Ediție provizorie

CONCLUZIILE AVOCATULUI GENERAL

DOMNUL MACIEJ SZPUNAR

prezentate la 11 iulie 2024(1)

Cauza C‑394/23

Association Mousse

împotriva

Commission nationale de l’informatique et des libertés (CNIL),

SNCF Connect

[cerere de decizie preliminară formulată de Conseil d’État (Consiliul de Stat, Franța)]

„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 6 alineatul (1) – Principiul legalității prelucrării – Articolul 5 alineatul (1) litera (c) – Principiul reducerii la minimum a datelor – Titlu civil – Achiziționarea online a unei prestări de servicii de transport – Articolul 21 – Dreptul la opoziție”

I.      Introducere

1.        Regulamentul (UE) 2016/679(2) (denumit în continuare „RGPD”) urmărește să asigure un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. În acest scop, el impune operatorilor să respecte o serie de principii atunci când prelucrează date cu caracter personal, printre care se numără așa‑numitul principiu al „reducerii la minimum a datelor” și principiul legalității prelucrării.

2.        Aceste două principii stau la baza prezentei cauze care se referă la un litigiu între o asociație, pe de o parte, și o autoritate națională de supraveghere, pe de altă parte, în legătură cu prelucrarea de către o întreprindere de transport a datelor privind titlul civil al clienților săi în scopul afirmat de a le utiliza în comunicarea lor comercială și care oferă astfel Curții oportunitatea de a preciza conținutul acestora.

II.    Cadrul juridic

A.      Dreptul Uniunii

3.        Considerentele (4), (10), (39), (40), (44), (47), (69) și (75) ale RGPD au următorul cuprins:

„(4)      Prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor. Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute în [Carta drepturilor fundamentale a Uniunii Europene, denumită în continuare «carta»] astfel cum sunt consacrate în tratate, în special respectarea vieții private și de familie, a reședinței și a comunicațiilor, a protecției datelor cu caracter personal, a libertății de gândire, de conștiință și de religie, a libertății de exprimare și de informare, a libertății de a desfășura o activitate comercială, dreptul la o cale de atac eficientă și la un proces echitabil, precum și diversitatea culturală, religioasă și lingvistică.

[…]

(10)      Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. […]

[…]

(39)      […] Datele cu caracter personal ar trebui să fie adecvate, relevante și limitate la ceea ce este necesar pentru scopurile în care sunt prelucrate. […] Datele cu caracter personal ar trebui prelucrate doar dacă scopul prelucrării nu poate fi îndeplinit în mod rezonabil prin alte mijloace. […]

(40)      Pentru ca prelucrarea datelor cu caracter personal să fie legală, aceasta ar trebui efectuată pe baza consimțământului persoanei vizate sau în temeiul unui alt motiv legitim, prevăzut de lege, fie în prezentul regulament, fie în alt act din dreptul Uniunii sau din dreptul intern, după cum se prevede în prezentul regulament, inclusiv […] necesitatea de a executa un contract la care persoana vizată este parte sau pentru a parcurge etapele premergătoare încheierii unui contract, la solicitarea persoanei vizate.

[…]

(44)      Prelucrarea ar trebui să fie considerată legală în cazul în care este necesară în cadrul unui contract sau în vederea încheierii unui contract.

[…]

(47)      Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul. Acest interes legitim ar putea exista, de exemplu, atunci când există o relație relevantă și adecvată între persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client al operatorului […] În orice caz, existența unui interes legitim ar necesita o evaluare atentă, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. […] Prelucrarea de date cu caracter personal strict necesară în scopul prevenirii fraudelor constituie, de asemenea, un interes legitim al operatorului de date în cauză. Prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim.

[…]

(69)      În cazurile în care datele cu caracter personal ar putea fi prelucrate în mod legal deoarece prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau pe baza intereselor legitime ale unui operator sau ale unei părți terțe, o persoană vizată ar trebui să aibă totuși dreptul de a se opune prelucrării oricăror date cu caracter personal care se referă la situația sa particulară. Ar trebui să revină operatorului sarcina de a demonstra că interesele sale legitime și imperioase prevalează asupra intereselor sau a drepturilor și libertăților fundamentale ale persoanei vizate.

[…]

(75)      Riscul pentru drepturile și libertățile persoanelor fizice, prezentând grade diferite de probabilitate de materializare și de gravitate poate fi rezultatul unei prelucrări a datelor cu caracter personal care ar putea genera prejudicii de natură fizică, materială sau morală, în special în cazurile în care: prelucrarea poate conduce la discriminare […]”

4.        Potrivit articolului 2 alineatul (1), RGPD se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr‑un sistem de evidență a datelor sau care sunt destinate să facă parte dintr‑un sistem de evidență a datelor.

5.        Articolul 4 din RGPD, intitulat „Definiții”, prevede:

„În sensul prezentului regulament:

1.      «date cu caracter personal» înseamnă orice informații privind o persoană fizică identificată sau identificabilă […]

2.      «prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea […]

[…]

7.      «operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; […]

[…]

11.      «consimțământ» al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;

[…]”

6.        Articolul 5 din RGPD, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:

„(1)      Datele cu caracter personal sunt:

(a)      prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);

[…]

(c)      adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);

(d)      exacte și, în cazul în care este necesar, să fie actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt șterse sau rectificate fără întârziere («exactitate»);

[…]”

7.        Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, prevede la alineatul (1):

„Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

(a)      persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;

(b)      prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;

(c)      prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;

(d)      prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;

(e)      prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;

(f)      prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

[…]”

8.        Articolul 13 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede:

„(1)      În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

[…]

(d)      în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță;

[…]”

9.        Articolul 21 din RGPD, intitulat „Dreptul la opoziție”, prevede la alineatul (1):

„În orice moment, persoana vizată are dreptul să se opună, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f), a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.”

10.      Articolul 25 din RGPD, intitulat „Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit”, prevede la alineatul (2):

„Operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Respectiva obligație se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare și accesibilității lor. […]”

B.      Dreptul francez

11.      Articolul 8 din loi n^o 78-17 relative à l’informatique, aux fichiers et aux libertés (Legea nr. 78-17 privind informatica, fișierele electronice și libertățile)(3) din 6 ianuarie 1978 prevede:

„Comisia Națională pentru Informatică și Libertăți [(CNIL)] este o autoritate administrativă independentă.

Aceasta este autoritatea națională de supraveghere în sensul și pentru aplicarea [RGPD]. Aceasta îndeplinește următoarele sarcini:

[…]

2°      Asigură că prelucrările datelor cu caracter personal sunt efectuate în conformitate cu dispozițiile prezentei legi și cu alte dispoziții privind protecția datelor cu caracter personal prevăzute de actele cu putere de lege și de normele administrative, de dreptul Uniunii Europene și de angajamentele internaționale ale Franței.

În acest sens:

[…]

d)      Soluționează reclamațiile, petițiile și plângerile depuse de o persoană vizată sau de un organism, o organizație sau o asociație, examinează sau investighează obiectul reclamației, în măsura în care este necesar, și informează autorul reclamației cu privire la evoluția și rezultatul investigației, într‑un termen rezonabil, în special dacă este necesară o investigație suplimentară sau o coordonare cu o altă autoritate de supraveghere; […]”

III. Situația de fapt din litigiul principal, procedura în fața Curții și întrebările preliminare

12.      SNCF Connect este o societate care comercializează legitimații de transport feroviar precum biletele de tren, abonamentele și cardurile de reducere prin intermediul site‑ului său internet și al aplicațiilor. Atunci când achiziționează aceste legitimații de transport, clienții societății respective sunt obligați să indice în mod obligatoriu titlul lor civil, prin bifarea mențiunii „Domnul” sau „Doamna”.

13.      Apreciind că condițiile în care era colectat și înregistrat titlul civil al clienților la momentul achiziționării legitimațiilor de transport nu erau conforme cu cerințele RGPD, reclamanta din litigiul principal, Asociația Mousse (denumită în continuare „Mousse”), a sesizat CNIL cu o reclamație împotriva SNCF Connect. În susținerea acestei reclamații, Mousse a arătat că colectarea datelor în cauză nu era conformă cu principiul legalității, consacrat la articolul 5 alineatul (1) litera (a) din acest regulament, întrucât nu se întemeia pe niciunul dintre temeiurile prevăzute la articolul 6 alineatul (1) din regulamentul menționat. În plus, o asemenea colectare ar încălca principiul reducerii la minimum a datelor și principiul exactității, prevăzute la articolul 5 alineatul (1) litera (c) și, respectiv, litera (d) din același regulament, precum și obligațiile de transparență și de informare care decurg în special din articolul 13 din acesta. În acest context, Mousse a susținut că SNCF Connect nu ar trebui să colecteze datele respective sau că ar trebui, cel puțin, să ofere clienților săi posibilități suplimentare, cum ar fi o mențiune „Neutru” sau „Altele”.

14.      Prin decizia din 23 martie 2021, CNIL a respins reclamația cu care era sesizată, apreciind că faptele reproșate SNCF Connect nu constituiau încălcări ale dispozițiilor vizate din RGPD. CNIL a constatat că prelucrarea datelor era legală, în temeiul articolului 6 alineatul (1) litera (b) din acest regulament, pentru motivul că era necesară pentru executarea contractului de prestare de servicii de transport. În plus, CNIL a arătat că, în raport cu scopurile sale, o astfel de prelucrare era conformă cu principiul reducerii la minimum a datelor, din moment ce faptul de a se adresa clienților prin utilizarea titlului lor civil corespundea uzanțelor în materie de comunicări civile, comerciale și administrative.

15.      La 21 mai 2021, Mousse a introdus o acțiune în anulare împotriva deciziei din 23 martie 2021 a CNIL la Conseil d’État (Consiliul de Stat, Franța). În cererea sa introductivă, Mousse arată printre altele că obligația de a opta pentru mențiunea „Domnul” sau „Doamna” la momentul achiziției online nu respectă principiul legalității și nici principiul reducerii la minimum a datelor, prevăzute la articolul 5 alineatul (1) litera (a) și, respectiv, litera (c) din RGPD, din moment ce această mențiune nu ar fi necesară pentru executarea contractului și nici în scopul intereselor legitime ale SNCF Connect. Împrejurarea că mențiunea respectivă este utilizată în corespondența comercială nu poate fi suficientă pentru a face necesară colectarea acestor date. În sfârșit, o asemenea obligație ar fi de natură să aducă atingere dreptului de a călători fără a‑și dezvălui titlul civil, dreptului la respectarea vieții private, precum și libertății de a‑și defini în mod liber exprimarea de gen. În ceea ce privește în special resortisanții țărilor în care starea civilă acceptă „genul neutru”, această mențiune nu ar corespunde realității și, prin urmare, s‑ar putea dovedi contrară principiului exactității, prevăzut la articolul 5 alineatul (1) litera (d) din acest regulament, aducând în același timp atingere libertății lor de circulație, garantate de dreptul Uniunii.

16.      CNIL solicită respingerea acestei acțiuni și arată că prelucrarea datelor referitoare la titlul civil ar putea de asemenea să fie calificată drept „necesară” în scopul intereselor legitime urmărite de SNCF Connect, în sensul articolului 6 alineatul (1) litera (f) din RGPD, și că persoanele vizate ar putea – în funcție de situația particulară în care se află – să invoce dreptul la opoziție garantat la articolul 21 din acest regulament.

17.      Instanța de trimitere ridică, pe de o parte, problema dacă, pentru a aprecia caracterul adecvat, relevant și limitat la ceea ce este necesar al colectării datelor, precum și necesitatea prelucrării acestora, se poate ține seama de uzanțele acceptate în mod curent în comunicările civile, comerciale și administrative, astfel încât colectarea datelor referitoare la titlul civil al clienților, limitată la mențiunile „Domnul” sau „Doamna”, să poată fi calificată drept „legală și conformă” cu principiul reducerii la minimum a datelor. Această instanță ridică, pe de altă parte, problema dacă, pentru a aprecia necesitatea colectării obligatorii și a prelucrării subsecvente a datelor referitoare la titlul civil al clienților și în condițiile în care unii dintre aceștia consideră că nu se încadrează în niciunul dintre cele două titluri civile, trebuie să se țină seama de faptul că acești clienți ar putea, după ce au furnizat aceste date operatorului pentru a beneficia de serviciul oferit, să își exercite dreptul de a se opune la utilizarea unor astfel de date, ca urmare a situației particulare în care se află, în sensul articolului 21 din RGPD.

18.      În acest context, Conseil d’État (Consiliul de Stat) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1)      Pentru aprecierea caracterului adecvat, pertinent și limitat la ceea ce este necesar pentru colectarea de date în sensul dispozițiilor [articolului 5 alineatul (1) litera (c) din RGPD] și a necesității prelucrării acestora în sensul [articolului 6 alineatul (1) literele (b) și (f) din acest regulament], se poate ține seama de uzanțele acceptate în mod curent în materie de comunicări civile, comerciale și administrative, astfel încât colectarea datelor referitoare la titlul civil al clienților, limitată la mențiunile «Domnul» sau «Doamna», ar putea fi considerată necesară, fără a constitui un obstacol în privința principiului reducerii la minimum a datelor?

2)      Pentru aprecierea necesității colectării obligatorii și a prelucrării datelor referitoare la titlul civil al clienților și în condițiile în care unii clienți consideră că nu se încadrează în niciunul dintre cele două titluri civile și că o colectare a acestei date nu este relevantă în ceea ce îi privește, este necesar să se țină seama de faptul că aceștia ar putea, după furnizarea acestei date operatorului pentru a beneficia de serviciul propus, să își exercite dreptul de opoziție în legătură cu utilizarea și păstrarea sa invocând situația particulară în care se află, în temeiul articolului 21 din RGPD?”

19.      Mousse, SNCF Connect, guvernul francez, precum și Comisia Europeană au depus observații scrise. Aceleași părți au participat la ședința care a avut loc la 29 aprilie 2024.

IV.    Analiză

A.      Cu privire la prima întrebare preliminară

20.      Prin intermediul primei întrebări preliminare, instanța de trimitere solicită în esență să se stabilească dacă articolul 5 alineatul (1) litera (c) și articolul 6 alineatul (1) literele (b) și (f) din RGPD trebuie interpretate în sensul că prelucrarea datelor cu caracter personal referitoare la titlul civil al clienților unei întreprinderi de transport trebuie să fie considerată necesară pentru executarea unui contract sau pentru a face demersuri înainte de încheierea unui contract sau necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, atunci când această prelucrare urmărește să permită o comunicare comercială personalizată, asigurând respectarea uzanțelor general acceptate în materie de comunicare comercială.

21.      Trebuie să facem de la bun început două observații introductive în această privință.

22.      Pe de o parte, arătăm că părțile sunt de acord și că nu există nicio îndoială că datele referitoare la titlul civil al clienților unei întreprinderi de transport constituie date cu caracter personal, în sensul articolului 4 punctul 1 din RGPD și că, în plus, colectarea și înregistrarea lor de către SNCF Connect trebuie considerate o prelucrare, în sensul articolului 4 punctul 2 din acest regulament, astfel încât trebuie examinate în lumina dispozițiilor regulamentului menționat.

23.      Pe de altă parte, SNCF Connect și guvernul francez susțin ideea potrivit căreia un răspuns negativ la prima întrebare preliminară ar conduce la aplicarea RGPD într‑un context care îi este străin, în măsura în care, prin adoptarea acestui regulament, legiuitorul nu ar fi intenționat să reglementeze uzanțele în materie de comunicare sau problema legată de gen. Deși admitem fără rezerve, asemenea avocatului general Bobek, că normele în materie de protecție a vieții private pot fi uneori „aplic[ate] în circumstanțe destul de surprinzătoare”(4), considerăm totuși că prezenta situație nu face parte dintre acestea. Faptul că sunt în discuție datele de identitate civilă și că, astfel, transpar în mod indirect dezbaterile existente în ordinile juridice naționale cu privire la problema binarității de gen nu poate conduce la ocultarea faptului că, în speță, este într‑adevăr în discuție prelucrarea automată a datelor cu caracter personal ale clienților săi de către o societate de transport, care nu numai că intră în mod obiectiv în domeniul de aplicare al RGPD, dar constituie o operațiune de prelucrare a datelor pe care legiuitorul Uniunii avea drept obiectiv să o reglementeze(5).

24.      Prin urmare, vom începe analiza noastră privind prima întrebare preliminară cu observații generale în ceea ce privește condiția referitoare la legalitatea prelucrării datelor, care se aplică, potrivit RGPD, operatorilor, înainte de a stabili dacă, în lumina principiilor prezentate, această condiție trebuie considerată îndeplinită în ceea ce privește prelucrarea datelor referitoare la titlul civil al clienților unei întreprinderi de transport în scopul comunicării cu acești clienți recurgând la uzanțe general acceptate în materie de comunicare comercială.

1.      Cu privire la legalitatea prelucrării datelor cu caracter personal

25.      Articolul 5 din RGPD enunță o serie de principii referitoare la prelucrarea datelor cu caracter personal. În special, această dispoziție prevede că astfel de date sunt „prelucrate în mod legal”(6) și sunt „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate”(7). Cu alte cuvinte, orice prelucrare a datelor trebuie să respecte printre altele principiul legalității și principiul reducerii la minimum a datelor.

26.      Articolul 6 din RGPD precizează domeniul de aplicare al principiului legalității prelucrării datelor. În măsura în care permite o restrângere a dreptului la protecția datelor cu caracter personal(8), articolul 6 alineatul (1) din acest regulament îndeplinește condițiile prevăzute la articolul 52 alineatul (1) din cartă: restrângerea în discuție este prevăzută de lege și respectă substanța acestui drept. În plus, restrângerea menționată este necesară și răspunde unui obiectiv de interes general recunoscut de Uniune sau necesității protejării drepturilor și libertăților celorlalți(9).

27.      Astfel, legiuitorul a prevăzut șase motive pentru care prelucrarea datelor este legală, care precizează obiectivele de interes general și drepturile și libertățile care necesită protecție susceptibile să justifice o restrângere a dreptului la protecția datelor cu caracter personal. Articolul 6 alineatul (1) din RGPD prevede, așadar, „o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată ca fiind legală”(10).

28.      Articolul 6 alineatul (1) din RGPD nu stabilește o ierarhie strictă(11) a motivelor pentru care prelucrarea datelor trebuie considerată legală. Prin urmare, Curtea a precizat în jurisprudența sa relațiile dintre acestea din urmă.

29.      Pe de o parte, aceasta a amintit că, potrivit articolului 6 alineatul (1) litera (a) din RGPD, „prelucrarea datelor cu caracter personal este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru unul sau mai multe scopuri specifice”. Curtea a adăugat că, „[î]n lipsa unui astfel de consimțământ […], o astfel de prelucrare este totuși justificată atunci când îndeplinește una dintre cerințele de necesitate menționate la articolul 6 alineatul (1) […] literele (b)-(f) din regulament”(12). În plus, ea a statuat că „justificările [în discuție], în măsura în care permit ca prelucrarea datelor cu caracter personal efectuată în lipsa consimțământului persoanei vizate să fie legală, trebuie să facă obiectul unei interpretări restrictive”(13). Prin urmare, motivele prelucrării datelor cu caracter personal prevăzute la articolul 6 alineatul (1) din regulamentul menționat sunt echivalente și niciunul nu trebuie să fie considerat subsidiar în raport cu altul.

30.      Pe de altă parte, Curtea a precizat caracterul necumulativ al justificărilor prevăzute la articolul 6 alineatul (1) din RGPD. Ea a arătat astfel că, „atunci când este posibil să se constate că prelucrarea de date cu caracter personal este necesară în raport cu una dintre justificările prevăzute la articolul 6 alineatul (1) […] literele (b)-(f) din RGPD, nu este necesar să se stabilească dacă această prelucrare intră de asemenea sub incidența unei alte justificări”(14). Cu alte cuvinte, astfel cum am evocat deja(15), prelucrarea datelor cu caracter personal este legală atunci când este justificată în temeiul unui singur motiv, fără ca un motiv să poată fi considerat subsidiar altui motiv.

31.      Cu toate acestea, principiul legalității detaliat la articolul 6 alineatul (1) din RGPD nu poate fi analizat în mod izolat. Astfel, Curtea statuează în mod constant că această condiție „trebuie examinată împreună cu principiul «reducerii la minimum a datelor» consacrat la articolul 5 alineatul (1) litera (c) din [acest regulament]”(16). Principiul menționat este, potrivit jurisprudenței Curții și astfel cum am subliniat deja(17), o expresie a principiului proporționalității(18) care impune, după cum susține guvernul francez în observațiile sale scrise, ca mijloacele utilizate să fie apte să realizeze obiectivul urmărit și să nu depășească ceea ce este necesar pentru atingerea acestuia(19).

32.      Cu alte cuvinte, principiul reducerii la minimum a datelor presupune să se verifice dacă datele prelucrate sunt adecvate pentru a atinge scopul urmărit prin prelucrarea lor – potrivit motivelor prevăzute la articolul 6 alineatul (1) din RGPD – și dacă datele prelucrate sunt adecvate numai dacă scopul prelucrării nu poate fi atins în mod rezonabil prin alte mijloace. Sfera datelor astfel prelucrate, din punct de vedere atât cantitativ, cât și substanțial, nu este mai extinsă decât ceea ce este necesar pentru atingerea acestui scop(20).

33.      În această privință, vom face o observație suplimentară. Subliniem că Curtea a interpretat principiul reducerii la minimum a datelor coroborat cu principiul legalității prelucrării numai în situații în care prelucrarea în discuție se întemeia pe unul dintre motivele prevăzute la articolul 6 alineatul (1) literele (b)-(f) din RGPD. Cu alte cuvinte, Curtea nu a precizat în mod clar dacă principiul reducerii la minimum a datelor are vocația de a se aplica și atunci când persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal. Este adevărat că s‑ar putea susține ideea potrivit căreia, în măsura în care persoana și‑a dat consimțământul, operatorul poate efectua prelucrarea tuturor datelor, fără ca principiul reducerii la minimum a datelor să se opună acesteia.

34.      Totuși, considerăm că o asemenea interpretare nu este compatibilă nici cu obiectivul RGPD de a asigura un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal, nici cu textul dispozițiilor în discuție.

35.      Astfel, arătăm că articolul 6 alineatul (1) litera (a) din RGPD prevede legalitatea prelucrării cu condiția ca persoana vizată să își fi „dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice”(21). În această privință, subliniem că consimțământ înseamnă „orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate”(22). Cu alte cuvinte, nu poate fi vorba despre un consimțământ general pentru prelucrarea tuturor datelor. În plus, scopul pentru care se dă consimțământul pentru prelucrarea datelor trebuie comunicat persoanei vizate. Articolul 5 alineatul (1) litera (c) din acest regulament prevede, la rândul său, că datele prelucrate sunt „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate”(23). În aceste condiții, considerăm că principiul reducerii la minimum a datelor se aplică chiar și în ipoteza în care prelucrarea acestor date se realizează cu consimțământul persoanei vizate și conduce la verificarea faptului că datele în discuție sunt limitate la ceea ce este necesar pentru realizarea scopului specific al prelucrării.

36.      În lumina acestor considerații trebuie să se examineze prelucrarea datelor privind titlul civil al clienților săi de către SNCF Connect în lumina articolului 6 alineatul (1) literele (b) și (f) din RGPD, precizându‑se că instanța de trimitere se referă exclusiv la aceste două scopuri ale prelucrării.

2.      Cu privire la articolul 6 alineatul (1) litera (b) din RGPD: necesitatea prelucrării pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract

37.      Articolul 6 alineatul (1) litera (b) din RGPD prevede că prelucrarea datelor cu caracter personal este legală dacă este „necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract”.

38.      Curtea a precizat, în Hotărârea Meta Platforms și alții, domeniul de aplicare al acestei dispoziții. Astfel, ea a statuat că, „pentru ca prelucrarea de date cu caracter personal să fie considerată necesară pentru executarea unui contract, în sensul acestei dispoziții, ea trebuie să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată persoanei vizate. Operatorul trebuie astfel să fie în măsură să demonstreze în ce mod obiectul principal al contractului nu ar putea fi atins în lipsa prelucrării în cauză”(24).

39.      Părțile sunt de acord cu definirea obiectului principal al contractului ca fiind furnizarea unei legitimații de transport și, in fine, transportul clienților pe calea ferată. Prin urmare, trebuie să se verifice, pe de o parte, dacă datele privind titlul civil al clientului sunt prelucrate pentru realizarea unui scop care face parte integrantă din prestația de transport și, pe de altă parte, dacă această prelucrare este în mod obiectiv indispensabilă pentru realizarea acestui scop.

a)      Identificarea scopului prelucrării

40.      SNCF Connect și guvernul francez susțin că executarea contractului de transport presupune comunicarea cu clientul, atât cu ocazia rezervării, cât și în timpul și după călătoria în cauză, și implică cunoașterea titlului civil al acestui client pentru a comunica în mod personalizat cu clientul și potrivit unor uzanțe general acceptate în materie de comunicare comercială.

41.      SNCF Connect adaugă că, pentru executarea contractului de transport, trebuie să se cunoască sexul persoanei vizate pentru a putea adapta prestația în cazuri particulare, precum asistența acordată persoanelor cu mobilitate redusă sau accesul la vagoane rezervate femeilor în trenurile de noapte. În această privință, arătăm că un astfel de obiectiv nu face în mod strict obiectul primei întrebări preliminare, astfel cum a fost formulată de instanța de trimitere, care se referă în mod expres la utilizarea unor uzanțe general acceptate în materie de comunicare comercială. Cu toate acestea, în măsura în care instanța de trimitere solicită Curții să se pronunțe în general cu privire la colectarea datelor privind titlul civil în lumina principiilor reducerii la minimum a datelor și legalității prelucrării, vom proceda totuși la examinarea unui asemenea argument.

42.      În ceea ce privește scopul de comunicare cu clientul, apreciem că acesta ar trebui considerat ca făcând parte integrantă din contractul de transport. Astfel, un asemenea contract presupune furnizarea unei legitimații de transport și, prin urmare, intrarea în contact cu clientul pentru a i‑l transmite. În plus, considerăm că necesitatea de a comunica cu clientul continuă să existe în timpul realizării transportului printre altele pentru a‑l preveni cu privire la orice incident care are un impact asupra călătoriei sale și după transport, în special în cazul schimburilor cu serviciul clienți în legătură cu această călătorie.

43.      În această privință, trebuie să precizăm că argumentul formulat de guvernul francez potrivit căruia scopul prelucrării este nu numai comunicarea cu clientul, ci mai precis și comunicarea cu clientul potrivit uzanțelor în materie de comunicare comercială trebuie respins. Pe de o parte, considerăm că un scop definit în acest mod nu face parte integrantă din prestarea unui serviciu de transport: nimic nu indică faptul că aceasta nu ar putea fi realizată în lipsa comunicării potrivit uzanțelor general acceptate în materie de comunicare comercială. Pe de altă parte, acest argument rezultă dintr‑un raționament circular. Scopul prelucrării datelor definite în acest mod – comunicarea potrivit uzanțelor acceptate în mod curent în materie de comunicare comercială – se confundă astfel cu mijloacele utilizate pentru atingerea acestui scop – utilizarea uzanțelor general acceptate în materie de comunicare comercială.

44.      În ceea ce privește adaptarea prestației de transport la cazuri particulare, astfel cum au fost evocate de SNCF Connect, considerăm de asemenea greu de contestat că ea face parte integrantă din această prestație, din moment ce urmărește tocmai să asigure realizarea sa.

45.      Însă, chiar dacă scopurile prelucrării în cauză sunt, în opinia noastră, inerente prestării unui serviciu de transport și pot fi admise în temeiul articolului 6 alineatul (1) litera (b) din RGPD, mai este necesar ca prelucrarea datelor cu caracter personal să fie indispensabilă pentru realizarea scopului invocat, astfel încât obiectul principal al contractului să nu poată fi atins fără această prelucrare și să nu existe alte soluții posibile și mai puțin intruzive pentru realizarea aceluiași scop.

46.      Or, considerăm că prelucrarea datelor privind titlul civil depășește ceea ce este necesar pentru a permite executarea corectă a contractului.

b)      Necesitatea prelucrării pentru realizarea scopurilor identificate

47.      În primul rând, în ceea ce privește scopul de comunicare, executarea corectă a contractului de transport nu poate depinde de utilizarea titlului civil în comunicarea societății de transport cu clienții săi, chiar dacă operatorul intenționează să comunice în mod personalizat cu clienții săi. Astfel, o societate de transport poate comunica cu ușurință în mod personalizat cu clienții săi fără a utiliza titlul lor civil.

48.      În plus, deși SNCF Connect a subliniat, în ședință, necesitatea de a menține o imagine de marcă prin utilizarea unor formule acceptate în mod curent în comunicarea comercială, alte formule care dovedesc considerație față de client și care nu depind de titlul civil pot permite în egală măsură atingerea acestui rezultat.

49.      Acest lucru este valabil cu atât mai mult cu cât, după cum susține Mousse și sub rezerva unor verificări efectuate de instanța de trimitere, SNCF Connect nu a recurs în mod sistematic, în practică, la uzanțele general acceptate în materie de comunicare comercială care ar implica cunoașterea titlului civil al clienților, ci utilizează și alte formule mai generale, precum „Mulțumesc, drum bun” sau „Bună ziua”. Considerăm că lipsa unei utilizări sistematice a titlului civil al clienților în comunicarea SNCF Connect indică în mod clar nu numai lipsa necesității prelucrării acestor date pentru executarea contractului în cauză, ci și, în lumina principiului reducerii la minimum a datelor, prelucrarea unor date mai extinse decât ceea ce este necesar.

50.      În aceeași ordine de idei, arătăm că, întrebată cu privire la acest aspect în ședință, SNCF Connect a admis că transmiterea deliberată a unui alt titlu civil decât titlul civil real al persoanei vizate este în realitate lipsită de incidență asupra prestării serviciului de transport. În aceste condiții, trebuie să se constate că obiectul principal al contractului poate fi atins și în lipsa prelucrării datelor în cauză.

51.      În al doilea rând, în ceea ce privește scopul de adaptare a prestației de transport, și în acest caz apreciem că prelucrarea datelor privind titlul civil depășește ceea ce este necesar pentru a permite realizarea sa. Pe de o parte, considerăm că datele cu caracter personal relevante pentru a permite o asemenea adaptare nu sunt datele privind titlul civil, care, în opinia guvernului francez, nu constituie un element al stării civile a persoanelor, ci datele referitoare la sexul clienților, astfel cum figurează în starea civilă a persoanelor. Pe de altă parte, același obiectiv ar putea fi atins prin colectarea și prelucrarea acestor date nu pentru toate comenzile de legitimații de transport, ci numai pentru cazurile particulare care necesită acest lucru, precum comandarea unei legitimații de transport pentru a călători într‑un vagon rezervat femeilor în trenurile de noapte sau o cerere de asistență pentru o persoană cu mobilitate redusă.

52.      În aceste condiții, apreciem că articolul 6 alineatul (1) litera (b) din RGPD și articolul 5 alineatul (1) litera (c) din acesta trebuie interpretate în sensul că prelucrarea sistematică a datelor privind titlul civil nu poate fi considerată necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract, atunci când această prelucrare urmărește să permită o comunicare comercială personalizată prin asigurarea respectării uzanțelor general acceptate în materie de comunicare comercială sau să asigure adaptarea prestației de transport având în vedere sexul persoanei vizate.

3.      Cu privire la articolul 6 alineatul (1) litera (f) din RGPD: necesitatea prelucrării în scopul intereselor legitime urmărite de operator sau de o parte terță

53.      Articolul 6 alineatul (1) litera (f) din RGPD prevede că prelucrarea datelor cu caracter personal este legală dacă este „necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil”.

54.      Potrivit jurisprudenței constante a Curții, din această dispoziție reiese că trebuie îndeplinite trei condiții cumulative pentru ca prelucrarea datelor cu caracter personal pe care o vizează să fie legală. În primul rând, operatorul sau un terț trebuie să urmărească un interes legitim. În al doilea rând, prelucrarea datelor cu caracter personal este necesară pentru realizarea interesului legitim. În al treilea rând, interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor nu prevalează asupra interesului legitim al operatorului sau al unui terț(25).

55.      În ceea ce privește prima condiție referitoare la urmărirea unui interes legitim, Curtea a subliniat, în Hotărârea Meta Platforms și alții, că, „în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, revine operatorului, în momentul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la această persoană, sarcina de a‑i indica interesele legitime urmărite în cazul în care prelucrarea menționată se face în temeiul articolului 6 alineatul (1) […] litera (f) din acest regulament”(26). Curtea a statuat astfel, în aceeași hotărâre, că această din urmă dispoziție trebuie interpretată în sensul că o prelucrare de date cu caracter personal „poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de un terț, în sensul acestei dispoziții, numai dacă operatorul menționat a indicat utilizatorilor de la care au fost colectate datele un interes legitim urmărit prin prelucrarea lor”(27).

56.      Cu alte cuvinte, sancțiunea nerespectării obligației de informare prevăzute la articolul 13 alineatul (1) litera (d) din RGPD este nelegalitatea prelucrării datelor cu caracter personal în discuție.

57.      Or, astfel cum arată Comisia și sub rezerva unor verificări efectuate de instanța de trimitere, considerăm că SNCF Connect nu s‑a conformat acestei obligații.

58.      După cum subliniază Comisia, SNCF Connect menționează, în „politica de confidențialitate” disponibilă pe site‑ul său internet, temeiul juridic al prelucrării datelor privind titlul civil ca fiind „interesul legitim”. Vom formula două observații în această privință. Pe de o parte, simpla menționare a interesului legitim, fără a preciza cu exactitate care este acest interes legitim, nu poate îndeplini obligația de informare prevăzută la articolul 13 alineatul (1) litera (d) din RGPD, care impune operatorului să indice interesul legitim urmărit. Pe de altă parte și în orice caz, nici menționarea unui interes legitim în mod general într‑o „politică de confidențialitate”, care este, desigur, disponibilă pe site‑ul internet al operatorului, dar pe care clientul trebuie să o caute în mod expres, nu este conformă cu articolul 13 alineatul (1) litera (d) din acest regulament. Astfel, această dispoziție impune informarea persoanei vizate cu privire la interesul legitim urmărit în momentul în care sunt colectate datele, ceea ce presupune, în opinia noastră, ca o asemenea informație să fie adusă în mod direct la cunoștința clientului atunci când acesta furnizează datele în discuție care îl privesc.

59.      În plus, întrebată în ședință cu privire la obligația de informare, SNCF Connect nu a fost în măsură să arate că interesul legitim urmărit de prelucrare este comunicat efectiv clienților săi în momentul colectării datelor privind titlul civil.

60.      Prin urmare, prima condiție prevăzută la articolul 6 alineatul (1) litera (f) din RGPD, referitoare la existența unui interes legitim, interpretată în lumina obligației de comunicare a acestui interes prevăzute la articolul 13 alineatul (1) litera (d) din acest regulament, nu este îndeplinită. În consecință, prelucrarea datelor privind titlul civil într‑o astfel de situație nu poate fi considerată legală în sensul acestei dispoziții, fără a fi necesar să se examineze dacă sunt îndeplinite celelalte două condiții prevăzute la articolul 6 alineatul (1) litera (f) din regulamentul menționat.

a)      Concluzie cu privire la interpretarea articolului 6 alineatul (1) litera (f) din RGPD

61.      În opinia noastră, din ceea ce precedă rezultă că articolul 6 alineatul (1) litera (f) din RGPD și articolul 5 alineatul (1) litera (c) din acesta trebuie interpretate în sensul că prelucrarea datelor privind titlul civil al clienților unei societăți de transport nu poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, în sensul acestei dispoziții, în măsura în care această societate nu a indicat utilizatorilor de la care au fost colectate datele un interes legitim urmărit prin prelucrarea lor.

b)      Observații suplimentare

62.      Din motive de exhaustivitate și pentru cazul în care Curtea ar ajunge la concluzia că interesul legitim în discuție a fost comunicat în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, vom continua totuși analiza condițiilor care trebuie îndeplinite pentru ca o prelucrare de date cu caracter personal să fie considerată legală în temeiul articolului 6 alineatul (1) litera (f) din acest regulament.

63.      În ceea ce privește, în primul rând, condiția referitoare la existența unui interes legitim, SNCF Connect și guvernul francez susțin că interesul legitim urmărit ar fi comunicarea cu clientul.

64.      Arătăm că Curtea a statuat, în ceea ce privește noțiunea de „interes legitim”, că, „în lipsa unei definiții a acestei noțiuni în RGPD, trebuie să se sublinieze […] că o gamă largă de interese poate fi considerată în principiu legitimă”(28).

65.      În această privință, amintim că SNCF Connect este o întreprindere care oferă spre vânzare online legitimații de transport pe calea ferată. Astfel cum am arătat(29), acest serviciu presupune intrarea în contact cu clientul, cel puțin pentru a‑i transmite legitimația de transport. Prin urmare, considerăm că scopul de comunicare cu clientul poate constitui un interes legitim pentru această întreprindere, în sensul articolului 6 alineatul (1) litera (f) din RGPD, astfel încât prima condiție, referitoare la existența unui asemenea interes legitim, ar trebui, în opinia noastră, să fie considerată îndeplinită.

66.      În ceea ce privește, în al doilea rând, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim, apreciem că aceasta nu este îndeplinită. Astfel cum am demonstrat în cadrul analizei noastre cu privire la articolul 6 alineatul (1) litera (b) din RGPD, prelucrarea datelor privind titlul civil depășește ceea ce este necesar pentru a permite atingerea scopului de comunicare cu clientul, această comunicare putând fi efectuată fără utilizarea acestor date(30).

67.      În ceea ce privește, în al treilea și ultimul rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să nu prevaleze asupra interesului legitim al operatorului sau al unui terț, subliniem că Curtea a statuat că „aceasta implică o evaluare comparativă a drepturilor și a intereselor opuse în cauză care depinde în principiu de împrejurările concrete ale cazului și că, în consecință, revine instanței de trimitere sarcina de a efectua această evaluare comparativă ținând seama de împrejurările specifice respective”(31). Vom formula totuși câteva observații pentru a o ghida pe aceasta din urmă în efectuarea acestei aprecieri.

68.      Curtea a statuat astfel că, „în cadrul acestei evaluări comparative a drepturilor și a intereselor opuse în cauză, și anume cele ale operatorului, pe de o parte, și cele ale persoanei vizate, pe de altă parte, trebuie să se țină seama […] în special de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării în cauză și de impactul acesteia asupra persoanei respective”(32).

69.      În plus, din considerentul (47) al RGPD reiese că „existența unui interes legitim ar necesita o evaluare atentă, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop”.

70.      În această privință, nu înțelegem în ce măsură clientul unei întreprinderi de transport s‑ar fi putut aștepta în mod rezonabil ca datele sale privind titlul civil să fie prelucrate de aceasta cu scopul de a comunica în cadrul serviciului de achiziționare a unei legitimații de transport.

71.      În orice caz, considerăm că simpla existență a unor așteptări rezonabile nu este suficientă pentru a se asigura că interesul legitim al operatorului prevalează asupra intereselor sau libertăților și drepturilor fundamentale ale persoanei vizate. Deși un asemenea element este cu siguranță relevant în cadrul evaluării comparative care trebuie efectuată, el nu poate conduce în schimb în mod sistematic la a statua că interesul legitim al operatorului primează, în special atunci când prelucrarea datelor cu caracter personal în cauză poate aduce atingere unei libertăți sau unui drept fundamental al persoanei vizate, astfel cum sunt garantate de cartă.

72.      Or, așa cum susține Mousse, considerăm că aceasta este situația în speță. Astfel, asociația menționată invocă existența unui risc de discriminare pe motive de gen ca urmare a prelucrării datelor privind titlul civil, în special în ceea ce privește persoanele transgen sau persoanele care au cetățenia unui stat care recunoaște genul neutru.

73.      În aceste condiții și sub rezerva verificărilor instanței de trimitere, apreciem că interesul legitim de comunicare cu clientul nu poate prevala asupra intereselor sau libertăților și drepturilor fundamentale ale persoanei vizate.

B.      Cu privire la a doua întrebare preliminară

74.      Prin intermediul celei de a doua întrebări preliminare, instanța de trimitere urmărește să afle în esență dacă articolul 6 alineatul (1) litera (f) din RGPD trebuie interpretat în sensul că, pentru a aprecia necesitatea unei prelucrări de date cu caracter personal în sensul acestei dispoziții, trebuie să se țină seama de eventuala existență a unui drept la opoziție al persoanei vizate, în temeiul articolului 21 alineatul (1) din acest regulament.

75.      Articolul 21 alineatul (1) din RGPD prevede că, în orice moment, persoana vizată are dreptul să se opună, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f) din acest regulament a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

76.      Potrivit unei jurisprudențe constante, pentru interpretarea unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de formularea acesteia, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție(33).

77.      În ceea ce privește formularea articolului 21 alineatul (1) din RGPD, arătăm că legiuitorul Uniunii subliniază că dreptul la opoziție privește prelucrarea datelor cu caracter personal în special în temeiul articolului 6 alineatul (1) litera (f) din acest regulament. Cu alte cuvinte, astfel cum susțin Mousse și Comisia, dreptul la opoziție presupune existența unei prelucrări legale, în special pe baza interesului legitim al operatorului. Prin urmare, acest drept nu are vocația de a fi pus în aplicare decât după ce a avut loc prelucrarea legală, în scopul încetării acesteia.

78.      În opinia noastră, acest lucru este confirmat de a doua parte a articolului 21 alineatul (1) din RGPD, care prevede că, în cazul opoziției în temeiul acestei dispoziții din partea persoanei vizate, operatorul nu mai prelucrează datele în discuție(34). Considerăm că o astfel de formulare implică în mod clar faptul că prelucrarea datelor în discuție este legală potrivit condițiilor prevăzute la articolul 6 alineatul (1) litera (f) din acest regulament, dar că aceste date nu mai pot, după formularea opoziției, să facă obiectul unei asemenea prelucrări.

79.      Cu alte cuvinte, articolul 21 alineatul (1) din RGPD nu are vocația de a se aplica decât după stabilirea legalității prelucrării.

80.      Prin urmare, din formularea articolului 21 alineatul (1) din RGPD rezultă că existența unui drept la opoziție nu este nicidecum relevantă pentru aprecierea necesității unei astfel de prelucrări în temeiul articolului 6 alineatul (1) litera (f) din acest regulament, din moment ce punerea în aplicare a articolului 21 alineatul (1) din regulamentul menționat presupune ca condițiile prevăzute la articolul 6 alineatul (1) litera (f) din același regulament să fie deja îndeplinite.

81.      O asemenea interpretare literală a articolului 21 alineatul (1) din RGPD este, în plus, confirmată de analiza sa în lumina contextului și a obiectivelor acestui regulament.

82.      În ceea ce privește interpretarea contextuală a acestei dispoziții, arătăm că motivele pe care se poate întemeia prelucrarea datelor cu caracter personal sunt prevăzute la articolul 6 din RGPD, care vizează principiul legalității, în cadrul capitolului II din acest regulament, referitor la principiile care guvernează prelucrarea datelor. În ceea ce privește articolul 21 din regulamentul menționat, acesta face parte din capitolul III, referitor la drepturile persoanei vizate. În plus, astfel cum am subliniat deja, lista motivelor prevăzute la articolul 6 din același regulament este, potrivit unei jurisprudențe constante, exhaustivă(35). În aceste condiții, cele două dispoziții în discuție îndeplinesc două funcții diferite și nu se poate considera că articolul 21 din RGPD poate fi luat în considerare în cadrul examinării legalității prelucrării, reglementată numai la articolul 6 din acest regulament.

83.      În ceea ce privește interpretarea teleologică a articolului 6 alineatul (1) litera (f) și a articolului 21 din RGPD, a lua în considerare existența unui drept la opoziție în scopul aprecierii legalității unei prelucrări de date în temeiul articolului 6 din acest regulament ar echivala cu a admite legalitatea unei prelucrări de date având în vedere simpla posibilitate ca persoana vizată să se poată opune ulterior prelucrării respective. Aceasta ar conduce, așadar, la extinderea motivelor de legalitate a prelucrărilor dincolo de cazurile prevăzute la articolul 6 din regulamentul menționat și la condiționarea nivelului de protecție a persoanelor vizate de diligența lor de a se opune prelucrării datelor lor cu caracter personal, fără de care această prelucrare ar putea fi considerată legală. Prin urmare, considerăm că o astfel de interpretare poate aduce atingere obiectivului de a asigura un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal.

84.      În consecință, apreciem că trebuie să se răspundă la a doua întrebare preliminară că articolul 6 alineatul (1) litera (f) din RGPD trebuie interpretat în sensul că se opune ca, în vederea aprecierii necesității unei prelucrări a datelor cu caracter personal în sensul acestei dispoziții, să se țină seama de eventuala existență a unui drept la opoziție al persoanei vizate, în temeiul articolului 21 alineatul (1) din acest regulament.

V.      Concluzie

85.      Având în vedere ansamblul considerațiilor care precedă, propunem să se răspundă la întrebările preliminare adresate de Conseil d’État (Consiliul de Stat, Franța) după cum urmează:

Articolul 6 alineatul (1) litera (b) și articolul 5 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)

trebuie interpretate în sensul că

prelucrarea sistematică a datelor privind titlul civil nu poate fi considerată necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract, atunci când această prelucrare urmărește să permită o comunicare comercială personalizată prin asigurarea respectării uzanțelor general acceptate în materie de comunicare comercială sau să asigure adaptarea prestației de transport având în vedere sexul persoanei vizate.

Articolul 6 alineatul (1) litera (f) și articolul 5 alineatul (1) litera (c) din Regulamentul 2016/679

trebuie interpretate în sensul că

prelucrarea datelor privind titlul civil al clienților unei societăți de transport nu poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, în sensul acestei dispoziții, în măsura în care această societate nu a indicat utilizatorilor de la care au fost colectate datele un interes legitim urmărit prin prelucrarea lor.

Articolul 6 alineatul (1) litera (f) din Regulamentul 2016/679

trebuie interpretat în sensul că

se opune ca, în vederea aprecierii necesității unei prelucrări a datelor cu caracter personal în sensul acestei dispoziții, să se țină seama de eventuala existență a unui drept la opoziție al persoanei vizate, în temeiul articolului 21 alineatul (1) din acest regulament.

1      Limba originală: franceza.

2      Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2).

3      JORF din 7 ianuarie 1978, p. 227, astfel cum a fost modificată prin Ordonanța nr. 2018-1125 din 12 decembrie 2018 (JORF nr. 288 din 13 decembrie 2018).

4      Concluziile avocatului general Bobek prezentate în cauza Rīgas satiksme (C‑13/16, EU:C:2017:43, punctul 93).

5      În schimb, în cauza în care s‑a pronunțat Hotărârea din 4 mai 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336), este în discuție problema transmiterii către o persoană fizică a datelor cu caracter personal necesare pentru inițierea unei proceduri civile împotriva unei alte persoane fizice suspectate de săvârșirea unei contravenții.

6      Articolul 5 alineatul (1) litera (a) din RGPD.

7      Articolul 5 alineatul (1) litera (c) din RGPD.

8      Astfel cum a fost consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE.

9      Cu privire la legătura dintre articolul 6 alineatul (1) din RGPD și articolul 52 alineatul (1) din cartă, a se vedea Kotschy, W., „Article 6. Lawfulness of Processing”, în The EU General Data Protection Regulation (GDPR), A Commentary, Kuner, C., Bygrave, L. A., și Docksey, C., (ed.), Oxford University Press, Oxford, 2020, p. 325 și 326.

10      Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2021:504, punctul 99), și Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C‑252/21, denumită în continuare „Hotărârea Meta Platforms și alții”, EU:C:2023:537, punctul 90).

11      A se vedea Kotschy, W., „Article 6. Lawfulness of Processing”, în The EU General Data Protection Regulation (GDPR), A Commentary, op. cit., p. 329.

12      Hotărârea Meta Platforms și alții (punctele 91 și 92).

13      Hotărârea Meta Platforms și alții (punctul 93).

14      Hotărârea Meta Platforms și alții (punctul 94).

15      A se vedea Concluziile noastre prezentate în cauza Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2020:1054, punctul 93).

16      Hotărârea Meta Platforms și alții (punctul 109) și Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958, punctul 78).

17      A se vedea Concluziile noastre prezentate în cauza Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2020:1054, punctul 109).

18      Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2021:504, punctul 98). Cu privire la acest aspect, a se vedea de asemenea Lubasz, D., în Lubasz, D. (ed.), Ochrona danych osobowych, Wolters Kluwer, Varșovia, 2020, punctul 202.

19      A se vedea cu titlu de exemplu Hotărârea din 9 noiembrie 2010, Volker und Markus Schecke și Eifert (C‑92/09 și C‑93/09, EU:C:2010:662, punctul 74 și jurisprudența citată).

20      A se vedea de Terwangne, C., „Article 5. Principles Relating to Processing of Personal Data”, în The EU General Data Protection Regulation (GDPR), A Commentary, op. cit., p. 317.

21      Sublinierea noastră.

22      Articolul 4 punctul 11 din RGPD.

23      Sublinierea noastră.

24      Hotărârea Meta Platforms și alții (punctul 98). Sublinierea noastră.

25      A se vedea Hotărârea din 17 iunie 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punctul 106), și Hotărârea Meta Platforms și alții (punctul 106).

26      Hotărârea Meta Platforms și alții (punctul 107).

27      Hotărârea Meta Platforms și alții (punctul 126 și dispozitivul).

28      Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958, punctul 76).

29      A se vedea punctul 42 din prezentele concluzii.

30      A se vedea punctul 47 și urm. din prezentele concluzii.

31      Hotărârea Meta Platforms și alții (punctul 110).

32      Hotărârea Meta Platforms și alții (punctul 116).

33      Hotărârea din 11 mai 2017, Krijgsman (C‑302/16, EU:C:2017:359, punctul 24), Hotărârea din 29 septembrie 2022, LOT (Compensație impusă de autoritatea administrativă) (C‑597/20, EU:C:2022:735, punctul 21), și Hotărârea din 29 februarie 2024, Eventmedia Soluciones (C‑11/23, EU:C:2024:194, punctul 24).

34      A se vedea versiunile în limbile germană („Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr […]”), engleză („The controller shall no longer process the personal data […]”) sau polonă („Administratorowi nie wolno już przetwarzać tych danych osobowych […]”). Sublinierea noastră.

35      A se vedea punctul 27 din prezentele concluzii. A se vedea de asemenea Hotărârea Meta Platforms și alții (punctul 90).