tiesų, remiantis jurisprudencija, turinio individualizavimas nėra būtinas siekiant teikti paslaugas klientui, jeigu prireikus šios paslaugos jam gali būti teikiamos kaip lygiavertė alternatyva, neapimanti tokio individualizavimo, taigi jis nėra objektyviai būtinas tikslui, kuris yra nurodytų paslaugų sudedamoji dalis, pasiekti (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 102 punktą).

Dėl pagrindinėje byloje nagrinėjamų paslaugų pažymėtina, kad komercinės komunikacijos individualizavimas remiantis lytine tapatybe, preziumuojama mandagumo kreipinio pagrindu, neatrodo nei objektyviai būtinas, nei esminis, kad būtų galima tinkamai įvykdyti atitinkamą sutartį, kaip tai suprantama pagal šio sprendimo 33 ir 34 punktuose primintą jurisprudenciją.

Iš tiesų panašu, kad yra kitas įmanomas ir mažiau ribojantis sprendimas, nes ir nurodyti savo mandagumo kreipinio nepageidaujančių klientų atveju, ir apskritai suinteresuotoji įmonė galėtų rinktis komunikaciją, grindžiamą bendromis įtraukiomis mandagumo frazėmis, neturinčiomis ryšio su preziumuojama klientų lytine tapatybe. Be to, kaip generalinis advokatas pažymėjo savo išvados 49 ir 50 punktuose, atrodo (tačiau tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas), kad SNCF Connect jau vartoja tokias frazes ir kad netikslaus mandagumo kreipinio nurodymas neturi jokio poveikio nagrinėjamos transporto paslaugos teikimui, o tai veikiau patvirtina, kad pagrindinėje byloje nagrinėjamas duomenų tvarkymas nėra objektyviai būtinas pagrindiniam sutarties tikslui pasiekti.

Šiomis aplinkybėmis dar pažymėtina, kad per teismo posėdį SNCF Connect nurodė, jog pagrindinėje byloje nagrinėjamas duomenų tvarkymas turėjo ir kitą tikslą, o būtent, pritaikyti transporto paslaugas naktiniams traukiniams, turintiems vagonus, skirtus tos pačios lytinės tapatybės asmenims, ir pagalbai keleiviams su negalia. Anot SNCF Connect, norint pasiekti šį transporto paslaugų pritaikymo tikslą, gali prireikti žinoti atitinkamų klientų lytinę tapatybę.

Tačiau šis antras tikslas negali pateisinti reguliaraus ir nediferencijuoto visų suinteresuotosios įmonės klientų, įskaitant keliaujančius dienos metu ar neturinčius negalios, duomenų apie jų mandagumo kreipinius tvarkymo. Toks tvarkymas būtų neproporcingas, todėl prieštarautų šio sprendimo 24 punkte primintam duomenų kiekio mažinimo principui, nes iš tiesų būtų galima tvarkyti tik klientų, pageidaujančių keliauti naktiniais traukiniais arba dėl turimos negalios naudotis individualia pagalba, lytinės tapatybės duomenis.

Vadinasi, BDAR 6 straipsnio 1 dalies pirmos pastraipos b punktas, siejamas su šio reglamento 5 straipsnio 1 dalies c punktu, turi būti aiškinamas taip: duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymas, turint tikslą individualizuoti komercinę komunikaciją remiantis jų lytine tapatybe, neatrodo nei objektyviai būtinas, nei esminis, kad būtų galima tinkamai įvykdyti sutartį, todėl negali būti laikomas būtinu šiai sutarčiai vykdyti.

Dėl BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkto

BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkte numatyta, kad duomenų tvarkymas yra teisėtas, jeigu „tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas“.

Remiantis suformuota jurisprudencija, šioje nuostatoje numatytos trys kumuliacinės asmens duomenų tvarkymo teisėtumo sąlygos: pirma, tvarkyti asmens duomenis reikia dėl teisėtų interesų, kurių siekia duomenų valdytojas arba trečiasis asmuo, antra, asmens duomenis tvarkyti būtina siekiant įgyvendinti nustatytą teisėtą interesą ir, trečia, asmens, kurio duomenys turi būti apsaugoti, interesai ar laisvės bei pagrindinės teisės nėra viršesni už duomenų valdytojo ar trečiojo asmens teisėtą interesą (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 106 punktas ir 2024 m. spalio 4 d. Sprendimo Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 37 punktas).

Pirma, dėl sąlygos, susijusios su teisėto intereso siekimu, reikia pažymėti, kad pagal BDAR 13 straipsnio 1 dalies d punktą duomenų valdytojas, rinkdamas duomenų subjekto asmens duomenis iš šio asmens, turi nurodyti jam teisėtus interesus, kurių siekiama, kai toks tvarkymas grindžiamas šio reglamento 6 straipsnio 1 dalies pirmos pastraipos f punktu. Kadangi BDAR nėra apibrėžta sąvoka „teisėtas interesas“, teisėtais iš principo gali būti laikomi įvairūs interesai. Kalbant konkrečiai, ši sąvoka neapsiriboja įstatyme įtvirtintais ir apibrėžtais interesais (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 107 punktą ir 2024 m. spalio 4 d. Sprendimo Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 38, 40 ir 41 punktus bei juose nurodytą jurisprudenciją).

47	Iš BDAR 47 konstatuojamosios dalies matyti, kad toks teisėtas interesas galėtų būti, pavyzdžiui, kai duomenų subjektą ir duomenų valdytoją sieja atitinkamas reikšmingas ryšys, pavyzdžiui, kai duomenų subjektas yra duomenų valdytojo klientas.

Antra, kiek tai susiję su sąlyga, kad asmens duomenis tvarkyti būtina siekiant įgyvendinti nustatytą teisėtą interesą, ir atsižvelgiant į šio sprendimo 28 punkte primintą jurisprudenciją pažymėtina, kad prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, ar siekiamas teisėtas duomenų tvarkymo tikslas gali būti tinkamai ir taip pat veiksmingai pasiektas kitomis priemonėmis, kurios mažiau ribotų duomenų subjektų pagrindines laisves ir teises, nes toks tvarkymas turi būti atliekamas neviršijant to, kas griežtai būtina šiam teisėtam interesui pasiekti.

Šiomis aplinkybėmis taip pat primintina, kad su duomenų tvarkymo būtinumu susijusi sąlyga turi būti nagrinėjama kartu atsižvelgiant į duomenų kiekio mažinimo principą, įtvirtintą BDAR 5 straipsnio 1 dalies c punkte, pagal kurį asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (2024 m. rugsėjo 12 d. Sprendimo HTB Neunte Immobilien Portfolio ir Ökorenta Neue Energien Ökostabil IV, C‑17/22 ir C‑18/22, EU:C:2024:738, 52 punktas ir jame nurodyta jurisprudencija).

Galiausiai trečia, dėl sąlygos, kad duomenų subjekto, kuriam taikoma duomenų apsauga, interesai arba laisvės ir pagrindinės teisės neturi būti viršesni už teisėtą duomenų valdytojo ar trečiosios šalies interesą, Teisingumo Teismas jau yra nusprendęs: ši sąlyga reiškia, kad reikia palyginti atitinkamas priešingas teises ir interesus, kurie iš esmės priklauso nuo konkrečių kiekvieno atskiro atvejo aplinkybių, taigi prašymą priimti prejudicinį sprendimą pateikęs teismas turi atlikti šį palyginimą atsižvelgdamas į tokias specifines aplinkybes. Kaip matyti iš BDAR 47 konstatuojamosios dalies, duomenų subjekto interesai ir pagrindinės teisės gali visų pirma būti viršesni už duomenų valdytojo interesus, kai asmens duomenys tvarkomi tokiomis aplinkybėmis, kuriomis duomenų subjektai pagrįstai nesitiki tokio tvarkymo (šiuo klausimu žr. 2024 m. rugsėjo 12 d. Sprendimo HTB Neunte Immobilien Portfolio ir Ökorenta Neue Energien Ökostabil IV, C‑17/22 ir C‑18/22, EU:C:2024:738, 53 ir 54 punktus ir juose nurodytą jurisprudenciją).

Nors nagrinėjamu atveju galiausiai prašymą priimti prejudicinį sprendimą pateikęs teismas turi įvertinti, ar, kiek tai susiję su pagrindinėse bylose nagrinėjamu asmens duomenų tvarkymu, šio sprendimo 45 punkte primintos trys sąlygos yra įvykdytos, priimdamas prejudicinį sprendimą Teisingumo Teismas gali pateikti paaiškinimų, kurie nacionaliniam teismui padėtų tai nustatyti (pagal analogiją žr. 2024 m. rugsėjo 12 d. Sprendimo HTB Neunte Immobilien Portfolio ir Ökorenta Neue Energien Ökostabil IV, C‑17/22 ir C‑18/22, EU:C:2024:738, 55 punktą ir jame nurodytą jurisprudenciją).

Kiek tai susiję su šio sprendimo 46 punkte nurodyta pirmąja sąlyga, prašymą priimti prejudicinį sprendimą pateikęs teismas turės patikrinti, ar pagrindinėje byloje nagrinėjamų duomenų rinkimo metu SNCF Connect savo klientams nurodė teisėtą interesą, kaip reikalaujama pagal BDAR 13 straipsnio 1 dalies d punktą. Kaip generalinis advokatas nurodė savo išvados 58 punkte, pagal šią nuostatą reikalaujama, kad duomenų subjektas būtų informuotas apie siekiamą teisėtą interesą jau duomenų rinkimo momentu, kitaip toks rinkimas negalės būti grindžiamas šio reglamento 6 straipsnio 1 dalies pirmos pastraipos f punktu. Remiantis Teisingumo Teismo turima bylos medžiaga neįmanoma įvertinti, ar šio reikalavimo laikytasi pagrindinėje byloje.

53	Šiomis aplinkybėmis pažymėtina, kad savo rašytinėse pastabose SNCF Connect rėmėsi rinkodaros tikslu, kuriam gali reikėti individualizuoti komunikaciją, taigi ir tvarkyti pagrindinėje byloje nagrinėjamus duomenis.

Šiuo aspektu BDAR 47 konstatuojamojoje dalyje nurodyta, kad asmens duomenų tvarkymas tiesioginės rinkodaros tikslais gali būti vertinamas kaip atliekamas vadovaujantis teisėtu interesu. Pavyzdžiui, individuali reklama gali būti prilyginta tokiai tiesioginei rinkodarai (pagal analogiją žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 115 punktą).

Kiek tai susiję su šio sprendimo 48 punkte nurodyta antrąja sąlyga, panašu (tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas), kad norint individualizuojant komercinę komunikaciją užtenka tvarkyti klientų pavardes ir vardus, nes informacija apie jų mandagumo kreipinius ir lytinę tapatybę šiuo atveju neatrodo griežtai būtina, ypač atsižvelgiant į duomenų kiekio mažinimo principą.

Savo rašytinėse pastabose SNCF Connect ir Prancūzijos vyriausybė teigia, kad norint įvertinti būtinumą tvarkyti asmens duomenis, reikia atsižvelgti į kiekvienai valstybei būdingus socialinius papročius ir tradicijas, visų pirma siekiant išsaugoti BDAR 4 konstatuojamojoje dalyje minimą kalbų ir kultūrų įvairovę. Vis dėlto pažymėtina, pirma, kad BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkte nenumatyta atsižvelgti į socialinius papročius ir tradicijas vertinant tokio tvarkymo būtinumą, o šis straipsnis turi būti aiškinamas griežtai, kaip priminta šio sprendimo 27 punkte.

Antra, neatrodo, kad ši įvairovė nukentėtų, jei nebūtų tvarkomi suinteresuotųjų klientų duomenys apie jų mandagumo kreipinius ir lytinę tapatybę. Iš tiesų, kaip matyti iš šio sprendimo 40 punkto, duomenų valdytojas gali paisyti šių socialinių papročių ir tradicijų nurodyti savo mandagumo kreipinio nepageidaujančių klientų atveju ir apskritai vartodamas įtraukias mandagumo frazes, neturinčias ryšio su šių klientų lytine tapatybe, todėl SNCF Connect ir Prancūzijos vyriausybės argumentui bet kuriuo atveju negalima pritarti.

Kalbant apie šio sprendimo 50 punkte nurodytą trečiąją sąlygą ir apie nagrinėjamų priešpriešinių teisių ir interesų, t. y. viena vertus, duomenų valdytojo ir, kita vertus, duomenų subjekto teisių ir interesų, palyginimą, reikia atsižvelgti, be kita ko, į pagrįstus duomenų subjekto lūkesčius, nagrinėjamo duomenų tvarkymo apimtį ir jo daromą poveikį šiam subjektui (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 116 punktas).

Kaip generalinis advokatas iš esmės pastebėjo savo išvados 70 punkte, transporto įmonės klientas negali tikėtis, kad ši įmonė duomenis apie jo mandagumo kreipinį ar lytinę tapatybę tvarkys jam įsigyjant transporto bilietą, tačiau tai turi patikrinti prašymą priimti prejudicinį pateikęs teismas. Kalbant konkrečiai, taip yra tuo atveju, kai duomenys taip tvarkomi tik tiesioginės rinkodaros tikslais.

Su tiesiogine rinkodara susijęs teisėtas interesas bet kuriuo atveju negali būti viršesnis, jei kyla pavojus pažeisti duomenų subjekto pagrindines laisves ir teises. Iš tiesų, kaip matyti iš BDAR 75 konstatuojamosios dalies, įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms gali kilti dėl asmens duomenų tvarkymo, kuris gali sukelti kūno sužalojimą, turtinę ar neturtinę žalą, visų pirma kai toks tvarkymas gali lemti diskriminaciją.

Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikęs teismas visų pirma turės patikrinti, ar yra Mousse nurodytas lytine tapatybe pagrįstos diskriminacijos pavojus, be kita ko, atsižvelgiant į Direktyvą 2004/113, kuria įgyvendinamas vienodo požiūrio į moteris ir vyrus principas dėl galimybės naudotis prekėmis bei paslaugomis ir jų teikimo.

Šiuo aspektu pažymėtina, kad šios direktyvos taikymo sritis negali apsiriboti vien diskriminacija, atsirandančia dėl asmens priklausymo vienai ar kitai lyčiai. Atsižvelgiant į tos direktyvos tikslą ir ja siekiamų apsaugoti teisių prigimtį, ji taip pat taikoma diskriminacijai, atsirandančiai suinteresuotajam asmeniui pakeitus lytį (pagal analogiją žr. 2006 m. balandžio 27 d. Sprendimo Richards, C‑423/04, EU:C:2006:256, 24 punktą ir jame nurodytą jurisprudenciją).

Darytina išvada, kad BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktas, siejamas su šio reglamento 5 straipsnio 1 dalies c punktu, turi būti aiškinamas taip, kad duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymas, turint tikslą individualizuoti komercinę komunikaciją remiantis jų lytine tapatybe, negali būti laikomas būtinu siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, jeigu:

–	renkant šiuos duomenis klientams nebuvo pranešta apie teisėto intereso buvimą, arba

–	toks tvarkymas nėra atliekamas neviršijant to, kas griežtai būtina šiam teisėtam interesui pasiekti, arba

–	atsižvelgiant į visas svarbias aplinkybes, nurodytų klientų pagrindinės laisvės ir teisės gali būti viršesnės už nurodytą teisėtą interesą, be kita ko, dėl kylančio diskriminacijos lytinės tapatybės pagrindu pavojaus.

Atsižvelgiant į visa tai, kas išdėstyta, į pirmąjį klausimą reikia atsakyti: BDAR 6 straipsnio 1 dalies pirmos pastraipos b ir f punktai, siejami su šio reglamento 5 straipsnio 1 dalies c punktu, turi būti aiškinami taip:

–

duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymas, turint tikslą individualizuoti komercinę komunikaciją remiantis jų lytine tapatybe, neatrodo nei objektyviai būtinas, nei esminis, kad būtų galima tinkamai įvykdyti sutartį, todėl negali būti laikomas būtinu šiai sutarčiai vykdyti;

–

duomenų apie transporto įmonės klientų mandagumo kreipinius tvarkymas, turint tikslą individualizuoti komercinę komunikaciją remiantis jų lytine tapatybe, negali būti laikomas būtinu siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, jeigu:

–	renkant šiuos duomenis klientams nebuvo pranešta apie teisėto intereso buvimą, arba

–	toks tvarkymas nėra atliekamas neviršijant to, kas griežtai būtina šiam teisėtam interesui pasiekti, arba

–	atsižvelgiant į visas svarbias aplinkybes, nurodytų klientų pagrindinės laisvės ir teisės gali būti viršesnės už nurodytą teisėtą interesą, be kita ko, dėl kylančio diskriminacijos lytinės tapatybės pagrindu pavojaus.

Dėl antrojo klausimo

Antruoju prejudiciniu klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktas turi būti aiškinamas taip, kad vertinant būtinybę tvarkyti asmens duomenis remiantis šia nuostata, reikia atsižvelgti į galimą duomenų subjekto teisę nesutikti, numatytą BDAR 21 straipsnyje.

BDAR 21 straipsnio 1 dalyje numatyta, kad duomenų subjektas turi teisę dėl su jo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi, kai toks duomenų tvarkymas vykdomas pagal 6 straipsnio 1 dalies pirmos pastraipos e arba f punktus, įskaitant profiliavimą remiantis tomis nuostatomis. Duomenų valdytojas nebetvarko asmens duomenų, išskyrus atvejus, kai įrodo, kad duomenys tvarkomi dėl įtikinamų teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus.

67	BDAR 21 straipsnio taikymui ir galimai teisei nesutikti būtinas teisėto duomenų tvarkymo, grindžiamo šio reglamento 6 straipsnio 1 dalies pirmos pastraipos f punktu, faktas Kad būtų teisėtas, toks tvarkymas pirmiausia turi tenkinti šio sprendimo 48 punkte primintą griežto būtinumo sąlygą.

68	Taigi, kaip generalinis advokatas pastebėjo savo išvados 80 ir 82 punktuose, iš atitinkamų nuostatų teksto ir struktūros matyti, kad į teisės nesutikti buvimą nereikia atsižvelgti vertinant pagrindinėje byloje nagrinėjamo asmens duomenų tvarkymo teisėtumą ir ypač būtinumą.

Ši aiškinimą patvirtina BDAR siekiamas tikslas, kuris, kaip matyti iš jo 10 konstatuojamosios dalies, yra užtikrinti aukšto lygio fizinių asmenų pagrindinių laisvių ir teisių apsaugą tvarkant asmens duomenis. Iš tiesų, bet koks kitas aiškinimas susilpnintų BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkte įtvirtintus reikalavimus, išplėsdamas atitinkamo tvarkymo teisėtumo pagrindus, nors, atsižvelgiant į šio sprendimo 27 punkte primintą jurisprudenciją, ši nuostata turi būti aiškinama siaurai.

Atsižvelgiant į visa tai, kas išdėstyta, į antrąjį klausimą reikia atsakyti: BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktas turi būti aiškinamas taip, kad vertinant būtinybę tvarkyti asmens duomenis remiantis šia nuostata nereikia atsižvelgti į galimą duomenų subjekto teisę nesutikti, numatytą BDAR 21 straipsnyje.

Dėl bylinėjimosi išlaidų

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (pirmoji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 6 straipsnio 1 dalies pirmos pastraipos b ir f punktai, siejami su šio reglamento 5 straipsnio 1 dalies c punktu

turi būti aiškinami taip:

–

–	renkant šiuos duomenis klientams nebuvo pranešta apie teisėto intereso buvimą, arba

–	toks tvarkymas nėra atliekamas neviršijant to, kas griežtai būtina šiam teisėtam interesui pasiekti, arba

–	atsižvelgiant į visas svarbias aplinkybes, nurodytų klientų pagrindinės laisvės ir teisės gali būti viršesnis už nurodytą teisėtą interesą, be kita ko, dėl kylančio diskriminacijos lytinės tapatybės pagrindu pavojaus.

2.	Reglamento 2016/679 6 straipsnio 1 dalies pirmos pastraipos f punktas turi būti aiškinamas taip: vertinant būtinybę tvarkyti asmens duomenis remiantis šia nuostata nereikia atsižvelgti į galimą duomenų subjekto teisę nesutikti, numatytą šio reglamento 21 straipsnyje.

Parašai.

( *1 ) Proceso kalba: prancūzų.