–

Mousse, v zastúpení: E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans a D. Holemans, advocaten,

–

SNCF Connect, v zastúpení: E. Drouard, J.‑J. Gatineau a A. Ligot, avocats,

–

francúzska vláda, v zastúpení: R. Bénard, B. Dourthe a B. Fodda, splnomocnení zástupcovia,

–

Európska komisia, v zastúpení: A. Bouchagiar a H. Kranenborg, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 5 ods. 1 písm. c) a článku 6 ods. 1 prvého pododseku písm. b) a f), ako aj článku 21 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi združením Mousse a Commission nationale de l’informatique et des libertés [Národná komisia pre informačné technológie a slobody, Francúzsko (CNIL)] vo veci zamietnutia sťažnosti touto komisiou, podanej združením Mousse, v súvislosti so spracovaním údajov spoločnosťou SNCF Connect týkajúcich sa oslovenia jej zákazníkov pri online predaji cestovných lístkov.

3

Odôvodnenia 1, 4, 10, 47 et 75 GDPR stanovujú:

…

…

…

…

4

Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:

„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“

5

Podľa článku 2 ods. 1 uvedeného nariadenia:

„Toto nariadenie sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.“

6

Článok 4 tohto nariadenia, nazvaný „Vymedzenie pojmov“, stanovuje:

„Na účely tohto nariadenia:

…

…

…“

7

Článok 5 s názvom „Zásady spracúvania osobných údajov“ stanovuje:

„1.   Osobné údaje musia byť:

…

…“

8

Článok 6 tohto nariadenia, nazvaný „Zákonnosť spracúvania“, v odseku 1 stanovuje:

„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

…“

9

Článok 13 GDPR s názvom „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“ stanovuje:

„1.   V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

…

…“

10

Článok 21 toho istého nariadenia, nazvaný „Právo namietať“, v odseku 1 stanovuje:

„Dotknutá osoba má právo kedykoľvek namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týka, ktoré je vykonávané na základe článku 6 ods. 1 písm. e) alebo f) vrátane namietania proti profilovaniu založenému na uvedených ustanoveniach. Prevádzkovateľ nesmie ďalej spracúvať osobné údaje, pokiaľ nepreukáže nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.“

11

Podľa článku 1 smernice Rady 2004/113/ES z 13. decembra 2004 o vykonávaní zásady rovnakého zaobchádzania medzi mužmi a ženami v prístupe k tovaru a službám a k ich poskytovaniu (Ú. v. EÚ L 373, 2004, s. 37) je účelom tejto smernice ustanoviť rámec boja proti diskriminácii na základe pohlavia v prístupe k tovaru a službám a k ich poskytovaniu s cieľom uviesť v členských štátoch do platnosti zásadu rovnakého zaobchádzania medzi mužmi a ženami.

12

Článok 8 loi no 78‑17 relative à l’informatique, aux fichiers et aux libertés (zákon o informačných technológiách, súboroch údajov a slobodách; JORF zo 7. januára 1978, s. 227) zo 6. januára 1978, v znení uplatniteľnom na spor vo veci samej, stanovuje:

„I A. [CNIL] je nezávislý správny orgán.

I. Je vnútroštátnym dozorným orgánom v zmysle a na účely uplatňovania [GDPR]. Vykonáva tieto úlohy:

…

2° Zabezpečuje, aby sa spracúvanie osobných údajov vykonávalo v súlade s ustanoveniami tohto zákona a ďalšími ustanoveniami o ochrane osobných údajov stanovenými v zákonoch a nariadeniach, v práve Európskej únie a v medzinárodných záväzkoch [Francúzskej republiky].

Z tohto dôvodu:

…

13

SNCF Connect je spoločnosť, ktorá prostredníctvom svojej internetovej stránky a online aplikácií predáva cestovné lístky na železničnú dopravu, akými sú lístky na vlak, predplatené cestovné lístky a zľavnené karty. Pri kúpe týchto cestovných lístkov na tejto internetovej stránke alebo na týchto online aplikáciách sú zákazníci uvedenej spoločnosti povinní uviesť svoje oslovenie zaškrtnutím možnosti „pán“ alebo „pani“.

14

Keďže Mousse sa domnievalo, že podmienky získavania a zaznamenávania údajov o oslovovaní týchto zákazníkov neboli v súlade s požiadavkami GDPR, obrátilo sa na CNIL so sťažnosť proti spoločnosti SNCF Connect. Na podporu tejto sťažnosti Mousse uviedlo, že získavanie týchto údajov nebolo v súlade so zásadou zákonnosti zakotvenou v článku 5 ods. 1 písm. a) GDPR, keďže nebolo založené na žiadnom z dôvodov stanovených v článku 6 ods. 1 uvedeného nariadenia. Okrem toho takéto získavanie podľa jeho názoru porušuje zásadu minimalizácie údajov uvedenú v článku 5 ods. 1 písm. c) GDPR, ako aj najmä povinnosti transparentnosti a informovania vyplývajúce z článku 13 tohto nariadenia.

15

Rozhodnutím z 23. marca 2021 CNIL konštatovala, že skutočnosti vytýkané spoločnosti SNCF Connect nepredstavujú porušenia ustanovení obsiahnutých v GDPR a že konanie o preskúmaní uvedenej sťažnosti malo byť ukončené. V odôvodnení tohto rozhodnutia CNIL konštatovala, že predmetné spracúvanie údajov je zákonné podľa článku 6 ods. 1 prvého pododseku písm. b) GDPR z dôvodu, že bolo nevyhnutné na plnenie zmluvy o poskytnutí služieb prepravy. Okrem toho CNIL uviedla, že vzhľadom na svoj účel je takéto spracúvanie v súlade so zásadou minimalizácie údajov, keďže oslovovanie zákazníkov prostredníctvom ich oslovenia zodpovedá zvyklostiam uznávaným v oblasti občianskej, obchodnej a administratívnej komunikácie.

16

Dňa 21. mája 2021 podalo Mousse žalobu o neplatnosť proti rozhodnutiu CNIL na Conseil d’État (Štátna rada, Francúzsko), ktorá je vnútroštátnym súdom podávajúcim návrh na začatie prejudiciálneho konania. Mousse vo svojej žalobe predovšetkým tvrdí, že povinnosť zaškrtnúť pri nákupe online oslovenie „pán“ alebo „pani“ nezodpovedá zásade zákonnosti zakotvenej v článku 5 ods. 1 písm. a) GDPR, ani zásade minimalizácie údajov zakotvenej v článku 5 ods. 1 písm. c) GDPR, keďže tento údaj nie je nevyhnutný na plnenie zmluvy o poskytnutí služieb prepravy, ani na účely oprávnených záujmov spoločnosti SNCF Connect. Skutočnosť, že zmienky tohto druhu sú použité v obchodnej korešpondencii, nestačí na to, aby takáto povinnosť bola nevyhnutná. Napokon takáto povinnosť môže porušovať právo cestovať bez oznámenia svojho oslovenia, právo na rešpektovanie súkromného života, ako aj slobodu voľne vymedziť svoje rodové vyjadrenie. Pokiaľ ide o štátnych príslušníkov krajín, ktorých osobný stav pripúšťa „neutrálne pohlavie“, tento údaj podľa neho nezodpovedá realite a mohol by narušiť najmä ich slobodu pohybu zaručenú právom Únie.

17

CNIL navrhuje zamietnuť túto žalobu, pričom tvrdí, že spracúvanie údajov o oslovení možno kvalifikovať ako nevyhnutné aj na účely oprávnených záujmov sledovaných spoločnosťou SNCF Connect v zmysle článku 6 ods. 1 prvého pododseku písm. f) GDPR a že dotknuté osoby by mohli v závislosti od svojej konkrétnej situácie uplatniť právo namietať zaručené v článku 21 GDPR.

18

V tomto kontexte sa vnútroštátny súd najmä pýta, či na účely posúdenia nevyhnutnosti predmetného spracovania údajov možno zohľadniť uznávané používanie v obchodných, občianskoprávnych a administratívnych komunikáciách, čím získavanie údajov týkajúcich sa oslovovania zákazníkov, obmedzeného na údaje „pán“ alebo „pani“, by mohlo byť zákonné a v súlade so zásadou minimalizácie údajov. Tento súd sa navyše pýta, či na účely posúdenia nevyhnutnosti povinného získavania a následného spracúvania údajov týkajúcich sa oslovenia zákazníkov a vzhľadom na to, že niektorí zákazníci sa domnievajú, že nepatria do žiadnej z dvoch kategórií oslovení, treba zohľadniť skutočnosť, že títo zákazníci môžu po tom, čo tieto údaje poskytli prevádzkovateľovi s cieľom využiť ponúkanú službu, uplatniť svoje právo namietať proti použitiu takýchto údajov z dôvodu týkajúcich sa ich konkrétnej situácie v zmysle článku 21 GDPR.

19

Za týchto okolností Conseil d’État (Štátna rada) rozhodla prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

20

Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 1 prvý pododsek písm. b) a f) GDPR v spojení s článkom 5 ods. 1 písm. c) tohto nariadenia vykladať v tom zmysle, že spracúvanie osobných údajov týkajúcich sa oslovenia zákazníkov dopravného podniku, ktorého účelom je personalizácia obchodnej komunikácie na základe ich rodovej identity, možno považovať za nevyhnutné na plnenie zmluvy v zmysle písmena b) tohto ustanovenia alebo za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, v zmysle tohto písmena f).

21

Na úvod je potrebné pripomenúť, že cieľ sledovaný GDPR, ktorý vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ [rozsudok zo 4. októbra 2024, Schrems (Sprístupnenie údajov širokej verejnosti), C‑446/21, EU:C:2024:834, bod 45 a citovaná judikatúra].

22

V súlade s týmto cieľom musí byť každé spracúvanie osobných údajov najmä v súlade so zásadami týkajúcimi sa spracúvania takýchto údajov uvedenými v článku 5 tohto nariadenia a musí spĺňať podmienky zákonnosti vymenované v článku 6 toho istého nariadenia (rozsudok zo 4. októbra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 27 a citovaná judikatúra).

23

Článok 5 ods. 1 písm. a) GDPR vyžaduje, aby boli osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe.

24

Článok 5 ods. 1 písm. c) tohto nariadenia, ktorý zakotvuje zásadu minimalizácie údajov, zase stanovuje, že spracúvané údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú. Táto zásada je vyjadrením zásady proporcionality [pozri v tomto zmysle rozsudok zo 4. októbra 2024, Schrems (Sprístupnenie údajov širokej verejnosti), C‑446/21, EU:C:2024:834, body 49 a 50, ako aj citovanú judikatúru].

25

Pokiaľ ide o podmienky zákonnosti spracúvania, Súdny dvor rozhodol, že článok 6 ods. 1 prvý pododsek GDPR stanovuje taxatívny a obmedzený zoznam prípadov, v ktorých možno spracúvanie osobných údajov považovať za zákonné. Na to, aby sa teda spracúvanie mohlo považovať za zákonné, musí sa naň vzťahovať jeden z prípadov stanovených v tomto ustanovení [rozsudok zo 4. októbra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 29 a citovaná judikatúra].

26

Podľa článku 6 ods. 1 prvého pododseku písm. a) tohto nariadenia je spracúvanie osobných údajov zákonné iba vtedy a iba rozsahu, v akom s ním dotknutá osoba vyjadrila súhlas na jeden alebo viacero konkrétnych účelov. V prípade neexistencie takéhoto súhlasu alebo v prípade, že tento súhlas nebol daný slobodne, konkrétne, informovane a jednoznačne v zmysle článku 4 bodu 11 GDPR, je takéto spracúvanie napriek tomu odôvodnené, ak spĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) tohto nariadenia [pozri v tomto zmysle rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C‑252/21, EU:C:2023:537, body 91 a 92)].

27

V tomto kontexte odôvodnenia stanovené v tomto poslednom uvedenom ustanovení, pokiaľ umožňujú zákonnosť spracúvania osobných údajov vykonávaného bez súhlasu dotknutej osoby, sa musia vykladať reštriktívne (rozsudok zo 4. októbra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 31 a citovaná judikatúra).

28

Súdny dvor navyše uviedol, že ak možno konštatovať, že spracúvanie osobných údajov je nevyhnutné vzhľadom na niektorý z dôvodov stanovených v článku 6 ods. 1 prvom pododseku písm. b) až f) GDPR, nie je potrebné určiť, či sa na toto spracúvanie vzťahuje aj iný z týchto dôvodov. V tejto súvislosti je potrebné spresniť, že táto požiadavka nevyhnutnosti týkajúca sa prijatého dôvodu nie je splnená, ak cieľ sledovaný týmto spracúvaním údajov možno primeraným spôsobom rovnako účinne dosiahnuť inými prostriedkami, ktoré menej zasahujú do základných práv dotknutých osôb, najmä práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených článkami 7 a 8 Charty, pričom výnimky a obmedzenia zo zásady ochrany takýchto údajov sa musia uplatňovať v rámci toho, čo je striktne nevyhnutné [pozri v tomto zmysle rozsudky z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 110 a citovanú judikatúru, ako aj zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 94].

29

Napokon treba spresniť, že v súlade s článkom 13 ods. 1 písm. c) GDPR platí, že ak sa osobné údaje získavajú od dotknutej osoby, je prevádzkovateľ povinný informovať dotknutú osobu o účeloch spracúvania, na ktoré sú tieto údaje určené, ako aj o právnom základe tohto spracúvania [rozsudok zo 4. októbra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 33 a citovaná judikatúra].

30

V prejednávanej veci treba poznamenať, že je nesporné, že oslovenie, ktoré zodpovedá rodovej identite mužského alebo ženského pohlavia, môže byť kvalifikované ako „osobný údaj“, ak sa vzťahuje na identifikovanú osobu v zmysle článku 4 bodu 1 GDPR, a že tento údaj je predmetom „spracúvania“ v zmysle článku 4 bodu 2 GDPR, keďže je získavaný a registrovaný spoločnosťou SNCF Connect v kontexte online predaja cestovných lístkov. V dôsledku toho toto spracúvanie, ktoré má navyše automatizovanú povahu, patrí podľa článku 2 ods. 1 tohto nariadenia do jeho vecnej pôsobnosti.

31

Okrem toho otázka položená vnútroštátnym súdom je založená na dvoch predpokladoch, a to jednak, že spracúvanie údajov, o ktoré ide vo veci samej, sa uskutočňuje bez súhlasu dotknutých osôb v zmysle článku 4 bodu 11 a článku 6 ods. 1 prvého pododseku písm. a) GDPR, a jednak, že toto spracúvanie nie je nevyhnutné na splnenie zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa v zmysle článku 6 ods. 1 prvého pododseku písm. c) GDPR. Položená otázka sa teda týka výlučne možnosti odvolávať sa na dôvody uvedené v písmenách b) a f) článku 6 ods. 1 prvého pododseku GDPR v rámci spracúvania údajov dotknutých vo veci samej.

32

Článok 6 ods. 1 prvý pododsek písm. b) GDPR stanovuje, že spracúvanie osobných údajov je zákonné, ak je „nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy“.

33

V tejto súvislosti platí, že na to, aby sa spracúvanie osobných údajov považovalo za nevyhnutné na plnenie zmluvy v zmysle tohto ustanovenia, musí byť objektívne nevyhnutné na dosiahnutie cieľa, ktorý je neoddeliteľnou súčasťou zmluvného plnenia určeného dotknutej osobe. Prevádzkovateľ tak musí byť schopný preukázať, prečo by bez predmetného spracúvania nebolo možné dosiahnuť hlavný predmet zmluvy (rozsudok z 12. septembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 43, ako aj citovaná judikatúra).

34

Skutočnosť, že takéto spracúvanie je uvedené v zmluve alebo je len užitočné na jej plnenie, je sama osebe irelevantná. Rozhodujúcim prvkom na účely uplatnenia odôvodnenia uvedeného v článku 6 ods. 1 prvom pododseku písm. b) GDPR je totiž skutočnosť, že spracúvanie osobných údajov vykonávané prevádzkovateľom je zásadné pre riadne plnenie zmluvy uzatvorenej medzi prevádzkovateľom a dotknutou osobou, a teda že neexistujú iné vykonateľné a menej obmedzujúce riešenia (rozsudok z 12. septembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 44, ako aj citovaná judikatúra).

35

V tejto súvislosti ak zmluva pozostáva z viacerých odlišných služieb alebo prvkov tej istej služby, ktoré možno vykonať nezávisle od seba, uplatniteľnosť článku 6 ods. 1 prvého pododseku písm. b) GDPR sa musí posúdiť v súvislosti s každou z týchto služieb samostatne [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 100].

36

V prejednávanej veci je nesporné, že hlavným predmetom zmluvy dotknutej vo veci samej je poskytnutie služby železničnej prepravy zákazníkom. Podľa vnútroštátneho súdu je účelom predmetného spracovania údajov personalizácia obchodnej komunikácie vo vzťahu k zákazníkovi pri rešpektovaní bežne uznávaných zvyklostí v danej oblasti.

37

Ako v podstate uviedol generálny advokát v bode 42 svojich návrhov, obchodná komunikácia môže predstavovať účel, ktorý je neoddeliteľnou súčasťou dotknutého zmluvného plnenia, keďže poskytovanie takejto služby železničnej prepravy v zásade zahŕňa komunikáciu so zákazníkom najmä s cieľom elektronicky mu zaslať prepravný lístok, informovať ho o prípadných zmenách ovplyvňujúcich príslušnú cestu, ako aj umožniť výmenu informácií so zákazníckym servisom po predaji. Táto komunikácia si môže vyžadovať dodržiavanie zvyklostí a môže obsahovať najmä zdvorilostné formy na účely svedectva, že dotknutý podnik rešpektuje svojho zákazníka, a tým aj na zachovanie imidžu tohto podniku.

38

Zdá sa však, že takáto komunikácia nemusí byť nevyhnutne personalizovaná podľa rodovej identity dotknutého zákazníka. Podľa judikatúry sa totiž personalizácia obsahu nezdá byť nevyhnutná na poskytovanie služieb zákazníkovi, ak sa mu tieto služby môžu prípadne poskytovať vo forme rovnocennej alternatívy, ktorá nezahŕňa takúto personalizáciu, takže takáto personalizácia nie je objektívne nevyhnutná na účel, ktorý je neoddeliteľnou súčasťou týchto služieb [pozri v tomto zmysle rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 102].

39

Pokiaľ ide o služby dotknuté vo veci samej, personalizácia obchodnej komunikácie založená na predpokladanej rodovej identite v závislosti od oslovenia sa nezdá byť ani objektívne nevyhnutná, ani podstatná na umožnenie riadneho plnenia dotknutej zmluvy v zmysle judikatúry pripomenutej v bodoch 33 a 34 tohto rozsudku.

40

Zdá sa totiž, že existuje praktické a menej invazívne riešenie, keďže dotknutý podnik by sa mohol vo vzťahu k zákazníkom, ktorí si neželajú uviesť svoje oslovenie alebo všeobecne, rozhodnúť pre komunikáciu založenú na generickej a inkluzívnej forme a bez korelácie s predpokladanou rodovou identitou zákazníkov. Napokon, ako uviedol generálny advokát v bodoch 49 a 50 svojich návrhov, s výhradou overenia vnútroštátnym súdom sa zdá, že SNCF Connect už používa takéto formuly a že okrem toho uvedenie nesprávneho oslovenia nemá vplyv na poskytovanie dotknutých prepravných služieb, čo potvrdzuje, že spracovanie údajov dotknutých vo veci samej nie je objektívne nevyhnutné na plnenie hlavného predmetu zmluvy.

41

V tejto súvislosti treba ešte dodať, že SNCF Connect na pojednávaní tvrdila, že spracovanie údajov, o ktoré ide vo veci samej, sledovalo ešte druhý cieľ, a to prispôsobenie prepravných služieb nočným vlakovým linkám, zahŕňajúcich vozne vyhradené osobám s rovnakou rodovou identitou, a pomoc cestujúcim so zdravotným postihnutím. Podľa spoločnosti SNCF Connect si tento účel prispôsobenia prepravných služieb môže vyžadovať informáciu o rodovej identity dotknutých zákazníkov.

42

Tento druhý cieľ však nemôže odôvodniť systematické a všeobecné spracúvanie údajov týkajúcich sa oslovovania všetkých zákazníkov dotknutého podniku, vrátane zákazníkov, ktorí cestujú počas dňa alebo ktorí nie sú zdravotne postihnutí. Takéto spracúvanie je totiž neprimerané a z tohto dôvodu je v rozpore so zásadou minimalizácie údajov pripomenutou v bode 24 tohto rozsudku, keďže sa mohlo obmedziť na údaje týkajúce sa rodovej identity len zákazníkov, ktorí chcú cestovať nočným vlakom alebo využívať individuálnu pomoc z dôvodu zdravotného postihnutia, ktorým trpia.

43

Článok 6 ods. 1 prvý pododsek písm. b) GDPR v spojení s článkom 5 ods. 1 písm. c) tohto nariadenia sa má preto vykladať v tom zmysle, že spracúvanie osobných údajov týkajúcich sa oslovenia zákazníkov dopravného podniku, ktorého účelom je personalizácia obchodnej komunikácie na základe ich rodovej identity, sa nezdá byť objektívne nevyhnutné ani podstatné na to, aby umožnilo riadne plnenie zmluvy, a preto ho nemožno považovať za nevyhnutné na plnenie tejto zmluvy.

44

Článok 6 ods. 1 písm. f) GDPR stanovuje, že spracúvanie osobných údajov je zákonné, ak je „nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa“.

45

Podľa ustálenej judikatúry toto ustanovenie stanovuje tri kumulatívne podmienky na to, aby spracúvanie osobných údajov, ktoré upravuje, bolo zákonné, a to po prvé sledovanie oprávneného záujmu prevádzkovateľom alebo treťou stranou, po druhé nevyhnutnosť spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu a po tretie podmienku, že takéto záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad legitímnym záujmom prevádzkovateľa alebo tretej strany [rozsudky zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 106, ako aj zo 4. októbra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, bod 37].

46

Pokiaľ ide po prvé o podmienku týkajúcu sa sledovania oprávneného záujmu, treba uviesť, že v súlade s článkom 13 ods. 1 písm. d) GDPR prevádzkovateľovi prislúcha, aby pri získavaní osobných údajov od dotknutej osoby, ktoré sa jej týkajú, tejto dotknutej osobe oznámil sledované oprávnené záujmy, ak sa toto spracúvanie zakladá na článku 6 ods. 1 prvom pododseku písm. f) tohto nariadenia. Vzhľadom na neexistenciu definície pojmu „oprávnený záujem“ v GDPR možno širokú škálu záujmov v zásade považovať za legitímnu. Tento pojem sa konkrétne neobmedzuje na záujmy zakotvené a určené zákonom [pozri v tomto zmysle rozsudky zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 107, ako aj zo 4. októbra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, body 38, 40 a 41, ako aj citovanú judikatúru].

47

Z odôvodnenia 47 GDPR tak vyplýva, že takýto oprávnený záujem by mohol existovať napríklad vtedy, keby medzi dotknutou osobou a prevádzkovateľom existoval relevantný a primeraný vzťah, napríklad keby bola dotknutá osoba zákazníkom prevádzkovateľa.

48

Pokiaľ ide po druhé o podmienku týkajúcu sa nevyhnutnosti spracovania osobných údajov na dosiahnutie sledovaného oprávneného záujmu, vzhľadom na judikatúru pripomenutú v bode 28 tohto rozsudku prináleží vnútroštátnemu súdu, aby overil, či oprávnený záujem na sledovanom spracovaní údajov nemožno rozumne dosiahnuť rovnako účinným spôsobom inými prostriedkami, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb, pričom takéto spracúvanie sa musí uskutočniť v medziach toho, čo je striktne nevyhnutné na dosiahnutie tohto legitímneho záujmu.

49

V tejto súvislosti treba tiež pripomenúť, že podmienku týkajúcu sa nevyhnutnosti spracúvania treba preskúmať spoločne so zásadou minimalizácie údajov zakotvenou v článku 5 ods. 1 písm. c) GDPR, podľa ktorej musia byť osobné údaje primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (rozsudok z 12. septembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 52, ako aj citovaná judikatúra).

50

Pokiaľ ide o tretiu podmienku týkajúcu sa toho, že záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany, Súdny dvor rozhodol, že „táto podmienka si vyžaduje zváženie protichodných práv a záujmov, ktoré v zásade závisí od konkrétnych okolností konkrétneho prípadu, a že v dôsledku toho prináleží vnútroštátnemu súdu, aby vykonal toto zváženie s prihliadnutím na tieto osobitné okolnosti“. Z odôvodnenia 47 GDPR pritom vyplýva, že záujmy a základné práva dotknutej osoby môžu prevážiť nad záujmom prevádzkovateľa najmä vtedy, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby primerane neočakávajú takéto spracúvanie (pozri v tomto zmysle rozsudok z 12. septembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, body 53 a 54, ako aj citovanú judikatúru).

51

Hoci v prejednávanej veci v konečnom dôsledku prináleží vnútroštátnemu súdu, aby posúdil, či sú v súvislosti s predmetným spracúvaním osobných údajov splnené tri podmienky pripomenuté v bode 45 tohto rozsudku, Súdny dvor, ktorý rozhoduje o návrhu na začatie prejudiciálneho konania, môže poskytnúť spresnenia, ktorých cieľom je naviesť vnútroštátny súd pri tomto posúdení (pozri analogicky rozsudok z 12. septembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 55, ako aj citovanú judikatúru).

52

Pokiaľ ide o prvú podmienku uvedenú v bode 46 tohto rozsudku, vnútroštátnemu súdu prináleží overiť, či SNCF Connect oznámila oprávnený záujem svojim zákazníkom v súlade s článkom 13 ods. 1 písm. d) GDPR v štádiu získavania predmetných údajov. Ako uviedol generálny advokát v bode 58 svojich návrhov, toto ustanovenie ukladá povinnosť priamo informovať dotknuté osoby o oprávnenom záujme sledovanom v čase uvedeného získavania údajov, pričom v opačnom prípade by toto získavanie údajov nemohlo byť odôvodnené na základe článku 6 ods. 1 prvého pododseku písm. f) tohto nariadenia. Na základe spisu, ktorý má Súdny dvor k dispozícii, nie je možné posúdiť, či táto požiadavka bola v rámci konania vo veci samej splnená.

53

V tejto súvislosti treba spresniť, že SNCF Connect vo svojich písomných pripomienkach odkázala na marketingový účel, ktorý si môže vyžadovať personalizáciu komunikácie a v dôsledku toho spracovanie predmetných údajov.

54

V tejto súvislosti z odôvodnenia 47 poslednej vety GDPR vyplýva, že spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem. Konkrétne personalizácia reklamy môže byť v takomto kontexte prirovnateľná ku komerčnému marketingu [pozri najmä rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 115].

55

Pokiaľ ide o druhú podmienku uvedenú v bode 48 tohto rozsudku, s výhradou overenia vnútroštátnym súdom sa zdá, že personalizácia obchodnej komunikácie sa môže obmedziť na spracovanie priezvisk a mien zákazníkov, pričom ich oslovenie a/alebo ich rodová identita je informáciou, ktorá v tomto kontexte pravdepodobne nebude nutne potrebná, najmä vzhľadom na zásadu minimalizácie údajov.

56

SNCF Connect a francúzska vláda vo svojich písomných pripomienkach tvrdia, že na účely posúdenia nevyhnutnosti spracovania osobných údajov je potrebné zohľadniť zvyklosti a spoločenské konvencie vlastné každému členskému štátu, najmä na účely zachovania jazykovej a kultúrnej rozmanitosti uvedenej v odôvodnení 4 GDPR. Na jednej strane však treba zdôrazniť, že článok 6 ods. 1 prvý pododsek písm. f) GDPR neupravuje zohľadnenie zvyklostí a spoločenských konvencií na účely posúdenia nevyhnutnosti takéhoto spracúvania, pričom treba spresniť, že tento článok sa má vykladať reštriktívne, ako je pripomenuté v bode 27 tohto rozsudku.

57

Na druhej strane sa nezdá, že by neexistencia spracovania údajov týkajúcich sa oslovenia alebo rodovej identity dotknutých klientov mohla narušiť túto rozmanitosť. Ako totiž vyplýva z bodu 40 tohto rozsudku, prevádzkovateľ môže dodržiavať tieto zvyklosti a spoločenské konvencie tak, že vo vzťahu ku zákazníkom, ktorí si neželajú uviesť svoje oslovenie alebo všeobecne, použije zdvorilostné generické formuly, ktoré sú inkluzívne a bez korelácie s rodovou identitou týchto zákazníkov, takže argumentácia spoločnosti SNCF Connect a francúzskej vlády nemôže v žiadnom prípade uspieť.

58

Pokiaľ ide o tretiu podmienku uvedenú v bode 50 tohto rozsudku a zváženie protichodných práv a záujmov, a to na jednej strane práv a záujmov prevádzkovateľa a na druhej strane práv a záujmov dotknutej osoby, treba zohľadniť najmä primerané očakávania dotknutej osoby, ako aj rozsah predmetného spracúvania a jeho vplyv na túto osobu [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 116].

59

Ako v podstate uviedol generálny advokát v bode 70 svojich návrhov, s výhradou overenia vnútroštátnym súdom zákazníka dopravného podniku nemôže dôvodne očakávať, že tento podnik bude spracovávať údaje týkajúce sa jeho oslovenia alebo rodovej identity pri zakúpení si cestovného lístka. Tak je to najmä v prípade, ak by sa toto spracovanie vykonávalo výlučne na účely obchodnej reklamy.

60

Legitímny záujem týkajúci sa obchodného marketingu nemôže v žiadnom prípade prevažovať v prípade rizika zásahu do základných práv a slobôd dotknutej osoby. Z odôvodnenia 75 GDPR vyplýva, že riziko pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä ak spracúvanie môže viesť k diskriminácii.

61

V tomto kontexte prináleží konkrétne vnútroštátnemu súdu, aby overil existenciu rizika diskriminácie na základe rodovej identity, na ktorú poukazuje Mousse, najmä vzhľadom na smernicu 2004/113, ktorou sa vykonáva zásada rovnosti zaobchádzania medzi mužmi a ženami v prístupe k tovaru a službám a k ich poskytovaniu.

62

V tejto súvislosti je potrebné spresniť, že pôsobnosť tejto smernice nemôže byť obmedzená len na diskrimináciu vyplývajúcu z príslušnosti k jednému alebo druhému pohlaviu. Vzhľadom na účel tejto smernice a povahu práv, ktoré má chrániť, treba uvedenú smernicu uplatniť takisto na diskrimináciu, ktorá má pôvod v zmene rodovej identity dotknutej osoby (pozri analogicky rozsudok z 27. apríla 2006, Richards, C‑423/04, EU:C:2006:256, bod 24 a citovanú judikatúru).

63

V dôsledku toho sa článok 6 ods. 1 prvý pododsek písm. f) GDPR v spojení s článkom 5 ods. 1 písm. c) tohto nariadenia má vykladať v tom zmysle, že spracúvanie osobných údajov týkajúcich sa oslovenia zákazníkov dopravného podniku, ktorého účelom je personalizácia obchodnej komunikácie na základe ich rodovej identity, nemožno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, ak

64

Vzhľadom na všetky vyššie uvedené úvahy je potrebné na prvú otázku odpovedať tak, že článok 6 ods. 1 prvý pododsek písm. b) a f) GDPR v spojení s článkom 5 ods. 1 písm. c) tohto nariadenia sa má vykladať v tom zmysle, že:

65

Svojou druhou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 1 prvý pododsek písm. f) GDPR vykladať v tom zmysle, že na účely posúdenia nevyhnutnosti spracúvania osobných údajov v zmysle tohto ustanovenia treba zohľadniť prípadnú existenciu práva dotknutej osoby namietať podľa článku 21 tohto nariadenia.

66

Článok 21 ods. 1 GDPR stanovuje, že dotknutá osoba má právo kedykoľvek namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týka, ktoré je vykonávané na základe článku 6 ods. 1 písm. e) alebo f) prvého pododseku tohto nariadenia vrátane namietania proti profilovaniu založenému na uvedených ustanoveniach. Prevádzkovateľ nesmie ďalej spracúvať osobné údaje, pokiaľ nepreukáže nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.

67

Uplatniteľnosť článku 21 GDPR a v dôsledku toho prípadná existencia práva namietať predpokladajú existenciu zákonného spracúvania, ktoré je v prejednávanej veci založené na článku 6 ods. 1 prvom pododseku písm. f) tohto nariadenia. Na to, aby bolo takéto spracovanie zákonné, musí najprv spĺňať podmienku prísnej nevyhnutnosti uvedenú v bode 48 tohto rozsudku.

68

Ako uviedol generálny advokát v bodoch 80 a 82 svojich návrhov, zo znenia a systematiky dotknutých ustanovení vyplýva, že existencia práva namietať nie je vôbec relevantná pre posúdenie zákonnosti a najmä nevyhnutnosti spracovania osobných údajov dotknutých vo veci samej.

69

Tento výklad potvrdzuje cieľ, ktorý sleduje GDPR, a ktorým je vzhľadom na odôvodnenie 10 tohto nariadenia zabezpečiť vysokú úroveň ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov. Akýkoľvek iný výklad by mal totiž za následok oslabenie požiadaviek uvedených v článku 6 ods. 1 prvom pododseku písm. f) GDPR rozšírením dôvodov zákonnosti dotknutého spracúvania, hoci toto ustanovenie sa má vykladať reštriktívne vzhľadom na judikatúru pripomenutú v bode 27 tohto rozsudku.

70

Vzhľadom na všetky predchádzajúce úvahy je potrebné odpovedať na druhú otázku tak, že článok 6 ods. 1 písm. f) GDPR sa má vykladať v tom zmysle, že na účely posúdenia nevyhnutnosti spracúvania osobných údajov v zmysle tohto ustanovenia treba zohľadniť prípadnú existenciu práva dotknutej osoby namietať podľa článku 21 GDPR.

71

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (prvá komora) rozhodol takto: