–

em representação da Mousse, por E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans e D. Holemans, advocaten,

–

em representação da SNCF Connect, por E. Drouard, J.‑J. Gatineau e A. Ligot, avocats,

–

em representação do Governo Francês, por R. Bénard, B. Dourthe e B. Fodda, na qualidade de agentes,

–

em representação da Comissão Europeia, por A. Bouchagiar e H. Kranenborg, na qualidade de agentes,

1

O pedido de decisão prejudicial tem por objeto a interpretação do artigo 5.o, n.o 1, alínea c), do artigo 6.o, n.o 1, primeiro parágrafo, alíneas b), e f), e do artigo 21.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2

Este pedido foi apresentado no âmbito de um litígio que opõe a Mousse, uma associação, à Commission nationale de l’informatique et des libertés (Comissão Nacional da Informática e das Liberdades, França) (a seguir «CNIL») a respeito do indeferimento, por esta última, da reclamação apresentada pela Mousse quanto ao tratamento, pela sociedade SNCF Connect, de dados relativos ao género dos seus clientes quando da venda em linha de títulos de transporte.

3

Os considerandos 1, 4, 10, 47 e 75 do RGPD enunciam:

[…]

[…]

[…]

[…]

4

O artigo 1.o deste regulamento, sob a epígrafe «Objeto e objetivos», dispõe, no n.o 2:

«O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.»

5

Nos termos do artigo 2.o, n.o 1, do referido regulamento:

«O presente regulamento aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.»

6

O artigo 4.o do mesmo regulamento, sob a epígrafe «Definições», dispõe:

«Para efeitos do presente regulamento, entende‑se por:

[…]

[…]

[…]»

7

O artigo 5.o do RGPD, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», prevê:

«1.   Os dados pessoais são:

[…]

[…]»

8

O artigo 6.o deste regulamento, sob a epígrafe «Licitude do tratamento», dispõe, no seu n.o 1:

«O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

[…]»

9

O artigo 13.o do referido regulamento, sob a epígrafe «Informações a facultar quando os dados pessoais são recolhidos junto do titular», prevê:

«1.   Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:

[…]

[…]»

10

O artigo 21.o do mesmo regulamento, sob a epígrafe «Direito de oposição», dispõe, no seu n.o 1:

«O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.o, n.o 1, alínea e) ou f), ou no artigo 6.o, n.o 4, incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.»

11

Nos termos do seu artigo 1.o, a Diretiva 2004/113/CE do Conselho, de 13 de dezembro de 2004, que aplica o princípio de igualdade de tratamento entre homens e mulheres no acesso a bens e serviços e seu fornecimento (JO 2004, L 373, p. 37), tem por objeto estabelecer um quadro para o combate à discriminação em função do sexo no acesso a bens e serviços e seu fornecimento, com vista a concretizar, nos Estados‑Membros, o princípio da igualdade de tratamento entre homens e mulheres.

12

O artigo 8.o da loi no 78‑17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (Lei n.o 78‑17, de 6 de janeiro de 1978, relativa à Informática, aos Ficheiros e às Liberdades) (JORF de 7 de janeiro de 1978, p. 227), na sua versão aplicável ao litígio no processo principal, dispõe:

«I A. A [CNIL] é uma autoridade administrativa independente.

I. É a autoridade de controlo nacional na aceção e para efeitos de aplicação do [RGPD]. Desempenha as seguintes funções:

[…]

2.o Assegura que os tratamentos de dados pessoais sejam efetuados em conformidade com as disposições da presente lei e as outras disposições relativas à proteção dos dados pessoais previstas nos textos legislativos e regulamentares, no direito da União […] e nos compromissos internacionais da [República Francesa].

Para o efeito:

[…]

13

A SNCF Connect comercializa títulos de transporte ferroviário como bilhetes de comboio, passes e cartões de desconto através do seu sítio Internet e de aplicações em linha. Os clientes desta empresa são obrigados a indicar o seu género, podendo assinalar a menção «Senhor» ou «Senhora», quando compram estes títulos de transporte nesse sítio Internet ou nessas aplicações em linha.

14

Considerando que as condições de recolha e de registo dos dados relativos ao género destes clientes não estavam em conformidade com as exigências do RGPD, a Mousse apresentou à CNIL uma reclamação contra a SNCF Connect. Em apoio desta reclamação, a Mousse alegou que a recolha destes dados não estava em conformidade com o princípio da licitude, consagrado no artigo 5.o, n.o 1, alínea a), do RGPD, pois não se baseava em nenhum dos fundamentos previstos no artigo 6.o, n.o 1, do RGPD. Além disso, esta recolha violou o princípio da minimização dos dados, previsto no artigo 5.o, n.o 1, alínea c), do RGPD, bem como, designadamente, as obrigações de transparência e de informação decorrentes do artigo 13.o do RGPD.

15

Por Decisão de 23 de março de 2021, a CNIL considerou que os factos imputados à SNCF Connect não constituíam violações das disposições do RGPD e que havia que proceder ao arquivamento da instrução da referida reclamação. Em apoio desta decisão, a CNIL constatou que o tratamento dos dados em causa no processo principal era lícito, por força do artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD, pelo facto de ser necessário para a execução do contrato de prestação de serviços de transporte em causa. Além disso, a CNIL salientou que, tendo em conta as suas finalidades, este tratamento era conforme com o princípio da minimização dos dados, uma vez que o facto de se dirigir aos clientes de forma personalizada, utilizando o género destes últimos, correspondia às práticas admitidas no domínio das comunicações comerciais, civis e administrativas.

16

Em 21 de maio de 2021, a Mousse interpôs recurso de anulação desta decisão da CNIL no Conseil d’État (Conselho de Estado, em formação jurisdicional, França), que é o órgão jurisdicional de reenvio. Na sua petição, a Mousse alega nomeadamente que a obrigação de assinalar a menção «Senhor» ou «Senhora» numa compra em linha não respeita o princípio da licitude consagrado no artigo 5.o, n.o 1, alínea a), do RGPD, nem o princípio da minimização dos dados, previsto no seu artigo 5.o, n.o 1, alínea c), uma vez que esta menção não é necessária para a execução de um contrato de prestação de serviços de transporte, nem para efeitos dos interesses legítimos da SNCF Connect. O facto de menções desta natureza serem utilizadas na correspondência comercial não é suficiente para tornar esta obrigação necessária. Por último, esta obrigação é suscetível de violar o direito de viajar sem comunicar o seu género, o direito ao respeito pela vida privada bem como a liberdade de definir livremente a sua expressão de género, e propicia um risco de discriminação. No que respeita aos nacionais de Estados cujo estado civil admite um «género neutro», esta menção não corresponde à realidade e pode prejudicar, nomeadamente, a sua liberdade de circulação, garantida pelo direito da União.

17

A CNIL conclui pedindo que seja negado provimento ao recurso, alegando que o tratamento dos dados relativos ao género podia também ser qualificado de necessário para efeitos dos interesses legítimos prosseguidos pela SNCF Connect, por força do artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD, e que os titulares dos dados podiam, consoante a sua situação particular, invocar o direito de oposição garantido pelo artigo 21.o do RGPD.

18

Neste contexto, o órgão jurisdicional de reenvio interroga‑se nomeadamente sobre a questão de saber se podem ser tidas em conta, para efeitos de apreciar a necessidade do tratamento dos dados em causa no processo principal, as práticas correntes admitidas nas comunicações comerciais, civis e administrativas, de modo que a recolha de dados relativos ao género dos clientes, limitada às menções «Senhor» ou «Senhora», pudesse ser lícita e conforme com o princípio da minimização dos dados. Além disso, este órgão jurisdicional interroga‑se sobre a questão de saber se, para avaliar a necessidade da recolha obrigatória e do tratamento subsequente dos dados relativos ao género dos clientes, e atendendo a que alguns clientes não se sentem identificados com nenhum dos dois géneros, se deve ter em conta o facto de estes clientes poderem, após terem fornecido esses dados ao responsável pelo tratamento para beneficiar do serviço oferecido, exercer o seu direito de oposição à utilização de tais dados, por motivos relacionados com a sua situação particular, na aceção do artigo 21.o do RGPD.

19

Nestas circunstâncias, o Conseil d’État (Conselho de Estado, em formação jurisdicional) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

20

Com a sua primeira questão, o órgão jurisdicional de reenvio pretende saber, em substância, se o artigo 6.o, n.o 1, primeiro parágrafo, alíneas b) e f), do RGPD, lido em conjugação com o artigo 5.o, n.o 1, alínea c), deste regulamento, deve ser interpretado no sentido de que o tratamento de dados pessoais relativos ao género dos clientes de uma empresa de transporte, que tenha por finalidade uma personalização da comunicação comercial baseada na respetiva identidade de género, pode ser considerado necessário para a execução de um contrato, na aceção desta alínea b), ou necessário para efeitos dos interesses legítimos prosseguidos pelo responsável por este tratamento ou por terceiros, na aceção desta alínea f).

21

A título preliminar, importa recordar que o objetivo prosseguido pelo RGPD, conforme resulta do seu artigo 1.o, bem como dos seus considerandos 1 e 10, consiste, nomeadamente, em garantir um elevado nível de proteção das liberdades e dos direitos fundamentais das pessoas singulares, em particular, do seu direito à vida privada no que diz respeito ao tratamento de dados pessoais, consagrado no artigo 8.o, n.o 1, da Carta e no artigo 16.o, n.o 1, TFUE [Acórdão de 4 de outubro de 2024, Schrems (Comunicação de dados ao grande público),C‑446/21, EU:C:2024:834, n.o 45 e jurisprudência referida].

22

Em conformidade com este objetivo, qualquer tratamento de dados pessoais deve, nomeadamente, respeitar os princípios relativos ao tratamento de tais dados enunciados no artigo 5.o deste regulamento e preencher os requisitos de licitude enumeradas no artigo 6.o do referido regulamento (Acórdão de 4 de outubro de 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, n.o 27 e jurisprudência referida).

23

O artigo 5.o, n.o 1, alínea a), do RGPD exige que os dados pessoais sejam objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados.

24

Nos termos do artigo 5.o, n.o 1, alínea c), deste regulamento, que consagra o princípio da minimização dos dados, estes dados devem também ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados. Este princípio é uma expressão do princípio da proporcionalidade [v., neste sentido, Acórdão de 4 de outubro de 2024, Schrems (Comunicação de dados ao grande público),C‑446/21, EU:C:2024:834, n.os 49 e 50 e jurisprudência referida].

25

No que respeita aos requisitos de licitude do tratamento, tal como o Tribunal de Justiça já declarou, o artigo 6.o, n.o 1, primeiro parágrafo, do RGPD prevê uma lista exaustiva e taxativa dos casos em que um tratamento de dados pessoais pode ser considerado lícito. Assim, para ser considerado legítimo, um tratamento deve estar abrangido por um dos casos previstos nesta disposição (Acórdão de 4 de outubro de 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, n.o 29 e jurisprudência referida).

26

Nos termos do artigo 6.o, n.o 1, primeiro parágrafo, alínea a), do RGPD, o tratamento de dados pessoais é lícito se e na medida em que o titular dos dados tiver dado o seu consentimento para uma ou mais finalidades específicas. Não tendo este consentimento sido prestado, ou quando esse consentimento não tenha sido dado de forma livre, específica, informada e explícita na aceção do artigo 4.o, ponto 11, deste regulamento, este tratamento pode, contudo, ser justificado quando cumpre um dos requisitos de necessidade mencionados no artigo 6.o, n.o 1, primeiro parágrafo, alíneas b) a f), do referido regulamento [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.os 91 e 92].

27

Neste contexto, as justificações previstas nesta última disposição, uma vez que permitem tornar lícito um tratamento de dados pessoais efetuado sem o consentimento do titular dos dados, devem ser objeto de uma interpretação restritiva (Acórdão de 4 de outubro de 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, n.o 31 e jurisprudência referida).

28

Além disso, como o Tribunal de Justiça já declarou, quando seja possível constatar que um tratamento de dados pessoais é necessário à luz de uma das justificações previstas no artigo 6.o, n.o 1, primeiro parágrafo, alíneas b) a f), do RGPD, não há que determinar se esse tratamento está também abrangido por outra destas justificações. Importa esclarecer, a este respeito, que a exigência de necessidade relativa à justificação acolhida não está preenchida quando o objetivo prosseguido por esse tratamento de dados possa ser razoavelmente alcançado de modo igualmente eficaz através de outros meios menos atentatórios dos direitos fundamentais dos titulares dos dados, em especial dos direitos ao respeito pela vida privada e à proteção dos dados pessoais garantidos nos artigos 7.o e 8.o da Carta, devendo as derrogações e as restrições ao princípio da proteção destes dados verificar‑se dentro dos limites do estritamente necessário [v., neste sentido, Acórdãos de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização),C‑439/19, EU:C:2021:504, n.o 110 e jurisprudência referida, e de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 94].

29

Importa precisar, por último, que, em conformidade com o artigo 13.o, n.o 1, alínea c), do RGPD, quando os dados pessoais são recolhidos junto do titular dos dados, incumbe ao responsável pelo tratamento informá‑lo das finalidades do tratamento a que estes dados se destinam, bem como do fundamento jurídico deste tratamento (Acórdão de 4 de outubro de 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, n.o 33 e jurisprudência referida).

30

No caso em apreço, há que observar que não é contestado que o género, que corresponde a uma identidade de género masculina ou feminina, pode ser qualificado de «dado pessoal» quando seja relativo a uma pessoa identificada, na aceção do artigo 4.o, ponto 1, do RGPD, e esse dado seja objeto de um «tratamento», na aceção do artigo 4.o, ponto 2, do RGPD, dado que é recolhido e registado pela SNCF Connect no contexto da venda em linha de títulos de transporte. Por conseguinte, este tratamento, que, por outro lado, reveste um caráter automatizado, está abrangido pelo âmbito de aplicação material deste regulamento, por força do seu artigo 2.o, n.o 1.

31

Além disso, a questão submetida pelo órgão jurisdicional de reenvio assenta em duas premissas, a saber, por um lado, que o tratamento de dados em causa no processo principal é efetuado sem o consentimento dos titulares dos dados, na aceção do artigo 4.o, ponto 11, e do artigo 6.o, n.o 1, primeiro parágrafo, alínea a), do RGPD e, por outro, que este tratamento não é necessário para cumprir uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito, na aceção do artigo 6.o, n.o 1, primeiro parágrafo, alínea c), do RGPD. Por conseguinte, a questão submetida diz exclusivamente respeito à possibilidade de invocar as justificações referidas nas alíneas b) e f) do artigo 6.o, n.o 1, primeiro parágrafo, do RGPD, no âmbito do tratamento de dados em causa no processo principal.

32

O artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD dispõe que um tratamento de dados pessoais é lícito se for «necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados».

33

A este respeito, para que um tratamento de dados pessoais seja considerado necessário para a execução de um contrato, na aceção desta disposição, deve ser objetivamente indispensável para realizar uma finalidade que faça parte integrante da prestação contratual destinada ao titular dos dados. O responsável por este tratamento deve, assim, estar em condições de demonstrar de que forma o objeto principal do contrato não poderia ser alcançado sem o tratamento em causa (Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C‑17/22 e C‑18/22, EU:C:2024:738, n.o 43 e jurisprudência referida).

34

O facto de este tratamento ser mencionado no contrato ou de ser apenas útil para a sua execução é, por si só, desprovido de pertinência a este respeito. De facto, o elemento determinante para efeitos da aplicação da justificação prevista no artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD é que o tratamento de dados pessoais efetuado pelo responsável pelo tratamento seja necessário para permitir a execução correta do contrato celebrado entre este e o titular dos dados e, deste modo, que não existam outras soluções exequíveis e menos intrusivas (Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C‑17/22 e C‑18/22, EU:C:2024:738, n.o 44 e jurisprudência referida).

35

Neste contexto, quando o contrato consista em vários serviços ou elementos distintos de um mesmo serviço que podem ser executados independentemente uns dos outros, a aplicabilidade do artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD deve ser avaliada separadamente no contexto de cada um destes serviços [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 100].

36

No caso em apreço, é facto assente que o objeto principal do contrato em causa no processo principal é a prestação aos clientes de um serviço de transporte ferroviário. Segundo o órgão jurisdicional de reenvio, o tratamento de dados em causa no processo principal tem por finalidade a personalização da comunicação comercial em relação ao cliente, no respeito das práticas habitualmente aceites na matéria.

37

Como o advogado‑geral observou, em substância, no n.o 42 das suas conclusões, a comunicação comercial pode constituir uma finalidade que faz parte integrante da prestação contratual em causa, uma vez que a prestação desse serviço de transporte ferroviário implica, em princípio, comunicar com o cliente para efeitos, nomeadamente, de lhe transmitir um título de transporte por via eletrónica, de o informar de eventuais alterações que afetem a viagem correspondente, bem como de permitir contactos com o serviço de apoio ao cliente. Esta comunicação pode exigir o respeito de práticas e compreender, nomeadamente, fórmulas de cortesia, para demonstrar o respeito da empresa para com o seu cliente e, ao fazê‑lo, salvaguardar a imagem de marca dessa empresa.

38

No entanto, afigura‑se que tal comunicação não tem necessariamente de ser personalizada em função da identidade de género do cliente em causa. Com efeito, segundo a jurisprudência, a personalização de conteúdos não se afigura necessária para proporcionar serviços a um cliente quando estes serviços possam, eventualmente, ser‑lhe prestados sob a forma de uma alternativa equivalente que não implique essa personalização, pelo que esta última não é objetivamente indispensável a uma finalidade que faça parte integrante dos referidos serviços [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 102].

39

No que respeita aos serviços em causa no processo principal, uma personalização da comunicação comercial, baseada numa identidade de género presumida em função da forma de tratamento, não se afigura nem objetivamente indispensável nem essencial para permitir a execução correta do contrato em causa, na aceção da jurisprudência recordada nos n.os 33 e 34 do presente acórdão.

40

Com efeito, parece existir uma solução exequível e menos intrusiva, uma vez que a empresa em causa poderia optar, em relação aos clientes que não desejem indicar o seu género, ou de maneira geral, por uma comunicação assente em fórmulas de cortesia genéricas, inclusivas e sem correlação com a identidade de género presumida dos clientes. De resto, como o advogado‑geral observou nos n.os 49 e 50 das suas conclusões, afigura‑se, sob reserva de verificação pelo órgão jurisdicional de reenvio, que a SNCF Connect já utiliza estas fórmulas e que, além disso, a indicação de um género inexato não tem incidência na prestação dos serviços de transporte em causa, o que tende a confirmar que o tratamento de dados em causa no processo principal não é objetivamente indispensável para executar o objeto principal do contrato.

41

Neste contexto, importa ainda esclarecer que, na audiência, a SNCF Connect alegou que o tratamento de dados em causa no processo principal prosseguia uma segunda finalidade, a saber, a adaptação dos serviços de transporte aos comboios noturnos, com vagões reservados às pessoas com a mesma identidade de género, e para a assistência aos passageiros com deficiência. Segundo a SNCF Connect, esta finalidade de adaptação dos serviços de transporte pode exigir o conhecimento da identidade de género dos clientes envolvidos.

42

Ora, esta segunda finalidade não pode justificar o tratamento sistemático e generalizado dos dados relativos ao género de todos os clientes da empresa em causa, incluindo os clientes que viajem de dia ou que não tenham deficiência. Com efeito, este tratamento seria desproporcionado e, a esse título, contrário ao princípio da minimização dos dados, recordado no n.o 24 do presente acórdão, uma vez que poderia limitar‑se aos dados relativos à identidade de género apenas dos clientes que pretendam viajar em comboio noturno ou beneficiar de uma assistência personalizada em razão de uma deficiência.

43

Assim, o artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD, lido em conjugação com o artigo 5.o, n.o 1, alínea c), do mesmo, deve ser interpretado no sentido de que o tratamento de dados pessoais relativos ao género dos clientes de uma empresa de transporte, que tenha por finalidade uma personalização da comunicação comercial baseada na respetiva identidade de género, não se afigura nem objetivamente indispensável nem essencial para permitir a execução correta de um contrato e, por conseguinte, não pode ser considerado necessário para a execução desse contrato.

44

O artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD prevê que o tratamento de dados pessoais só é lícito se for «necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança».

45

Segundo jurisprudência constante, esta disposição prevê três requisitos cumulativos para que um tratamento de dados pessoais seja lícito, a saber, primeiro, a prossecução de interesses legítimos pelo responsável pelo tratamento ou por terceiros, segundo, a necessidade do tratamento dos dados pessoais para a realização do interesse legítimo prosseguido, e, terceiro, o requisito de os interesses ou direitos e liberdades fundamentais da pessoa a que a proteção de dados diz respeito não prevalecerem sobre o interesse legítimo do responsável pelo tratamento ou de terceiros [Acórdãos de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 106, e de 4 de outubro de 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, n.o 37].

46

No que respeita, primeiro, ao requisito relativo à prossecução de um interesse legítimo, há que observar que, em conformidade com o artigo 13.o, n.o 1, alínea d), do RGPD, incumbe ao responsável pelo tratamento, aquando da recolha dos dados pessoais junto de um titular, indicar‑lhe os interesses legítimos prosseguidos, se este tratamento se basear no artigo 6.o, n.o 1, primeiro parágrafo, alínea f), deste regulamento. Na falta de definição do conceito de «interesse legítimo» pelo RGPD, um amplo leque de interesses é, em princípio, suscetível de ser considerado legítimo. Em especial, este conceito não está limitado aos interesses consagrados e determinados por lei [v., neste sentido, Acórdãos de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 107, e de 4 de outubro de 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, n.os 38, 40 e 41 e jurisprudência referida].

47

Assim, resulta do considerando 47 do RGPD que esse interesse legítimo poderá existir, por exemplo, no caso de uma relação relevante e apropriada entre o titular dos dados e o responsável pelo tratamento, em situações como aquela em que o titular dos dados é cliente do responsável pelo tratamento.

48

No que respeita, segundo, ao requisito relativo à necessidade do tratamento dos dados pessoais para a realização do interesse legítimo prosseguido, e tendo em conta a jurisprudência recordada no n.o 28 do presente acórdão, incumbe ao órgão jurisdicional de reenvio verificar se o interesse legítimo do tratamento dos dados prosseguido não pode ser razoavelmente alcançado de modo igualmente eficaz através de outros meios menos atentatórios dos direitos fundamentais dos titulares dos dados, devendo este tratamento verificar‑se dentro dos limites do estritamente necessário para a realização desse interesse legítimo.

49

Neste contexto, há ainda que recordar que o requisito relativo à necessidade do tratamento deve ser examinado conjuntamente com o princípio da minimização dos dados, consagrado no artigo 5.o, n.o 1, alínea c), do RGPD, segundo o qual os dados pessoais devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C‑17/22 e C‑18/22, EU:C:2024:738, n.o 52 e jurisprudência referida).

50

Por último, terceiro, no que respeita ao requisito de que os interesses ou as liberdades e os direitos fundamentais do titular dos dados não prevaleçam sobre o interesse legítimo do responsável pelo tratamento ou de terceiros, o Tribunal de Justiça já declarou que este implica uma ponderação dos direitos e dos interesses opostos em causa que depende, em princípio, das circunstâncias concretas do caso específico e que, por conseguinte, cabe ao órgão jurisdicional de reenvio efetuar essa ponderação tendo em conta essas circunstâncias específicas. Conforme resulta do considerando 47 do RGPD, os interesses e os direitos fundamentais do titular dos dados podem, em particular, sobrepor‑se ao interesse do responsável pelo tratamento, quando os dados pessoais sejam tratados em circunstâncias em que os seus titulares já não esperam razoavelmente tal tratamento (v., neste sentido, Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C‑17/22 e C‑18/22, EU:C:2024:738, n.os 53 e 54 e jurisprudência referida).

51

No caso em apreço, embora caiba, em última instância, ao órgão jurisdicional de reenvio apreciar se, no que respeita ao tratamento de dados pessoais em causa no processo principal, os três requisitos recordados no n.o 45 do presente acórdão estão preenchidos, o Tribunal de Justiça, decidindo a título prejudicial, pode fornecer precisões destinadas a orientar este órgão jurisdicional nesta determinação (v., neste sentido, Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C‑17/22 e C‑18/22, EU:C:2024:738, n.os 55 e 54 e jurisprudência referida).

52

No que respeita ao primeiro requisito, referido no n.o 46 do presente acórdão, caberá ao órgão jurisdicional de reenvio verificar se a SNCF Connect indicou um interesse legítimo aos seus clientes, em conformidade com o artigo 13.o, n.o 1, alínea d), do RGPD, aquando da recolha dos dados em causa no processo principal. Como o advogado‑geral salientou no n.o 58 das suas conclusões, esta disposição obriga a informar diretamente os titulares dos dados do interesse legítimo prosseguido aquando desta recolha, sem o que a referida recolha não pode ser justificada com base no artigo 6.o, n.o 1, primeiro parágrafo, alínea f), deste regulamento. Os autos de que dispõe o Tribunal de Justiça não permitem apreciar se esta exigência foi respeitada no âmbito do processo principal.

53

Neste contexto, há que observar que, nas suas observações escritas, a SNCF Connect se referiu a uma finalidade de comercialização direta, suscetível de exigir uma personalização da comunicação e, por conseguinte, o tratamento dos dados em causa no processo principal.

54

A este respeito, segundo o considerando 47, último período, do RGPD, poderá considerar‑se de interesse legítimo o tratamento de dados pessoais efetuado para efeitos de comercialização direta. Em especial, a personalização da publicidade pode ser equiparada à comercialização direta nesse contexto [v., por analogia, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 115].

55

Quanto ao segundo requisito, referido no n.o 48 do presente acórdão, sob reserva de verificação pelo órgão jurisdicional de reenvio, parece que uma personalização da comunicação comercial se pode limitar ao tratamento dos apelidos e nomes próprios dos clientes, sendo o seu género e/ou a sua identidade de género uma informação que não parece ser estritamente necessária neste contexto, nomeadamente à luz do princípio da minimização dos dados.

56

Nas suas observações escritas, a SNCF Connect e o Governo Francês alegam que, para apreciar a necessidade de um tratamento de dados pessoais, há que ter em conta os usos e as convenções sociais próprios de cada Estado‑Membro, em particular para preservar a diversidade linguística e cultural, evocada no considerando 4 do RGPD. No entanto, importa salientar, por um lado, que o artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD não prevê a tomada em consideração dos usos e das convenções sociais para apreciar o caráter necessário desse tratamento, sendo de notar que este artigo deve ser objeto de interpretação restritiva, como recordado no n.o 27 do presente acórdão.

57

Por outro lado, a falta de tratamento de dados relativos ao género ou à identidade de género dos clientes em causa não parece ser suscetível de afetar esta diversidade. Com efeito, como resulta do n.o 40 do presente acórdão, o responsável pelo tratamento pode respeitar estes usos e convenções sociais utilizando, em relação aos clientes que não pretendam indicar o seu género, ou de maneira geral, fórmulas de cortesia genéricas, inclusivas e sem correlação com a identidade de género destes clientes, de modo que a argumentação expendida pela SNCF Connect e pelo Governo Francês não pode, em todo o caso, ser acolhida.

58

No que respeita ao terceiro requisito, referido no n.o 50 do presente acórdão, e à ponderação dos direitos e dos interesses opostos em causa, ou seja, os do responsável pelo tratamento, por um lado, e os do titular dos dados, por outro, importa ter em conta, designadamente, as expectativas razoáveis do titular dos dados, o alcance do tratamento em causa e o impacto deste sobre essa pessoa [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 116].

59

Como o advogado‑geral observou, em substância, no n.o 70 das suas conclusões, sob reserva de verificação pelo órgão jurisdicional de reenvio, não é suposto o cliente de uma empresa de transporte prever que essa empresa trate dados relativos ao seu género ou à sua identidade de género no contexto da aquisição de um título de transporte. Seria esse o caso, em especial, se este tratamento fosse realizado unicamente para fins de comercialização direta.

60

O interesse legítimo relativo à comercialização direta não pode, em todo o caso, prevalecer em caso de risco de violação dos direitos e liberdades fundamentais do titular dos dados. Com efeito, como resulta do considerando 75 do RGPD, o risco para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, poderá resultar de operações de tratamento de dados pessoais suscetíveis de causar danos físicos, materiais ou imateriais, em especial quando o tratamento possa dar origem à discriminação.

61

Neste contexto, em especial, caberá ao órgão jurisdicional de reenvio verificar a existência do risco de discriminação em função da identidade de género, alegado pela Mousse, nomeadamente à luz da Diretiva 2004/113, que aplica o princípio da igualdade de tratamento entre homens e mulheres no acesso aos bens e serviços e no fornecimento destes.

62

A este respeito, importa precisar que o âmbito de aplicação desta diretiva não pode ser reduzido apenas às discriminações decorrentes da pertença a um ou a outro género. Tendo em conta o seu objeto e a natureza dos direitos que visa proteger, a referida diretiva destina‑se também a ser aplicada às discriminações que têm a sua origem na mudança de identidade de género de uma pessoa (v., por analogia, Acórdão de 27 de abril de 2006, Richards,C‑423/04, EU:C:2006:256, n.o 24 e jurisprudência referida).

63

Por conseguinte, o artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD, lido em conjugação com o artigo 5.o, n.o 1, alínea c), deste regulamento, deve ser interpretado no sentido de que o tratamento de dados pessoais relativos ao género dos clientes de uma empresa de transporte, que tenha por finalidade uma personalização da comunicação comercial baseada na respetiva identidade de género, não pode ser considerado necessário para efeitos dos interesses legítimos prosseguidos pelo responsável por este tratamento ou por terceiros, quando:

64

Atendendo a todas as considerações precedentes, há que responder à primeira questão que o artigo 6.o, n.o 1, primeiro parágrafo, alíneas b) e f), do RGPD, lido em conjugação com o artigo 5.o, n.o 1, alínea c), deste regulamento, deve ser interpretado no sentido de que:

65

Com a sua segunda questão prejudicial, o órgão jurisdicional de reenvio procura saber, em substância, se o artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD deve ser interpretado no sentido de que, para apreciar a necessidade de um tratamento de dados pessoais nos termos desta disposição, há que ter em consideração a eventual existência de um direito de oposição do titular dos dados, ao abrigo do artigo 21.o, n.o 1, do RGPD.

66

O artigo 21.o, n.o 1, do RGPD prevê que o titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.o, n.o 1, alínea e) ou f), ou no artigo 6.o, n.o 4, incluindo a definição de perfis com base nestas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para este tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.

67

A aplicabilidade do artigo 21.o do RGPD e, por conseguinte, a eventual existência de um direito de oposição pressupõem a existência de um tratamento lícito, baseado, no caso em apreço, no artigo 6.o, n.o 1, primeiro parágrafo, alínea f), deste regulamento. Ora, para ser lícito, esse tratamento deve previamente preencher o requisito da estrita necessidade, referido no n.o 48 do presente acórdão.

68

Como o advogado‑geral observou nos n.os 80 e 82 das suas conclusões, resulta, portanto, dos termos e da sistemática das disposições em causa que a existência de um direito de oposição não pode ser tomada em consideração para efeitos da apreciação da licitude e, em particular, da necessidade do tratamento de dados pessoais em causa no processo principal.

69

Esta interpretação é confirmada pelo objetivo prosseguido pelo RGPD, que é, à luz do seu considerando 10, assegurar um elevado nível das liberdades e dos direitos fundamentais das pessoas singulares relativamente ao tratamento dos dados pessoais. Efetivamente, qualquer outra interpretação teria por efeito enfraquecer as exigências previstas no artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD, alargando os motivos de licitude do tratamento em causa, apesar de esta disposição dever ser objeto de interpretação restritiva, tendo em conta a jurisprudência recordada no n.o 27 do presente acórdão.

70

Atendendo a todas as considerações precedentes, há que responder à segunda questão que o artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD deve ser interpretado no sentido de que, para apreciar a necessidade de um tratamento de dados pessoais nos termos desta disposição, não há que ter em consideração a eventual existência de um direito de oposição do titular dos dados, ao abrigo do artigo 21.o, n.o 1, do RGPD.

71

Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara: