Η συλλογή δεδομένων σχετικών με τον τρόπο προσφώνησης των πελατών δεν είναι αντικειμενικώς αναγκαία όταν αποσκοπεί, ειδικότερα, στην εξατομίκευση της εμπορικής επικοινωνίας
Η ένωση Mousse κατήγγειλε ενώπιον της γαλλικής αρχής για την προστασία των δεδομένων προσωπικού χαρακτήρα (την CNIL) 1 την πρακτική της γαλλικής επιχείρησης σιδηροδρομικών μεταφορών SNCF Connect, η οποία υποχρεώνει συστηματικά τους πελάτες της να υποδεικνύουν τον τρόπο προσφώνησής τους («Κύριος» ή «Κυρία») κατά τη διαδικτυακή αγορά τίτλων μεταφοράς. Η ένωση αυτή εκτιμά ότι η εν λόγω υποχρέωση αντιβαίνει στον Γενικό Κανονισμό για την Προστασία Δεδομένων (ΓΚΠΔ) 2, ιδίως υπό το πρίσμα της αρχής της ελαχιστοποίησης των δεδομένων, διότι η μνεία του τύπου προσφώνησης, ο οποίος είναι δηλωτικός ταυτότητας φύλου, δεν φαίνεται να είναι αντικειμενικώς αναγκαία για την αγορά τίτλου σιδηροδρομικής μεταφοράς. Το 2021, η CNIL αποφάσισε να απορρίψει την καταγγελία της ένωσης, κρίνοντας ότι η επίμαχη πρακτική δεν συνιστούσε παράβαση του ΓΚΠΔ.
Διαφωνώντας με την ως άνω απόφαση, η Mousse προσέφυγε ενώπιον του Conseil d’État (Συμβουλίου της Επικρατείας, Γαλλία) ζητώντας την ακύρωσή της. Το Conseil d’État (Συμβούλιο της Επικρατείας) ερωτά ειδικότερα το Δικαστήριο εάν η συλλογή δεδομένων σχετικών με την προσφώνηση των πελατών, η οποία περιορίζεται σε μνεία της ένδειξης «Κύριος» ή «Κυρία», μπορεί να χαρακτηριστεί ως σύννομη και σύμφωνη, μεταξύ άλλων, με την αρχή της ελαχιστοποίησης των δεδομένων, σε περίπτωση που, χάρη στη συλλογή αυτή, καθίσταται δυνατή η εξατομίκευση της εμπορικής επικοινωνίας με τους πελάτες, σύμφωνα με τα κρατούντα ήθη στον τομέα αυτόν.
Το Δικαστήριο υπενθυμίζει ότι, σύμφωνα με την αρχή της ελαχιστοποίησης των δεδομένων, η οποία αποτελεί έκφραση της αρχής της αναλογικότητας, τα δεδομένα που συλλέγονται πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται μόνο σε ό,τι είναι αναγκαίο υπό το πρίσμα των σκοπών για τους οποίους υποβάλλονται σε επεξεργασία.
Επιπλέον, το Δικαστήριο υπενθυμίζει ότι ο ΓΚΠΔ προβλέπει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί σύννομη:
πρόκειται, μεταξύ άλλων, για τις περιπτώσεις όπου η επεξεργασία i) είναι απαραίτητη για την εκτέλεση σύμβασης στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή ii) είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος 3.
Όσον αφορά τον πρώτο από τους δύο αυτούς δικαιολογητικούς λόγους, το Δικαστήριο υπενθυμίζει ότι, για να μπορεί μια επεξεργασία δεδομένων προσωπικού χαρακτήρα να θεωρηθεί απαραίτητη για την εκτέλεση σύμβασης, πρέπει να είναι αντικειμενικώς αναγκαία για την ορθή εκτέλεσή της. Στο πλαίσιο αυτό, το Δικαστήριο κρίνει ότι η εξατομίκευση της εμπορικής επικοινωνίας βάσει της τεκμαιρόμενης, ανάλογα με τον τρόπο προσφώνησης, ταυτότητας φύλου του πελάτη δεν παρίσταται αντικειμενικώς αναγκαία για την ορθή εκτέλεση σύμβασης σιδηροδρομικών μεταφορών. Πράγματι, η επιχείρηση σιδηροδρομικών μεταφορών θα μπορούσε να επιλέξει να
Διεύθυνση Επικοινωνίας
Υπηρεσία Τύπου και Πληροφόρησης curia.europa.eu χρησιμοποιήσει, για τις ανάγκες της επικοινωνίας, συμπεριληπτικούς και αόριστους τύπους ευγενείας που να μη συνδέονται με την τεκμαιρόμενης ταυτότητα φύλου των πελατών, όπερ συνιστά μια πρακτικώς εφικτή και λιγότερο επεμβατική λύση.
Όσον αφορά τον δεύτερο δικαιολογητικό λόγο, υπενθυμίζοντας συγχρόνως την πάγια νομολογία του επί του θέματος, το Δικαστήριο διευκρινίζει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με την προσφώνηση των πελατών μιας επιχείρησης μεταφορών, η οποία αποσκοπεί στην εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, δεν μπορεί να θεωρηθεί απαραίτητη: i) όταν το επιδιωκόμενο έννομο συμφέρον δεν έχει γνωστοποιηθεί στους πελάτες κατά τη συλλογή των προαναφερθέντων δεδομένων· ii) όταν η επεξεργασία δεν περιορίζεται σε ό,τι είναι απολύτως αναγκαίο για την επίτευξη του εν λόγω έννομου συμφέροντος· ή iii) όταν, υπό το πρίσμα όλων των κρίσιμων περιστάσεων, είναι πιθανόν οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των πελατών να υπερισχύουν του έννομου αυτού συμφέροντος, ιδίως λόγω της ύπαρξης κινδύνου διάκρισης βάσει της ταυτότητας φύλου.
ΑΚΟΛΟΥΘΕΙ ΟΛΟΚΛΗΡΗ Η ΑΠΟΦΑΣΗ
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πρώτο τμήμα)
της 9ης Ιανουαρίου 2025 (*)
« Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 5, παράγραφος 1, στοιχείο γʹ – Ελαχιστοποίηση των δεδομένων – Άρθρο 6, παράγραφος 1 – Νομιμότητα της επεξεργασίας – Δεδομένα σχετικά με την προσφώνηση και την ταυτότητα φύλου – Διαδικτυακή πώληση τίτλων μεταφοράς – Άρθρο 21 – Δικαίωμα εναντίωσης »
Στην υπόθεση C‑394/23,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Conseil d’État (Συμβούλιο της Επικρατείας, Γαλλία) με απόφαση της 21ης Ιουνίου 2023, η οποία περιήλθε στο Δικαστήριο στις 28 Ιουνίου 2023, στο πλαίσιο της δίκης
Mousse
κατά
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (πρώτο τμήμα),
συγκείμενο από τους K. Lenaerts, Πρόεδρο του Δικαστηρίου, προεδρεύοντα του πρώτου τμήματος, T. von Danwitz (εισηγητή), Αντιπρόεδρο του Δικαστηρίου, M. L. Arastey Sahún, A. Kumin και I. Ziemele, δικαστές,
γενικός εισαγγελέας: M. Szpunar
γραμματέας: I. Illéssy, διοικητικός υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 29ης Απριλίου 2024,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Mousse, εκπροσωπούμενη από τον E. Deshoulières, avocat, την Y. El Kaddouri, τον J. Heymans και την D. Holemans, advocaten,
– η SNCF Connect, εκπροσωπούμενη από τον E. Drouard, τον J.-J. Gatineau και την A. Ligot, avocats,
– η Γαλλική Κυβέρνηση, εκπροσωπούμενη από τον R. Bénard, την B. Dourthe και τον B. Fodda,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ και H. Kranenborg,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 11ης Ιουλίου 2024,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 5, παράγραφος 1, στοιχείο γʹ, του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και στʹ, καθώς και του άρθρου 21 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικό ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της ένωσης με την επωνυμία Mousse και της Commission nationale de l’informatique et des libertés (CNIL) (Εθνικής Επιτροπής Πληροφορικής και Ελευθεριών, Γαλλία), με αντικείμενο την απόρριψη, από την CNIL, της καταγγελίας την οποία υπέβαλε η Mousse όσον αφορά την επεξεργασία, από την εταιρία SNCF Connect, δεδομένων σχετικών με τον τρόπο προσφώνησης των πελατών της κατά τη διαδικτυακή πώληση τίτλων μεταφοράς.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
Ο ΓΚΠΔ
3 Οι αιτιολογικές σκέψεις 1, 4, 10, 47 και 75 του ΓΚΠΔ διαλαμβάνουν τα εξής:
«(1) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8 παράγραφος 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης [(στο εξής: Χάρτης)] και το άρθρο 16 παράγραφος 1 [ΣΛΕΕ] ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.
[…]
(4) Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα· πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο παρών κανονισμός σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
[…]
(10) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […]
[…]
(47) Τα έννομα συμφέροντα του υπευθύνου επεξεργασίας, περιλαμβανομένων εκείνων ενός υπευθύνου επεξεργασίας στον οποίο μπορούν να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα ή τρίτων, μπορεί να παρέχουν τη νομική βάση για την επεξεργασία, υπό τον όρο ότι δεν υπερισχύουν τ[α] συμφ[έροντα] ή τ[α] θεμελι[ώδη] δικαι[ώματα] και ελευθερ[ίες] του υποκειμένου των δεδομένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες των υποκειμένων των δεδομένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας. Τέτοιο έννομο συμφέρον θα μπορούσε λόγου χάρη να υπάρχει όταν υφίσταται σχετική και κατάλληλη σχέση μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, όπως αν το υποκείμενο των δεδομένων είναι πελάτης του υπευθύνου επεξεργασίας […]. Εν πάση περιπτώσει η ύπαρξη έννομου συμφέροντος θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων ως προς το κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτό μπορεί να πραγματοποιηθεί επεξεργασία. […] H επεξεργασία δεδομένων προσωπικού χαρακτήρα, στον βαθμό που είναι αυστηρά αναγκαία για τους σκοπούς πρόληψης της απάτης, συνιστά επίσης έννομο συμφέρον του ενδιαφερόμενου υπευθύνου επεξεργασίας H επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άμεσης εμπορικής προώθησης μπορεί να θεωρηθεί ότι διενεργείται χάριν έννομου συμφέροντος.
[…]
(75) Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ποικίλης πιθανότητας και σοβαρότητας, είναι δυνατόν να προκύπτουν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία θα μπορούσε να οδηγήσει σε σωματική, υλική ή μη υλική βλάβη, ιδίως όταν η επεξεργασία μπορεί να οδηγήσει σε διακρίσεις […].»
4 Το άρθρο 1 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Αντικείμενο και στόχοι», ορίζει στην παράγραφο 2 τα εξής:
«Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.»
5 Κατά το άρθρο 2, παράγραφος 1, του ΓΚΠΔ:
«Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης.»
6 Το άρθρο 4 του ΓΚΠΔ, το οποίο επιγράφεται «Ορισμοί», ορίζει τα ακόλουθα:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο […],
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, […],
[…]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα […],
[…]
11) “συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν,
[…]».
7 Το άρθρο 5 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),
[…]
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”),
[…]».
8 Το άρθρο 6 του ΓΚΠΔ, το οποίο επιγράφεται «Νομιμότητα της επεξεργασίας», ορίζει στην παράγραφο 1 τα εξής:
«Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
[…]»
9 Το άρθρο 13 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», προβλέπει τα εξής:
«1. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
[…]
γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία,
δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο,
[…]».
10 Το άρθρο 21 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα εναντίωσης», ορίζει στην παράγραφο 1 τα εξής:
«Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.»
Η οδηγία 2004/113/ΕΚ
11 Κατά το άρθρο της 1, η οδηγία 2004/113/ΕΚ του Συμβουλίου, της 13ης Δεκεμβρίου 2004, για την εφαρμογή της αρχής της ίσης μεταχείρισης ανδρών και γυναικών στην πρόσβαση σε αγαθά και υπηρεσίες και την παροχή αυτών (ΕΕ 2004, L 373, σ. 37), έχει ως σκοπό να καθιερώσει ένα πλαίσιο για την καταπολέμηση των διακρίσεων λόγω φύλου όσον αφορά την πρόσβαση σε αγαθά και υπηρεσίες και την παροχή τους, προκειμένου να εφαρμόζεται ουσιαστικά στα κράτη μέλη η αρχή της ίσης μεταχείρισης ανδρών και γυναικών.
Το γαλλικό δίκαιο
12 Το άρθρο 8 του loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (νόμου 78-17, της 6ης Ιανουαρίου 1978, περί πληροφορικής, αρχείων και ελευθεριών) (JORF της 7ης Ιανουαρίου 1978, σ. 227), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της κύριας δίκης, ορίζει τα εξής:
«I A. Η [CNIL] είναι ανεξάρτητη διοικητική αρχή.
I. Αποτελεί την εθνική εποπτική αρχή κατά την έννοια και για την εφαρμογή του [ΓΚΠΔ]. Ασκεί τα ακόλουθα καθήκοντα:
[…]
2° Διασφαλίζει ότι η εκάστοτε επεξεργασία δεδομένων προσωπικού χαρακτήρα πραγματοποιείται σύμφωνα με τις διατάξεις του παρόντος νόμου και τις λοιπές διατάξεις που διέπουν την προστασία των δεδομένων προσωπικού χαρακτήρα και προβλέπονται από τις νομοθετικές και κανονιστικές ρυθμίσεις, το δίκαιο της […] Ένωσης και τις διεθνείς δεσμεύσεις της [Γαλλικής Δημοκρατίας].
Για τον σκοπό αυτόν:
[…]
d) χειρίζεται τις καταγγελίες, τις αναφορές και τις αιτιάσεις που υποβάλλονται από το υποκείμενο των δεδομένων ή από φορέα, οργανισμό ή ένωση, εξετάζει ή ερευνά, στο μέτρο του δυνατού, το αντικείμενο της καταγγελίας και ενημερώνει τον καταγγέλλοντα για την πρόοδο και την έκβαση της έρευνας εντός εύλογου χρονικού διαστήματος, ιδίως εάν απαιτείται περαιτέρω έρευνα ή συντονισμός με άλλη εποπτική αρχή· […]».
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
13 Η SNCF Connect πωλεί τίτλους για σιδηροδρομικές μεταφορές, όπως εισιτήρια τρένου, πακέτα πολλαπλών ή απεριόριστων διαδρομών και εκπτωτικές κάρτες, μέσω της ιστοσελίδας και των διαδικτυακών εφαρμογών της. Οι πελάτες της εν λόγω επιχείρησης είναι υποχρεωμένοι, όταν αγοράζουν τους ανωτέρω τίτλους μεταφοράς μέσω της ιστοσελίδας ή των διαδικτυακών εφαρμογών της, να υποδεικνύουν τον τρόπο προσφώνησής τους, επιλέγοντας την ένδειξη «Κύριος» ή «Κυρία».
14 Εκτιμώντας ότι οι όροι συλλογής και καταχώρισης των δεδομένων που αφορούν την προσφώνηση των πελατών δεν είναι σύμφωνοι προς τις απαιτήσεις του ΓΚΠΔ, η Mousse υπέβαλε ενώπιον της CNIL καταγγελία κατά της SNCF Connect. Προς στήριξη της υποβληθείσας καταγγελίας, η Mousse ισχυρίστηκε ότι η συλλογή των δεδομένων αυτών δεν συνάδει με την αρχή της νομιμότητας, η οποία κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, καθόσον δεν στηρίζεται σε καμία από τις βάσεις που προβλέπονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ. Επιπλέον, κατά την άποψή της, μια τέτοια συλλογή δεδομένων παραβιάζει την αρχή της ελαχιστοποίησης των δεδομένων, η οποία διατυπώνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, καθώς και, μεταξύ άλλων, τις υποχρεώσεις διαφάνειας και ενημέρωσης που απορρέουν από το άρθρο 13 του ΓΚΠΔ.
15 Με απόφαση της 23ης Μαρτίου 2021, η CNIL έκρινε ότι τα όσα προσάπτονταν στην SNCF Connect δεν στοιχειοθετούσαν παραβάσεις των διατάξεων του ΓΚΠΔ και ότι η διαδικασία εξέτασης της καταγγελίας έπρεπε να περατωθεί χωρίς να δοθεί οποιαδήποτε συνέχεια. Προς στήριξη της αποφάσεώς της, η CNIL διαπίστωσε ότι η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων ήταν σύννομη, βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ, για τον λόγο ότι ήταν απαραίτητη προς εκτέλεση της οικείας σύμβασης παροχής υπηρεσιών μεταφοράς. Επιπλέον, η CNIL επισήμανε ότι, λαμβανομένων υπόψη των σκοπών της, η επίμαχη επεξεργασία ήταν σύμφωνη με την αρχή της ελαχιστοποίησης των δεδομένων, δεδομένου ότι η εξατομικευμένη επικοινωνία με τους πελάτες, διά της χρήσης συγκεκριμένου τύπου προσφώνησής τους, ανταποκρίνεται στα κρατούντα ήθη του τομέα των εμπορικών, αστικών και διοικητικών επικοινωνιών.
16 Στις 21 Μαΐου 2021 η Mousse άσκησε ενώπιον του Conseil d’État (Συμβουλίου της Επικρατείας, Γαλλία), ήτοι του αιτούντος δικαστηρίου, αίτηση ακυρώσεως της αποφάσεως της CNIL. Με το δικόγραφό της, η Mousse υποστηρίζει, μεταξύ άλλων, ότι η υποχρέωση επιλογής μεταξύ των ενδείξεων «Κύριος» ή «Κυρία» κατά την πραγματοποίηση διαδικτυακής αγοράς δεν συνάδει ούτε με την αρχή της νομιμότητας, η οποία κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, ούτε με την αρχή της ελαχιστοποίησης των δεδομένων, η οποία διατυπώνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, δεδομένου ότι η μνεία της ένδειξης αυτής δεν είναι απαραίτητη ούτε για την εκτέλεση σύμβασης παροχής υπηρεσιών μεταφοράς ούτε για τους σκοπούς των έννομων συμφερόντων της SNCF Connect. Το γεγονός ότι αυτού του είδους οι προσφωνήσεις χρησιμοποιούνται στην εμπορική αλληλογραφία δεν αρκεί για να γίνει δεκτό ότι είναι αναγκαία η ως άνω υποχρέωση. Τέλος, μια τέτοια υποχρέωση μπορεί να προσβάλλει το δικαίωμα του ατόμου να ταξιδεύει χωρίς να γνωστοποιεί τον τρόπο προσφώνησής του, το δικαίωμα στον σεβασμό της ιδιωτικής ζωής καθώς και την ελευθερία του ατόμου να καθορίζει ελεύθερα την έκφραση του φύλου του, εγκυμονεί δε κίνδυνο διάκρισης. Όσον αφορά τους πολίτες κρατών στα οποία γίνεται δεκτή από το ληξιαρχείο η καταχώριση «ουδέτερο φύλο», η ένδειξη «Κύριος» ή «Κυρία» ενδέχεται να μην ανταποκρίνεται στην πραγματικότητα και να προσβάλλει, μεταξύ άλλων, την ελευθερία κυκλοφορίας των ατόμων αυτών, την οποία εγγυάται το δίκαιο της Ένωσης.
17 Η CNIL ζητεί την απόρριψη της αιτήσεως ακυρώσεως, ισχυριζόμενη ότι η επεξεργασία των σχετικών με την προσφώνηση δεδομένων μπορεί επίσης να χαρακτηριστεί ως «απαραίτητη» για τους σκοπούς των έννομων συμφερόντων που επιδιώκει η SNCF Connect, κατά την έννοια του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, και ότι τα υποκείμενα των δεδομένων μπορούν, ανάλογα με την ιδιαίτερη κατάστασή τους, να προβάλουν το δικαίωμα εναντίωσης το οποίο κατοχυρώνεται στο άρθρο 21 του ΓΚΠΔ.
18 Στο πλαίσιο αυτό, το αιτούν δικαστήριο διερωτάται, μεταξύ άλλων, εάν, προκειμένου να εκτιμηθεί η αναγκαιότητα της επίμαχης στην κύρια δίκη επεξεργασίας δεδομένων, μπορούν να ληφθούν υπόψη τα κρατούντα ήθη στις αστικές, εμπορικές και διοικητικές επικοινωνίες, με αποτέλεσμα η συλλογή των σχετικών με την προσφώνηση δεδομένων, η οποία περιορίζεται στη μνεία της ένδειξης «Κύριος» ή «Κυρία», να μπορεί να θεωρηθεί σύννομη και σύμφωνη με την αρχή της ελαχιστοποίησης των δεδομένων. Το αιτούν δικαστήριο διερωτάται, περαιτέρω, εάν, προκειμένου να κριθεί η αναγκαιότητα της εν λόγω υποχρεωτικής συλλογής και της μετέπειτα επεξεργασίας των δεδομένων που αφορούν τον τρόπο προσφώνησης των πελατών, παρότι ορισμένα άτομα θεωρούν ότι δεν τα καλύπτει κανένας από τους δύο τύπους προσφώνησης, πρέπει να ληφθεί υπόψη το γεγονός ότι οι πελάτες μπορούν, αφού παράσχουν τα επίμαχα δεδομένα στον υπεύθυνο επεξεργασίας προκειμένου να κάνουν χρήση της οικείας υπηρεσίας, να ασκήσουν το δικαίωμα εναντίωσης στη χρήση των δεδομένων αυτών, για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή τους, κατά την έννοια του άρθρου 21 του ΓΚΠΔ.
19 Υπό τις συνθήκες αυτές, το Conseil d’État (Συμβούλιο της Επικρατείας) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Μπορούν να ληφθούν υπόψη, προκειμένου να εκτιμηθεί κατά πόσον η συλλογή των δεδομένων είναι κατάλληλη, συναφής και περιορίζεται στο αναγκαίο, κατά την έννοια της διάταξης του άρθρου 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, και κατά πόσον η επεξεργασία τους είναι απαραίτητη, κατά την έννοια του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και στʹ, του ΓΚΠΔ, τα κρατούντα ήθη στις αστικές, εμπορικές και διοικητικές επικοινωνίες, με αποτέλεσμα η συλλογή των δεδομένων σχετικά με την προσφώνηση των πελατών, η οποία περιορίζεται στις ενδείξεις “Κύριος” ή “Κυρία”, να μπορεί να θεωρηθεί απαραίτητη, χωρίς τούτο να προσκρούει στην αρχή της ελαχιστοποίησης των δεδομένων;
2) Πρέπει, προκειμένου να εκτιμηθεί το κατά πόσον είναι απαραίτητη η υποχρεωτική συλλογή και επεξεργασία των δεδομένων σχετικά με την προσφώνηση των πελατών και μολονότι ορισμένοι πελάτες θεωρούν ότι δεν εμπίπτουν σε καμία από τις δύο προσφωνήσεις και ότι η συλλογή του δεδομένου αυτού δεν είναι συναφής στην περίπτωσή τους, να ληφθεί υπόψη το γεγονός ότι οι τελευταίοι μπορούν, αφού παράσχουν το δεδομένο αυτό στον υπεύθυνο επεξεργασίας προκειμένου να απολαύουν της προτεινόμενης υπηρεσίας, να ασκήσουν το δικαίωμα εναντίωσης στη χρήση και τη διατήρησή του επικαλούμενοι την ιδιαίτερη κατάστασή τους κατ’ εφαρμογήν του άρθρου 21 του ΓΚΠΔ;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
20 Με το πρώτο ερώτημά του, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί εάν το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και στʹ, του ΓΚΠΔ, ερμηνευόμενο σε συνδυασμό με το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, έχει την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με τον τρόπο προσφώνησης των πελατών επιχείρησης μεταφορών, η οποία έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, μπορεί να θεωρηθεί απαραίτητη για την εκτέλεση σύμβασης, κατά την έννοια του στοιχείου βʹ, ή απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος της επεξεργασίας ή τρίτος, κατά την έννοια του στοιχείου στʹ.
Προκαταρκτικές παρατηρήσεις
21 Προκαταρκτικώς, υπενθυμίζεται ότι ο σκοπός τον οποίο επιδιώκει ο ΓΚΠΔ, όπως απορρέει από το άρθρο του 1 καθώς και από τις αιτιολογικές του σκέψεις 1 και 10, συνίσταται, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και ειδικότερα του δικαιώματός τους στην ιδιωτική ζωή έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 8, παράγραφος 1, του Χάρτη και στο άρθρο 16, παράγραφος 1, ΣΛΕΕ [απόφαση της 4ης Οκτωβρίου 2024, Schrems (Δημοσιοποίηση δεδομένων στο ευρύ κοινό), C‑446/21, EU:C:2024:834, σκέψη 45 και εκεί μνημονευόμενη νομολογία].
22 Σύμφωνα με τον σκοπό αυτόν, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, μεταξύ άλλων, να είναι σύμφωνη με τις αρχές που διέπουν την επεξεργασία τέτοιων δεδομένων, οι οποίες διατυπώνονται στο άρθρο 5 του ΓΚΠΔ και να πληροί τις προϋποθέσεις νομιμότητας που απαριθμούνται στο άρθρο 6 του ΓΚΠΔ (απόφαση της 4ης Οκτωβρίου 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, σκέψη 27 και εκεί μνημονευόμενη νομολογία).
23 Το άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ ορίζει ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύννομη, θεμιτή και διαφανής έναντι του υποκειμένου των δεδομένων.
24 Κατά το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, το οποίο καθιερώνει την αρχή της ελαχιστοποίησης των δεδομένων, τα δεδομένα αυτά πρέπει επίσης να είναι κατάλληλα, συναφή και να περιορίζονται σε ό,τι είναι αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία. Η αρχή αυτή αποτελεί έκφραση της αρχής της αναλογικότητας [πρβλ. απόφαση της 4ης Οκτωβρίου 2024, Schrems (Δημοσιοποίηση δεδομένων στο ευρύ κοινό), C‑446/21, EU:C:2024:834, σκέψεις 49 και 50 και εκεί μνημονευόμενη νομολογία].
25 Όσον αφορά τις προϋποθέσεις νομιμότητας της επεξεργασίας, όπως έχει αποφανθεί το Δικαστήριο, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, του ΓΚΠΔ προβλέπει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί σύννομη. Συνεπώς, για να μπορεί να θεωρηθεί νόμιμη, η επεξεργασία πρέπει να εμπίπτει σε μία από τις περιπτώσεις που προβλέπονται στη διάταξη αυτήν (απόφαση της 4ης Οκτωβρίου 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, σκέψη 29 και εκεί μνημονευόμενη νομολογία).
26 Κατά το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εάν και στον βαθμό που το υποκείμενο των δεδομένων έχει παράσχει τη συγκατάθεσή του για έναν ή περισσότερους συγκεκριμένους σκοπούς. Ελλείψει τέτοιας συγκατάθεσης ή όταν δεν έχει δοθεί ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει συγκατάθεση, κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ, η επεξεργασία μπορεί να δικαιολογείται παρά ταύτα εφόσον πληροί κάποια από τις απαιτήσεις αναγκαιότητας στις οποίες αναφέρεται το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ έως στʹ [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψεις 91 και 92].
27 Στο πλαίσιο αυτό, οι δικαιολογητικοί λόγοι που προβλέπονται στην τελευταία αυτή διάταξη πρέπει να ερμηνεύονται στενά, δεδομένου ότι η επίκλησή τους μπορεί να καταστήσει νόμιμη μια επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται ελλείψει συγκατάθεσης του υποκειμένου των δεδομένων (απόφαση της 4ης Οκτωβρίου 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, σκέψη 31 και εκεί μνημονευόμενη νομολογία).
28 Επιπλέον, όπως έχει αποφανθεί το Δικαστήριο, όταν χωρεί η διαπίστωση ότι μια επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι αναγκαία βάσει ενός εκ των δικαιολογητικών λόγων που προβλέπονται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ έως στʹ, του ΓΚΠΔ, δεν είναι απαραίτητο να εξεταστεί αν η ίδια επεξεργασία καλύπτεται και από κάποιον άλλον εκ των δικαιολογητικών αυτών λόγων. Διευκρινίζεται, συναφώς, ότι η απαίτηση αναγκαιότητας της επεξεργασίας ένεκα του δικαιολογητικού λόγου που έγινε δεκτός δεν πληρούται όταν ο επιδιωκόμενος με την επεξεργασία δεδομένων σκοπός θα μπορούσε ευλόγως να επιτευχθεί κατά τρόπο εξίσου αποτελεσματικό με άλλα μέσα που θίγουν λιγότερο τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων, ιδίως τα δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα, τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη, δεδομένου ότι οι παρεκκλίσεις και οι περιορισμοί όσον αφορά την αρχή της προστασίας τέτοιων δεδομένων δεν πρέπει να υπερβαίνουν το απολύτως αναγκαίο μέτρο [πρβλ. αποφάσεις της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 110 και εκεί μνημονευόμενη νομολογία, και της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 94].
29 Τέλος, διευκρινίζεται ότι, βάσει του άρθρου 13, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, όταν τα συλλεγόμενα δεδομένα προσωπικού χαρακτήρα παρέχονται απευθείας από το ίδιο το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας οφείλει να ενημερώσει το υποκείμενο των δεδομένων σχετικά με τους σκοπούς για τους οποίους προορίζεται η επεξεργασία των δεδομένων, καθώς και με τη νομική βάση της επεξεργασίας (απόφαση της 4ης Οκτωβρίου 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, σκέψη 33 και εκεί μνημονευόμενη νομολογία).
30 Εν προκειμένω, επισημαίνεται ότι δεν αμφισβητείται ότι ο τύπος προσφώνησης ο οποίος είναι δηλωτικός αρσενικής ή θηλυκής ταυτότητας φύλου μπορεί να χαρακτηριστεί ως «δεδομένο προσωπικού χαρακτήρα» όταν αφορά ταυτοποιημένο πρόσωπο, κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ, ούτε ότι το συγκεκριμένο δεδομένο καθίσταται αντικείμενο «επεξεργασίας», κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ, στο μέτρο που συλλέγεται και καταχωρείται από την SNCF Connect στο πλαίσιο της διαδικτυακής πώλησης τίτλων μεταφοράς. Κατά συνέπεια, η επεξεργασία αυτή, η οποία έχει, άλλωστε, αυτοματοποιημένο χαρακτήρα, εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ, δυνάμει του άρθρου του 2, παράγραφος 1.
31 Περαιτέρω, το προδικαστικό ερώτημα του αιτούντος δικαστηρίου στηρίζεται σε δύο παραδοχές, ήτοι, αφενός, στο ότι η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων πραγματοποιείται χωρίς τη συγκατάθεση των υποκειμένων των δεδομένων, κατά την έννοια του άρθρου 4, σημείο 11, και του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, του ΓΚΠΔ, και, αφετέρου, στο ότι η επεξεργασία αυτή δεν είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, κατά την έννοια του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο γʹ, του ΓΚΠΔ. Το ζήτημα που τίθεται αφορά, επομένως, αποκλειστικά και μόνον τη δυνατότητα επίκλησης των δικαιολογητικών λόγων που διαλαμβάνονται στα στοιχεία βʹ και στʹ του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, του ΓΚΠΔ, στο πλαίσιο της επίμαχης στην κύρια δίκη επεξεργασίας δεδομένων.
Επί του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ
32 Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ ορίζει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη εάν «είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης».
33 Ειδικότερα, για να θεωρηθεί μια επεξεργασία δεδομένων προσωπικού χαρακτήρα ως απαραίτητη για την εκτέλεση σύμβασης κατά την έννοια της ως άνω διάταξης, πρέπει να είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού που είναι άρρηκτα συνδεδεμένος με τη συμβατική παροχή η οποία προορίζεται για το υποκείμενο των δεδομένων. Ο υπεύθυνος της επεξεργασίας πρέπει, συνεπώς, να είναι σε θέση να αποδείξει για ποιον λόγο το κύριο αντικείμενο της σύμβασης δεν θα μπορούσε να υλοποιηθεί ελλείψει της επεξεργασίας αυτής (απόφαση της 12ης Σεπτεμβρίου 2024, HTB Neunte Immobilien Portfolio και Ökorenta Neue Energien Ökostabil IV, C‑17/22 και C‑18/22, EU:C:2024:738, σκέψη 43 και εκεί μνημονευόμενη νομολογία).
34 Το γεγονός ότι η επεξεργασία μνημονεύεται στη σύμβαση ή ότι είναι απλώς χρήσιμη για την εκτέλεσή της δεν ασκεί, καθεαυτό, επιρροή συναφώς. Πράγματι, αποφασιστικό στοιχείο για την εφαρμογή του δικαιολογητικού λόγου του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ είναι ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται από τον υπεύθυνο επεξεργασίας πρέπει να είναι ουσιώδης για την ορθή εκτέλεση της σύμβασης που συνάπτεται μεταξύ του ιδίου και του υποκειμένου των δεδομένων και ότι, επομένως, δεν υφίστανται άλλες εφικτές και λιγότερο επεμβατικές λύσεις (απόφαση της 12ης Σεπτεμβρίου 2024, HTB Neunte Immobilien Portfolio και Ökorenta Neue Energien Ökostabil IV, C‑17/22 και C‑18/22, EU:C:2024:738, σκέψη 44 και εκεί μνημονευόμενη νομολογία).
35 Στο πλαίσιο αυτό, όταν η σύμβαση αφορά περισσότερες υπηρεσίες ή περισσότερα διακριτά στοιχεία της ίδιας υπηρεσίας τα οποία μπορούν να εκτελεστούν ανεξάρτητα το ένα από το άλλο, η δυνατότητα εφαρμογής του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ πρέπει να εκτιμάται χωριστά σε σχέση με καθεμία από τις υπηρεσίες αυτές [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 100].
36 Εν προκειμένω, δεν αμφισβητείται ότι το κύριο αντικείμενο της επίμαχης στην κύρια δίκη σύμβασης είναι η παροχή υπηρεσιών σιδηροδρομικών μεταφορών στους πελάτες. Κατά το αιτούν δικαστήριο, η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας με τον πελάτη, σύμφωνα με τα κρατούντα ήθη στον τομέα αυτόν.
37 Όπως παρατήρησε, κατ’ ουσίαν, ο γενικός εισαγγελέας στο σημείο 42 των προτάσεών του, η εμπορική επικοινωνία μπορεί να συνιστά σκοπό άρρηκτα συνδεδεμένο με την οικεία συμβατική παροχή, εφόσον η παροχή τέτοιου είδους υπηρεσίας σιδηροδρομικής μεταφοράς προϋποθέτει, κατ’ αρχήν, επικοινωνία με τον πελάτη προκειμένου, μεταξύ άλλων, να του αποσταλεί τίτλος μεταφοράς διά της ηλεκτρονικής οδού, να του παρασχεθεί ενημέρωση ως προς ενδεχόμενες αλλαγές που επηρεάζουν το αντίστοιχο ταξίδι καθώς και να του δοθεί η δυνατότητα να έλθει σε επαφή με την υπηρεσία εξυπηρέτησης μετά την πώληση. Στο πλαίσιο της επικοινωνίας αυτής μπορεί να είναι αναγκαία η τήρηση ηθών, περιλαμβανομένης ιδίως της χρήσης τύπων ευγενείας προς εκδήλωση του σεβασμού της επιχείρησης έναντι του πελάτη της και, συνακόλουθα, προς διαφύλαξη της εικόνας την οποία προβάλλει η επιχείρηση.
38 Εντούτοις, προκύπτει ότι μια επικοινωνία αυτού του είδους δεν είναι απαραίτητο να εξατομικεύεται ανάλογα με την ταυτότητα φύλου του εκάστοτε πελάτη. Πράγματι, κατά τη νομολογία, η εξατομίκευση περιεχομένων δεν παρίσταται απαραίτητη για την προσφορά των υπηρεσιών σε πελάτη όταν πρόκειται για υπηρεσίες που μπορούν, εν ανάγκη, να του παρασχεθούν υπό κάποια εναλλακτική μορφή η οποία δεν θα συνεπάγεται τέτοια εξατομίκευση, όπερ σημαίνει ότι αυτή δεν είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού άρρηκτα συνδεδεμένου με τις εν λόγω υπηρεσίες [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 102].
39 Όσον αφορά τις επίμαχες στην κύρια δίκη υπηρεσίες, η εξατομίκευση της εμπορικής επικοινωνίας βάσει της τεκμαιρόμενης, ανάλογα με τον τρόπο προσφώνησης, ταυτότητας φύλου του πελάτη δεν φαίνεται να είναι ούτε αντικειμενικώς αναγκαία ούτε ουσιώδης για την ορθή εκτέλεση της οικείας σύμβασης, κατά την έννοια της νομολογίας που υπομνήσθηκε στις σκέψεις 33 και 34 της παρούσας αποφάσεως.
40 Πράγματι, φαίνεται να υφίσταται μια λύση πρακτικώς εφικτή και λιγότερο επεμβατική, εφόσον η επιχείρηση θα μπορούσε να επιλέξει, είτε ειδικώς σε σχέση με τους πελάτες που δεν επιθυμούν να υποδείξουν τον τρόπο προσφώνησής τους είτε εν γένει, να χρησιμοποιεί για τις ανάγκες της επικοινωνίας αόριστους και συμπεριληπτικούς τύπους ευγενείας που να μη συνδέονται με την τεκμαιρόμενη ταυτότητα φύλου των πελατών. Εξάλλου, όπως επισήμανε ο γενικός εισαγγελέας στα σημεία 49 και 50 των προτάσεών του, υπό την επιφύλαξη σχετικής εξακρίβωσης από το αιτούν δικαστήριο, φαίνεται ότι η SNCF Connect χρησιμοποιεί ήδη τέτοιους τύπους ευγενείας και ότι, επιπλέον, τυχόν ανακριβής προσφώνηση ουδεμία επιρροή ασκεί στην παροχή των επίμαχων υπηρεσιών μεταφοράς, όπερ συνηγορεί υπέρ της διαπίστωσης ότι η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων δεν είναι αντικειμενικώς αναγκαία για την εκτέλεση του κύριου αντικειμένου της σύμβασης.
41 Στο πλαίσιο αυτό, πρέπει ακόμη να διευκρινιστεί ότι, κατά την επ’ ακροατηρίου συζήτηση, η SNCF Connect ισχυρίστηκε ότι η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων επεδίωκε και έναν δεύτερο σκοπό, συνιστάμενο στην προσαρμογή των υπηρεσιών μεταφοράς όσον αφορά τα νυχτερινά τρένα, στα οποία υπάρχουν βαγόνια που προορίζονται αποκλειστικώς και μόνο για άτομα του ιδίου φύλου, καθώς και όσον αφορά την παροχή συνδρομής σε άτομα με μειωμένη κινητικότητα. Κατά την SNCF Connect, ο σκοπός της προσαρμογής των υπηρεσιών μεταφοράς ενδέχεται να καθιστά αναγκαία τη γνωστοποίηση της ταυτότητας φύλου των ενδιαφερομένων πελατών.
42 Όμως, η συστηματική και γενικευμένη επεξεργασία των σχετικών με τον τρόπο προσφώνησης δεδομένων του συνόλου των πελατών της επιχείρησης, περιλαμβανομένων των πελατών που ταξιδεύουν κατά τη διάρκεια της ημέρας ή που δεν είναι άτομα μειωμένης κινητικότητας, δεν είναι δυνατόν να δικαιολογηθεί βάσει του δευτέρου αυτού σκοπού. Συγκεκριμένα, τέτοιου είδους επεξεργασία είναι δυσανάλογη και, ως εκ τούτου, αντίθετη προς την αρχή της ελαχιστοποίησης των δεδομένων, η οποία υπομνήσθηκε στη σκέψη 24 της παρούσας αποφάσεως, αφ’ ης στιγμής θα μπορούσε να περιορίζεται στα σχετικά με την ταυτότητα φύλου δεδομένα αποκλειστικώς και μόνον των πελατών που επιθυμούν να ταξιδέψουν με νυχτερινό τρένο ή να τύχουν εξατομικευμένης βοήθειας λόγω μειωμένης κινητικότητας.
43 Συνακόλουθα, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ, ερμηνευόμενο σε συνδυασμό με το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού αυτού, έχει την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με τον τρόπο προσφώνησης των πελατών επιχείρησης μεταφορών, η οποία έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, δεν παρίσταται ούτε αντικειμενικώς αναγκαία ούτε ουσιώδης για την ορθή εκτέλεση σύμβασης και, επομένως, δεν μπορεί να θεωρηθεί απαραίτητη για την εκτέλεση της εν λόγω σύμβασης.
Επί του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ
44 Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ προβλέπει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη εάν «είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί».
45 Κατά πάγια νομολογία, η διάταξη αυτή προβλέπει τρεις σωρευτικές προϋποθέσεις που πρέπει να συντρέχουν για να είναι νόμιμες οι επεξεργασίες δεδομένων προσωπικού χαρακτήρα στις οποίες αναφέρεται, ήτοι πρώτον, την επιδίωξη έννομου συμφέροντος εκ μέρους του υπευθύνου επεξεργασίας ή τρίτου, δεύτερον, την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου έννομου συμφέροντος και, τρίτον, την απαίτηση να μην υπερισχύουν του έννομου συμφέροντος του υπευθύνου επεξεργασίας ή του τρίτου τα συμφέροντα ή οι ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων [αποφάσεις της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 106, και της 4ης Οκτωβρίου 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, σκέψη 37].
46 Ως προς την προϋπόθεση, πρώτον, σχετικά με την επιδίωξη έννομου συμφέροντος, διευκρινίζεται ότι, βάσει του άρθρου 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας υποχρεούται, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα όταν αυτά συλλέγονται απευθείας από το υποκείμενο των δεδομένων, να του γνωστοποιήσει ποια είναι τα επιδιωκόμενα έννομα συμφέροντα σε περίπτωση που η επεξεργασία στηρίζεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του κανονισμού. Ελλείψει ορισμού της έννοιας του «έννομου συμφέροντος» στον ΓΚΠΔ, υπάρχει ένα ευρύ φάσμα συμφερόντων τα οποία μπορούν, κατ’ αρχήν, να θεωρηθούν έννομα. Ειδικότερα, η έννοια αυτή δεν περιορίζεται στα συμφέροντα που κατοχυρώνονται και καθορίζονται από τον νόμο [πρβλ. αποφάσεις της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 107, και της 4ης Οκτωβρίου 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, σκέψεις 38, 40 και 41 και εκεί μνημονευόμενη νομολογία].
47 Ειδικότερα, από την αιτιολογική σκέψη 47 του ΓΚΠΔ προκύπτει ότι τέτοιο έννομο συμφέρον θα μπορούσε, λόγου χάρη, να υπάρχει όταν υφίσταται σχετική και κατάλληλη σχέση μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, όπως αν το υποκείμενο των δεδομένων είναι πελάτης του υπευθύνου επεξεργασίας.
48 Ως προς την προϋπόθεση, δεύτερον, της αναγκαιότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου έννομου συμφέροντος, και λαμβανομένης υπόψη της νομολογίας που υπομνήσθηκε στη σκέψη 28 της παρούσας αποφάσεως, στο αιτούν δικαστήριο εναπόκειται να βεβαιωθεί ότι το έννομο συμφέρον το οποίο επιδιώκεται με την επεξεργασία των δεδομένων δεν είναι ευλόγως δυνατόν να πραγματωθεί κατά τρόπο εξίσου αποτελεσματικό με άλλα μέσα που να θίγουν λιγότερο τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων, μια τέτοια δε επεξεργασία πρέπει να περιορίζεται μόνο σε ό,τι είναι απολύτως αναγκαίο για την εξυπηρέτηση του έννομου αυτού συμφέροντος.
49 Στο πλαίσιο αυτό, υπενθυμίζεται επίσης ότι η προϋπόθεση της αναγκαιότητας της επεξεργασίας πρέπει να εξετάζεται από κοινού με την κατοχυρωμένη στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ αρχή της ελαχιστοποίησης των δεδομένων, σύμφωνα με την οποία τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται σε ό,τι είναι αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (απόφαση της 12ης Σεπτεμβρίου 2024, HTB Neunte Immobilien Portfolio και Ökorenta Neue Energien Ökostabil IV, C‑17/22 και C‑18/22, EU:C:2024:738, σκέψη 52 και εκεί μνημονευόμενη νομολογία).
50 Τέλος, ως προς την προϋπόθεση, τρίτον, ότι πρέπει τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και δικαιώματα του υποκειμένου των δεδομένων να μην υπερισχύουν του έννομου συμφέροντος του υπευθύνου επεξεργασίας ή τρίτου, το Δικαστήριο έχει κρίνει ότι απαιτείται στάθμιση των αντιπαρατιθέμενων εν προκειμένω δικαιωμάτων και συμφερόντων η οποία εξαρτάται, κατ’ αρχήν, από τις συγκεκριμένες περιστάσεις της κάθε περίπτωσης και ότι, κατά συνέπεια, εναπόκειται στο αιτούν δικαστήριο να προβεί στην εν λόγω στάθμιση λαμβάνοντας υπόψη τις ειδικές αυτές περιστάσεις. Όπως προκύπτει από την αιτιολογική σκέψη 47 του ΓΚΠΔ, τα συμφέροντα και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων μπορούν, ειδικότερα, να υπερισχύουν των συμφερόντων του υπευθύνου επεξεργασίας όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία υπό περιστάσεις στις οποίες το υποκείμενο των δεδομένων δεν αναμένει ευλόγως περαιτέρω επεξεργασία των δεδομένων του (πρβλ. απόφαση της 12ης Σεπτεμβρίου 2024, HTB Neunte Immobilien Portfolio και Ökorenta Neue Energien Ökostabil IV, C‑17/22 και C‑18/22, EU:C:2024:738, σκέψεις 53 και 54 και εκεί μνημονευόμενη νομολογία).
51 Εν προκειμένω, μολονότι, εν τέλει, εναπόκειται στο αιτούν δικαστήριο να εκτιμήσει εάν, όσον αφορά την επίμαχη στη διαφορά της κύριας δίκης επεξεργασία δεδομένων προσωπικού χαρακτήρα, πληρούνται οι τρεις προϋποθέσεις που υπομνήσθηκαν στη σκέψη 45 της παρούσας αποφάσεως, το Δικαστήριο, αποφαινόμενο επί προδικαστικής παραπομπής, έχει τη δυνατότητα να παράσχει διευκρινίσεις προκειμένου να το καθοδηγήσει στην εκτίμησή του αυτή (βλ., κατ’ αναλογίαν, απόφαση της 12ης Σεπτεμβρίου 2024, HTB Neunte Immobilien Portfolio και Ökorenta Neue Energien Ökostabil IV, C‑17/22 και C‑18/22, EU:C:2024:738, σκέψη 55 και εκεί μνημονευόμενη νομολογία).
52 Όσον αφορά την πρώτη προϋπόθεση, περί της οποίας έγινε λόγος στη σκέψη 46 της παρούσας αποφάσεως, στο αιτούν δικαστήριο εναπόκειται να ελέγξει αν η SNCF Connect γνωστοποίησε κάποιο επιδιωκόμενο έννομο συμφέρον στους πελάτες της, όπως επιτάσσει το άρθρο 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, κατά το στάδιο της συλλογής των επίμαχων στην κύρια δίκη δεδομένων. Όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 58 των προτάσεών του, η εν λόγω διάταξη επιβάλλει να ενημερώνονται άμεσα τα υποκείμενα των δεδομένων για το επιδιωκόμενο έννομο συμφέρον κατά το χρονικό σημείο της συλλογής των δεδομένων, ειδάλλως δεν μπορεί να δικαιολογηθεί η συλλογή τους βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του κανονισμού. Από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο δεν καθίσταται δυνατό να κριθεί εάν η ως άνω απαίτηση τηρήθηκε στο πλαίσιο της υπόθεσης της κύριας δίκης.
53 Στο πλαίσιο αυτό, διευκρινίζεται ότι, στις γραπτές παρατηρήσεις της, η SNCF Connect έκανε λόγο για σκοπό άμεσης εμπορικής προώθησης, χάριν του οποίου θα μπορούσε να είναι αναγκαία η εξατομίκευση της επικοινωνίας και, κατά συνέπεια, να δικαιολογείται η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων.
54 Συναφώς, κατά την αιτιολογική σκέψη 47, τελευταία περίοδος, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άμεσης εμπορικής προώθησης μπορεί να θεωρηθεί ότι διενεργείται χάριν έννομου συμφέροντος. Ειδικότερα, η εξατομίκευση της διαφήμισης μπορεί να εξομοιωθεί με εμπορική προώθηση σε ένα τέτοιο πλαίσιο [βλ., κατ’ αναλογίαν, απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 115].
55 Όσον αφορά τη δεύτερη προϋπόθεση, περί της οποίας έγινε λόγος στη σκέψη 48 της παρούσας αποφάσεως, υπό την επιφύλαξη σχετικής εξακρίβωσης από το αιτούν δικαστήριο, φαίνεται ότι η εξατομίκευση της εμπορικής επικοινωνίας μπορεί να περιορίζεται στην επεξεργασία του ονοματεπώνυμου των πελατών, ο δε τρόπος προσφώνησης και/ή η ταυτότητα φύλου τους συνιστούν πληροφορία που δεν παρίσταται απολύτως αναγκαία στο πλαίσιο αυτό, ιδίως υπό το πρίσμα της αρχής της ελαχιστοποίησης των δεδομένων.
56 Στις αντίστοιχες γραπτές παρατηρήσεις τους, η SNCF Connect και η Γαλλική Κυβέρνηση υποστηρίζουν ότι, προκειμένου να εκτιμάται η αναγκαιότητα μιας επεξεργασίας δεδομένων προσωπικού χαρακτήρα, πρέπει να λαμβάνονται υπόψη τα ήθη και οι κοινωνικές συμβάσεις που επικρατούν στο εκάστοτε κράτος μέλος, με σκοπό ιδίως τη διατήρηση της γλωσσικής και πολιτιστικής πολυμορφίας, κατά τα διαλαμβανόμενα στην αιτιολογική σκέψη 4 του ΓΚΠΔ. Επισημαίνεται εντούτοις, αφενός, ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ δεν προβλέπει τη συνεκτίμηση των ηθών και των κοινωνικών συμβάσεων στο πλαίσιο της κρίσης περί της αναγκαιότητας μιας τέτοιας επεξεργασίας, πρόκειται δε για διάταξη η οποία πρέπει να ερμηνεύεται στενά, όπως υπομνήσθηκε στη σκέψη 27 της παρούσας αποφάσεως.
57 Αφετέρου, δεν προκύπτει ότι η πολυμορφία αυτή θίγεται σε περίπτωση που δεν γίνεται επεξεργασία δεδομένων σχετικών με τον τρόπο προσφώνησης ή την ταυτότητα φύλου των ενδιαφερομένων πελατών. Συγκεκριμένα, όπως προκύπτει από τη σκέψη 40 της παρούσας αποφάσεως, ο υπεύθυνος επεξεργασίας μπορεί κάλλιστα να τηρεί τα ήθη και τις κοινωνικές συμβάσεις χρησιμοποιώντας, είτε ειδικώς έναντι των πελατών που δεν επιθυμούν να υποδείξουν τον τρόπο προσφώνησής τους είτε εν γένει, αόριστους και συμπεριληπτικούς τύπους ευγενείας που να μη συνδέονται με την τεκμαιρόμενη ταυτότητα φύλου των πελατών, όπερ σημαίνει ότι η επιχειρηματολογία την οποία ανέπτυξαν η SNCF Connect και η Γαλλική Κυβέρνηση δεν μπορεί, εν πάση περιπτώσει, να ευδοκιμήσει.
58 Όσον αφορά την τρίτη προϋπόθεση, περί της οποίας έγινε λόγος στη σκέψη 50 της παρούσας αποφάσεως, και τη στάθμιση των αντιπαρατιθέμενων εν προκειμένω δικαιωμάτων και συμφερόντων, ήτοι εκείνων του υπευθύνου επεξεργασίας, αφενός, και εκείνων του υποκειμένου των δεδομένων, αφετέρου, πρέπει να λαμβάνονται υπόψη, ιδίως, οι εύλογες προσδοκίες του υποκειμένου των δεδομένων, η έκταση της επίμαχης επεξεργασίας και ο αντίκτυπός της στο υποκείμενο των δεδομένων [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 116].
59 Όπως παρατήρησε, κατ’ ουσίαν, ο γενικός εισαγγελέας στο σημείο 70 των προτάσεών του, υπό την επιφύλαξη σχετικής εξακρίβωσης από το αιτούν δικαστήριο, δεν μπορεί να θεωρηθεί ότι ο πελάτης επιχείρησης μεταφορών αναμένει ευλόγως ότι η επιχείρηση επεξεργάζεται τα σχετικά με τον τρόπο προσφώνησης ή την ταυτότητα φύλου δεδομένα του στο πλαίσιο της αγοράς τίτλου μεταφοράς. Τούτο θα ίσχυε, αντιθέτως, εάν η επεξεργασία πραγματοποιούνταν αποκλειστικά και μόνο για σκοπούς άμεσης εμπορικής προώθησης.
60 Το έννομο συμφέρον το οποίο έγκειται στην άμεση εμπορική προώθηση δεν δύναται, εν πάση περιπτώσει, να υπερισχύσει σε περίπτωση που ελλοχεύει ο κίνδυνος να θιγούν θεμελιώδη δικαιώματα ή ελευθερίες του υποκειμένου των δεδομένων. Πράγματι, όπως προκύπτει από την αιτιολογική σκέψη 75 του ΓΚΠΔ, τέτοιοι κίνδυνοι για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, οι οποίοι μπορεί να ποικίλλουν ως προς τον βαθμό πιθανότητας και σοβαρότητάς τους, είναι δυνατόν να προκύψουν από επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία είναι πιθανόν να οδηγήσει σε σωματική, υλική ή ηθική βλάβη, ιδίως όταν η επεξεργασία μπορεί να οδηγήσει σε διακρίσεις.
61 Στο πλαίσιο αυτό, ειδικότερα, εναπόκειται στο αιτούν δικαστήριο να ελέγξει αν συντρέχει, όπως ισχυρίζεται η Mousse, κίνδυνος διάκρισης λόγω της ταυτότητας φύλου, ιδίως υπό το πρίσμα της οδηγίας 2004/113, η οποία θέτει σε εφαρμογή την αρχή της ίσης μεταχείρισης ανδρών και γυναικών όσον αφορά την πρόσβαση σε αγαθά και υπηρεσίες και την παροχή τους.
62 Διευκρινίζεται, συναφώς, ότι δεν μπορεί να γίνει δεκτό ότι στο πεδίο εφαρμογής της οδηγίας αυτής εμπίπτουν μόνον οι διακρίσεις που οφείλονται στο γεγονός ότι ο υφιστάμενος τη διάκριση ανήκει στο ένα από τα δύο φύλα. Λαμβανομένων υπόψη του σκοπού της οδηγίας και της φύσης των δικαιωμάτων στην προστασία των οποίων αποσκοπεί, η οδηγία αυτή έχει εφαρμογή και στις διακρίσεις που οφείλονται στην αλλαγή ταυτότητας φύλου του προσώπου (βλ., κατ’ αναλογίαν, απόφαση της 27ης Απριλίου 2006, Richards, C‑423/04, EU:C:2006:256, σκέψη 24 και εκεί μνημονευόμενη νομολογία).
63 Κατά συνέπεια, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, ερμηνευόμενο σε συνδυασμό με το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, έχει την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με τον τρόπο προσφώνησης των πελατών επιχείρησης μεταφορών, η οποία έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, δεν μπορεί να θεωρηθεί απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος της επεξεργασίας ή τρίτος, όταν:
– το επιδιωκόμενο έννομο συμφέρον δεν έχει γνωστοποιηθεί στους πελάτες κατά τη συλλογή των δεδομένων αυτών· ή
– η επεξεργασία δεν περιορίζεται μόνο σε ό,τι είναι απολύτως αναγκαίο για την επίτευξη του έννομου συμφέροντος· ή
– υπό το πρίσμα όλων των κρίσιμων περιστάσεων, οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των πελατών είναι πιθανόν να υπερισχύουν του έννομου αυτού συμφέροντος, ιδίως λόγω της ύπαρξης κινδύνου διάκρισης βάσει της ταυτότητας φύλου.
64 Λαμβανομένων υπόψη των ανωτέρω σκέψεων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και στʹ, του ΓΚΠΔ, ερμηνευόμενο σε συνδυασμό με το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, έχει την έννοια ότι
– η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με τον τρόπο προσφώνησης των πελατών επιχείρησης μεταφορών, η οποία έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, δεν παρίσταται ούτε αντικειμενικώς αναγκαία ούτε ουσιώδης για την ορθή εκτέλεση σύμβασης και, επομένως, δεν μπορεί να θεωρηθεί απαραίτητη για την εκτέλεση της εν λόγω σύμβασης·
– η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με τον τρόπο προσφώνησης των πελατών επιχείρησης μεταφορών, η οποία έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, δεν μπορεί να θεωρηθεί απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, όταν:
– το επιδιωκόμενο έννομο συμφέρον δεν έχει γνωστοποιηθεί στους πελάτες κατά τη συλλογή των δεδομένων αυτών· ή
– η επεξεργασία δεν περιορίζεται μόνο σε ό,τι είναι απολύτως αναγκαίο για την επίτευξη του έννομου συμφέροντος· ή
– υπό το πρίσμα όλων των κρίσιμων περιστάσεων, οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των πελατών είναι πιθανόν να υπερισχύουν του έννομου αυτού συμφέροντος, ιδίως λόγω της ύπαρξης κινδύνου διάκρισης βάσει της ταυτότητας φύλου.
Επί του δευτέρου προδικαστικού ερωτήματος
65 Με το δεύτερο ερώτημά του, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί εάν το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ έχει την έννοια ότι, στο πλαίσιο της εκτίμησης της αναγκαιότητας μιας επεξεργασίας δεδομένων προσωπικού χαρακτήρα βάσει της ως άνω διάταξης, πρέπει να λαμβάνεται υπόψη η ενδεχόμενη ύπαρξη δικαιώματος εναντίωσης του υποκειμένου των δεδομένων, δυνάμει του άρθρου 21 του ΓΚΠΔ.
66 Το άρθρο 21, παράγραφος 1, του ΓΚΠΔ ορίζει ότι το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στα στοιχεία εʹ ή στʹ του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, του ΓΚΠΔ, περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Σε μια τέτοια περίπτωση, ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία, οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων, ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.
67 Η κρίση περί του εάν έχει εφαρμογή το άρθρο 21 του ΓΚΠΔ και, κατά συνέπεια, η ενδεχόμενη ύπαρξη δικαιώματος εναντίωσης προϋποθέτουν ότι υφίσταται σύννομη επεξεργασία, στηριζόμενη εν προκειμένω στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ. Για να είναι, όμως, σύννομη μια τέτοια επεξεργασία, πρέπει προηγουμένως να πληροί την προϋπόθεση περί του απολύτως αναγκαίου χαρακτήρα της, για την οποία έγινε λόγος στη σκέψη 48 της παρούσας αποφάσεως.
68 Όπως παρατήρησε ο γενικός εισαγγελέας στα σημεία 80 και 82 των προτάσεών του, από το γράμμα και την όλη οικονομία των επίμαχων διατάξεων προκύπτει, επομένως, ότι η ύπαρξη δικαιώματος εναντίωσης δεν πρέπει να ληφθεί υπόψη για τους σκοπούς της εκτίμησης της νομιμότητας και, ειδικότερα, της αναγκαιότητας της επίμαχης στην κύρια δίκη επεξεργασίας δεδομένων.
69 Η ανωτέρω ερμηνεία επιβεβαιώνεται από τον επιδιωκόμενο με τον ΓΚΠΔ σκοπό ο οποίος έγκειται, σύμφωνα με την αιτιολογική του σκέψη 10, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Πράγματι, οποιαδήποτε άλλη ερμηνεία θα είχε ως αποτέλεσμα να αποδυναμώνονται οι απαιτήσεις που προβλέπονται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, διά της διευρύνσεως των λόγων νομιμότητας της επίμαχης επεξεργασίας, μολονότι η διάταξη αυτή πρέπει να ερμηνεύεται στενά, λαμβανομένης υπόψη της νομολογίας που υπομνήσθηκε στη σκέψη 27 της παρούσας αποφάσεως.
70 Κατόπιν των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ έχει την έννοια ότι, στο πλαίσιο της εκτίμησης της αναγκαιότητας μιας επεξεργασίας δεδομένων προσωπικού χαρακτήρα βάσει της ως άνω διάταξης, δεν πρέπει να λαμβάνεται υπόψη η ενδεχόμενη ύπαρξη δικαιώματος εναντίωσης του υποκειμένου των δεδομένων, δυνάμει του άρθρου 21 του ΓΚΠΔ.
Επί των δικαστικών εξόδων
71 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (πρώτο τμήμα) αποφαίνεται:
1) Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και στʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), ερμηνευόμενο σε συνδυασμό με το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού αυτού,
έχει την έννοια ότι:
– η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με τον τρόπο προσφώνησης των πελατών επιχείρησης μεταφορών, η οποία έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, δεν παρίσταται ούτε αντικειμενικώς αναγκαία ούτε ουσιώδης για την ορθή εκτέλεση σύμβασης και, επομένως, δεν μπορεί να θεωρηθεί απαραίτητη για την εκτέλεση της εν λόγω σύμβασης·
– η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικών με τον τρόπο προσφώνησης των πελατών επιχείρησης μεταφορών, η οποία έχει ως σκοπό την εξατομίκευση της εμπορικής επικοινωνίας βάσει της ταυτότητας φύλου των πελατών, δεν μπορεί να θεωρηθεί απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, όταν:
– το επιδιωκόμενο έννομο συμφέρον δεν έχει γνωστοποιηθεί στους πελάτες κατά τη συλλογή των δεδομένων αυτών· ή
– η επεξεργασία δεν περιορίζεται μόνο σε ό,τι είναι απολύτως αναγκαίο για την επίτευξη του έννομου συμφέροντος· ή
– υπό το πρίσμα όλων των κρίσιμων περιστάσεων, οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των πελατών είναι πιθανόν να υπερισχύουν του έννομου αυτού συμφέροντος, ιδίως λόγω της ύπαρξης κινδύνου διάκρισης βάσει της ταυτότητας φύλου.
2) Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
στο πλαίσιο της εκτίμησης της αναγκαιότητας μιας επεξεργασίας δεδομένων προσωπικού χαρακτήρα βάσει της ως άνω διάταξης, δεν πρέπει να λαμβάνεται υπόψη η ενδεχόμενη ύπαρξη δικαιώματος εναντίωσης του υποκειμένου των δεδομένων, δυνάμει του άρθρου 21 του ΓΚΠΔ.
(υπογραφές)
