–

Mousse vārdā – E. Deshoulières, avocat, Y. El Kaddouri, M. J. Heymans un D. Holemans, advocaten,

–

SNCF Connect vārdā – E. Drouard, J.‑J. Gatineau un A. Ligot, avocats,

–

Francijas valdības vārdā – R. Bénard, B. Dourthe un B. Fodda, pārstāvji,

–

Eiropas Komisijas vārdā – A. Bouchagiar un H. Kranenborg, pārstāvji,

1

Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 5. panta 1. punkta c) apakšpunktu, 6. panta 1. punkta pirmās daļas b) un f) apakšpunktu, kā arī 21. pantu.

2

Šis lūgums ir iesniegts tiesvedībā starp apvienību Mousse un Commission nationale de l’informatique et des libertés (CNIL) (Valsts informātikas un brīvību komisija, Francija) par to, ka šī komisija ir noraidījusi Mousse iesniegto sūdzību par to, ka sabiedrība SNCF Connect apstrādā savu klientu uzrunas datus, pārdodot transporta biļetes tiešsaistē.

3

VDAR 1., 4., 10., 47. un 75. apsvērumā ir teikts:

[..]

[..]

[..]

[..]

4

Šīs regulas 1. panta “Priekšmets un mērķi” 2. punkts noteic:

“Šī regula aizsargā fizisku personu pamattiesības un pamatbrīvības un jo īpaši to tiesības uz personas datu aizsardzību.”

5

Saskaņā ar minētās regulas 2. panta 1. punktu:

“Šo regulu piemēro personas datu apstrādei, kas pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, un tādu personas datu apstrādei, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem.”

6

Šīs pašas regulas 4. pants “Definīcijas” noteic:

“Šajā regulā:

[..]

[..]

[..].”

7

VDAR 5. pants “Personas datu apstrādes principi” noteic:

“1.   Personas dati:

[..]

[..].”

8

Šīs regulas 6. panta “Apstrādes likumīgums” 1. punktā ir noteikts:

“Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:

[..]”

9

Minētās regulas 13. pants “Informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta” noteic:

“1.   Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:

[..]

[..].”

10

Šīs pašas regulas 21. panta “Tiesības iebilst” 1. punktā ir noteikts:

“Datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 6. panta 1. punkta e) vai f) apakšpunktu, tostarp profilēšanu, kas pamatojas uz minētajiem noteikumiem. Pārzinis personas datus vairs neapstrādā, izņemot, ja pārzinis norāda uz pārliecinošiem leģitīmiem apstrādes iemesliem, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai lai celtu, īstenotu vai aizstāvētu likumīgas prasības.”

11

Saskaņā ar Padomes Direktīvas 2004/113/EK (2004. gada 13. decembris), ar kuru īsteno principu, kas paredz vienlīdzīgu attieksmi pret vīriešiem un sievietēm, attiecībā uz pieeju precēm un pakalpojumiem, preču piegādi un pakalpojumu sniegšanu (OV 2004, L 373, 37. lpp.), 1. pantu tās mērķis ir izveidot sistēmu, lai cīnītos pret diskrimināciju dzimuma dēļ attiecībā uz pieeju precēm un pakalpojumiem, preču piegādi un pakalpojumu sniegšanu, ar nolūku dalībvalstīs īstenot principu, kas paredz vienlīdzīgu attieksmi pret vīriešiem un sievietēm.

12

Loi no 78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (1978. gada 6. janvāra Likums Nr. 78‑17 par informātiku, datnēm un brīvībām; 1978. gada 7. janvāraJORF, 227. lpp.), redakcijā, kas piemērojama pamatlietā, 8. pants noteic:

“I A. [CNIL] ir neatkarīga administratīva iestāde.

I. Tā ir valsts uzraudzības iestāde [VDAR] izpratnē un tās piemērošanas nolūkā. Tā veic šādus uzdevumus:

[..]

2° nodrošina, ka personas datu apstrāde tiek veikta saskaņā ar šā likuma noteikumiem un citiem noteikumiem par personas datu aizsardzību, kas paredzēti tiesību aktos, [..] Savienības tiesībās un [Francijas Republikas] starptautiskajās saistībās.

Tālab:

[..]

13

SNCF Connect ar savas tīmekļvietnes un tiešsaistes lietotņu palīdzību tirgo dzelzceļa transporta biļetes, piemēram, vilciena biļetes, abonementus un atlaižu kartes. Šā uzņēmuma klientiem, iegādājoties biļetes šajā tīmekļvietnē vai šajās tiešsaistes lietotnēs, obligāti jānorāda, kā tie uzrunājami, atzīmējot norādi “Monsieur” (kungs) vai “Madame” (kundze).

14

Uzskatot, ka nosacījumi, kādos tiek vākti un reģistrēti dati par šo klientu uzrunu, neatbilst VDAR prasībām, Mousse vērsās CNIL ar sūdzību par SNCF Connect. Šīs sūdzības pamatojumam Mousse esot norādījusi, ka šo datu vākšana neatbilst VDAR 5. panta 1. punkta a) apakšpunktā nostiprinātajam likumīguma principam, jo tā nav balstīta ne uz vienu no VDAR 6. panta 1. punktā paredzētajiem pamatojumiem. Turklāt ar šādu datu vākšanu esot gan pārkāpts VDAR 5. panta 1. punkta c) apakšpunktā noteiktais datu minimizēšanas princips, gan neesot izpildīti tostarp pārredzamības un informēšanas pienākumi, kas izriet no VDAR 13. panta.

15

Ar 2021. gada 23. marta lēmumu CNIL atzina, ka fakti, kas pārmesti SNCF Connect, nav uzskatāmi par attiecīgo VDAR normu pārkāpumiem un ka minētās sūdzības izskatīšanas procedūra jāizbeidz. Šā lēmuma pamatošanai CNIL konstatēja, ka pamatlietā aplūkotā datu apstrāde ir likumīga atbilstoši VDAR 6. panta 1. punkta pirmās daļas b) apakšpunktam, jo tā ir nepieciešama attiecīgā transporta pakalpojumu sniegšanas līguma izpildei. Turklāt CNIL norādīja, ka šī apstrāde, ņemot vērā tās nolūkus, atbilst datu minimizēšanas principam, jo personalizēta vēršanās pie klientiem ar viņu uzrunu atbilst komerciālajā, formālajā un administratīvajā saziņā ierastajai praksei.

16

2021. gada 21. maijāMousse iesniedza prasību atcelt šo CNIL lēmumu Conseil d’État (Valsts padome, Francija), kas ir iesniedzējtiesa. Prasības pieteikumā Mousse tostarp norāda, ka pienākums, veicot pirkumu tiešsaistē, atzīmēt norādi “Monsieur” (kungs) vai “Madame” (kundze) neatbilst nedz VDAR 5. panta 1. punkta a) apakšpunktā nostiprinātajam likumīguma principam, ne tās 5. panta 1. punkta c) apakšpunktā paredzētajam datu minimizēšanas principam, jo šī norāde neesot nepieciešama nedz transporta pakalpojumu sniegšanas līguma izpildei, nedz SNCF Connect leģitīmo interešu īstenošanai. Ar to, ka komerciālajā sarakstē tiek izmantotas šāda veida norādes, nepietiek, lai šādu pienākumu padarītu nepieciešamu. Visbeidzot, šis pienākums esot pretrunā tiesībām ceļot bez savas uzrunas norādīšanas, tiesībām uz privātās dzīves neaizskaramību, kā arī brīvībai brīvi noteikt savu dzimtes pašizpausmi, un radot diskriminācijas risku. Situācijā ar tādu valstu valstspiederīgajiem, kurās civilstāvoklis var būt “neitrāla dzimte”, šī norāde neatbilstot realitātei un iespējami apdraudot konkrēti viņu pārvietošanās brīvību, kas garantēta Savienības tiesībās.

17

CNIL lūdz noraidīt šo prasību, norādot, ka uzrunas datu apstrāde varot būt kvalificējama arī kā nepieciešama SNCF Connect leģitīmo interešu īstenošanai saskaņā ar VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu un ka datu subjekti – ņemot vērā viņu īpašo situāciju – varot atsaukties uz tiesībām iebilst, kas garantētas VDAR 21. pantā.

18

Šajā kontekstā iesniedzējtiesa vēlas noskaidrot tostarp, vai, vērtējot pamatlietā aplūkoto datu apstrādes nepieciešamību, var ņemt vērā komerciālajā, formālajā un administratīvajā saziņā ierasto praksi tādējādi, ka klientu uzrunas datu vākšana, kas aprobežojas ar norādēm “Monsieur” (kungs) vai “Madame” (kundze), varētu būt likumīga un atbilstoša datu minimizēšanas principam. Vēl šī tiesa vaicā, vai, izvērtējot vajadzību šādi obligāti vākt un pēc tam apstrādāt klientu uzrunas datus, ja daži klienti uzskata, ka uz tiem neattiecas neviena no abām uzrunām, jāņem vērā apstāklis, ka šie klienti pēc tam, kad tie šos datus snieguši pārzinim nolūkā izmantot attiecīgo pakalpojumu, varētu izmantot savas tiesības iebilst pret šo datu izmantošanu, balstoties uz iemesliem saistībā ar viņu īpašo situāciju VDAR 21. panta izpratnē.

19

Šajos apstākļos Conseil d’État (Valsts padome) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:

20

Ar pirmo jautājumu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 6. panta 1. punkta pirmās daļas b) un f) apakšpunkts, lasot tos kopsakarā ar šīs regulas 5. panta 1. punkta c) apakšpunktu, jāinterpretē tādējādi, ka ar transporta uzņēmuma klientu uzrunu saistīto personas datu apstrāde nolūkā personalizēt komerciālo saziņu, pamatojoties uz viņu dzimtisko identitāti, var tikt uzskatīta par nepieciešamu līguma izpildei šā b) apakšpunkta izpratnē vai par nepieciešamu šīs apstrādes pārziņa vai trešās personas leģitīmo interešu īstenošanai šā f) apakšpunkta izpratnē.

21

Ievadam jāatgādina, ka VDAR mērķis – kā izriet no tās 1. panta un 1. un 10. apsvēruma – citastarp ir nodrošināt augsta līmeņa aizsardzību fizisko personu pamattiesībām un pamatbrīvībām, jo īpaši Hartas 8. panta 1. punktā un LESD 16. panta 1. punktā nostiprinātajām viņu tiesībām uz privātās dzīves neaizskaramību saistībā ar personas datu apstrādi (spriedums, 2024. gada 4. oktobris, Schrems (Datu izpaušana plašai sabiedrībai), C‑446/21, EU:C:2024:834, 45. punkts un tajā minētā judikatūra).

22

Atbilstoši šim mērķim ikvienai personas datu apstrādei jāatbilst tostarp VDAR 5. pantā noteiktajiem datu apstrādes principiem un šīs regulas 6. pantā uzskaitītajiem apstrādes likumīguma nosacījumiem (spriedums, 2024. gada 4. oktobris, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 27. punkts un tajā minētā judikatūra).

23

VDAR 5. panta 1. punkta a) apakšpunkts noteic, ka personas dati jāapstrādā likumīgi, godprātīgi un datu subjektam pārredzamā veidā.

24

Turklāt datu minimizēšanas principu nostiprinošais šīs regulas 5. panta 1. punkta c) apakšpunkts noteic, ka šiem datiem jābūt adekvātiem, atbilstīgiem un jāietver tikai tas, kas nepieciešams to apstrādes nolūkos. Šis princips ir samērīguma principa izpausme (šajā nozīmē skat. spriedumu, 2024. gada 4. oktobris, Schrems (Datu izpaušana plašai sabiedrībai), C‑446/21, EU:C:2024:834, 49. un 50. punkts, kā arī tajos minētā judikatūra).

25

Par apstrādes likumīguma nosacījumiem Tiesa nospriedusi, ka VDAR 6. panta 1. punkta pirmajā daļā ir paredzēts izsmeļošs un ierobežojošs to gadījumu uzskaitījums, kuros personas datu apstrādi var uzskatīt par likumīgu. Tādējādi, lai apstrādi varētu uzskatīt par likumīgu, uz to jāattiecas kādam no šajā tiesību normā paredzētajiem gadījumiem (spriedums, 2024. gada 4. oktobris, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 29. punkts un tajā minētā judikatūra).

26

Saskaņā ar VDAR 6. panta 1. punkta pirmās daļas a) apakšpunktu personas datu apstrāde ir likumīga, ja un ciktāl datu subjekts ir devis piekrišanu savu datu apstrādei vienam vai vairākiem konkrētiem nolūkiem. Ja šādas piekrišanas nav vai ja piekrišana nav dota brīvi, konkrēti, apzināti un viennozīmīgi šīs regulas 4. panta 11. punkta izpratnē, šāda apstrāde tomēr var būt attaisnota tad, ja tā atbilst kādai no nepieciešamības prasībām, kas minētas šīs regulas 6. panta 1. punkta pirmās daļas b)–f) apakšpunktā (šajā nozīmē skat. spriedumu, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 91. un 92. punkts).

27

Šajā kontekstā jāteic, ka šajā pēdējā minētajā tiesību normā paredzētie pamatojumi, ciktāl tie rada likumīgu pamatu personas datu apstrādei, kas veikta bez datu subjekta piekrišanas, jāinterpretē šauri (spriedums, 2024. gada 4. oktobris, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 31. punkts un tajā minētā judikatūra).

28

Turklāt – kā nospriedusi Tiesa –, ja var konstatēt, ka personas datu apstrāde ir nepieciešama, ņemot vērā kādu no VDAR 6. panta 1. punkta pirmās daļas b)–f) apakšpunktā paredzētajiem pamatojumiem, nav jānoskaidro, vai uz šo apstrādi attiecas arī kāds cits no šiem pamatojumiem. Šajā ziņā jāprecizē, ka attiecībā uz attaisnojamību noteiktā nepieciešamības prasība nav izpildīta, ja ar šo datu apstrādi īstenoto mērķi saprātīgi var sasniegt tikpat efektīvi ar citiem līdzekļiem, kas mazāk aizskartu datu subjektu pamattiesības, it īpaši Hartas 7. un 8. pantā garantētās tiesības uz privātās dzīves neaizskaramību un personas datu aizsardzību; tādējādi no šādu datu aizsardzības principa var atkāpties un to ierobežot tikai tiktāl, cik tas ir absolūti nepieciešams (šajā nozīmē skat. spriedumus, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti), C‑439/19, EU:C:2021:504, 110. punkts un tajā minētā judikatūra, kā arī 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 94. punkts).

29

Visbeidzot jāprecizē, ka saskaņā ar VDAR 13. panta 1. punkta c) apakšpunktu, ja personas datus vāc no datu subjekta, pārzinim jāinformē datu subjekts par to, kādiem nolūkiem šos datus paredzēts apstrādāt, kā arī par šīs apstrādes juridisko pamatu (spriedums, 2024. gada 4. oktobris, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 33. punkts un tajā minētā judikatūra).

30

Jāteic, ka šajā gadījumā netiek apstrīdēts, ka vīriešu vai sieviešu dzimtiskajai identitātei atbilstoša uzruna var tikt kvalificēta kā “personas dati”, ja tā attiecas uz identificētu personu VDAR 4. panta 1. punkta izpratnē, un ka tiek veikta šo datu “apstrāde” VDAR 4. panta 2. punkta izpratnē, ciktāl SNCF Connect tos ievākusi un reģistrējusi saistībā ar biļešu pārdošanu tiešsaistē. Līdz ar to šī apstrāde, kas turklāt ir automatizēta, ietilpst šīs regulas materiālajā piemērošanas jomā saskaņā ar minētās regulas 2. panta 1. punktu.

31

Turklāt iesniedzējtiesas uzdotais jautājums ir balstīts uz divām premisām, proti, pirmkārt, ka pamatlietā aplūkotā datu apstrāde ir veikta bez datu subjektu piekrišanas VDAR 4. panta 11. punkta un 6. panta 1. punkta pirmās daļas a) apakšpunkta izpratnē un, otrkārt, ka šī apstrāde nav nepieciešama, lai izpildītu uz pārzini attiecināmu juridisku pienākumu VDAR 6. panta 1. punkta pirmās daļas c) apakšpunkta izpratnē. Tātad uzdotais jautājums attiecas tikai uz iespēju saistībā ar pamatlietā aplūkoto datu apstrādi atsaukties uz VDAR 6. panta 1. punkta pirmās daļas b) un f) apakšpunktā minētajiem pamatojumiem.

32

VDAR 6. panta 1. punkta b) apakšpunkts noteic, ka personas datu apstrāde ir likumīga, ja tā ir “vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas”.

33

Šajā ziņā, lai personas datu apstrādi varētu uzskatīt par vajadzīgu līguma izpildei šīs tiesību normas izpratnē, tai jābūt objektīvi nepieciešamai, lai īstenotu mērķi, kas ir datu subjektam paredzētā līgumiskā pakalpojuma neatņemama sastāvdaļa. Tādējādi pārzinim jāspēj pierādīt, kādēļ līguma galveno mērķi nevarētu sasniegt, ja attiecīgā apstrāde nenotiktu (spriedums, 2024. gada 12. septembris, HTB Neunte Immobilien Portfolio un Ökorenta Neue Energien Ökostabil IV, C‑17/22 un C‑18/22, EU:C:2024:738, 43. punkts, kā arī tajā minētā judikatūra).

34

Tam, ka šāda apstrāde ir minēta līgumā vai ka tā ir tikai noderīga tā izpildei, šajā ziņā nav nozīmes. Proti, VDAR 6. panta 1. punkta pirmās daļas b) apakšpunktā minētā pamatojuma piemērojamības noteicošais faktors ir, ka pārziņa veiktā personas datu apstrāde ir būtiski nepieciešama, lai varētu pienācīgi izpildīt starp to un datu subjektu noslēgto līgumu, un ka līdz ar to nav citu praktiski īstenojamu risinājumu, kas rada mazāku aizskārumu (spriedums, 2024. gada 12. septembris, HTB Neunte Immobilien Portfolio un Ökorenta Neue Energien Ökostabil IV, C‑17/22 un C‑18/22, EU:C:2024:738, 44. punkts, kā arī tajā minētā judikatūra).

35

Šajā kontekstā, ja līgumā ir ietverti vairāki pakalpojumi vai vairāki viena pakalpojuma atšķirīgi elementi, kurus var izpildīt neatkarīgi citu no cita, VDAR 6. panta 1. punkta pirmās daļas b) apakšpunkta piemērojamība būtu jānovērtē atsevišķi katra šā pakalpojuma kontekstā (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 100. punkts).

36

Šajā gadījumā nav strīda par to, ka pamatlietā aplūkotā līguma galvenais mērķis ir dzelzceļa pārvadājumu pakalpojuma sniegšana klientiem. Iesniedzējtiesa norāda, ka pamatlietā aplūkotās datu apstrādes nolūks ir komerciālās saziņas personalizēšana attiecībā uz klientu, ievērojot šajā jomā vispārpieņemto praksi.

37

Kā secinājumu 42. punktā būtībā norāda ģenerāladvokāts, komerciālā saziņa var būt attiecīgā nolīgtā pakalpojuma neatņemama sastāvdaļa, jo, lai varētu sniegt šādu dzelzceļa pārvadājumu pakalpojumu, principā vajadzīgs sazināties ar klientu tostarp tālab, lai viņam elektroniski nosūtītu transporta biļeti, informētu viņu par iespējamām izmaiņām, kas varētu ietekmēt attiecīgo braucienu, kā arī ļaut tam sazināties ar pēcpārdošanas pakalpojumu dienestu. Šajā saziņā var būt nepieciešams ievērot ierasto praksi un tostarp ietvert pieklājības frāzes, lai apliecinātu attiecīgā uzņēmuma cieņu pret savu klientu un tādējādi saglabātu šā uzņēmuma zīmola tēlu.

38

Tomēr šķiet, ka šādai saziņai nav obligāti jābūt personalizētai atkarībā no attiecīgā klienta dzimtiskās identitātes. Proti, judikatūras atziņa ir tāda, ka satura personalizēšana nešķiet esam nepieciešama, lai piedāvātu pakalpojumus klientam, ja šie pakalpojumi tam vajadzības gadījumā var tikt sniegti līdzvērtīgas alternatīvas veidā, kas neietver šādu personalizēšanu, un tāpēc tā nav objektīvi obligāti nepieciešama mērķim, kas ir minēto pakalpojumu neatņemama sastāvdaļa (šajā nozīmē skat. spriedumu, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 102. punkts).

39

Pamatlietā aplūkoto pakalpojumu kontekstā komerciālās saziņas personalizēšana, balstoties uz dzimtisko identitāti, kas prezumēta atkarībā no uzrunas, nešķiet esam nedz objektīvi nepieciešama, nedz būtiska, lai varētu pienācīgi izpildīt attiecīgo līgumu šā sprieduma 33. un 34. punktā atgādinātās judikatūras izpratnē.

40

Proti, šķiet, ka pastāv praktiski īstenojams un mazāku aizskārumu radošs risinājums, jo attiecīgais uzņēmums – vai nu attiecībā uz klientiem, kuri nevēlas norādīt savu uzrunu, vai vispārīgi – varētu izvēlēties izmantot tādu saziņu, kas balstīta uz vispārīgām, iekļaujošām un ar klientu domājamo dzimtisko identitāti nesaistītām pieklājības frāzēm. Turklāt, kā secinājumu 49. un 50. punktā norāda ģenerāladvokāts, šķiet – lai gan to pārbaudīt ir iesniedzējtiesas ziņā –, ka SNCF Connect jau izmanto šādus formulējumus un ka arī nepareizas uzrunas norāde neietekmētu attiecīgo transporta pakalpojumu sniegšanu, un tas savukārt apstiprinot, ka pamatlietā aplūkotā datu apstrāde nav objektīvi nepieciešama, lai sasniegtu līguma galveno mērķi.

41

Šajā kontekstā vēl jāprecizē: tiesas sēdē SNCF Connect norādīja, ka pamatlietā aplūkotajai datu apstrādei bija arī vēl kāds cits mērķis, proti, pielāgot transporta pakalpojumus gadījumā, kad tiek izmantoti nakts vilcieni ar vagoniem, kuri paredzēti tikai personām ar vienādu dzimtisko identitāti, un sniegt palīdzību pasažieriem ar invaliditāti. SNCF Connect ieskatā, šim transporta pakalpojumu pielāgošanas mērķim var būt nepieciešams noskaidrot attiecīgo klientu dzimtisko identitāti.

42

Taču ar šo otro mērķi nav attaisnojams, ka sistemātiski un visaptveroši tiek apstrādāti visu attiecīgā uzņēmuma klientu – t.sk. to klientu, kuri ceļo dienā vai kuriem nav invaliditātes, – uzrunas dati. Proti, šāda apstrāde būtu nesamērīga un šajā ziņā pretrunā datu minimizēšanas principam, kas atgādināts šā sprieduma 24. punktā, jo tā būtu varējusi aprobežoties tikai ar datiem par to klientu dzimtisko identitāti, kuri vēlas ceļot nakts vilcienā vai saņemt personalizētu palīdzību invaliditātes dēļ.

43

Tādējādi VDAR 6. panta 1. punkta pirmās daļas b) apakšpunkts, lasot to kopsakarā ar šīs regulas 5. panta 1. punkta c) apakšpunktu, jāinterpretē tādējādi, ka ar transporta uzņēmuma klientu uzrunu saistīto personas datu apstrāde nolūkā personalizēt komerciālo saziņu, pamatojoties uz viņu dzimtisko identitāti, nešķiet esam nedz objektīvi obligāti nepieciešama, nedz būtiska, lai varētu pienācīgi izpildīt līgumu, un līdz ar to nav uzskatāma par nepieciešamu šā līguma izpildei.

44

VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts noteic, ka personas datu apstrāde ir likumīga tad, ja tā ir “vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns”.

45

Pastāvīgās judikatūras atziņa ir tāda, ka šī tiesību norma paredz trīs kumulatīvus nosacījumus tam, lai tajā minētā personas datu apstrāde būtu likumīga, proti, pirmkārt, pārziņa vai trešās personas leģitīmu interešu esamība, otrkārt, nepieciešamība apstrādāt personas datus šo leģitīmo interešu īstenošanai un, treškārt, nosacījums, ka aizsargājamo datu subjekta intereses vai pamattiesības un pamatbrīvības neprevalē pār pārziņa vai trešās personas leģitīmajām interesēm (spriedumi, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 106. punkts, kā arī 2024. gada 4. oktobris, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 37. punkts).

46

Pirmkārt, attiecībā uz nosacījumu par leģitīmo interešu īstenošanu jāprecizē, ka saskaņā ar VDAR 13. panta 1. punkta d) apakšpunktu pārzinim brīdī, kad no datu subjekta tiek iegūti viņa personas dati, ir tam jānorāda leģitīmās intereses, ja šī apstrāde pamatojas uz šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunktu. Tā kā jēdziens “leģitīmas intereses” VDAR nav definēts, par leģitīmām principā var uzskatīt plašu interešu loku. Konkrēti šis jēdziens neaprobežojas ar interesēm, kas ir aizsargātas ar likumu, likumiskas un likumā noteiktas (šajā nozīmē skat. spriedumus, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 107. punkts, kā arī 2024. gada 4. oktobris, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, 38., 40. un 41. punkts, kā arī tajos minētā judikatūra).

47

Tādējādi no VDAR 47. apsvēruma izriet, ka šādas leģitīmas intereses varētu būt, piemēram, tad, ja starp datu subjektu un pārzini pastāv būtiskas un atbilstošas attiecības, piemēram, ja datu subjekts ir pārziņa klients.

48

Otrkārt, attiecībā uz nosacījumu par personas datu apstrādes nepieciešamību leģitīmo interešu īstenošanai, ievērojot šā sprieduma 28. punktā atgādināto judikatūru, jāteic, ka valsts tiesai jāpārbauda, vai ar datu apstrādi īstenotās leģitīmās intereses nevar saprātīgi īstenot tikpat efektīvi ar citiem līdzekļiem, kas mazāk aizskartu datu subjektu pamattiesības un pamatbrīvības, jo šāda apstrāde ir veicama tikai tiktāl, cik tas ir absolūti nepieciešams šo leģitīmo interešu īstenošanai.

49

Šajā kontekstā atgādināms arī, ka nosacījums par nepieciešamību apstrādāt datus jāaplūko kopā ar datu minimizēšanas principu, kurš nostiprināts VDAR 5. panta 1. punkta c) apakšpunktā un saskaņā ar kuru personas datiem jābūt adekvātiem, atbilstīgiem un jāietver tikai tas, kas nepieciešams to apstrādes nolūkos (spriedums, 2024. gada 12. septembris, HTB Neunte Immobilien Portfolio un Ökorenta Neue Energien Ökostabil IV, C‑17/22 un C‑18/22, EU:C:2024:738, 52. punkts, kā arī tajā minētā judikatūra).

50

Visbeidzot, treškārt, par nosacījumu, ka aizsargājamo datu subjekta intereses vai pamattiesības un pamatbrīvības neprevalē pār pārziņa vai trešās personas leģitīmajām interesēm, Tiesa jau ir nospriedusi, ka šā nosacījuma dēļ jāveic attiecīgo pretnostatīto tiesību un interešu samērošana, kas principā ir atkarīga no attiecīgā gadījuma konkrētajiem apstākļiem, un ka tādējādi valsts tiesai šī samērošana jāveic, ņemot vērā šos konkrētos apstākļus. Kā izriet no VDAR 47. apsvēruma, datu subjekta intereses un pamattiesības var būt svarīgākas par datu pārziņa interesēm, ja personas datus apstrādā apstākļos, kādos datu subjektiem nav pamata rēķināties ar šādu apstrādi (šajā nozīmē skat. spriedumu, 2024. gada 12. septembris, HTB Neunte Immobilien Portfolio un Ökorenta Neue Energien Ökostabil IV, C‑17/22 un C‑18/22, EU:C:2024:738, 53. un 54. punkts, kā arī tajos minētā judikatūra).

51

Šajā gadījumā, lai arī izvērtēt to, vai attiecībā uz pamatlietā aplūkoto personas datu apstrādi ir izpildīti šā sprieduma 45. punktā atgādinātie trīs nosacījumi, galu galā ir iesniedzējtiesas ziņā, Tiesa, lemjot par lūgumu sniegt prejudiciālu nolēmumu, var sniegt lietderīgas norādes, pēc kurām valsts tiesai vadīties šajā izvērtējumā (pēc analoģijas skat. spriedumu, 2024. gada 12. septembris, HTB Neunte Immobilien Portfolio un Ökorenta Neue Energien Ökostabil IV, C‑17/22 un C‑18/22, EU:C:2024:738, 55. punkts, kā arī tajā minētā judikatūra).

52

Attiecībā uz pirmo nosacījumu, kas minēts šā sprieduma 46. punktā, iesniedzējtiesai būs jāpārbauda, vai pamatlietā aplūkotās datu vākšanas posmā SNCF Connect saviem klientiem ir saskaņā ar VDAR 13. panta 1. punkta d) apakšpunktu norādījusi leģitīmās intereses. Kā secinājumu 58. punktā norāda ģenerāladvokāts, ar šo tiesību normu ir noteikts pienākums tieši informēt datu subjektus par īstenotajām leģitīmajām interesēm šīs vākšanas brīdī, jo pretējā gadījumā minētā datu vākšana nav attaisnojama, pamatojoties uz šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunktu. Tiesas rīcībā esošie lietas materiāli neļauj izvērtēt, vai šī prasība pamatlietā ir ievērota.

53

Šajā kontekstā jāprecizē, ka savos rakstveida apsvērumos SNCF Connect ir atsaukusies uz tiešās tirgvedības mērķi, kam varētu būt nepieciešama saziņas personalizēšana un līdz ar to pamatlietā aplūkotā datu apstrāde.

54

Šajā ziņā VDAR 47. apsvēruma pēdējā teikumā ir teikts, ka var uzskatīt, ka personas datu apstrāde tiešās tirgvedības vajadzībām ir veikta leģitīmās interesēs. Konkrēti, šādā kontekstā reklāmas personalizēšana var tikt pielīdzināta tiešajai tirgvedībai (pēc analoģijas skat. spriedumu, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 115. punkts).

55

Attiecībā uz šā sprieduma 48. punktā minēto otro nosacījumu šķiet – lai gan to pārbaudīt ir iesniedzējtiesas ziņā –, ka komerciālās saziņas personalizēšana var aprobežoties ar klientu vārdu un uzvārdu apstrādi, jo viņu uzruna un/vai dzimtiskā identitāte ir informācija, kas šajā kontekstā nešķiet esam absolūti nepieciešama, ņemot vērā tostarp datu minimizēšanas principu.

56

Savos rakstveida apsvērumos SNCF Connect un Francijas valdība norāda, ka, vērtējot personas datu apstrādes nepieciešamību, jāņem vērā katras dalībvalsts paražas un sociālās normas, it īpaši, lai saglabātu VDAR 4. apsvērumā minēto valodu un kultūru daudzveidību. Tomēr jānorāda, pirmkārt, ka VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā nav paredzēts ņemt vērā paražas un sociālās normas, lai novērtētu šādas apstrādes nepieciešamību, un šis pants – kā atgādināts šā sprieduma 27. punktā – jāinterpretē šauri.

57

Otrkārt, nešķiet, ka šo daudzveidību varētu ietekmēt tas, ka attiecīgo klientu uzrunas vai dzimtiskās identitātes dati netiek apstrādāti. Kā izriet no šā sprieduma 40. punkta, pārzinim šīs paražas un sociālās normas ievērot ir iespējams – vai nu attiecībā uz klientiem, kuri nevēlas norādīt savu uzrunu, vai vispārīgi –, izmantojot vispārīgas, iekļaujošas un ar klientu iespējamo dzimtisko identitāti nesaistītas pieklājības frāzes, un tādējādi SNCF Connect un Francijas valdības argumentācija katrā ziņā nav iedarbīga.

58

Par šā sprieduma 50. punktā minēto trešo nosacījumu un attiecīgo pretnostatīto tiesību un interešu, proti, pārziņa un datu subjekta tiesību un interešu, samērošanu jāteic, ka svarīgi ir ņemt vērā tostarp gan to, ar ko datu subjektam ir pamats rēķināties, gan attiecīgās apstrādes apjomu un šīs apstrādes ietekmi uz šo subjektu (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 116. punkts).

59

Kā secinājumu 70. punktā būtībā norāda ģenerāladvokāts, šķiet – lai gan to pārbaudīt ir iesniedzējtiesas ziņā –, ka transporta uzņēmuma klientam nav jārēķinās ar to, ka šis uzņēmums biļetes iegādes kontekstā apstrādās datus par viņa uzrunu vai dzimtisko identitāti. Tā tas būtu it īpaši gadījumā, ja šī apstrāde tiktu veikta vienīgi tiešās tirgvedības nolūkos.

60

Lai kā arī nebūtu, leģitīmas intereses saistībā ar tiešo tirgvedību nevar prevalēt tad, ja pastāv datu subjekta pamattiesību un pamatbrīvību aizskāruma risks. Proti, kā izriet no VDAR 75. apsvēruma, risku fizisku personu tiesībām un brīvībām – ar atšķirīgu iespējamību un nopietnību – var radīt personas datu apstrāde, kas var izraisīt fizisku, materiālu vai nemateriālu kaitējumu, jo īpaši, ja apstrāde var izraisīt diskrimināciju.

61

Konkrēti šajā kontekstā iesniedzējtiesai būs jāpārbauda, vai pastāv Mousse apgalvotais risks, ka varētu rasties diskriminācija dzimtiskās identitātes dēļ, tostarp ņemot vērā Direktīvu 2004/113, ar kuru īsteno principu, kas paredz vienlīdzīgu attieksmi pret vīriešiem un sievietēm attiecībā uz pieeju precēm un pakalpojumiem un to piegādi.

62

Šajā ziņā jāprecizē, ka šīs direktīvas piemērošanas jomu nevar reducēt tikai līdz diskriminācijai, kas izriet no piederības vienam vai otram dzimumam. Ņemot vērā minētās direktīvas mērķi un ar to aizsargāt paredzēto tiesību iedabu, šī direktīva ir vienlīdz piemērojama arī tādai diskriminācijai, kas radusies attiecīgās personas dzimtiskās identitātes maiņas rezultātā (pēc analoģijas skat. spriedumu, 2006. gada 27. aprīlis, Richards, C‑423/04, EU:C:2006:256, 24. punkts un tajā minētā judikatūra).

63

Līdz ar to VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts, lasot to kopsakarā ar šīs regulas 5. panta 1. punkta c) apakšpunktu, jāinterpretē tādējādi, ka ar transporta uzņēmuma klientu uzrunu saistīto personas datu apstrādi nolūkā personalizēt komerciālo saziņu, pamatojoties uz viņu dzimtisko identitāti, nevar uzskatīt par nepieciešamu šīs apstrādes pārziņa vai trešās personas leģitīmo interešu īstenošanai tad, ja:

64

Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz pirmo jautājumu ir atbildams, ka VDAR 6. panta 1. punkta pirmās daļas b) un f) apakšpunkts, lasot tos kopsakarā ar šīs regulas 5. panta 1. punkta c) apakšpunktu, jāinterpretē tādējādi, ka

65

Ar otro jautājumu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts jāinterpretē tādējādi, ka, vērtējot personas datu apstrādes nepieciešamību saskaņā ar šo normu, jāņem vērā tas, vai iespējami pastāv datu subjekta tiesības iebilst atbilstoši VDAR 21. pantam.

66

VDAR 21. panta 1. punkts noteic, ka datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 6. panta 1. punkta pirmās daļas e) vai f) apakšpunktu, tostarp profilēšanu, kas pamatojas uz minētajiem noteikumiem. Pārzinis personas datus vairs neapstrādā, izņemot, ja pārzinis norāda uz pārliecinošiem leģitīmiem šādas apstrādes iemesliem, kas ir svarīgāki par datu subjekta interesēm, kā arī tiesībām un brīvībām, vai lai celtu, īstenotu vai aizstāvētu likumīgas prasības.

67

Lai būtu piemērojams VDAR 21. pants un līdz ar to iespējami pastāvētu tiesības iebilst, jābūt likumīgai apstrādei, kam šajā gadījumā jābūt pamatotai ar šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunktu. Taču, lai šāda apstrāde būtu likumīga, tai vispirms jau jāatbilst šā sprieduma 48. punktā minētajam absolūtas nepieciešamības nosacījumam.

68

Tātad, kā secinājumu 80. un 82. punktā norāda ģenerāladvokāts, no attiecīgo tiesību normu formulējuma un sistēmas izriet, ka tiesību iebilst esamība nav ņemama vērā, izvērtējot pamatlietā aplūkoto personas datu apstrādes likumīgumu un konkrēti nepieciešamību.

69

Šīs interpretācijas pareizību apstiprina VDAR mērķis, kas, ņemot vērā tās 10. apsvērumu, ir nodrošināt fizisku personu pamattiesību un pamatbrīvību augsta līmeņa aizsardzību attiecībā uz personas datu apstrādi. Proti, jebkāda atšķirīga interpretācija vājinātu VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā minētās prasības, paplašinot attiecīgās apstrādes likumīguma pamatojumus, lai gan šī tiesību norma, ņemot vērā šā sprieduma 27. punktā atgādināto judikatūru, jāinterpretē šauri.

70

Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz otro jautājumu ir atbildams, ka VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts jāinterpretē tādējādi, ka, vērtējot personas datu apstrādes nepieciešamību saskaņā ar šo normu, nav jāņem vērā tas, vai iespējami pastāv datu subjekta tiesības iebilst atbilstoši VDAR 21. pantam.

71

Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.

Ar šādu pamatojumu Tiesa (pirmā palāta) nospriež: