–

pentru Mousse, de E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans și D. Holemans, advocaten;

–

pentru SNCF Connect, de E. Drouard, J.‑J. Gatineau și A. Ligot, avocats;

–

pentru guvernul francez, de R. Bénard, B. Dourthe și B. Fodda, în calitate de agenți;

–

pentru Comisia Europeană, de A. Bouchagiar și H. Kranenborg, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea articolului 5 alineatul (1) litera (c), a articolului 6 alineatul (1) primul paragraf literele (b) și (f), precum și a articolului 21 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

2

Această cerere a fost formulată în cadrul unui litigiu între Mousse, o asociație, pe de o parte, și Commission nationale de l’informatique et des libertés (Comisia Națională pentru Informatică și Libertăți, CNIL) (Franța), pe de altă parte, în legătură cu respingerea de către aceasta din urmă a reclamației formulate de Mousse cu privire la prelucrarea de către societatea SNCF Connect a unor date referitoare la titlul clienților săi cu ocazia vânzării online de legitimații de călătorie.

3

Considerentele (1), (4), (10), (47) și (75) ale RGPD au următorul cuprins:

[…]

[…]

[…]

[…]

4

Articolul 1 din acest regulament, intitulat „Obiect și obiective”, prevede la alineatul (2):

„Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal.”

5

Potrivit articolului 2 alineatul (1) din regulamentul menționat:

„Prezentul regulament se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr‑un sistem de evidență a datelor sau care sunt destinate să facă parte dintr‑un sistem de evidență a datelor.”

6

Articolul 4 din același regulament, intitulat „Definiții”, prevede:

„În sensul prezentului regulament:

[…]

[…]

[…]”

7

Articolul 5 din RGPD, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:

„(1)   Datele cu caracter personal sunt:

[…]

[…]”

8

Articolul 6 din acest regulament, intitulat „Legalitatea prelucrării”, prevede la alineatul (1):

„Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]”

9

Articolul 13 din regulamentul menționat, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede:

„(1)   În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

[…]

[…]”

10

Articolul 21 din același regulament, intitulat „Dreptul la opoziție”, prevede la alineatul (1):

„În orice moment, persoana vizată are dreptul să se opună, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f), a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.”

11

Potrivit articolului 1 din Directiva 2004/113/CE a Consiliului din 13 decembrie 2004 de aplicare a principiului egalității de tratament între femei și bărbați privind accesul la bunuri și servicii și furnizarea de bunuri și servicii (JO 2004, L 373, p. 37, Ediție specială, 05/vol. 7, p. 135), aceasta are ca obiect formarea unui cadru pentru combaterea discriminării pe criterii de sex în ceea ce privește accesul la bunuri și servicii și furnizarea de bunuri și servicii, în vederea punerii în aplicare, în statele membre, a principiului egalității de tratament între bărbați și femei.

12

Articolul 8 din loi no 78‑17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (Legea nr. 78‑17 din 6 ianuarie 1978 privind informatica, fișierele și libertățile) (JORF din 7 ianuarie 1978, p. 227), în versiunea aplicabilă litigiului principal, prevede:

„I A. [CNIL] este o autoritate administrativă independentă.

I. Aceasta este autoritatea națională de supraveghere în sensul și pentru aplicarea [RGPD]. Ea îndeplinește următoarele sarcini:

[…]

2° Asigură că prelucrările datelor cu caracter personal sunt efectuate în conformitate cu dispozițiile prezentei legi și cu alte dispoziții privind protecția datelor cu caracter personal prevăzute de actele cu putere de lege și de normele administrative, de dreptul Uniunii […] și de angajamentele internaționale ale [Republicii Franceze].

În acest sens:

[…]

13

SNCF Connect comercializează legitimații de călătorie feroviară precum bilete de tren, abonamente și carduri de reducere prin intermediul site‑ului său internet și al aplicațiilor online. Clienții acestei întreprinderi sunt obligați să indice în mod obligatoriu titlul lor, prin bifarea mențiunii „Domnul” sau „Doamna” atunci când achiziționează legitimații de călătorie pe acest site internet sau pe aceste aplicații online.

14

Apreciind că condițiile de colectare și de înregistrare a datelor aferente titlului acestor clienți nu erau conforme cu cerințele RGPD, Mousse a sesizat CNIL cu o reclamație împotriva SNCF Connect. În susținerea acestei reclamații, Mousse ar fi arătat că colectarea datelor în cauză nu era conformă cu principiul legalității, consacrat la articolul 5 alineatul (1) litera (a) din RGPD, întrucât nu se întemeia pe niciunul dintre temeiurile prevăzute la articolul 6 alineatul (1) din RGPD. În plus, o asemenea colectare ar fi încălcat principiul reducerii la minimum a datelor, prevăzut la articolul 5 alineatul (1) litera (c) din RGPD, precum și, printre altele, obligațiile de transparență și de informare care decurg din articolul 13 din RGPD.

15

Printr‑o decizie din 23 martie 2021, CNIL a considerat că faptele reproșate SNCF Connect nu constituiau încălcări ale dispozițiilor vizate din RGPD și că procedura de examinare a reclamației menționate trebuia închisă. În susținerea acestei decizii, CNIL a constatat că prelucrarea datelor în discuție în litigiul principal era legală, în temeiul articolului 6 alineatul (1) primul paragraf litera (b) din RGPD, pentru motivul că era necesară pentru executarea contractului de prestare de servicii de transport în cauză. În plus, CNIL a arătat că, în raport cu scopurile sale, această prelucrare era conformă cu principiul reducerii la minimum a datelor, din moment ce faptul de a se adresa clienților în mod personalizat, prin utilizarea titlului acestora din urmă, corespundea uzanțelor admise în domeniul comunicărilor comerciale, civile și administrative.

16

La 21 mai 2021, Mousse a introdus o acțiune în anulare împotriva acestei decizii a CNIL la Conseil d’État (Consiliul de Stat, Franța), care este instanța de trimitere. În cererea sa introductivă, Mousse arată printre altele că obligația de a bifa mențiunea „Domnul” sau „Doamna” la momentul unei achiziții online nu respectă principiul legalității consacrat la articolul 5 alineatul (1) litera (a) din RGPD și nici principiul reducerii la minimum a datelor, prevăzut la articolul 5 alineatul (1) litera (c) din acesta, din moment ce această mențiune nu ar fi necesară pentru executarea unui contract de prestare de servicii de transport și nici în scopul intereselor legitime ale SNCF Connect. Faptul că mențiuni de această natură sunt utilizate în corespondența comercială nu poate fi suficient pentru a face necesară o astfel de obligație. În sfârșit, o asemenea obligație ar fi de natură să aducă atingere dreptului de a călători fără a‑și dezvălui titlul, dreptului la respectarea vieții private, precum și libertății de a‑și defini în mod liber exprimarea de gen și ar da naștere unui risc de discriminare. În ceea ce privește resortisanții statelor în care starea civilă ar accepta un „gen neutru”, această mențiune nu ar corespunde realității și ar putea aduce atingere în special libertății lor de circulație, garantate de dreptul Uniunii.

17

CNIL solicită respingerea acestei acțiuni, arătând că prelucrarea datelor referitoare la titlu ar putea de asemenea să fie calificată drept necesară în scopul intereselor legitime urmărite de SNCF Connect, în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, și că persoanele vizate ar putea, în funcție de situația particulară în care se află, să invoce dreptul la opoziție garantat la articolul 21 din RGPD.

18

În acest context, instanța de trimitere ridică, printre altele, problema dacă, pentru a aprecia necesitatea prelucrării datelor în discuție în litigiul principal, se poate ține seama de uzanțele acceptate în comunicările comerciale, civile și administrative, astfel încât colectarea datelor referitoare la titlul clienților, limitată la mențiunile „Domnul” sau „Doamna”, ar putea fi legală și conformă cu principiul reducerii la minimum a datelor. Această instanță ridică, în plus, problema dacă, pentru a aprecia necesitatea acestei colectări obligatorii și a prelucrării subsecvente a datelor referitoare la titlul clienților și în condițiile în care unii dintre aceștia consideră că nu se încadrează în niciunul dintre cele două titluri, trebuie să se țină seama de faptul că acești clienți ar putea, după ce au furnizat aceste date operatorului pentru a beneficia de serviciul în cauză, să își exercite dreptul de a se opune la utilizarea unor astfel de date, pentru motive legate de situația lor particulară, în sensul articolului 21 din RGPD.

19

În aceste condiții, Conseil d’État (Consiliul de Stat) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

20

Prin intermediul primei întrebări, instanța de trimitere urmărește să afle în esență dacă articolul 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD coroborat cu articolul 5 alineatul (1) litera (c) din acest regulament trebuie interpretat în sensul că prelucrarea datelor cu caracter personal referitoare la titlul clienților unei întreprinderi de transport, al cărei scop este o personalizare a comunicării comerciale întemeiate pe identitatea lor de gen, poate fi considerată necesară pentru executarea unui contract, în sensul acestei litere (b), sau necesară în scopul intereselor legitime urmărite de operatorul acestei prelucrări sau de o parte terță, în sensul acestei litere (f).

21

Cu titlu introductiv, trebuie amintit că obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, constă printre altele în asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE [Hotărârea din 4 octombrie 2024, Schrems (Comunicare de date către publicul larg), C‑446/21, EU:C:2024:834, punctul 45 și jurisprudența citată].

22

În conformitate cu acest obiectiv, orice prelucrare a datelor cu caracter personal trebuie printre altele să fie conformă cu principiile referitoare la prelucrarea unor astfel de date prevăzute la articolul 5 din acest regulament și să îndeplinească condițiile de legalitate enumerate la articolul 6 din regulamentul menționat (Hotărârea din 4 octombrie 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punctul 27 și jurisprudența citată).

23

Articolul 5 alineatul (1) litera (a) din RGPD prevede că datele cu caracter personal sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată.

24

Potrivit articolului 5 alineatul (1) litera (c) din acest regulament, care consacră principiul reducerii la minimum a datelor, aceste date sunt de asemenea adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate. Acest principiu este o expresie a principiului proporționalității [a se vedea în acest sens Hotărârea din 4 octombrie 2024, Schrems (Comunicare de date către publicul larg), C‑446/21, EU:C:2024:834, punctele 49 și 50, precum și jurisprudența citată].

25

În ceea ce privește condițiile de legalitate a prelucrării, astfel cum a statuat Curtea, articolul 6 alineatul (1) primul paragraf din RGPD prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată ca fiind legală. Așadar, pentru a putea fi considerată ca fiind legitimă, prelucrarea trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție (Hotărârea din 4 octombrie 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punctul 29 și jurisprudența citată).

26

Potrivit articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, prelucrarea datelor cu caracter personal este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru unul sau mai multe scopuri specifice. În lipsa unui astfel de consimțământ sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, în sensul articolului 4 punctul 11 din acest regulament, o astfel de prelucrare poate fi totuși justificată atunci când îndeplinește una dintre cerințele de necesitate menționate la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din regulamentul menționat [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms ș.a. (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctele 91 și 92].

27

În acest context, justificările prevăzute de această din urmă dispoziție, în măsura în care permit ca prelucrarea datelor cu caracter personal efectuată în lipsa consimțământului persoanei vizate să fie legală, trebuie să facă obiectul unei interpretări restrictive (Hotărârea din 4 octombrie 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punctul 31 și jurisprudența citată).

28

În plus, astfel cum a statuat Curtea, atunci când este posibil să se constate că o prelucrare de date cu caracter personal este necesară în raport cu una dintre justificările prevăzute la articolul 6 alineatul (1) literele (b)-(f) din RGPD, nu este necesar să se stabilească dacă această prelucrare intră de asemenea sub incidența unei alte justificări. Trebuie să se precizeze în această privință că cerința necesității aferentă justificării reținute nu este îndeplinită atunci când obiectivul urmărit de această prelucrare de date ar putea fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate la articolele 7 și 8 din cartă, derogările și restricțiile de la principiul protecției unor asemenea date trebuind să fie efectuate în limitele strictului necesar [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 110 și jurisprudența citată, precum și Hotărârea din 4 iulie 2023, Meta Platforms ș.a. (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 94].

29

În final, trebuie să se precizeze că, conform articolului 13 alineatul (1) litera (c) din RGPD, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, revine operatorului sarcina de a o informa cu privire la scopurile în care sunt prelucrate datele respective, precum și cu privire la temeiul juridic al prelucrării menționate (Hotărârea din 4 octombrie 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punctul 33 și jurisprudența citată).

30

În speță, este necesar să se observe că nu se contestă că titlul, care corespunde unei identități de gen de sex masculin sau feminin, poate fi calificat drept „dată cu caracter personal” atunci când se referă la o persoană identificată, în sensul articolului 4 punctul 1 din RGPD, și că această dată face obiectul unei „prelucrări”, în sensul articolului 4 punctul 2 din RGPD, în măsura în care este colectată și înregistrată de SNCF Connect în contextul vânzării online de legitimații de călătorie. În consecință, această prelucrare, care are, pe de altă parte, un caracter automatizat, intră în domeniul de aplicare material al acestui regulament, în temeiul articolului 2 alineatul (1) din acesta.

31

În plus, întrebarea adresată de instanța de trimitere se întemeiază pe două premise, și anume, pe de o parte, că prelucrarea datelor în discuție în litigiul principal este efectuată fără consimțământul persoanelor vizate, în sensul articolului 4 punctul 11 și al articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, și, pe de altă parte, că această prelucrare nu este necesară pentru respectarea unei obligații legale căreia i‑ar fi supus operatorul, în sensul articolului 6 alineatul (1) primul paragraf litera (c) din RGPD. Prin urmare, întrebarea adresată privește exclusiv posibilitatea de a invoca justificările prevăzute la literele (b) și (f) ale articolului 6 alineatul (1) primul paragraf din RGPD în cadrul prelucrării datelor în discuție în litigiul principal.

32

Articolul 6 alineatul (1) primul paragraf litera (b) din RGPD prevede că o prelucrare a datelor cu caracter personal este legală dacă este „necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract”.

33

În această privință, pentru ca prelucrarea de date cu caracter personal să fie considerată necesară pentru executarea unui contract, în sensul acestei dispoziții, ea trebuie să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată persoanei vizate. Operatorul acestei prelucrări trebuie astfel să fie în măsură să demonstreze în ce mod obiectul principal al acestui contract nu ar putea fi realizat în lipsa prelucrării menționate (Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C‑17/22 și C‑18/22, EU:C:2024:738, punctul 43, precum și jurisprudența citată).

34

Faptul că o astfel de prelucrare este menționată în contract sau că este utilă doar pentru executarea acestuia este în sine lipsit de relevanță în această privință. Astfel, elementul determinant pentru aplicarea justificării prevăzute la articolul 6 alineatul (1) primul paragraf litera (b) din RGPD este ca prelucrarea datelor cu caracter personal efectuată de operator să fie esențială pentru a permite executarea corectă a contractului încheiat între acesta și persoana vizată și, prin urmare, să nu existe alte soluții posibile și mai puțin intruzive (Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C‑17/22 și C‑18/22, EU:C:2024:738, punctul 44, precum și jurisprudența citată).

35

În acest context, în cazul în care contractul constă în mai multe servicii sau în mai multe elemente distincte ale aceluiași serviciu care pot fi executate independent unele de celelalte, aplicabilitatea articolului 6 alineatul (1) primul paragraf litera (b) din RGPD trebuie evaluată separat în contextul fiecăruia dintre serviciile respective [Hotărârea din 4 iulie 2023, Meta Platforms ș.a. (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 100].

36

În speță, este cert că obiectul principal al contractului în discuție în litigiul principal este furnizarea către clienți a unui serviciu de transport feroviar. Potrivit instanței de trimitere, prelucrarea datelor în discuție în litigiul principal are ca scop personalizarea comunicării comerciale în raport cu clientul, cu respectarea uzanțelor admise în mod curent în materie.

37

Așa cum a observat domnul avocat general, în esență, la punctul 42 din concluzii, comunicarea comercială poate constitui un scop care face parte integrantă din prestația contractuală în cauză, din moment ce furnizarea unui astfel de serviciu de transport feroviar implică în principiu comunicarea cu clientul pentru a‑i transmite, printre altele, o legitimație de călătorie pe cale electronică, de a‑l informa cu privire la eventuale schimbări care au impact asupra călătoriei aferente, precum și să permită schimburi cu Serviciul clienți. Această comunicare poate necesita respectarea uzanțelor și poate cuprinde în special formule de politețe pentru a dovedi respectul întreprinderii în cauză față de clientul său și, astfel, pentru a proteja imaginea de marcă a acestei întreprinderi.

38

Cu toate acestea, rezultă că o asemenea comunicare nu trebuie în mod necesar să fie personalizată în funcție de identitatea de gen a clientului vizat. Astfel, potrivit jurisprudenței, personalizarea conținuturilor nu este necesară pentru a oferi servicii unui client atunci când serviciile respective îi pot fi furnizate, dacă este cazul, sub forma unei alternative echivalente care nu implică o asemenea personalizare, așa încât aceasta din urmă nu este în mod obiectiv indispensabilă unei finalități care face parte integrantă din aceleași servicii [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms ș.a (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 102].

39

În ceea ce privește serviciile în discuție în litigiul principal, o personalizare a comunicării comerciale, întemeiată pe o identitate de gen prezumată în funcție de titlu, nu pare nici indispensabilă în mod obiectiv, nici esențială pentru a permite executarea corectă a contractului în cauză, în sensul jurisprudenței amintite la punctele 33 și 34 din prezenta hotărâre.

40

Astfel, pare să existe o soluție posibilă și mai puțin intruzivă, din moment ce întreprinderea în cauză ar putea opta, în privința clienților care nu doresc să își indice titlul sau în general, pentru o comunicare care se întemeiază pe formule de politețe generice, inclusive și fără corelație cu identitatea de gen prezumată a clienților. De altfel, astfel cum a observat domnul avocat general la punctele 49 și 50 din concluzii, se pare, sub rezerva verificării de către instanța de trimitere, că SNCF Connect utilizează deja asemenea formule și că, în plus, indicarea unui titlu inexact nu ar avea incidență asupra prestării serviciilor de transport în cauză, ceea ce ar tinde să confirme că prelucrarea datelor în discuție în litigiul principal nu este în mod obiectiv indispensabilă pentru executarea obiectului principal al contractului.

41

În acest context, trebuie să se mai precizeze că, în ședință, SNCF Connect a arătat că prelucrarea datelor în discuție în litigiul principal urmărea un al doilea scop, și anume adaptarea serviciilor de transport pentru trenurile de noapte, care cuprind vagoane rezervate persoanelor care au aceeași identitate de gen, și pentru asistența pasagerilor aflate în situație de handicap. Potrivit SNCF Connect, acest scop de adaptare a serviciilor de transport poate necesita cunoașterea identității de gen a clienților în cauză.

42

Or, acest al doilea scop nu poate justifica prelucrarea sistematică și generalizată a datelor referitoare la titlu ale tuturor clienților întreprinderii în cauză, inclusiv a clienților care călătoresc ziua sau care nu se află în situație de handicap. Astfel, o asemenea prelucrare ar fi disproporționată și, în acest temei, contrară principiului reducerii la minimum a datelor, amintit la punctul 24 din prezenta hotărâre, din moment ce ar fi putut să se limiteze la datele referitoare la identitatea de gen numai a clienților care doresc să călătorească cu trenul de noapte sau să beneficieze de o asistență personalizată din cauza unui handicap.

43

Astfel, articolul 6 alineatul (1) primul paragraf litera (b) din RGPD coroborat cu articolul 5 alineatul (1) litera (c) din acesta trebuie interpretat în sensul că prelucrarea datelor cu caracter personal referitoare la titlul clienților unei întreprinderi de transport, al cărei scop este o personalizare a comunicării comerciale întemeiate pe identitatea lor de gen, nu pare nici în mod obiectiv indispensabilă, nici esențială pentru a permite executarea corectă a unui contract și, prin urmare, nu poate fi considerată necesară pentru executarea acestui contract.

44

Articolul 6 alineatul (1) primul paragraf litera (f) din RGPD prevede că o prelucrare a datelor cu caracter personal este legală dacă este „necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil”.

45

Potrivit unei jurisprudențe constante, această dispoziție prevede trei condiții cumulative pentru ca prelucrările de date cu caracter personal pe care le vizează să fie legale, și anume, în primul rând, urmărirea unui interes legitim de către operator sau de o parte terță, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să prevaleze asupra interesului legitim al operatorului sau al unei părți terțe [Hotărârea din 4 iulie 2023, Meta Platforms ș.a. (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 106, precum și Hotărârea din 4 octombrie 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punctul 37].

46

În ceea ce privește, în primul rând, condiția privind urmărirea unui interes legitim, este necesar să se precizeze că, în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, revine operatorului, în momentul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la această persoană, sarcina de a‑i indica interesele legitime urmărite în cazul în care prelucrarea menționată se face în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din acest regulament. În lipsa unei definiții a noțiunii de „interes legitim” în RGPD, o gamă largă de interese poate fi considerată în principiu legitimă. În special, această noțiune nu este limitată la interesele consacrate și determinate printr‑o lege [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms ș.a (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 107, precum și Hotărârea din 4 octombrie 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punctele 38, 40 și 41, precum și jurisprudența citată].

47

Astfel, din considerentul (47) al RGPD reiese că acest interes legitim ar putea exista de exemplu atunci când există o relație relevantă și adecvată între persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client al operatorului.

48

În ceea ce privește, în al doilea rând, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și având în vedere jurisprudența amintită la punctul 28 din prezenta hotărâre, aceasta impune instanței de trimitere să verifice dacă interesul legitim al prelucrării datelor urmărit nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, o asemenea prelucrare trebuind să fie operată în limitele strictului necesar pentru realizarea acestui interes legitim.

49

În acest context, trebuie de asemenea amintit că această condiție privind necesitatea prelucrării trebuie examinată împreună cu principiul reducerii la minimum a datelor consacrat la articolul 5 alineatul (1) litera (c) din RGPD, potrivit căruia datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate (Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C‑17/22 și C‑18/22, EU:C:2024:738, punctul 52, precum și jurisprudența citată).

50

În sfârșit, în ceea ce privește, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze asupra interesului legitim al operatorului sau al unei părți terțe, Curtea a statuat că aceasta implică o evaluare comparativă a drepturilor și a intereselor opuse în cauză care depinde în principiu de împrejurările concrete ale cazului și că, în consecință, revenea instanței de trimitere în cauză sarcina de a efectua această evaluare comparativă ținând seama de împrejurările specifice respective. Așa cum reiese din considerentul (47) al RGPD, interesele și drepturile fundamentale ale persoanei vizate pot prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o astfel de prelucrare (a se vedea în acest sens Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C‑17/22 și C‑18/22, EU:C:2024:738, punctele 53 și 54, precum și jurisprudența citată).

51

În speță, deși, în definitiv, instanței de trimitere îi revine sarcina de a aprecia dacă, în privința prelucrării datelor cu caracter personal în discuție în litigiul principal, sunt îndeplinite cele trei condiții amintite la punctul 45 din prezenta hotărâre, Curtea, pronunțându‑se asupra trimiterii preliminare, poate oferi precizări destinate să orienteze instanța respectivă în această stabilire (a se vedea prin analogie Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C‑17/22 și C‑18/22, EU:C:2024:738, punctul 55, precum și jurisprudența citată).

52

În ceea ce privește prima condiție, vizată la punctul 46 din prezenta hotărâre, va reveni instanței de trimitere sarcina de a verifica dacă SNCF Connect a indicat clienților săi un interes legitim, în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, în stadiul colectării datelor în discuție în litigiul principal. Astfel cum a arătat domnul avocat general la punctul 58 din concluzii, această dispoziție impune informarea în mod direct a persoanelor vizate cu privire la interesul legitim urmărit la momentul acestei colectări, fără de care colectarea menționată nu poate fi justificată în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din acest regulament. Dosarul de care dispune Curtea nu permite să se aprecieze dacă această cerință a fost respectată în cadrul cauzei principale.

53

În acest context, trebuie precizat că, în observațiile sale scrise, SNCF Connect s‑a referit la un scop de marketing direct, care ar putea necesita o personalizare a comunicării și, în consecință, prelucrarea datelor în discuție în litigiul principal.

54

În această privință, potrivit considerentului (47) ultimul paragraf din RGPD, prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim. Mai precis, personalizarea publicității poate fi asimilată marketingului direct într‑un asemenea context [a se vedea prin analogie Hotărârea din 4 iulie 2023, Meta Platforms ș.a (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 115].

55

În ceea ce privește a doua condiție, menționată la punctul 48 din prezenta hotărâre, sub rezerva verificării de către instanța de trimitere, se pare că o personalizare a comunicării comerciale se poate limita la prelucrarea numelor și a prenumelor clienților, titlul lor și/sau identitatea lor de gen fiind o informație care nu pare strict necesară în acest context, în special în lumina principiului reducerii la minimum a datelor.

56

În observațiile lor scrise, SNCF Connect și, respectiv, guvernul francez susțin că, pentru a aprecia necesitatea unei prelucrări a datelor cu caracter personal, trebuie să se țină seama de uzanțele și de convențiile sociale proprii fiecărui stat membru, în special pentru a conserva diversitatea lingvistică și culturală, evocată în considerentul (4) al RGPD. Cu toate acestea, trebuie arătat, pe de o parte, că articolul 6 alineatul (1) primul paragraf litera (f) din RGPD nu prevede luarea în considerare a uzanțelor și a convențiilor sociale în scopul aprecierii caracterului necesar al unei asemenea prelucrări, precizându‑se că acest articol trebuie să facă obiectul unei interpretări restrictive, astfel cum se amintește la punctul 27 din prezenta hotărâre.

57

Pe de altă parte, lipsa prelucrării datelor referitoare la titlul sau la identitatea de gen a clienților în cauză nu pare să fie de natură să afecteze această diversitate. Astfel, după cum reiese din cuprinsul punctului 40 din prezenta hotărâre, operatorul are posibilitatea să respecte aceste uzanțe și convenții sociale utilizând, în privința clienților care nu doresc să își indice titlul sau în general, formule de politețe generice, inclusive și fără corelație cu identitatea de gen a acestor clienți, astfel încât argumentația dezvoltată de SNCF Connect și de guvernul francez nu ar putea, în orice caz, să fie admisă.

58

În ceea ce privește a treia condiție, vizată la punctul 50 din prezenta hotărâre, și evaluarea comparativă a drepturilor și a intereselor opuse în cauză, și anume cele ale operatorului, pe de o parte, și cele ale persoanei vizate, pe de altă parte, trebuie să se țină seama în special de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării respective și de impactul acesteia asupra persoanei respective [Hotărârea din 4 iulie 2023, Meta Platforms ș.a. (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 116].

59

Astfel cum a observat în esență domnul avocat general la punctul 70 din concluzii, sub rezerva verificării de către instanța de trimitere, se prezumă că clientul unei întreprinderi de transport nu se așteaptă ca această întreprindere să prelucreze date referitoare la titlul său sau la identitatea sa de gen în contextul cumpărării unei legitimații de călătorie. Aceasta ar fi situația în special dacă prelucrarea respectivă ar fi realizată numai în scopuri de marketing direct.

60

Interesul legitim referitor la marketingul direct nu poate, în orice caz, să prevaleze în cazul unui risc de atingere adusă drepturilor și libertăților fundamentale ale persoanei vizate. Astfel, după cum reiese din considerentul (75) al RGPD, riscul pentru drepturile și libertățile persoanelor fizice, prezentând grade diferite de probabilitate de materializare și de gravitate, poate fi rezultatul unei prelucrări a datelor cu caracter personal care ar putea genera prejudicii de natură fizică, materială sau morală, în special în cazurile în care prelucrarea poate conduce la discriminare.

61

În acest context, în special, va reveni instanței de trimitere sarcina de a verifica existența riscului de discriminare pe motive de identitate de gen, invocat de Mousse, cu precădere în lumina Directivei 2004/113, aceasta din urmă punând în aplicare principiul egalității de tratament între bărbați și femei în ceea ce privește accesul la bunuri și servicii și furnizarea acestora.

62

Trebuie precizat, în această privință, că domeniul de aplicare al acestei directive nu poate fi redus numai la discriminările care rezultă din apartenența la un gen sau la altul. Ținând seama de obiectul său și de natura drepturilor pe care urmărește să le protejeze, directiva menționată are de asemenea vocația de a se aplica discriminărilor care își au originea în schimbarea identității de gen a unei persoane (a se vedea prin analogie Hotărârea din 27 aprilie 2006, Richards, C‑423/04, EU:C:2006:256, punctul 24 și jurisprudența citată).

63

În consecință, articolul 6 alineatul (1) primul paragraf litera (f) din RGPD coroborat cu articolul 5 alineatul (1) litera (c) din acest regulament trebuie interpretat în sensul că prelucrarea datelor cu caracter personal referitoare la titlul clienților unei întreprinderi de transport, al cărei scop este personalizarea comunicării comerciale întemeiate pe identitatea lor de gen, nu poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de o parte terță atunci când:

64

Având în vedere toate considerațiile care precedă, este necesar să se răspundă la prima întrebare că articolul 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD coroborat cu articolul 5 alineatul (1) litera (c) din acest regulament trebuie să fie interpretat în sensul că:

65

Prin intermediul celei de a doua întrebări, instanța de trimitere urmărește să afle în esență dacă articolul 6 alineatul (1) primul paragraf litera (f) din RGPD trebuie interpretat în sensul că, pentru a aprecia necesitatea unei prelucrări de date cu caracter personal în temeiul acestei dispoziții, trebuie să se ia în considerare eventuala existență a unui drept la opoziție al persoanei vizate, în temeiul articolului 21 din RGPD.

66

Articolul 21 alineatul (1) din RGPD prevede că, în orice moment, persoana vizată are dreptul să se opună, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) primul paragraf litera (e) sau (f) din acest regulament a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care demonstrează că are motive legitime și imperioase care justifică o asemenea prelucrare și care prevalează asupra intereselor, precum și a drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

67

Aplicabilitatea articolului 21 din RGPD și, în consecință, eventuala existență a unui drept la opoziție presupun existența unei prelucrări legale, întemeiată în speță pe articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament. Or, pentru a fi legală, o asemenea prelucrare trebuie să îndeplinească în prealabil condiția strictei necesități, menționată la punctul 48 din prezenta hotărâre.

68

Astfel cum a observat domnul avocat general la punctele 80 și 82 din concluzii, rezultă, așadar, din termenii și din economia dispozițiilor în cauză că existența unui drept la opoziție nu poate fi luată în considerare în vederea aprecierii legalității și în special a necesității prelucrării datelor cu caracter personal în discuție în litigiul principal.

69

Această interpretare este confirmată de obiectivul urmărit de RGPD, care este, în lumina considerentului (10) al acestuia, asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal. Astfel, orice altă interpretare ar avea ca efect reducerea cerințelor prevăzute la articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, extinzând motivele de legalitate a prelucrării în cauză, chiar dacă această dispoziție trebuie să primească o interpretare restrictivă, având în vedere jurisprudența amintită la punctul 27 din prezenta hotărâre.

70

Având în vedere toate considerațiile care precedă, este necesar să se răspundă la a doua întrebare că articolul 6 alineatul (1) primul paragraf litera (f) din RGPD trebuie interpretat în sensul că, pentru a aprecia necesitatea unei prelucrări de date cu caracter personal în temeiul acestei dispoziții, nu trebuie să se ia în considerare eventuala existență a unui drept la opoziție al persoanei vizate, în temeiul articolului 21 din RGPD.

71

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară: