–

za Mousse E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans in D. Holemans, advocaten,

–

za SNCF Connect E. Drouard, J.-J. Gatineau in A. Ligot, avocats,

–

za francosko vlado R. Bénard, B. Dourthe in B. Fodda, agenti,

–

za Evropsko komisijo A. Bouchagiar in H. Kranenborg, agenta,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 5(1)(c), člena 6(1), prvi pododstavek, točki (b) in (f), ter člena 21 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2, v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru spora med združenjem Mousse in Commission nationale de l’informatique et des libertés (nacionalna komisija za informatiko in svoboščine (CNIL), Francija), ker je zadnjenavedena zavrnila ugovor združenja Mousse v zvezi s tem, kako družba SNCF Connect obdeluje podatke o nazivu svojih strank ob spletni prodaji vozovnic.

3

V uvodnih izjavah 1, 4, 10, 47 in 75 SUVP je navedeno:

[…]

[…]

[…]

[…]

4

Člen 1 te uredbe, naslovljen „Predmet urejanja in cilji“, v odstavku 2 določa:

„Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.“

5

Člen 2(1) navedene uredbe določa:

„Ta uredba se uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi.“

6

Člen 4 iste uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

[…]

[…].“

7

Člen 5 SUVP, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1.   Osebni podatki morajo biti:

[…]

[…].“

8

Člen 6 te uredbe, naslovljen „Zakonitost obdelave“, v odstavku 1 določa:

„Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

[…]“

9

Člen 13 navedene uredbe, naslovljen „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, določa:

„1.   Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:

[…]

[…].“

10

Člen 21 iste uredbe, naslovljen „Pravica do ugovora“, v odstavku 1 določa:

„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“

11

V skladu s členom 1 Direktive Sveta 2004/113/ES z dne 13. decembra 2004 o izvajanju načela enakega obravnavanja moških in žensk pri dostopu do blaga in storitev ter oskrbi z njimi (UL 2004, L 373, str. 37) je namen te direktive določiti okvir za boj proti diskriminaciji zaradi spola pri dostopu do blaga in storitev ter oskrbe z njimi, zato da bi se v državah članicah uveljavilo načelo enakega obravnavanja moških in žensk.

12

Člen 8 loi no 78-17 du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (zakon št. 78-17 z dne 6. januarja 1978 o informatiki, zbirkah in svoboščinah) (JORF z dne 7. januarja 1978, str. 227) v različici, ki se uporablja za spor o glavni stvari, določa:

„I A. [CNIL] je neodvisen upravni organ.

I. Je nacionalni nadzorni organ v smislu in za uporabo [SUVP]. Opravlja te naloge:

[…]

2. zagotavlja, da se osebni podatki obdelujejo v skladu z določbami tega zakona ter drugimi določbami v zvezi z varstvom osebnih podatkov iz zakonov in drugih predpisov, prava […] [U]nije in mednarodnih obveznosti [Francoske republike].

V ta namen:

[…]

13

Družba SNCF Connect prek svojega spletnega mesta in spletnih aplikacij prodaja vozovnice za železniški promet, kot so vozovnice za vlak, sezonske vozovnice in kartice s popusti. Stranke tega podjetja morajo ob nakupu vozovnic na tem spletnem mestu ali v teh spletnih aplikacijah obvezno navesti svoj naziv, tako da označijo navedbo „gospod“ ali „gospa“.

14

Ker je združenje Mousse menilo, da pogoji zbiranja in beleženja podatkov o nazivu teh strank niso v skladu z zahtevami SUVP, je pri CNIL vložilo ugovor zoper družbo SNCF Connect. V utemeljitev tega ugovora je združenje Mousse navedlo, da zbiranje teh podatkov ni v skladu z načelom zakonitosti iz člena 5(1)(a) SUVP, ker ne temelji na nobeni od podlag iz člena 6(1) SUVP. Poleg tega naj bi bili s takim zbiranjem kršeni načelo najmanjšega obsega podatkov iz člena 5(1)(c) SUVP ter zlasti obveznosti preglednosti in obvestitve, ki izhajata iz člena 13 SUVP.

15

CNIL je z odločbo z dne 23. marca 2021 menila, da dejanja, ki se očitajo družbi SNCF Connect, ne pomenijo kršitve zadevnih določb SUVP in da je treba postopek preizkusa navedenega ugovora ustaviti. CNIL je v utemeljitev te odločbe ugotovila, da je bila obdelava podatkov iz postopka v glavni stvari zakonita na podlagi člena 6(1), prvi pododstavek, točka (b), SUVP, ker je bila potrebna za izvajanje zadevne pogodbe o opravljanju prevoznih storitev. CNIL je poleg tega navedla, da je bila ta obdelava glede na njene namene v skladu z načelom najmanjšega obsega podatkov, saj naj bi personalizirano naslavljanje strank z uporabo njihovega naziva ustrezalo običajni praksi v poslovnih, civilnih in upravnih komunikacijah.

16

Združenje Mousse je 21. maja 2021 zoper to odločbo CNIL vložilo ničnostno tožbo pri Conseil d’État (državni svet, Francija), ki je predložitveno sodišče. Združenje Mousse v tožbi zlasti trdi, da obveznost označitve navedbe „gospod“ ali „gospa“ ob spletnem nakupu ni v skladu z načelom zakonitosti iz člena 5(1)(a) SUVP niti z načelom najmanjšega obsega podatkov iz člena 5(1)(c) te uredbe, ker naj ta navedba ne bi bila potrebna za izvajanje pogodbe o opravljanju prevoznih storitev niti za namene legitimnih interesov družbe SNCF Connect. Dejstvo, da se take navedbe uporabljajo v poslovni komunikaciji, naj ne bi moglo zadostovati za to, da bi se taka obveznost štela za potrebno. Nazadnje, takšna obveznost naj bi lahko posegala v pravico do potovanja brez navedbe naziva, pravico do zasebnosti in svobodo proste opredelitve svojega spolnega izraza ter naj bi povzročila tveganje diskriminacije. Kar zadeva državljane držav, v katerih je dovoljena navedba „nevtralnega spola“, naj ta navedba ne bi ustrezala resničnosti in bi lahko med drugim posegala v njihovo svobodo gibanja, ki jo zagotavlja pravo Unije.

17

CNIL predlaga, naj se ta tožba zavrne, tako da trdi, da bi se lahko obdelava podatkov o nazivu štela za potrebno tudi zaradi legitimnih interesov družbe SNCF Connect na podlagi člena 6(1)(f) SUVP ter da bi lahko posamezniki, na katere se nanašajo osebni podatki, glede na svoj posebni položaj uveljavljali pravico do ugovora, ki jo zagotavlja člen 21 SUVP.

18

V tem okviru se predložitveno sodišče sprašuje zlasti, ali je mogoče pri presoji potrebnosti obdelave podatkov iz postopka v glavni stvari upoštevati sprejete prakse v poslovnih, civilnih in upravnih komunikacijah, tako da bi bilo zbiranje podatkov o nazivu strank, ki je omejeno na navedbi „gospod“ ali „gospa“, lahko zakonito in v skladu z načelom najmanjšega obsega podatkov. Navedeno sodišče se poleg tega sprašuje, ali je treba za presojo potrebnosti tega obveznega zbiranja in nadaljnje obdelave podatkov o nazivu strank ter kadar nekatere stranke menijo, da se ne uvrščajo v nobenega od obeh nazivov, upoštevati dejstvo, da bi lahko te stranke po tem, ko so te podatke zagotovile upravljavcu, da bi koristile ponujeno storitev, uveljavljale svojo pravico do ugovora zoper uporabo takih podatkov zaradi svojega posebnega položaja v smislu člena 21 SUVP.

19

V teh okoliščinah je Conseil d’État (državni svet) prekinil odločanje in Sodišču v predhodno odločanje predložil ti vprašanji:

20

Predložitveno sodišče želi s prvim vprašanjem v bistvu izvedeti, ali je treba člen 6(1), prvi pododstavek, točki (b) in (f), SUVP v povezavi s členom 5(1)(c) te uredbe razlagati tako, da je za obdelavo osebnih podatkov o nazivu strank prevoznega podjetja, katere namen je personalizacija poslovne komunikacije na podlagi njihove spolne identitete, mogoče šteti, da je potrebna za izvajanje pogodbe v smislu te točke (b) ali potrebna zaradi legitimnih interesov, za katere si prizadeva upravljavec ali tretja oseba, v smislu te točke (f).

21

Uvodoma je treba opozoriti, da je cilj SUVP, kot izhaja iz njenega člena 1 ter uvodnih izjav 1 in 10, med drugim zagotoviti visoko raven varstva temeljnih pravic in svoboščin posameznikov, zlasti njihove pravice do zasebnosti pri obdelavi osebnih podatkov, kot je določena v členu 8(1) Listine in členu 16(1) PDEU (sodba z dne 4. oktobra 2024, Schrems (Sporočanje podatkov širši javnosti),C‑446/21, EU:C:2024:834, točka 45 in navedena sodna praksa).

22

V skladu s tem ciljem mora biti vsaka obdelava osebnih podatkov med drugim v skladu z načeli v zvezi z obdelavo takih podatkov, ki so določena v členu 5 te uredbe, in mora izpolnjevati pogoje za zakonitost, ki so našteti v členu 6 navedene uredbe (sodba z dne 4. oktobra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, točka 27 in navedena sodna praksa).

23

Člen 5(1)(a) SUVP določa, da morajo biti osebni podatki obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo.

24

V skladu s členom 5(1)(c) te uredbe, ki določa načelo najmanjšega obsega podatkov, morajo biti ti podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. To načelo je izraz načela sorazmernosti (glej v tem smislu sodbo z dne 4. oktobra 2024, Schrems (Sporočanje podatkov širši javnosti),C‑446/21, EU:C:2024:834, točki 49 in 50 ter navedena sodna praksa).

25

Kar zadeva pogoje za zakonitost obdelave, člen 6(1), prvi pododstavek, SUVP, kot je razsodilo Sodišče, določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita. Da bi se obdelava lahko štela za legitimno, mora tako spadati v okvir enega od primerov, določenih v tej določbi (sodba z dne 4. oktobra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, točka 29 in navedena sodna praksa).

26

V skladu s členom 6(1), prvi pododstavek, točka (a), SUVP je obdelava osebnih podatkov zakonita, le in kolikor je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov v enega ali več določenih namenov. Če take privolitve ni ali če ta privolitev ni bila dana prostovoljno, izrecno, informirano in nedvoumno v smislu člena 4, točka 11, te uredbe, je taka obdelava vseeno lahko utemeljena, če izpolnjuje eno od zahtev glede potrebnosti iz člena 6(1), prvi pododstavek, točke od (b) do (f), navedene uredbe (glej v tem smislu sodbo z dne 4. julija 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točki 91 in 92).

27

V tem okviru je treba utemeljitve iz te zadnjenavedene določbe, ker omogočajo, da je obdelava osebnih podatkov, opravljena brez privolitve posameznika, na katerega se nanašajo osebni podatki, zakonita, razlagati ozko (sodba z dne 4. oktobra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, točka 31 in navedena sodna praksa).

28

Poleg tega, kot je razsodilo Sodišče, če je mogoče ugotoviti, da je obdelava osebnih podatkov potrebna glede na eno od utemeljitev iz člena 6(1), prvi pododstavek, točke od (b) do (f), SUVP, ni treba ugotavljati, ali ta obdelava spada tudi v okvir druge od teh utemeljitev. Glede tega je treba pojasniti, da zahteva po potrebnosti, povezana z uporabljeno utemeljitvijo, ni izpolnjena, kadar bi bilo zastavljeni cilj te obdelave podatkov mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, zagotovljeni v členih 7 in 8 Listine, pri čemer morajo biti odstopanja od načela varstva takih podatkov in omejitve tega načela strogo omejeni na to, kar je nujno potrebno (glej v tem smislu sodbi z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 110 in navedena sodna praksa, ter z dne 4. julija 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točka 94).

29

Nazadnje je treba pojasniti, da mora upravljavec v skladu s členom 13(1)(c) SUVP, kadar se osebni podatki zbirajo od posameznika, na katerega se nanašajo osebni podatki, tega posameznika obvestiti o namenih obdelave teh podatkov in o pravni podlagi za to obdelavo (sodba z dne 4. oktobra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, točka 33 in navedena sodna praksa).

30

V obravnavani zadevi je treba ugotoviti, da ni sporno, da je mogoče naziv, ki ustreza moški ali ženski spolni identiteti, opredeliti kot „osebni podatek“, kadar se nanaša na določeno osebo v smislu člena 4, točka 1, SUVP, in da je ta podatek predmet „obdelave“ v smislu člena 4, točka 2, SUVP, ker ga družba SNCF Connect zbira in beleži v okviru spletne prodaje vozovnic. Zato ta obdelava, ki je poleg tega avtomatizirana, spada na stvarno področje uporabe te uredbe na podlagi njenega člena 2(1).

31

Poleg tega vprašanje, ki ga je postavilo predložitveno sodišče, temelji na dveh predpostavkah, in sicer, prvič, da se obdelava podatkov iz postopka v glavni stvari izvaja brez privolitve posameznikov, na katere se nanašajo osebni podatki, v smislu člena 4, točka 11, in člena 6(1), prvi pododstavek, točka (a), SUVP, ter drugič, da ta obdelava ni potrebna za izpolnitev zakonske obveznosti, ki bi veljala za upravljavca, v smislu člena 6(1), prvi pododstavek, točka (c), SUVP. Postavljeno vprašanje se torej nanaša izključno na možnost sklicevanja na utemeljitve iz točk (b) in (f) člena 6(1), prvi pododstavek, SUVP v okviru obdelave podatkov iz postopka v glavni stvari.

32

Člen 6(1), prvi pododstavek, točka (b), SUVP določa, da je obdelava osebnih podatkov zakonita, če je „potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe“.

33

V zvezi s tem mora biti obdelava osebnih podatkov, da bi se v smislu te določbe štela za potrebno za izvajanje pogodbe, objektivno nujna za uresničitev namena, ki je sestavni del pogodbene dajatve, namenjene posamezniku, na katerega se nanašajo osebni podatki. Upravljavec mora tako biti zmožen dokazati, zakaj glavni predmet te pogodbe ne bi mogel biti dosežen brez navedene obdelave (sodba z dne 12. septembra 2024, HTB Neunte Immobilien Portfolio in Ökorenta Neue Energien Ökostabil IV, C‑17/22 in C‑18/22, EU:C:2024:738, točka 43 in navedena sodna praksa).

34

Dejstvo, da je taka obdelava navedena v pogodbi ali da je zgolj koristna za njeno izvajanje, v zvezi s tem samo po sebi ni upoštevno. Odločilni element za uporabo utemeljitve iz člena 6(1), prvi pododstavek, točka (b), SUVP je namreč to, da je obdelava osebnih podatkov, ki jo izvaja upravljavec, bistvena za pravilno izvajanje pogodbe, sklenjene med njim in posameznikom, na katerega se nanašajo osebni podatki, ter da zato ni drugih izvedljivih in manj vsiljivih rešitev (sodba z dne 12. septembra 2024, HTB Neunte Immobilien Portfolio in Ökorenta Neue Energien Ökostabil IV, C‑17/22 in C‑18/22, EU:C:2024:738, točka 44 in navedena sodna praksa).

35

V tem okviru je treba, kadar je pogodba sestavljena iz več storitev ali več ločenih elementov iste storitve, ki jih je mogoče izpolniti samostojno, uporabo člena 6(1), prvi pododstavek, točka (b), SUVP presojati ločeno v okviru vsake od teh storitev (sodba z dne 4. julija 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točka 100).

36

V obravnavani zadevi ni sporno, da je glavni predmet pogodbe iz postopka v glavni stvari zagotavljanje storitve železniškega prevoza strankam. V skladu z navedbami predložitvenega sodišča je namen obdelave podatkov iz postopka v glavni stvari personalizacija poslovne komunikacije s stranko ob spoštovanju splošno priznanih praks na tem področju.

37

Kot je generalni pravobranilec v bistvu navedel v točki 42 sklepnih predlogov, je poslovna komunikacija lahko namen, ki je sestavni del zadevne pogodbene dajatve, ker opravljanje take storitve železniškega prevoza načeloma vključuje komunikacijo s stranko, da se ji med drugim pošlje vozovnica v elektronski obliki, da se jo obvesti o morebitnih spremembah v zvezi z zadevnim potovanjem in da se ji omogoči izmenjava informacij s službo za stike s strankami. Ta komunikacija lahko zahteva spoštovanje praks in med drugim vključuje vljudnostne izraze, da se izkaže spoštovanje zadevnega podjetja v razmerju do svoje stranke in s tem zaščiti podoba znamke tega podjetja.

38

Vendar se zdi, da ni nujno, da je taka komunikacija prilagojena glede na spolno identiteto zadevne stranke. V skladu s sodno prakso namreč ni razvidno, da bi bila personalizacija vsebin potrebna za to, da se stranki ponudijo storitve, če se ji te storitve glede na okoliščine primera lahko zagotovijo v obliki enakovredne alternative, ki ne vključuje take personalizacije, tako da ta ni objektivno nujna za namen, ki je sestavni del navedenih storitev (glej v tem smislu sodbo z dne 4. julija 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točka 102).

39

Kar zadeva storitve iz postopka v glavni stvari, se personalizacija poslovne komunikacije, ki temelji na domnevani spolni identiteti glede na naziv, ne zdi niti objektivno nujna niti bistvena za pravilno izvajanje zadevne pogodbe v smislu sodne prakse, na katero je opozorjeno v točkah 33 in 34 te sodbe.

40

Zdi se namreč, da obstaja izvedljiva in manj vsiljiva rešitev, ker bi se lahko zadevno podjetje v razmerju do strank, ki ne želijo navesti svojega naziva, ali na splošno odločilo za komunikacijo, ki temelji na vljudnostnih izrazih, ki so generični, vključujoči in se ne navezujejo na domnevano spolno identiteto strank. Poleg tega, kot je generalni pravobranilec navedel v točkah 49 in 50 sklepnih predlogov, se zdi – kar mora preveriti predložitveno sodišče – da družba SNCF Connect že uporablja take izraze in da poleg tega navedba nepravega naziva ne bi vplivala na zagotavljanje zadevnih prevoznih storitev, kar bi potrjevalo, da obdelava podatkov iz postopka v glavni stvari ni objektivno nujna za izpolnitev glavnega predmeta pogodbe.

41

V tem okviru je treba še pojasniti, da je družba SNCF Connect na obravnavi trdila, da se z obdelavo podatkov iz postopka v glavni stvari uresničuje še en namen, in sicer prilagoditev prevoznih storitev za nočne vlake, ki vključujejo vagone, rezervirane za osebe z enako spolno identiteto, in za pomoč invalidnim potnikom. Družba SNCF Connect meni, da je za ta namen prilagajanja prevoznih storitev morda treba poznati spolno identiteto zadevnih strank.

42

Ta drugi namen pa ne more upravičiti sistematične in posplošene obdelave podatkov o nazivu vseh strank zadevnega podjetja, vključno s strankami, ki potujejo podnevi ali niso invalidne. Taka obdelava bi bila namreč nesorazmerna in s tem v nasprotju z načelom najmanjšega obsega podatkov, na katero je bilo opozorjeno v točki 24 te sodbe, ker bi jo bilo mogoče omejiti na podatke o spolni identiteti le tistih strank, ki želijo potovati z nočnim vlakom ali so upravičene do prilagojene pomoči zaradi invalidnosti.

43

Tako je treba člen 6(1), prvi pododstavek, točka (b), SUVP v povezavi s členom 5(1)(c) te uredbe razlagati tako, da obdelava osebnih podatkov o nazivu strank prevoznega podjetja, katere namen je personalizacija poslovne komunikacije na podlagi njihove spolne identitete, ni niti objektivno nujna niti bistvena za zagotovitev pravilnega izvajanja pogodbe in je zato ni mogoče šteti za potrebno za izvajanje te pogodbe.

44

Člen 6(1), prvi pododstavek, točka (f), SUVP določa, da je obdelava osebnih podatkov zakonita, če je „potrebna zaradi zakonitih [legitimnih] interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok“.

45

V skladu z ustaljeno sodno prakso ta določba predpisuje tri kumulativne pogoje za to, da je obdelava osebnih podatkov, na katere se nanaša, zakonita, in sicer, prvič, da si upravljavec ali tretja oseba prizadeva za legitimni interes, drugič, da je obdelava osebnih podatkov potrebna za uresničitev legitimnega interesa, ki se mu sledi, in tretjič, da nad legitimnim interesom upravljavca ali tretje osebe ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (sodbi z dne 4. julija 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točka 106, in z dne 4. oktobra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, točka 37).

46

Prvič, v zvezi s pogojem glede prizadevanja za legitimni interes je treba pojasniti, da mora upravljavec v skladu s členom 13(1)(d) SUVP takrat, ko osebne podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobi od tega posameznika, tega posameznika obvestiti o legitimnih interesih, za uveljavljanje katerih si ta upravljavec prizadeva, če ta obdelava temelji na členu 6(1), prvi pododstavek, točka (f), te uredbe. Ker v SUVP pojem „zakoniti [legitimni] interes“ ni opredeljen, se lahko za legitimen načeloma šteje širok spekter interesov. Zlasti ta pojem ni omejen na interese, ki so priznani in določeni z zakonom (glej v tem smislu sodbi z dne 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točka 107, in z dne 4. oktobra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, točke 38, 40 in 41 ter navedena sodna praksa).

47

Tako je iz uvodne izjave 47 SUVP razvidno, da bi tak legitimni interes lahko obstajal na primer v primeru upoštevnega in ustreznega razmerja med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem v položajih, kakršni so ti, v katerih je posameznik, na katerega se nanašajo osebni podatki, stranka upravljavca.

48

Drugič, glede pogoja potrebnosti obdelave osebnih podatkov za uresničitev legitimnega interesa, ki se mu sledi, in ob upoštevanju sodne prakse, navedene v točki 28 te sodbe, mora predložitveno sodišče preveriti, ali legitimnega interesa obdelave podatkov, ki se mu sledi, ni mogoče razumno doseči enako učinkovito z drugimi sredstvi, ki manj posegajo v temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, pri čemer je treba tako obdelavo opraviti v mejah tega, kar je nujno potrebno za uresničitev tega legitimnega interesa.

49

V tem okviru je treba tudi opozoriti, da je treba pogoj v zvezi s potrebnostjo obdelave preučiti skupaj z načelom najmanjšega obsega podatkov iz člena 5(1)(c) SUVP, v skladu s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (sodba z dne 12. septembra 2024, HTB Neunte Immobilien Portfolio in Ökorenta Neue Energien Ökostabil IV, C‑17/22 in C‑18/22, EU:C:2024:738, točka 52 in navedena sodna praksa).

50

Nazadnje, kar zadeva, tretjič, pogoj, da interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov, ne prevladajo nad legitimnim interesom upravljavca ali tretje osebe, je Sodišče razsodilo, da ta pogoj zahteva tehtanje obstoječih nasprotujočih si pravic in interesov, ki je načeloma odvisno od konkretnih okoliščin posameznega primera, in da mora zato zadevno predložitveno sodišče to tehtanje opraviti ob upoštevanju teh posebnih okoliščin. Kot je razvidno iz uvodne izjave 47 SUVP, lahko interesi in temeljne pravice posameznika, na katerega se nanašajo osebni podatki, zlasti prevladajo nad interesom upravljavca, kadar se osebni podatki obdelujejo v okoliščinah, v katerih posamezniki, na katere se nanašajo osebni podatki, take obdelave razumno ne pričakujejo (glej v tem smislu sodbo z dne 12. septembra 2024, HTB Neunte Immobilien Portfolio in Ökorenta Neue Energien Ökostabil IV, C‑17/22 in C‑18/22, EU:C:2024:738, točki 53 in 54 ter navedena sodna praksa).

51

V obravnavani zadevi mora sicer na koncu predložitveno sodišče presoditi, ali so v zvezi z obdelavo osebnih podatkov iz postopka v glavni stvari izpolnjeni trije pogoji, na katere je opozorjeno v točki 45 te sodbe, vendar lahko Sodišče, ki odloča o predlogu za sprejetje predhodne odločbe, poda pojasnila, ki predložitveno sodišče usmerjajo pri tem ugotavljanju (glej po analogiji sodbo z dne 12. septembra 2024, HTB Neunte Immobilien Portfolio in Ökorenta Neue Energien Ökostabil IV, C‑17/22 in C‑18/22, EU:C:2024:738, točka 55 in navedena sodna praksa).

52

V zvezi s prvim pogojem, navedenim v točki 46 te sodbe, bo moralo predložitveno sodišče preveriti, ali je družba SNCF Connect svojim strankam v skladu s členom 13(1)(d) SUVP v fazi zbiranja podatkov iz postopka v glavni stvari sporočila legitimni interes. Kot je generalni pravobranilec navedel v točki 58 sklepnih predlogov, ta določba nalaga, da je treba zadevne osebe ob tem zbiranju neposredno obvestiti o legitimnem interesu, ki se mu sledi, sicer navedenega zbiranja ni mogoče upravičiti na podlagi člena 6(1), prvi pododstavek, točka (f), te uredbe. Na podlagi spisa, ki ga ima Sodišče na voljo, ni mogoče presoditi, ali je bila v okviru zadeve iz postopka v glavni stvari ta zahteva izpolnjena.

53

V tem okviru je treba pojasniti, da se je družba SNCF Connect v pisnih stališčih sklicevala na namen neposrednega trženja, za katerega bi lahko bili potrebni personalizacija komunikacije in posledično obdelava podatkov iz postopka v glavni stvari.

54

V zvezi s tem se v skladu z zadnjim stavkom uvodne izjave 47 SUVP za obdelavo osebnih podatkov za namene neposrednega trženja lahko šteje, da je opravljena v legitimnem interesu. Zlasti je mogoče v tem okviru personalizacijo oglaševanja enačiti z neposrednim trženjem (glej po analogiji sodbo z dne 4. julija 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točka 115).

55

V zvezi z drugim pogojem, navedenim v točki 48 te sodbe, se zdi – kar mora preveriti predložitveno sodišče – da je personalizacijo poslovne komunikacije mogoče omejiti na obdelavo imen in priimkov strank, saj sta njihova naziv in/ali spolna identiteta informacija, ki se v tem okviru ne zdi nujno potrebna, zlasti ob upoštevanju načela najmanjšega obsega podatkov.

56

Družba SNCF Connect in francoska vlada v pisnih stališčih trdita, da je treba za presojo potrebnosti obdelave osebnih podatkov upoštevati prakse in družbene norme vsake države članice, zlasti za ohranitev jezikovne in kulturne raznolikosti, navedene v uvodni izjavi 4 SUVP. Vendar je treba navesti, da na eni strani člen 6(1), prvi pododstavek, točka (f), SUVP ne določa upoštevanja praks in družbenih norm pri presoji potrebnosti take obdelave, pri čemer je treba pojasniti, da je treba ta člen razlagati ozko, kot je opozorjeno v točki 27 te sodbe.

57

Na drugi strani se zdi, da neobstoj obdelave podatkov o nazivu ali spolni identiteti zadevnih strank ne more vplivati na to raznolikost. Kot je namreč razvidno iz točke 40 te sodbe, lahko upravljavec upošteva te poslovne prakse in družbene norme tako, da za stranke, ki ne želijo navesti svojega naziva ali na splošno, uporabi vljudnostne izraze, ki so generični, vključujoči in se ne navezujejo na spolno identiteto teh strank, tako da trditev družbe SNCF Connect in francoske vlade nikakor ni mogoče sprejeti.

58

V zvezi s tretjim pogojem, navedenim v točki 50 te sodbe, ter tehtanjem obstoječih nasprotujočih si pravic in interesov, in sicer pravic in interesov upravljavca na eni strani ter pravic in interesov posameznika, na katerega se nanašajo osebni podatki, na drugi, je treba upoštevati zlasti razumna pričakovanja posameznika, na katerega se nanašajo osebni podatki, ter obseg zadevne obdelave in njen vpliv na tega posameznika (sodba z dne 4. julija 2023, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja), C‑252/21, EU:C:2023:537, točka 116).

59

Kot je generalni pravobranilec v bistvu navedel v točki 70 sklepnih predlogov, stranka prevoznega podjetja, kar mora preveriti predložitveno sodišče, ne pričakuje, da bo to podjetje v okviru nakupa vozovnice obdelovalo podatke v zvezi z njenim nazivom ali spolno identiteto. Tako bi bilo zlasti, če bi se ta obdelava izvajala izključno za namene neposrednega trženja.

60

Legitimni interes v zvezi z neposrednim trženjem nikakor ne more prevladati, če obstaja tvegaje posega v temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Kot je namreč razvidno iz uvodne izjave 75 SUVP, lahko tveganja za pravice in svoboščine posameznikov, katerih verjetnost in resnost se spreminjata, izhajajo iz obdelave osebnih podatkov, ki lahko povzroči fizično, premoženjsko ali nepremoženjsko škodo, zlasti kadar lahko taka obdelava pripelje do diskriminacije.

61

V tem okviru bo moralo predložitveno sodišče zlasti preveriti obstoj tveganja diskriminacije na podlagi spolne identitete, ki ga zatrjuje združenje Mousse, zlasti glede na Direktivo 2004/113, s katero se izvaja načelo enakega obravnavanja moških in žensk pri dostopu do blaga in storitev ter oskrbi z njimi.

62

V zvezi s tem je treba pojasniti, da področja uporabe te direktive ni mogoče omejiti zgolj na diskriminacijo, ki izhaja iz pripadnosti enemu ali drugemu spolu. Navedena direktiva se ob upoštevanju njenega cilja in narave pravic, ki jih varuje, uporablja tudi za diskriminacijo, ki izhaja iz spremembe spolne identitete osebe (glej po analogiji sodbo z dne 27. aprila 2006, Richards, C‑423/04, EU:C:2006:256, točka 24 in navedena sodna praksa).

63

Zato je treba člen 6(1), prvi pododstavek, točka (f), SUVP v povezavi s členom 5(1)(c) te uredbe razlagati tako, da obdelave osebnih podatkov o nazivu strank prevoznega podjetja, katere namen je personalizacija poslovne komunikacije na podlagi njihove spolne identitete, ni mogoče šteti za potrebno zaradi legitimnih interesov, ki jim sledi upravljavec te obdelave ali tretja oseba, kadar:

64

Glede na vse zgornje preudarke je treba na prvo vprašanje odgovoriti, da je treba člen 6(1), prvi pododstavek, točki (b) in (f), SUVP v povezavi s členom 5(1)(c) te uredbe razlagati tako, da:

65

Predložitveno sodišče želi z drugim vprašanjem v bistvu izvedeti, ali je treba člen 6(1), prvi pododstavek, točka (f), SUVP razlagati tako, da se za presojo potrebnosti obdelave osebnih podatkov na podlagi te določbe upošteva morebitni obstoj pravice do ugovora posameznika, na katerega se nanašajo osebni podatki, na podlagi člena 21 te uredbe.

66

Člen 21(1) SUVP določa, da ima posameznik, na katerega se nanašajo osebni podatki, na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na členu 6(1)(e) ali (f), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

67

Uporaba člena 21 SUVP in posledično morebitni obstoj pravice do ugovora predpostavljata obstoj zakonite obdelave, ki v obravnavanem primeru temelji na členu 6(1), prvi pododstavek, točka (f), te uredbe. Da pa bi bila taka obdelava zakonita, mora predhodno izpolnjevati pogoj nujne potrebnosti, naveden v točki 48 te sodbe.

68

Kot je generalni pravobranilec navedel v točkah 80 in 82 sklepnih predlogov, iz besedila in sistematike zadevnih določb torej izhaja, da obstoja pravice do ugovora ni mogoče upoštevati pri presoji zakonitosti in zlasti potrebnosti obdelave osebnih podatkov iz postopka v glavni stvari.

69

To razlago potrjuje cilj SUVP, ki je glede na uvodno izjavo 10 te uredbe zagotoviti visoko raven varstva temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov. Vsaka drugačna razlaga bi namreč oslabila zahteve iz člena 6(1), prvi pododstavek, točka (f), SUVP, ker bi razširila razloge za zakonitost zadevne obdelave, medtem ko je treba to določbo ob upoštevanju sodne prakse, na katero je opozorjeno v točki 27 te sodbe, razlagati ozko.

70

Glede na vse zgornje preudarke je treba na drugo vprašanje odgovoriti, da je treba člen 6(1), prvi pododstavek, točka (f), SUVP razlagati tako, da se za presojo potrebnosti obdelave osebnih podatkov na podlagi te določbe ne upošteva morebitni obstoj pravice do ugovora posameznika, na katerega se nanašajo osebni podatki, na podlagi člena 21 te uredbe.

71

Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (prvi senat) razsodilo: