–

Mousse, genom E. Deshoulières, avocat, Y. El Kaddouri, M.J. Heymans och D. Holemans, advocaten,

–

SNCF Connect, genom E. Drouard, J.-J. Gatineau och A. Ligot, avocats,

–

Frankrikes regering, genom R. Bénard, B. Dourthe och B. Fodda, samtliga i egenskap av ombud,

–

Europeiska kommissionen, genom A. Bouchagiar och H. Kranenborg, båda i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av artiklarna 5.1 c, 6.1 första stycket b och f samt 21 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelse i EUT L 127, 2018, s. 1) (nedan kallad dataskyddsförordningen).

2

Begäran har framställts i ett mål mellan Mousse, som är en förening, och Commission nationale de l’informatique et des libertés (CNIL) (Nationella dataskyddsmyndigheten, Frankrike) (nedan kallad CNIL eller dataskyddsmyndigheten). Målet rör CNIL:s beslut att avslå Mousses klagomål avseende bolaget SNCF Connects behandling av uppgifter om kundernas tilltalstitel (”herr” eller ”fru”) i samband med onlineförsäljning av färdbevis.

3

Skälen 1, 4, 10, 47 och 75 i dataskyddsförordningen har följande lydelse:

…

…

…

…

4

I artikel 1 (”Syfte”) i dataskyddsförordningen föreskrivs följande i punkt 2:

”Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.”

5

I artikel 2.1 i dataskyddsförordningen föreskrivs följande:

”Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.”

6

I artikel 4 (”Definitioner”) i dataskyddsförordningen föreskrivs följande:

”I denna förordning avses med

…

…

…”

7

I artikel 5 (”Principer för behandling av personuppgifter”) i dataskyddsförordningen föreskrivs följande:

”1.   Vid behandling av personuppgifter ska följande gälla:

…

…”

8

I artikel 6 (”Laglig behandling av personuppgifter”) i dataskyddsförordningen föreskrivs följande i punkt 1:

”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

…”

9

I artikel 13 (”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”) i dataskyddsförordningen föreskrivs följande:

”1.   Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

…

…”

10

I artikel 21 (”Rätt att göra invändningar”) i dataskyddsförordningen föreskrivs följande i punkt 1:

”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.”

11

Enligt artikel 1 i rådets direktiv 2004/113/EG av den 13 december 2004 om genomförande av principen om likabehandling av kvinnor och män när det gäller tillgång till och tillhandahållande av varor och tjänster (EUT L 373, 2004, s. 37) är syftet med detta direktiv att fastställa en ram för bekämpning av könsdiskriminering när det gäller tillgång till och tillhandahållande av varor och tjänster, för att i medlemsstaterna genomföra principen om likabehandling av kvinnor och män.

12

I artikel 8 i loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (lag nr 78-17 av den 6 januari 1978 om dataskydd och personlig integritet) (JORF av den 7 januari 1978, s. 227), i den lydelse som är tillämplig i det nationella målet, föreskrivs följande:

”I A. [CNIL] ska ha ställning som oberoende förvaltningsmyndighet.

I. [CNIL] ska ha ställning som nationell tillsynsmyndighet, i den mening som avses i och för tillämpningen av [dataskyddsförordningen]. Myndigheten ska ha följande uppgifter:

…

2° Den ska se till att behandling av personuppgifter sker i enlighet med bestämmelserna i denna lag och med andra dataskyddsbestämmelser i lag eller annan författning, i unionsrätten och i internationella överenskommelser som Frankrike har tillträtt.

För detta ändamål ska [CNIL]

…

13

SNCF Connect är ett bolag som via en webbplats och en app säljer färdbevis, såsom tågbiljetter, periodkort och rabattkort. När bolagets kunder köper färdbevis via webbplatsen eller i appen måste de ange uppgift om vilken tilltalstitel som ska användas i kommunikationen med dem genom att kryssa i någon av rutorna ”Herr” eller ”Fru”.

14

Föreningen Mousse ansåg att förutsättningarna för att samla in och registrera uppgifter om kundernas tilltalstitel inte uppfyllde kraven i dataskyddsförordningen. Den lämnade därför in ett klagomål mot SNCF Connect vid CNIL. Mousse gjorde till stöd för sitt klagomål gällande att insamlingen av de aktuella uppgifterna inte var förenlig med den laglighetsprincip som fastslås i artikel 5.1 a i förordningen, eftersom den inte hade stöd i någon av de rättsliga grunder som anges i artikel 6.1 i förordningen. Mousse anförde vidare att den aktuella uppgiftsinsamlingen stred mot principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Därutöver gjorde föreningen gällande att insamlingen stred mot bland annat de skyldigheter avseende öppenhet och information som följer av artikel 13 i förordningen.

15

I beslut av den 23 mars 2021 fann CNIL att de omständigheter som hade lagts SNCF Connect till last inte utgjorde någon överträdelse av de av Mousse åberopade bestämmelserna i dataskyddsförordningen och beslutade att förfarandet för prövning av klagomålet skulle avslutas. I skälen till sitt beslut anförde CNIL att den aktuella personuppgiftsbehandlingen fick anses uppfylla kravet på laglighet. Myndigheten fann nämligen att sådan behandling har stöd i artikel 6.1 första stycket b i dataskyddsförordningen, eftersom den är nödvändig för att fullgöra ett avtal om tillhandahållande av persontrafiktjänster. CNIL anförde vidare att den aktuella personuppgiftsbehandlingen fick anses vara förenlig med principen om uppgiftsminimering, med hänsyn till ändamålet med behandlingen. Användning av ett personligt tilltal i kommunikationen med kunderna, det vill säga att man använder titlarna ”herr” eller ”fru” när man vänder sig till en kund, måste nämligen anses överensstämma med vad som är brukligt i företagens kundkommunikation och i kommunikationen mellan enskilda samt även i myndigheternas kommunikation med enskilda.

16

Den 21 maj 2021 överklagade Mousse CNIL:s beslut till den hänskjutande domstolen, Conseil d’État (Högsta förvaltningsdomstolen, Frankrike). I sitt överklagande gjorde föreningen bland annat gällande följande. Skyldigheten att kryssa i någon av rutorna ”Herr” eller ”Fru” vid onlineköp strider mot både laglighetsprincipen i artikel 5.1 a i dataskyddsförordningen och mot principen om uppgiftsminimering i artikel 5.1 c i förordningen. Uppgiften om tilltalstitel är nämligen inte nödvändig för att fullgöra ett avtal om tillhandahållande av persontrafiktjänster eller för ändamål som rör SNCF Connects berättigade intressen. Den omständigheten att artighetstitlar av detta slag används i företagens kundkommunikation räcker inte för att anse att skyldigheten att lämna uppgift om denna titel är nödvändig. En sådan skyldighet innebär en kränkning av rätten att resa utan att behöva uppge sin titel och av rätten till respekt för privatlivet. Den innebär även en kränkning av alla människors rätt att fritt uttrycka sin könsidentitet och riskerar att leda till diskriminering. För medborgare i medlemsstater som medger att ”neutralt kön” anges i folkbokföringen överensstämmer titlarna ”herr” och ”fru” inte med de verkliga förhållandena. Detta skulle kunna utgöra ett åsidosättande av bland annat sådana medborgares rätt till fri rörlighet, som garanteras i unionsrätten.

17

CNIL yrkade att överklagandet skulle avslås och gjorde gällande att behandlingen av uppgifter om kundernas tilltalstitel även skulle kunna anses vara nödvändig för ändamål som rör SNCF Connects berättigade intressen, i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen, och att de registrerade eventuellt har möjlighet att, med åberopande av skäl som hänför sig till deras specifika situation, göra gällande den rätt att göra invändningar som fastslås i artikel 21 i förordningen.

18

Av begäran om förhandsavgörande framgår att den hänskjutande domstolen i detta sammanhang bland annat vill få klarhet i huruvida det, vid bedömningen av om behandlingen av de aktuella personuppgifterna är nödvändig, kan tas hänsyn till vad som är brukligt i företagens kundkommunikation, i kommunikationen mellan enskilda och i myndigheternas kommunikation med enskilda, vilket skulle kunna innebära att det anses vara förenligt med dataskyddsförordningens principer om laglighet och uppgiftsminimering att samla in uppgifter om kundernas tilltalstitel, där kunderna endast kan välja mellan att kryssa i ”herr” eller ”fru”. Den hänskjutande domstolen vill även få klarhet i vad som är relevant vid bedömningen av om kravet på att uppgifter om kundernas tilltalstitel samlas in och därefter behandlas är nödvändigt, trots att vissa av kunderna anser att de inte omfattas av någon av de två angivna titlarna (”herr” och ”fru”). Den vill närmare bestämt få klarhet i om det vid denna bedömning ska beaktas att sådana kunder, efter att ha lämnat de uppgifter till den personuppgiftsansvarige som krävs för att de ska kunna utnyttja den aktuella tjänsten, eventuellt skulle ha möjlighet att utöva sin rätt att göra invändningar mot användningen av uppgifter av detta slag, med åberopande av skäl som hänför sig till deras specifika situation, i den mening som avses i artikel 21 i dataskyddsförordningen.

19

Det är mot nu angiven bakgrund som Conseil d’État (Högsta förvaltningsdomstolen) har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen:

20

Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 6.1 första stycket b och f, jämförd med artikel 5.1 c, i dataskyddsförordningen ska tolkas på så sätt att ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, kan anses vara nödvändig för att fullgöra ett avtal, i den mening som avses i artikel 6.1 första stycket b, eller nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i den mening som avses i artikel 6.1 första stycket f.

21

Innan denna fråga besvaras vill EU-domstolen inledningsvis göra följande påpekanden. Av artikel 1 samt skälen 1 och 10 i dataskyddsförordningen framgår att syftet med förordningen bland annat är att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, i synnerhet den i artikel 8.1 i stadgan och artikel 16.1 FEUF fastslagna rätten till skydd av personuppgifter (dom av den 4 oktober 2024, Schrems (Offentliggörande av uppgifter för allmänheten), C‑446/21, EU:C:2024:834, punkt 45 och där angiven rättspraxis).

22

I enlighet med detta syfte ska all behandling av personuppgifter bland annat vara förenlig med de principer för behandling av personuppgifter som anges i artikel 5 i förordningen och uppfylla de förutsättningar för laglig behandling av sådana uppgifter som räknas upp i artikel 6 i förordningen (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 27 och där angiven rättspraxis).

23

Av artikel 5.1 a i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade.

24

I artikel 5.1 c i förordningen fastslås principen om uppgiftsminimering, som innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Denna princip är ett uttryck för proportionalitetsprincipen (se, för ett liknande resonemang, dom av den 4 oktober 2024, Schrems (Offentliggörande av uppgifter för allmänheten), C‑446/21, EU:C:2024:834, punkterna 49 och 50 samt där angiven rättspraxis).

25

Vad gäller förutsättningarna för laglig behandling av personuppgifter har EU-domstolen redan uttalat att artikel 6.1 första stycket i dataskyddsförordningen innehåller en uttömmande och fullständig förteckning över de fall där behandling av personuppgifter kan anses laglig. Detta innebär att en behandling måste omfattas av något av de fall som anges i nämnda bestämmelse för att den ska kunna anses vara laglig (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 29 och där angiven rättspraxis).

26

Enligt artikel 6.1 första stycket a i dataskyddsförordningen är behandling av personuppgifter laglig om och i den utsträckning som den registrerade har lämnat sitt samtycke till detta för ett eller flera särskilda ändamål. Har något sådant samtycke inte lämnats eller har samtycket inte lämnats på ett frivilligt, specifikt, informerat och otvetydigt sätt, i den mening som avses i artikel 4.11 i dataskyddsförordningen, kan behandlingen trots detta vara berättigad om den uppfyller något av de krav på nödvändighet som anges i artikel 6.1 första stycket b–f i förordningen (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkterna 91 och 92).

27

Det förhållandet att laglighetsgrunderna i sistnämnda bestämmelse ger möjlighet att utföra personuppgiftsbehandling utan den registrerades samtycke innebär i detta sammanhang ett krav på att dessa grunder tolkas restriktivt (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 31 och där angiven rättspraxis).

28

Vidare framgår följande av domstolens praxis. När det går att konstatera att en behandling av personuppgifter är nödvändig enligt någon av laglighetsgrunderna i artikel 6.1 första stycket b–f i dataskyddsförordningen, behöver det inte prövas om behandlingen även omfattas av någon annan laglighetsgrund. I det avseendet gäller närmare att det krav på nödvändighet som är kopplat till den laglighetsgrund som anges som stöd för den aktuella personuppgiftsbehandlingen inte kan anses vara uppfyllt om ändamålet med behandlingen rimligen skulle kunna uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inskränker de registrerades grundläggande rättigheter, särskilt de i artiklarna 7 och 8 i stadgan fastslagna rättigheterna avseende respekt för privatlivet och skydd av personuppgifter. Detta eftersom undantag från och inskränkningar av principen om skydd för personuppgifter måste begränsas till vad som är absolut nödvändigt (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 110 och där angiven rättspraxis, och dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 94).

29

Slutligen framgår av artikel 13.1 c i dataskyddsförordningen att den personuppgiftsansvarige, när personuppgifter samlas in från den registrerade, är skyldig att informera den registrerade om ändamålen med den behandling för vilken uppgifterna är avsedda och om den rättsliga grunden för behandlingen (dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 33 och där angiven rättspraxis).

30

Vad gäller förevarande fall kan följande konstateras. Det är ostridigt i målet att en tilltalstitel av nu aktuellt slag (”herr” eller ”fru”), som avser manlig eller kvinnlig könsidentitet, kan anses utgöra en ”personuppgift” när den avser en identifierad person, i den mening som avses i artikel 4.1 i dataskyddsförordningen. Det är även utrett att denna personuppgift är föremål för ”behandling”, i den mening som avses i artikel 4.2 i förordningen, eftersom uppgiften samlas in och registreras av SNCF Connect i samband med onlineförsäljning av färdbevis. Detta innebär att behandlingen, som dessutom är automatiserad, omfattas av dataskyddsförordningens materiella tillämpningsområde enligt artikel 2.1 i förordningen.

31

Härtill kommer att den hänskjutande domstolens första fråga bygger på två antaganden, nämligen dels att den nu aktuella personuppgiftsbehandlingen utförs utan samtycke från de registrerade, i den mening som avses i artiklarna 4.11 och 6.1 första stycket a i dataskyddsförordningen, dels att behandlingen inte är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, i den mening som avses i artikel 6.1 första stycket c i förordningen. Den första tolkningsfrågan avser därmed enbart möjligheten att åberopa laglighetsgrunderna i artikel 6.1 första stycket b och f i dataskyddsförordningen som stöd för den aktuella personuppgiftsbehandlingen.

32

I artikel 6.1 första stycket b i dataskyddsförordningen anges att en behandling av personuppgifter är laglig om den ”är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås”.

33

För att en personuppgiftsbehandling ska anses vara nödvändig för att fullgöra ett avtal, i den mening som avses i nämnda bestämmelse, måste behandlingen vara objektivt sett oundgänglig för att uppnå ett ändamål som utgör en väsentlig del av avtalsprestationen gentemot den registrerade. Den personuppgiftsansvarige måste således kunna visa på vilket sätt avtalets huvudändamål inte skulle kunna uppfyllas utan den aktuella personuppgiftsbehandlingen (dom av den 12 september 2024, HTB Neunte Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 43 och där angiven rättspraxis).

34

Den omständigheten att behandlingen nämns i avtalet eller att den endast är till nytta för fullgörandet av avtalet saknar i sig betydelse i detta sammanhang. Den avgörande faktorn vid tillämpningen av laglighetsgrunden i artikel 6.1 första stycket b i dataskyddsförordningen är nämligen att den personuppgiftsansvariges personuppgiftsbehandling är väsentlig för ett korrekt fullgörande av avtalet mellan den personuppgiftsansvarige och den registrerade och därmed att det inte finns några andra praktiska lösningar som är mindre ingripande (dom av den 12 september 2024, HTB Neunte Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 44 och där angiven rättspraxis).

35

Om avtalet avser flera tjänsteprestationer – eller flera olika delar av en och samma tjänsteprestation, vilka kan fullgöras oberoende av varandra – ska frågan om artikel 6.1 första stycket b i dataskyddsförordningen är tillämplig bedömas separat mot bakgrund av var och en av dessa prestationer (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor),C‑252/21, EU:C:2023:537, punkt 100).

36

I förevarande fall är det utrett att huvudändamålet med ett avtal av det nu aktuella slaget är att tillhandahålla en kund tjänster avseende persontransport med järnväg. Enligt den hänskjutande domstolen är ändamålet med den aktuella personuppgiftsbehandlingen att personanpassa det berörda företagets kommunikation med sina kunder, i enlighet med vad som är brukligt på detta område.

37

EU-domstolen instämmer i vad generaladvokaten, i punkt 42 i sitt förslag till avgörande, har påpekat om att kundkommunikation kan utgöra ett ändamål som är en väsentlig del av den aktuella avtalsprestationen. Detta eftersom det berörda företagets tillhandahållande av tjänster avseende persontransport med järnväg i princip förutsätter att företaget kommunicerar med kunderna, att det skickar ut färdbevis till dem via e‑post, att det informerar kunderna om eventuella ändringar som påverkar deras resor och att företaget ser till att kunderna kan ta kontakt med kundservice. Företaget kan i sin kundkommunikation behöva ta hänsyn till vad som är brukligt på området. Detta kan bland annat innefatta användning av tilltalstitlar och andra artighetsfraser, som ett bevis på företagets respekt för sina kunder, vilket även bidrar till att vårda företagets image.

38

Det kan dock inte anses vara nödvändigt att personanpassa kundkommunikationen utifrån kundernas könsidentitet. Av rättspraxis framgår nämligen att ett personanpassat innehåll inte är en nödvändig förutsättning för att ett företag ska kunna erbjuda en kund tjänster i fall där de aktuella tjänsterna eventuellt kan tillhandahållas kunden i form av ett likvärdigt alternativ som inte innefattar någon personanpassad kommunikation, med följd att en sådan personanpassning inte är objektivt sett oundgänglig för att uppnå ett ändamål som utgör en väsentlig del av den aktuella tjänsteprestationen (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor),C‑252/21, EU:C:2023:537, punkt 102).

39

Vad gäller de tjänster som är aktuella i det nationella målet gör EU-domstolen följande bedömning. En personanpassad kundkommunikation grundad på en förmodad könsidentitet utifrån artighetstitlarna ”herr” och ”fru” framstår varken som objektivt sett oundgänglig eller väsentlig för att möjliggöra ett korrekt fullgörande av det aktuella avtalet, i den mening som avses i ovan i punkterna 33 och 34 angiven rättspraxis.

40

Det förefaller nämligen finnas en praktisk lösning som är mindre ingripande, eftersom det berörda företaget skulle kunna utforma sin kommunikation med kunder som inte vill ange uppgift om tilltalstitel – eller sin allmänna kundkommunikation – på ett sådant sätt att kunderna tilltalas med generiska och inkluderande artighetsfraser som inte har någon koppling till kundernas förmodade könsidentitet. Det kan för övrigt konstateras, i likhet med vad generaladvokaten har påpekat i punkterna 49 och 50 i sitt förslag till avgörande, att det förefaller som om SNCF Connect redan använder artighetsfraser av nyss nämnt slag i sin kundkommunikation. Härtill kommer att den omständigheten att en kund anger en oriktig tilltalstitel verkar sakna betydelse för tillhandahållandet av de berörda persontransporttjänsterna, vilket i sådant fall skulle tala för att den nu aktuella personuppgiftsbehandlingen inte är objektivt sett oundgänglig för att uppfylla avtalets huvudändamål. Det ankommer dock på den hänskjutande domstolen att kontrollera dessa omständigheter.

41

I detta sammanhang ska det därutöver påpekas att SNCF Connect vid den muntliga förhandlingen gjorde gällande att den aktuella personuppgiftsbehandlingen har ytterligare ett ändamål, nämligen att anpassa persontrafiktjänsterna för nattåg, på vilka det finns vagnar som är reserverade för personer med samma könsidentitet, och att bistå passagerare med funktionshinder. Enligt SNCF Connect kan det för detta ändamål avseende anpassning av olika transporttjänster vara nödvändigt att känna till de berörda kundernas könsidentitet.

42

EU-domstolen finner dock att detta andra ändamål inte kan anses motivera bolagets systematiska och generella behandling av uppgifter om samtliga kunders tilltalstitel, vilket således även omfattar kunder som är dagresande eller som inte har ett funktionshinder. En sådan personuppgiftsbehandling skulle nämligen vara oproportionerlig och därmed strida mot principen om uppgiftsminimering (se punkt 24 ovan), eftersom behandlingen skulle ha kunnat begränsas till könsidentitetuppgifter avseende enbart de kunder som vill resa nattetid eller få personlig assistans på grund av att de har ett funktionshinder.

43

Det nu anförda innebär följande. Artikel 6.1 första stycket b, jämförd med artikel 5.1 c, i dataskyddsförordningen ska tolkas på så sätt att ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, varken är objektivt sett oundgänglig eller väsentlig för att ett avtal ska kunna fullgöras korrekt och kan därmed inte anses vara nödvändig för att fullgöra det aktuella avtalet.

44

I artikel 6.1 första stycket f i dataskyddsförordningen anges att behandling av personuppgifter är laglig om den är ”nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn”.

45

Av fast rättspraxis framgår att det i denna bestämmelse ställs upp tre kumulativa villkor för att personuppgiftsbehandling av i bestämmelsen angivet slag ska vara tillåten. Det första villkoret är att den personuppgiftsansvarige eller en tredje part ska ha ett berättigat intresse av att behandla de aktuella uppgifterna. Det andra villkoret är att personuppgiftsbehandlingen ska vara nödvändig för ändamål som rör det berättigade intresse som den personuppgiftsansvarige eller en tredje part anser sig ha. Det tredje villkoret är att det ska stå klart att den registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller en tredje parts berättigade intresse (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 106, och dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkt 37).

46

Det första av dessa villkor (kravet på att det ska föreligga ett berättigat intresse) innebär närmare följande. Om en personuppgiftsansvarig vill stödja sin behandling på artikel 6.1 första stycket f i dataskyddsförordningen är denne enligt artikel 13.1 d i förordningen skyldig att i samband med insamlingen av personuppgifter från den registrerade informera denne om vilka berättigade intressen den personuppgiftsansvarige anser sig ha för behandlingen. I och med att begreppet ”berättigat intresse” inte definieras i dataskyddsförordningen får detta begrepp anses kunna omfatta ett brett spektrum av intressen. Begreppet är i synnerhet inte begränsat till sådana intressen som är klart angivna och avgränsade i lag (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 107, och dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punkterna 38, 40 och 41 samt där angiven rättspraxis).

47

Det nu anförda vinner stöd i skäl 47 i dataskyddsförordningen. Av detta skäl framgår att det kan vara fråga om ett berättigat intresse i förordningens mening om det finns ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige, vilket till exempel är fallet om den registrerade är kund till den personuppgiftsansvarige.

48

Vad gäller det andra villkoret (kravet på att personuppgiftsbehandlingen ska vara nödvändig för ändamål som rör det berättigade intresse som den personuppgiftsansvarige eller en tredje part anser sig ha) ska följande påpekas. Mot bakgrund av ovan i punkt 28 angiven rättspraxis ankommer det på den hänskjutande domstolen att pröva huruvida det berättigade intresse som SNCF Connect anser sig ha av att behandla de aktuella personuppgifterna inte rimligen kan tillgodoses på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter. Detta eftersom personuppgiftsbehandlingen måste begränsas till vad som är absolut nödvändigt för att tillgodose det åberopade berättigade intresset.

49

Det ska i detta sammanhang även påpekas att det nyss nämnda kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c i dataskyddförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (dom av den 12 september 2024, HTB Neunte Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 52 och där angiven rättspraxis).

50

Vad slutligen gäller det tredje av de ovan angivna villkoren (kravet på att det står klart att den registrerades intressen och grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller en tredje parts berättigade intresse), har EU-domstolen i en tidigare dom slagit fast att detta innebär att det ska göras en intresseavvägning mellan berörda motstående rättigheter och intressen, vars utfall i princip beror på de konkreta omständigheterna i det enskilda fallet. Den fann även att det därmed ankom på den berörda hänskjutande domstolen att göra en sådan intresseavvägning med hänsyn till de särskilda omständigheterna i det aktuella nationella målet. Såsom framgår av skäl 47 i dataskyddsförordningen kan den registrerades intressen och grundläggande rättigheter i synnerhet väga tyngre än den personuppgiftsansvariges intresse när personuppgifter behandlas under omständigheter där de registrerade inte rimligen kan förvänta sig en sådan behandling (se, för ett liknande resonemang, dom av den 12 september 2024, HTB Neunte Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkterna 53 och 54 samt där angiven rättspraxis).

51

I förevarande fall ankommer det visserligen i slutändan på den hänskjutande domstolen att bedöma huruvida de ovan i punkt 45 angivna tre villkoren är uppfyllda med avseende på den nu aktuella personuppgiftsbehandlingen. EU-domstolen kan dock, när den meddelar ett förhandsavgörande, bidra med preciseringar för att vägleda den hänskjutande domstolen i denna fråga (se, analogt, dom av den 12 september 2024, HTB Neunte Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 55 och där angiven rättspraxis).

52

Vad gäller det första villkoret (se punkt 46 ovan), ankommer det på den hänskjutande domstolen att pröva huruvida SNCF Connect i samband med insamlingen av de aktuella uppgifterna har informerat – i enlighet med artikel 13.1 d i dataskyddsförordningen – sina kunder om vilket berättigat intresse bolaget anser sig ha av att behandla uppgifterna. Såsom generaladvokaten har påpekat i punkt 58 i sitt förslag till avgörande innebär nämnda bestämmelse en skyldighet för den personuppgiftsansvarige att när de aktuella uppgifterna samlas in direkt informera de registrerade om vilket berättigat intresse denne stödjer sig på. Om denna skyldighet inte uppfylls kan uppgiftsinsamlingen inte anses ha stöd i den rättsliga grunden i artikel 6.1 första stycket f i förordningen. Det är inte möjligt att utifrån handlingarna i målet vid EU-domstolen bedöma huruvida detta krav har iakttagits i det nationella målet.

53

SNCF Connect har i sitt skriftliga yttrande i målet vid EU-domstolen hänvisat till ett ändamål som rör kundprospektering, vilket skulle kunna kräva en personanpassad kundkommunikation och därmed göra det nödvändigt att behandla de aktuella personuppgifterna.

54

I detta avseende framgår det av skäl 47 sista meningen i dataskyddsförordningen att personuppgiftsbehandling för ändamål som rör direktmarknadsföring kan anses ske för att tillgodose ett berättigat intresse. I synnerhet kan personanpassad reklam likställas med kundprospektering i ett sådant sammanhang (se, analogt, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor),C‑252/21, EU:C:2023:537, punkt 115).

55

Vad gäller det andra villkoret (se punkt 48 ovan) förefaller det – med förbehåll för den hänskjutande domstolens prövning – som om en personanpassad kundkommunikation skulle kunna begränsas till behandling av kundernas för- och efternamn, eftersom uppgiften om kundernas tilltalstitel och/eller deras könsidentitet inte framstår som absolut nödvändig i detta sammanhang, särskilt mot bakgrund av principen om uppgiftsminimering.

56

SNCF Connect och den franska regeringen har i sina respektive skriftliga yttranden i målet gjort gällande att det vid bedömningen av huruvida en personuppgiftsbehandling är nödvändig ska tas hänsyn till de sedvänjor och sociala konventioner som finns i varje enskild medlemsstat. Detta är särskilt viktigt för bevarandet av den språkliga och kulturella mångfalden, som det talas om i skäl 4 i dataskyddsförordningen. EU-domstolen konstaterar dock att sedvänjor och sociala konventioner inte anges i artikel 6.1 första stycket f i dataskyddsförordningen som en omständighet till vilken hänsyn ska tas vid bedömningen av om en viss personuppgiftsbehandling uppfyller kravet på nödvändighet. Här ska även framhållas att artikel 6 i förordningen ska tolkas restriktivt (se punkt 27 ovan).

57

Vidare torde den språkliga och kulturella mångfalden inte påverkas av att uppgifter om kundernas tilltalstitel eller könsidentitet inte behandlas. Såsom framgår av punkt 40 ovan står det nämligen den personuppgiftsansvarige fritt att iaktta berörda sedvänjor och sociala konventioner genom att utforma sin kommunikation med kunder som inte vill ange uppgift om tilltalstitel – eller sin allmänna kundkommunikation – på ett sådant sätt att kunderna tilltalas med generiska och inkluderande artighetsfraser som inte har någon koppling till kundernas könsidentitet. Mot denna bakgrund kan det under alla omständigheter inte anses finnas något fog för vad SNCF Connect och den franska regeringen anfört i detta avseende.

58

EU-domstolen övergår slutligen till att behandla det tredje villkoret (se punkt 50 ovan) och den avvägning som ska göras mellan berörda motstående rättigheter och intressen, det vill säga å ena sidan den personuppgiftsansvariges rättigheter och intressen och å andra sidan den registrerades rättigheter och intressen. Vid denna avvägning ska det bland annat tas hänsyn till den registrerades rimliga förväntningar samt till hur omfattande den aktuella personuppgiftsbehandlingen är och vilken inverkan den har på den registrerade (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor),C‑252/21, EU:C:2023:537, punkt 116).

59

Med förbehåll för den hänskjutande domstolens prövning kan det i detta avseende konstateras, i likhet med vad generaladvokaten har påpekat i punkt 70 i sitt förslag till avgörande, att ett persontrafikföretags kunder inte rimligen kan förvänta sig att företaget kommer att behandla uppgifter om deras tilltalstitel eller könsidentitet i samband med att de köper ett färdbevis. Så skulle särskilt vara fallet om dessa uppgifter behandlades uteslutande för ändamål rörande kundprospektering.

60

Det berättigade intresset av att behandla uppgifterna för ändamål rörande kundprospektering kan under alla omständigheter inte anses väga tyngre om det finns en risk för att den registrerades grundläggande fri- och rättigheter påverkas negativt. Av skäl 75 i dataskyddsförordningen framgår nämligen att risker för fysiska personers fri- och rättigheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till diskriminering.

61

I detta sammanhang kommer den hänskjutande domstolen särskilt att behöva pröva huruvida det – såsom Mousse har påstått – finns en risk för diskriminering på grund av könsidentitet. Vid denna prövning ska det bland annat tas hänsyn till direktiv 2004/113, som genomför principen om likabehandling av kvinnor och män när det gäller tillgång till och tillhandahållande av varor och tjänster.

62

Här ska närmare anges att det direktivets tillämpningsområde inte kan anses vara begränsat till att omfatta enbart diskriminering som beror på att en person tillhör det ena eller det andra könet. Med hänsyn till vad som regleras i direktiv 2004/113, och till arten av de rättigheter som det syftar till att skydda, får direktivet även anses vara tillämpligt på diskriminering som beror på att en person har bytt könsidentitet (se, analogt, dom av den 27 april 2006, Richards, C‑423/04, EU:C:2006:256, punkt 24 och där angiven rättspraxis).

63

Artikel 6.1 första stycket f, jämförd med artikel 5.1 c, i dataskyddsförordningen ska följaktligen tolkas på så sätt att ett persontrafikföretags behandling av personuppgifter avseende kundernas tilltalstitel, vars ändamål är att personanpassa kommunikationen med kunderna på grundval av deras könsidentitet, inte kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i fall där någon av följande omständigheter föreligger:

64

Mot bakgrund av det ovan anförda ska den första tolkningsfrågan besvaras enligt följande. Artikel 6.1 första stycket b och f, jämförd med artikel 5.1 c, i dataskyddsförordningen ska tolkas på följande sätt:

65

Den hänskjutande domstolen har ställt sin andra fråga för att få klarhet i huruvida artikel 6.1 första stycket f i dataskyddsförordningen ska tolkas på så sätt att det, vid bedömningen av om en personuppgiftsbehandling som stöder sig på den bestämmelsen uppfyller kravet på nödvändighet, ska beaktas att den registrerade eventuellt har rätt att göra invändningar mot behandlingen enligt artikel 21 i förordningen.

66

EU-domstolen gör i denna del följande bedömning. Av artikel 21.1 i dataskyddsförordningen framgår att den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ska ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 första stycket e eller f i förordningen, inbegripet profilering som grundar sig på dessa bestämmelser. Vidare framgår att om den registrerade invänder mot behandlingen, så får den personuppgiftsansvarige endast fortsätta att behandla uppgifterna om denne kan visa att det finns tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen och fri- och rättigheter eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk.

67

En förutsättning för att artikel 21 i dataskyddsförordningen ska vara tillämplig, och därmed för att den registrerade eventuellt ska ha rätt att göra invändningar, är att den aktuella personuppgiftsbehandlingen är laglig, det vill säga att den i förevarande fall stödjer sig på artikel 6.1 första stycket f. Detta förutsätter i sin tur att personuppgiftsbehandlingen uppfyller kravet på absolut nödvändighet (se punkt 48 ovan).

68

Såsom generaladvokaten har påpekat i punkterna 80 och 82 i sitt förslag till avgörande framgår det således av de ovan nämnda bestämmelsernas ordalydelse och systematik att den registrerades eventuella möjlighet att utöva sin rätt att göra invändningar inte är en omständighet som får beaktas vid bedömningen av om en personuppgiftsbehandling av nu aktuellt slag är laglig och, i synnerhet, av om den är nödvändig.

69

Denna tolkning vinner stöd av det mål som eftersträvas med dataskyddsförordningen, vilket mot bakgrund av skäl 10 i förordningen är att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter med avseende på behandling av personuppgifter. En annan tolkning skulle nämligen medföra en försvagning av de krav som anges i artikel 6.1 första stycket f i dataskyddsförordningen genom att laglighetsgrunderna för den aktuella personuppgiftsbehandlingen skulle utvidgas, vilket skulle strida mot det i rättspraxis (se ovan punkt 27) fastslagna kravet på att denna bestämmelse ska tolkas restriktivt.

70

Mot bakgrund av det ovan anförda ska den andra tolkningsfrågan besvaras enligt följande. Artikel 6.1 första stycket f i dataskyddsförordningen ska tolkas på så sätt att det, vid bedömningen av om en personuppgiftsbehandling som stöder sig på den bestämmelsen uppfyller kravet på nödvändighet, inte ska beaktas att den registrerade eventuellt har rätt att göra invändningar mot behandlingen enligt artikel 21 i förordningen.

71

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (första avdelningen) följande: