I.

Įvadas

1.

Reglamentu (ES) 2016/679 ( 2 ) (toliau – BDAR) siekiama užtikrinti aukšto lygio fizinių asmenų apsaugą tvarkant jų asmens duomenis. Šiuo tikslu pagal jį reikalaujama, kad tvarkydami asmens duomenis duomenų valdytojai laikytųsi įvairių principų, įskaitant „duomenų kiekio mažinimo“ ir duomenų tvarkymo teisėtumo principus.

2.

Šie du principai yra esminiai šioje byloje, kurioje nagrinėjamas asociacijos ir nacionalinės priežiūros institucijos ginčas dėl transporto bendrovės atliekamo jos klientų asmens duomenų tvarkymo, siekiant nurodyto tikslo juos naudoti komerciniuose pranešimuose, todėl Teisingumo Teismas turi galimybę tiksliau apibrėžti jų taikymo sritį.

II.

Teisinis pagrindas

A.

Sąjungos teisė

3.

BDAR 4, 10, 39, 40, 44, 47, 69 ir 75 konstatuojamosiose dalyse nurodyta:

4.

Pagal BDAR 2 straipsnio 1 dalį šis reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio dalį ar yra skirti jai sudaryti, tvarkymui ne automatizuotomis priemonėmis.

5.

BDAR 4 straipsnyje „Apibrėžtys“ nustatyta:

6.

BDAR 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ numatyta:

7.

Minėto reglamento 6 straipsnio „Tvarkymo teisėtumas“ 1 dalyje nustatyta:

8.

BDAR 13 straipsnyje „Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“, nustatyta:

9.

BDAR 21 straipsnio „Teisė nesutikti“ 1 dalyje numatyta:

10.

BDAR 25 straipsnio „Pritaikytoji duomenų apsauga ir standartizuotoji duomenų apsauga“ 2 dalyje numatyta:

B.

Prancūzijos teisė

11.

Loi no 78-17 relative à l’informatique, aux fichiers et aux libertés, du 6 janvier 1978 (1978 m. sausio 6 d. Įstatymas Nr. 78-17 dėl informatikos, rinkmenų ir laisvių) ( 3 ) 8 straipsnyje nustatyta:

III.

Faktinės aplinkybės, procesas Teisingumo Teisme ir prejudiciniai klausimai

12.

SNCF Connect yra bendrovė, kuri savo interneto svetainėje ir taikomosiose programose prekiauja geležinkelių transporto bilietais, pavyzdžiui, traukinio bilietais, abonementais ir nuolaidų kortelėmis. Pirkdami šiuos bilietus šios bendrovės klientai privalo nurodyti jiems naudotiną kreipinį, pažymėdami mandagumo kreipinį „ponas“ arba „ponia“.

13.

Manydama, kad sąlygos, kuriomis perkant transporto bilietus buvo renkami ir registruojami klientų mandagumo kreipiniai, neatitinka BDAR reikalavimų, pareiškėja pagrindinėje byloje – asociacija Mousse (toliau – Mousse) – pateikė Commission nationale de l’informatique et des libertés (Nacionalinė informatikos ir laisvių komisija, CNIL) skundą dėl bendrovės SNCF Connect. Grįsdama šį reikalavimą Mousse nurodė, kad atitinkamų duomenų rinkimas neatitinka šio reglamento 5 straipsnio 1 dalies a punkte įtvirtinto teisėtumo principo, nes nėra pagrįstas nė vienu iš šio reglamento 6 straipsnio 1 dalyje numatytų pagrindų. Be to, tokiu duomenų rinkimu pažeidžiami šio reglamento 5 straipsnio 1 dalies c ir d punktuose nustatyti duomenų kiekio mažinimo ir tikslumo principai, taip pat, be kita ko, iš šio reglamento 13 straipsnio kylančios pareigos užtikrinti skaidrumą ir teikti informaciją. Šiomis aplinkybėmis Mousse teigė, kad SNCF Connect neturėtų rinkti šių duomenų arba bent jau turėtų pasiūlyti savo klientams papildomų pasirinkimo galimybių, kaip antai nuorodas „neutrali“ arba „kita“.

14.

2021 m. kovo 23 d. sprendimu CNIL baigė nagrinėti jai pateiktą skundą ir laikėsi nuomonės, kad veiksmai, kuriais kaltinama bendrovė SNCF Connect, nelaikytini atitinkamų BDAR nuostatų pažeidimu. CNIL nustatė, kad pagal šio reglamento 6 straipsnio 1 dalies b punktą duomenų tvarkymas buvo teisėtas, nes buvo būtinas transporto paslaugų teikimo sutarčiai vykdyti. Be to, CNIL pažymėjo, kad, atsižvelgiant į jo tikslus, toks duomenų tvarkymas atitinka duomenų kiekio mažinimo principą, nes kreipimasis į klientus naudojant mandagumo kreipinius atitinka civilinių, verslo ir administracinių ryšių papročius.

15.

2021 m. gegužės 21 d. Mousse pateikė Conseil d'État (Valstybės Taryba, Prancūzija) skundą dėl 2021 m. kovo 23 d. CNIL sprendimo panaikinimo. Savo skunde Mousse, be kita ko, teigė, kad reikalavimas perkant internetu pasirinkti nuorodą „ponas“ arba „ponia“ neatitinka atitinkamai BDAR 5 straipsnio 1 dalies a ir c punktuose įtvirtintų teisėtumo ir duomenų kiekio mažinimo principų, nes ši nuoroda nėra būtina sutarčiai įvykdyti ar SNCF Connect teisėtiems interesams užtikrinti. To, kad kreipiniai „ponas“ ir „ponia“ vartojami verslo korespondencijoje, nepakanka, kad būtų būtina rinkti šiuos duomenis. Galiausiai tokiu reikalavimu pažeidžiama teisė keliauti, nenurodant savo mandagumo kreipinio, teisė į privatų gyvenimą ir laisvė nevaržomai apibrėžti savo lyties išraišką. Be kita ko, šalių, kuriose leidžiama tokia civilinė būklė kaip „neutrali lytis“, piliečių atveju šis kreipinys neatitiktų tikrovės, todėl galėtų prieštarauti šio reglamento 5 straipsnio 1 dalies d punkte nustatytam tikslumo principui, taip pat pažeisti jų judėjimo laisvę, garantuojamą pagal Sąjungos teisę.

16.

CNIL padarė išvadą, kad šis ieškinys turėtų būti atmestas, ir nurodė, kad su mandagumo kreipiniu susijusių duomenų tvarkymas taip pat galėtų būti laikomas „būtinu“ SNCF Connect siekiamų teisėtų interesų tikslais, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies f punktą, ir kad duomenų subjektai gali – priklausomai nuo konkrečios jų padėties – pasinaudoti šio reglamento 21 straipsnyje garantuojama teise nesutikti.

17.

Prašymą priimti prejudicinį sprendimą pateikęs teismas pirmiausia siekia išsiaiškinti, ar norint įvertinti, ar duomenų rinkimas yra adekvatus, tinkamas ir tik toks, kokio reikia, ir ar būtina juos tvarkyti, galima atsižvelgti į plačiai paplitusius papročius civilinių, verslo ir administracinių ryšių srityje, kad duomenų, susijusių su klientų civiline būkle, rinkimas, apimantis tik nuorodas „ponas“ arba „ponia“, galėtų būti pripažintas „teisėtu ir atitinkančiu“ duomenų kiekio mažinimo principą. Kita vertus, šis teismas kelia klausimą, ar vertinant būtinybę rinkti ir tvarkyti klientų mandagumo kreipinių duomenis ir kai kuriems iš jų laikantis nuomonės, kad jiems netaikytinas nė vienas iš dviejų mandagumo kreipinių, reikia atsižvelgti į tai, kad šie klientai, pateikę šiuos duomenis duomenų valdytojui, kai nori pasinaudoti siūloma paslauga, galėtų įgyvendinti savo teisę nesutikti su tokių duomenų naudojimu dėl su jų konkrečiu atveju susijusių priežasčių, kaip tai suprantama pagal BDAR 21 straipsnį.

18.

Šiomis aplinkybėmis Conseil d’État nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

19.

Mousse, SNCF Connect, Prancūzijos vyriausybė ir Europos Komisija pateikė rašytines pastabas. Tos pačios šalys, dalyvavo 2024 m. balandžio 29 d. vykusiame teismo posėdyje.

IV.

Analizė

A.

Dėl pirmojo prejudicinio klausimo

20.

Pirmuoju prejudiciniu klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 5 straipsnio 1 dalies c punktas ir 6 straipsnio 1 dalies b ir f punktai turi būti aiškinami taip, kad asmens duomenų, susijusių su transporto įmonės klientų mandagumo kreipiniais, tvarkymas turi būti laikomas būtinu sutarčiai ar ikisutartinėms priemonėms įgyvendinti arba duomenų valdytojo ar trečiosios šalies teisėtų interesų labui, kai tokiu duomenų tvarkymu siekiama įgalinti siųsti suasmenintus komercinius pranešimus, užtikrinant, kad būtų laikomasi plačiai paplitusių verslo ryšių papročių.

21.

Šiuo klausimu noriu pateikti dvi preliminarias pastabas.

22.

Pirma, atkreipiu dėmesį į tai, kad šalys sutinka ir kad nėra abejonių, jog duomenys, susiję su transporto įmonės klientų mandagumo kreipiniais, yra asmens duomenys, kaip tai suprantama pagal BDAR 4 straipsnio 1 dalį, be to, jų rinkimas ir registravimas, kurį atlieka SNCF Connect, turi būti laikomas duomenų tvarkymu, kaip tai suprantama pagal šio reglamento 4 straipsnio 2 dalį, todėl jie turi būti nagrinėjami atsižvelgiant į minėto reglamento nuostatas.

23.

Antra, SNCF Connect ir Prancūzijos vyriausybė nurodo, kad neigiamas atsakymas į pirmąjį prejudicinį klausimą lemtų BDAR taikymą su juo nesusijusiomis aplinkybėmis, nes priimdamas šį reglamentą teisės aktų leidėjas neketino reguliuoti ryšių palaikymo papročių arba lyties klausimo. Nors sutinku su generaliniu advokatu M. Bobek, kad duomenų apsaugos teisės aktai kartais taikomi „stebinančiomis aplinkybėmis“ ( 4 ), vis dėlto man atrodo, kad ši situacija nėra viena iš tokių. Aplinkybė, kad nagrinėjamas klausimas dėl civilinės tapatybės duomenų ir kad šitaip atsispindi nacionalinėse teisinėse sistemose vykstančios diskusijos dėl lyties dvilypumo, negali užgožti fakto, kad nagrinėjamoje byloje ginčijamas transporto bendrovės atliekamas automatinis jos klientų asmens duomenų tvarkymas, kuris ne tik objektyviai patenka į BDAR taikymo sritį, bet ir yra duomenų tvarkymo operacija, kurią Sąjungos teisės aktų leidėjas siekė reglamentuoti ( 5 ).

24.

Taigi pirmojo prejudicinio klausimo analizę pradėsiu nuo bendrų pastabų dėl duomenų tvarkymo teisėtumo sąlygos, kuri duomenų valdytojams taikoma pagal BDAR, ir tik tada nustatysiu, ar, atsižvelgiant į išdėstytus principus, ši sąlyga turi būti laikoma įvykdyta, kai tvarkomi duomenys, susiję su transporto įmonės klientų mandagumo kreipiniais, siekiant su šiais klientais bendrauti paisant plačiai paplitusių verslo ryšių papročių.

1.

Dėl asmens duomenų tvarkymo teisėtumo

25.

BDAR 5 straipsnyje numatyti įvairūs su asmens duomenų tvarkymu susiję principai. Visų pirma šioje nuostatoje nurodyta, kad tokie duomenys turi būti „tvarkomi teisėtu <…> būdu“ ( 6 ) ir turi būti „adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi“ ( 7 ). Kitaip tariant, bet koks duomenų tvarkymas turi atitikti, be kita ko, teisėtumo ir duomenų kiekio mažinimo principus.

26.

BDAR 6 straipsnyje tiksliau įvardyta duomenų tvarkymo teisėtumo principo taikymo sritis. Kadangi pagal šio reglamento 6 straipsnio 1 dalį ja leidžiama apriboti teisę į asmens duomenų apsaugą ( 8 ), ji atitinka Chartijos 52 straipsnio 1 dalyje nustatytas sąlygas: nagrinėjamas apribojimas yra numatytas įstatyme ir nekeičia šios teisės esmės. Be to, šis apribojimas yra būtinas ir atitinka Sąjungos pripažintą bendrojo intereso tikslą arba reikalingas kitų asmenų teisėms ir laisvėms apsaugoti ( 9 ).

27.

Taigi teisės aktų leidėjas numatė šešis pagrindus, kuriais remiantis duomenų tvarkymas yra teisėtas, nustatydamas bendrojo intereso tikslus ir teises bei laisves, kurias reikia apsaugoti ir kuriomis galima pateisinti teisės į asmens duomenų apsaugą apribojimą. Taigi BDAR 6 straipsnio 1 dalies pirmoje pastraipoje numatytas „išsamus ir baigtinis atvejų, kai asmens duomenų tvarkymas gali būti laikomas teisėtu, sąrašas“ ( 10 ).

28.

BDAR 6 straipsnio 1 dalyje nenustatyta griežta pagrindų, kuriais remiantis duomenų tvarkymas turi būti laikomas teisėtu, hierarchija ( 11 ). Taigi Teisingumo Teismas savo jurisprudencijoje patikslino jų tarpusavio ryšius.

29.

Pirma, jis priminė, kad pagal BDAR 6 straipsnio 1 dalies a punktą „asmens duomenų tvarkymas yra teisėtas, jeigu ir tiek, kiek duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu arba keliais konkrečiais tikslais“. Teisingumo Teismas pridūrė, kad, „[n]esant tokio sutikimo <…>, toks duomenų tvarkymas vis dėlto yra pateisinamas, jeigu atitinka vieną iš šio reglamento 6 straipsnio 1 dalies <…> b–f punktuose nurodytų būtinumo reikalavimų“ ( 12 ). Be to, jis nusprendė, kad „[aptariami] pagrindai, kiek jie leidžia teisėtai tvarkyti asmens duomenis, nesant duomenų subjekto sutikimo, turi būti aiškinami siaurai“ ( 13 ). Taigi minėto reglamento 6 straipsnio 1 dalyje numatyti asmens duomenų tvarkymo pagrindai yra lygiaverčiai ir nė vienas iš jų neturi būti laikomas papildomu kito atžvilgiu.

30.

Antra, Teisingumo Teismas patikslino, kad BDAR 6 straipsnio 1 dalyje numatyti pagrindai nėra kumuliatyvūs. Taigi jis nurodė, kad, „kai galima konstatuoti, kad asmens duomenų tvarkymas yra būtinas dėl vieno iš BDAR 6 straipsnio 1 dalies <…> b–f punktuose numatytų pagrindų, nereikia nustatyti, ar toks tvarkymas taip pat susijęs su kitu iš šių pagrindų“ ( 14 ). Kitaip tariant, kaip jau nurodžiau ( 15 ), asmens duomenų tvarkymas yra teisėtas, jeigu jis pateisinamas vieninteliu pagrindu, ir nė vienas motyvas negali būti laikomas papildomu.

31.

Vis dėlto BDAR 6 straipsnio 1 dalyje išsamiai aprašytas teisėtumo principas negali būti analizuojamas atskirai. Teisingumo Teismas savo sprendimuose nuolat nurodo, kad ši sąlyga „turi būti nagrinėjama atsižvelgiant į vadinamąjį „duomenų kiekio mažinimo“ principą, įtvirtintą [šio reglamento] 5 straipsnio 1 dalies c punkte“ ( 16 ). Pagal Teisingumo Teismo jurisprudenciją ir, kaip jau pabrėžiau ( 17 ), šiuo principu išreiškiamas proporcingumo principas ( 18 ), pagal kurį reikalaujama, kad Sąjungos aktu įgyvendintos priemonės būtų tinkamos siekiamam tikslui įvykdyti ir neviršytų to, kas būtina jam pasiekti ( 19 ).

32.

Kitaip tariant, pagal duomenų kiekio mažinimo principą reikia patikrinti, ar tvarkomi duomenys yra tinkami tikslui, kuriuo jie tvarkomi, pasiekti – remiantis BDAR 6 straipsnio 1 dalyje nurodytais pagrindais – ir ar duomenys tvarkomi tik tuo atveju, jeigu jų tvarkymo tikslo negalima pagrįstai pasiekti kitomis priemonėmis. Taip tvarkomų duomenų apimtis tiek kiekybiniu, tiek turinio požiūriais nėra platesnė už būtiną tam tikslui pasiekti ( 20 ).

33.

Šiuo klausimu pateiksiu papildomą pastabą. Pažymiu, kad Teisingumo Teismas duomenų kiekio mažinimo principą kartu su duomenų tvarkymo teisėtumo principu aiškino tik tais atvejais, kai nagrinėtas duomenų tvarkymas buvo grindžiamas vienu iš BDAR 6 straipsnio 1 dalies b–f punktuose nurodytų pagrindų. Kitaip tariant, Teisingumo Teismas aiškiai nenurodė, ar duomenų kiekio mažinimo principą ketinama taikyti ir tais atvejais, kai duomenų subjektas sutiko, kad jo asmens duomenys būtų tvarkomi. Tiesa, galima pritarti požiūriui, kad jei asmuo su tuo sutinka, duomenų valdytojas gali tvarkyti bet kokius duomenis ir pagal duomenų kiekio mažinimo principą nekiltų kliūčių to daryti.

34.

Vis dėlto man atrodo, kad toks aiškinimas nesuderinamas nei su BDAR tikslu užtikrinti aukšto lygio fizinių asmenų apsaugą tvarkant jų asmens duomenis, nei su nagrinėjamų nuostatų formuluote.

35.

Atkreipiu dėmesį, kad BDAR 6 straipsnio 1 dalies a punkte nurodyta, jog duomenų tvarkymas yra teisėtas tik tuo atveju, kai duomenų subjektas „davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais“ ( 21 ). Šiuo klausimu pažymiu, jog sutikimu laikomas „bet koks laisva valia duotas, konkretus ir nedviprasmiškas <…> valios išreiškimas“ ( 22 ). Kitaip sakant, negali būti bendro sutikimo, kad būtų tvarkomi visi duomenys. Be to, duomenų subjektas turi būti informuojamas apie tikslą, dėl kurio duodamas sutikimas tvarkyti duomenis. Šio reglamento 5 straipsnio 1 dalies c punkte numatoma, kad tvarkomi duomenys turi būti „adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi“ ( 23 ). Šiomis sąlygomis duomenų kiekio mažinimo principas, mano nuomone, taikytinas net tuo atveju, kai šie duomenys tvarkomi duomenų subjektui sutikus, ir yra pagrindas patikrinti, kad nagrinėjami duomenys būtų tik tokie, kurių reikia konkrečiam tvarkymo tikslui pasiekti.

36.

Būtent atsižvelgiant į šiuos argumentus reikia SNCF Connect atliekamą jos klientų mandagumo kreipinių tvarkymą nagrinėti pagal BDAR 6 straipsnio 1 dalies b ir f punktus, atkreipiant dėmesį į tai, kad prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo tik šiuos du tvarkymo tikslus.

2.

Dėl BDAR 6 straipsnio 1 dalies b punkto: tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį

37.

BDAR 6 straipsnio 1 dalies b punkte numatyta, kad asmens duomenų tvarkymas yra teisėtas, jeigu jis būtinas „siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį“.

38.

Šios nuostatos aprėptį Teisingumo Teismas tiksliau įvardijo Sprendime Meta Platforms ir kt. Jis nusprendė, jog „[t]am, kad asmens duomenų tvarkymas būtų laikomas būtinu sutarčiai įvykdyti, kaip tai suprantama pagal šią nuostatą, jis turi būti objektyviai būtinas siekiant tikslo, kuris yra duomenų subjektui skirtos sutartinės paslaugos sudedamoji dalis. Taigi duomenų valdytojas turi galėti įrodyti, kodėl pagrindinis sutarties tikslas negalėtų būti pasiektas be atitinkamo duomenų tvarkymo“ ( 24 ).

39.

Šalys susitarė pagrindinį sutarties tikslą apibrėžti kaip transporto bilieto įsigijimą ir in fine klientų vežimą geležinkeliais. Todėl svarbu patikrinti, pirma, ar kliento mandagumo kreipinių duomenys tvarkomi siekiant tikslo, kuris yra neatskiriama transporto paslaugos dalis, ir, antra, ar toks tvarkymas yra objektyviai būtinas šiam tikslui pasiekti.

a)

Tvarkymo tikslo nustatymas

40.

SNCF Connect ir Prancūzijos vyriausybė teigia, kad vežimo sutarties vykdymas apima bendravimą su klientu tiek užsakant aptariamą kelionę, tiek jos metu ir po jos, ir lemia tai, kad reikia žinoti šio kliento mandagumo kreipinį, kad su juo būtų galima suasmeninti bendravimą, taip pat paisant plačiai paplitusių verslo ryšių papročių.

41.

SNCF Connect priduria, kad vykdant vežimo sutartį svarbu žinoti duomenų subjekto lytį, kad būtų galima pritaikyti paslaugą tam tikrais atvejais, pavyzdžiui, teikiant pagalbą judėjimo negalią turintiems asmenims arba suteikiant galimybę patekti į tik moterims skirtus naktinių traukinių vagonus. Šiuo klausimu pažymiu, kad toks tikslas nėra griežtai pirmojo prejudicinio klausimo, kaip suformulavo prašymą priimti prejudicinį sprendimą pateikęs teismas, objektas, kuriame aiškiai remiamasi plačiai paplitusių verslo ryšių papročių paisymu. Vis dėlto, kadangi nacionalinis teismas Teisingumo Teismui pateikė bendresnį klausimą dėl mandagumo kreipinių duomenų rinkimo, atsižvelgdamas į duomenų kiekio mažinimo ir tvarkymo teisėtumo principus išnagrinėsiu ir šį argumentą.

42.

Dėl bendravimo su klientu tikslo laikausi nuomonės, kad jis turėtų būti laikomas neatskiriama vežimo sutarties dalimi. Iš tikrųjų tokia sutartimi susitariama dėl bilieto tiekimo, taigi reikia ir užmegzti kontaktą su klientu, kad būtų galima jį jam persiųsti. Man atrodo, kad poreikis bendrauti su klientu išlieka ir transportavimo metu, visų pirma siekiant jį įspėti apie bet kokį įvykį, turintį įtakos jo kelionei, ir po vežimo, visų pirma tuo atveju, kai su klientų aptarnavimo tarnybomis keičiamasi informacija apie šią kelionę.

43.

Šiuo klausimu turiu pažymėti, kad Prancūzijos vyriausybės suformuluotas argumentas, jog duomenų tvarkymo tikslas yra ne tik bendravimas su klientu, bet ir, konkrečiau kalbant, bendravimas su klientu paisant plačiai paplitusių verslo ryšių papročių, turi būti atmestas. Pirma, man neatrodo, kad taip apibrėžtas tikslas yra sudedamoji transporto paslaugos dalis: niekas nerodo, kad jis negalėtų būti įgyvendintas nepaisant plačiai paplitusių verslo ryšių papročių. Antra, šis argumentas grindžiamas ciklišku samprotavimu. Taip apibrėžtas duomenų tvarkymo tikslas – bendrauti pagal plačiai paplitusius verslo ryšių papročius – iš tikrųjų painiojamas su priemonėmis, naudojamomis šiam tikslui pasiekti – plačiai paplitusių verslo ryšių papročių naudojimu.

44.

Kalbant apie transporto paslaugos pritaikymą konkretiems atvejams, kaip antai tiems, kuriuos nurodė SNCF Connect, mano nuomone, lygiai taip pat sunku paneigti, kad tai yra neatsiejama šios paslaugos dalis, nes ja siekiama būtent užtikrinti jos teikimą.

45.

Vis dėlto, net jei aptariamo duomenų tvarkymo tikslai, mano nuomone, iš tiesų yra neatsiejami nuo transporto paslaugos teikimo ir gali būti priimtini pagal BDAR 6 straipsnio 1 dalies b punktą, vis tiek asmens duomenų tvarkymas turi būti būtinas nurodytam tikslui pasiekti, nes be šio tvarkymo negalėtų būti pasiektas pagrindinis sutarties tikslas ir nėra kitų praktiškai įgyvendinamų ir mažiau trukdančių sprendinių tam pačiam tikslui pasiekti.

46.

Vis dėlto manau, kad mandagumo kreipinių duomenų tvarkymas viršija tai, kas būtina tinkamam sutarties vykdymui užtikrinti.

b)

Tvarkymo reikalingumas nustatytiems tikslams pasiekti

47.

Pirmiausia, kalbant apie ryšių palaikymo tikslą, tinkamas vežimo sutarties vykdymas negali priklausyti nuo to, ar transporto įmonė, bendraudama su savo klientais, vartoja mandagumo kreipinius, nepaisant to, kad duomenų valdytojas ketina suasmeninti bendravimą su savo klientais. Transporto įmonė gali nesunkiai asmeniškai bendrauti su savo klientais, nenaudodama jų mandagumo kreipinių.

48.

Be to, nors SNCF Connect per bylos nagrinėjimą pabrėžė, kad reikia išsaugoti prekės ženklo įvaizdį naudojant komerciniuose pranešimuose įprastas formuluotes, šį rezultatą lygiai taip pat galima pasiekti ir kitomis formuluotėmis, kuriomis parodomas dėmesys klientui ir kurios nepriklauso nuo mandagumo kreipinio.

49.

Taip yra juo labiau dėl to, kad, kaip teigia Mousse (tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas) SNCF Connect praktikoje sistemingai nenaudoja plačiai paplitusių verslo ryšių papročių, pagal kuriuos reikėtų žinoti klientų kreipinius, bet vartoja kitas bendresnes formuluotes, pavyzdžiui, „Ačiū, geros kelionės“ arba „Laba diena“. Man atrodo, kad sistemingas klientų mandagumo kreipinių nevartojimas SNCF Connect komunikacijoje aiškiai rodo ne tik tai, kad šių duomenų tvarkymas nėra būtinas nagrinėjamai sutarčiai vykdyti, bet ir tai, kad, atsižvelgiant į duomenų kiekio mažinimo principą, tvarkoma daugiau duomenų, nei būtina.

50.

Taip pat atkreipiu dėmesį į tai, kad SNCF Connect, paklausta apie tai per posėdį, sutiko, kad sąmoningas kitokio nei tikrasis duomenų subjekto mandagumo kreipinio nurodymas neturi jokio poveikio transporto paslaugos teikimui. Tokiomis aplinkybėmis tenka konstatuoti, kad pagrindinis sutarties tikslas visada gali būti pasiektas netvarkant nagrinėjamų duomenų.

51.

Antra, kiek tai susiję su tikslu pritaikyti transporto paslaugą, dar kartą reiškiu nuomonę, kad mandagumo kreipinių duomenų tvarkymas viršija tai, kas būtina, kad būtų galima jį atlikti. Visų pirma man atrodo, kad asmens duomenys, tinkami tokiam pritaikymui atlikti, yra ne mandagumo kreipiniai, kurie, Prancūzijos vyriausybės nuomone, nėra asmenų civilinės būklės elementas, o duomenys, susiję su klientų lytimi, kuri nurodoma asmenų civilinės būklės dokumentuose. Be to, tą patį tikslą būtų galima pasiekti renkant ir tvarkant šiuos duomenis ne tada, kai užsakomi visi bilietai, o tik konkrečiais atvejais, kai to reikia, pavyzdžiui, užsakant bilietą kelionei moterims skirtame naktinio traukinio vagone arba prašant pagalbos riboto judumo asmeniui.

52.

Šiomis aplinkybėmis manau, kad BDAR 6 straipsnio 1 dalies b punktas ir jo 5 straipsnio 1 dalies c punktas turi būti aiškinami taip, kad sistemingas mandagumo kreipinių duomenų tvarkymas negali būti laikomas būtinu sutarčiai, kurios šalis yra duomenų subjektas, vykdyti arba ikisutartinėms priemonėms, kurių imtasi duomenų subjekto prašymu, vykdyti, kai tokiu mandagumo kreipinių duomenų tvarkymu siekiama įgalinti suasmeninti komercinius pranešimus užtikrinant, kad būtų laikomasi plačiai paplitusių verslo ryšių papročių arba kad transporto paslauga būtų pritaikyta atsižvelgiant į duomenų subjekto lytį.

3.

Dėl BDAR 6 straipsnio 1 dalies f punkto: tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų

53.

BDAR 6 straipsnio 1 dalies f punkte nustatyta, kad duomenų tvarkymas yra teisėtas tuo atveju, jeigu „tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas“.

54.

Pagal Teisingumo Teismo suformuotą jurisprudenciją iš šios nuostatos matyti, jog tam, kad joje nagrinėjamas asmens duomenų tvarkymas būtų teisėtas, turi būti tenkinamos trys kumuliacinės sąlygos. Pirma, duomenų valdytojas arba trečioji šalis turi siekti teisėto intereso. Antra, asmens duomenis tvarkyti būtina siekiant įgyvendinti nustatytą teisėtą interesą. Trečia, duomenų subjekto interesai ar pagrindinės teisės ir laisvės neturi būti viršesni už duomenų valdytojo ar trečiosios šalies teisėtą interesą ( 25 ).

55.

Vertindamas pirmąją sąlygą, susijusią su teisėto intereso siekimu, Teisingumo Teismas Sprendime Meta Platforms ir kt. pažymėjo, kad „pagal BDAR 13 straipsnio 1 dalies d punktą duomenų valdytojas, rinkdamas duomenų subjekto asmens duomenis iš šio asmens, turi nurodyti jam teisėtus interesus, kurių siekiama, kai toks tvarkymas grindžiamas šio reglamento 6 straipsnio 1 dalies <…> f punktu“ ( 26 ). Taigi Teisingumo Teismas nusprendė, kad pastaroji nuostata turi būti aiškinama taip: duomenų tvarkymas „gali būti laikomas būtinu siekiant teisėtų duomenų valdytojo ar trečiosios šalies interesų, kaip tai suprantama pagal šią nuostatą, tik su sąlyga, kad minėtas operatorius naudotojams, iš kurių duomenys buvo surinkti, nurodė jų tvarkymu siekiamą teisėtą interesą“ ( 27 ).

56.

Kitaip tariant, nesilaikant BDAR 13 straipsnio 1 dalies d punkte nustatyto reikalavimo pateikti informaciją, asmens duomenų tvarkymas tampa neteisėtas.

57.

Mano atrodo, kad, kaip nurodo Komisija ir jei tai patikrins prašymą priimti prejudicinį sprendimą pateikęs teismas, SNCF Connect šios pareigos neįvykdė.

58.

Kaip pabrėžia Komisija, SNCF Connect savo vadinamojoje konfidencialumo chartijoje, kurią galima rasti jos interneto svetainėje, kaip mandagumo kreipinių duomenų tvarkymo teisinį pagrindą nurodo „teisėtą interesą“. Šiuo klausimu norėčiau pateikti du argumentus. Pirma, vien teisėto intereso paminėjimas tiksliai nenurodant, koks yra tas teisėtas interesas, negali atitikti BDAR 13 straipsnio 1 dalies d punkte išdėstyto reikalavimo pateikti informaciją, pagal kurią reikalaujama, kad duomenų valdytojas nurodytų, kokio teisėto intereso siekia. Antra (ir bet kuriuo atveju), bendras teisėto intereso paminėjimas „konfidencialumo chartijoje“, kurią, žinoma, galima rasti duomenų valdytojo interneto svetainėje, bet kurios klientas turi savanoriškai ieškoti, irgi neatitinka šio reglamento 13 straipsnio 1 dalies d punkto. Pagal šią nuostatą reikalaujama, kad duomenų subjektas būtų informuotas apie teisėtą interesą, kurio siekiama tuo metu, kai duomenys renkami, o tai, mano nuomone, reiškia, kad tokia informacija klientui turi būti tiesiogiai pateikiama tuo metu, kai jis pateikia savo duomenis.

59.

Be to, per posėdį paklausta apie reikalavimą pateikti informacijos SNCF Connect negalėjo nurodyti, kad apie teisėtą interesą, kurio siekiama tvarkant mandagumo kreipinių duomenis, jos klientai buvo iš tikrųjų informuoti renkant tokius duomenis.

60.

Vadinasi, BDAR 6 straipsnio 1 dalies f punkto pirmoji sąlyga, susijusi su teisėto intereso buvimu, aiškinama atsižvelgiant į šio reglamento 13 straipsnio 1 dalies d punkte numatytą pareigą pateikti informacijos apie šį interesą, netenkinama. Taigi mandagumo kreipinių duomenų tvarkymas, esant tokiai situacijai, negali būti laikomas teisėtu, kaip tai suprantama pagal šią nuostatą, ir nereikia nagrinėti, ar tenkinamos kitos dvi šio reglamento 6 straipsnio 1 dalies f punkte nustatytos sąlygos.

a)

Išvada dėl BDAR 6 straipsnio 1 dalies f punkto aiškinimo

61.

Iš to, kas išdėstyta, mano nuomone, matyti, kad BDAR 6 straipsnio 1 dalies f punktas ir 5 straipsnio 1 dalies c punktas turi būti aiškinami taip, kad transporto bendrovės klientų mandagumo kreipinių duomenų tvarkymas negali būti laikomas būtinu siekiant duomenų valdytojo ar trečiojo asmens teisėtų interesų, kaip tai suprantama pagal šią nuostatą, nes ši įmonė nenurodė vartotojams, iš kurių šie duomenys buvo surinkti, teisėto intereso, kurio siekia juos tvarkydama.

b)

Kitos pastabos

62.

Siekdamas išsamumo ir tuo atveju, jei Teisingumo Teismas prieitų prie išvados, kad apie nagrinėjamą teisėtą interesą buvo pranešta pagal BDAR 13 straipsnio 1 dalies d punktą, vis dėlto pratęsiu sąlygų, kurios turi būti tenkinamos, kad asmens duomenų tvarkymas būtų laikomas teisėtu remiantis šio reglamento 6 straipsnio 1 dalies f punktu, analizę.

63.

Pirma, dėl sąlygos, susijusios su teisėto intereso buvimu, SNCF Connect ir Prancūzijos vyriausybė teigia, jog siekiamas teisėtas interesas yra bendravimas su klientu.

64.

Atkreipiu dėmesį, kad Teisingumo Teismas dėl sąvokos „teisėtas interesas“ nusprendė: „turint omenyje, kad ši sąvoka nėra apibrėžta BDAR, pabrėžtina <…>, kad teisėtais iš principo gali būti laikomi įvairūs interesai“ ( 28 ).

65.

Šiuo klausimu primenu, kad SNCF Connect yra bendrovė, internetu parduodanti geležinkelių transporto bilietus. Kaip jau minėjau ( 29 ), teikiant šią paslaugą reikia susisiekti su klientu, bent jau siekiant išsiųsti jam bilietą. Todėl man atrodo, kad tikslas bendrauti su klientu gali būti šios įmonės teisėtas interesas, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies f punktą, todėl pirmąją sąlygą, susijusią su tokio teisėto intereso buvimu, mano nuomone, reikėtų laikyti įvykdyta.

66.

Antra, man atrodo, kad sąlyga, susijusi su asmens duomenų tvarkymo būtinumu siekiant teisėto intereso, nėra įvykdyta. Kaip įrodžiau nagrinėdamas BDAR 6 straipsnio 1 dalies b punktą, mandagumo kreipinių duomenų tvarkymas viršija tai, kas būtina siekiant tikslo bendrauti su klientu, nes toks bendravimas gali vykti nenaudojant šių duomenų ( 30 ).

67.

Trečia, galiausiai pažymėsiu, kad Teisingumo Teismas jau yra nusprendęs: sąlyga, kad duomenų subjekto, kuriam taikoma duomenų apsauga, interesai arba laisvės ir pagrindinės teisės neturi būti viršesni už teisėtą duomenų valdytojo ar trečiosios šalies interesą, reiškia, kad „reikia palyginti atitinkamas priešingas teises ir interesus, kurie iš esmės priklauso nuo konkrečių konkretaus atvejo aplinkybių, taigi prašymą priimti prejudicinį sprendimą pateikęs teismas turi palyginti atitinkamas teises ir interesus, atsižvelgdamas į tokias specifines aplinkybes“ ( 31 ). Vis dėlto pateiksiu tam tikras pastabas, kuriomis vadovausiuosi atlikdamas šį vertinimą.

68.

Teisingumo Teismas yra nusprendęs, kad „lyginant nagrinėjamas priešingas teises ir interesus, t. y. duomenų valdytojo ir duomenų subjekto interesus, reikia atsižvelgti, be kita ko, į pagrįstus duomenų subjekto lūkesčius, nagrinėjamo duomenų tvarkymo apimtį ir jo poveikį šiam duomenų subjektui“ ( 32 ).

69.

Be to, kaip matyti iš BDAR 47 konstatuojamosios dalies, „reikėtų atidžiai įvertinti, ar esama teisėto intereso, be kita ko, siekiant nustatyti, ar duomenų subjektas gali tuo metu, kai renkami asmens duomenys, arba asmens duomenų rinkimo kontekste tikėtis, kad duomenys gali būti tvarkomi tuo tikslu“.

70.

Šiuo klausimu galiu pasakyti, kad nesuprantu, kiek transporto įmonės klientas galėjo pagrįstai tikėtis, kad įmonė jo mandagumo kreipinių duomenis tvarkys siekdama su juo susisiekti dėl bilieto įsigijimo.

71.

Bet kuriuo atveju nemanau, kad vien pagrįstų lūkesčių buvimo pakanka užtikrinti, kad duomenų valdytojo teisėtas interesas yra viršesnis už duomenų subjekto interesus ar pagrindines teises ir laisves. Nors toks aspektas neabejotinai svarbus atliekant svertinį vertinimą, jis vis dėlto negali sistemingai lemti išvados, kad duomenų valdytojo teisėtas interesas yra svarbesnis, ypač kai nagrinėjamu asmens duomenų tvarkymu gali būti pažeista pagal Chartiją užtikrinama duomenų subjekto pagrindinė teisė ar laisvė.

72.

Kaip tvirtina Mousse, man atrodo, kad taip yra nagrinėjamu atveju. Ši asociacija nurodo, kad dėl mandagumo kreipinių duomenų tvarkymo kyla diskriminacijos dėl lyties pavojus, visų pirma translyčiams asmenims arba asmenims, turintiems neutralią lytį pripažįstančios valstybės pilietybę.

73.

Šiomis aplinkybėmis ir turėdamas omenyje, jog prašymą priimti prejudicinį sprendimą pateikęs teismas tai patikrins, manau, kad teisėtas interesas bendrauti su klientu negali būti viršesnis už duomenų subjekto interesus ar pagrindines teises ir laisves.

B.

Dėl antrojo prejudicinio klausimo

74.

Antruoju prejudiciniu klausimu prašymą priimti prejudicinį sprendimą pateikęs nacionalinis teismas iš esmės siekia išsiaiškinti, ar BDAR 6 straipsnio 1 dalies f punktas turi būti aiškinamas taip, kad vertinant būtinybę tvarkyti asmens duomenis, kaip tai suprantama pagal šią nuostatą, reikia atsižvelgti į šio reglamento 21 straipsnio 1 dalyje numatytą duomenų subjekto teisę nesutikti.

75.

BDAR 21 straipsnio 1 dalyje numatyta, kad duomenų subjektas turi teisę dėl su jo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi, kai toks duomenų tvarkymas vykdomas pagal 6 straipsnio 1 dalies e arba f punktus, įskaitant profiliavimą remiantis tomis nuostatomis. Duomenų valdytojas nebetvarko asmens duomenų, išskyrus atvejus, kai duomenų valdytojas įrodo, kad duomenys tvarkomi dėl įtikinamų teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus.

76.

Iš suformuotos jurisprudencijos matyti, kad aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos formuluotę, bet ir į kontekstą bei teisės akto, kuriame ji įtvirtinta, tikslus ( 33 ).

77.

Dėl BDAR 21 straipsnio 1 dalies formuluotės pažymiu, kad Sąjungos teisės aktų leidėjas pabrėžia, jog teisė nesutikti yra susijusi su asmens duomenų tvarkymu, be kita ko, grindžiamu šio reglamento 6 straipsnio 1 dalies f punktu. Kitaip tariant, kaip tvirtina Mousse ir Komisija, teisė nesutikti suponuoja teisėtą duomenų tvarkymą, be kita ko, grindžiamą teisėtu duomenų valdytojo interesu. Taigi šia teise galima pasinaudoti tik tada, kai teisėtas duomenų tvarkymas jau įvyko, siekiant jį sustabdyti.

78.

Laikausi nuomonės, kad tai patvirtina BDAR 21 straipsnio 1 dalies antras sakinys, kuriame numatyta, kad jeigu duomenų subjektas išreiškia nesutikimą pagal šią nuostatą, duomenų valdytojas nebetvarko nagrinėjamų duomenų ( 34 ). Mano požiūriu, tokia formuluotė aiškiai reiškia, kad nagrinėjamų duomenų tvarkymas yra teisėtas pagal šio reglamento 6 straipsnio 1 dalies f punkte nustatytas sąlygas, tačiau išreiškus nesutikimą šie duomenys nebegali būti taip tvarkomi.

79.

Kitaip tariant, BDAR 21 straipsnio 1 dalis turėtų būti taikoma tik tada, kai nustatoma, jog duomenys tvarkyti teisėtai.

80.

Taigi iš BDAR 21 straipsnio 1 dalies sąlygų matyti, kad teisės nesutikti buvimas niekaip nesusijęs su tokio duomenų tvarkymo būtinumo vertinimu pagal šio reglamento 6 straipsnio 1 dalies f punktą, nes įgyvendinant šio reglamento 21 straipsnio 1 dalį daroma prielaida, kad šio reglamento 6 straipsnio 1 dalies f punkto sąlygos jau yra įvykdytos.

81.

Tokį pažodinį BDAR 21 straipsnio 1 dalies aiškinimą patvirtina ir jos analizė atsižvelgiant į šio reglamento kontekstą ir tikslus.

82.

Dėl šios nuostatos kontekstinio aiškinimo norėčiau priminti, kad pagrindai, kuriais gali būti grindžiamas asmens duomenų tvarkymas, yra nustatyti BDAR 6 straipsnyje, kuriame minimas teisėtumo principas, kuris yra šio reglamento II skyriuje, skirtame su duomenų tvarkymu susijusiems principams. Minėto reglamento 21 straipsnis yra jo III skyriuje, skirtame duomenų subjekto teisėms. Be to, kaip jau pažymėjau, pagal suformuotą jurisprudenciją to paties reglamento 6 straipsnyje išdėstyti pagrindai yra išsamūs ( 35 ). Tokiomis aplinkybėmis abi nagrinėjamos nuostatos atlieka dvi skirtingas funkcijas ir negalima manyti, kad nagrinėjant duomenų tvarkymo, kuris reglamentuojamas tik šio reglamento 6 straipsniu, teisėtumą galima atsižvelgti į BDAR 21 straipsnį.

83.

Kalbant apie teleologinį BDAR 6 straipsnio 1 dalies f punkto ir 21 straipsnio aiškinimą, atsižvelgti į teisės nesutikti egzistavimą vertinant duomenų tvarkymo operacijos teisėtumą pagal šio reglamento 6 straipsnį reikštų pripažinti, kad duomenų tvarkymas yra teisėtas vien dėl galimybės, kad duomenų subjektas vėliau gali nesutikti su šiuo duomenų tvarkymu. Vadinasi, tai lemtų, kad teisėto duomenų tvarkymo pagrindai būtų išplėsti už šio reglamento 6 straipsnyje numatytų atvejų ribų ir duomenų subjektų apsaugos lygis taptų priklausomas nuo jų uolumo reiškiant nepritarimą jų asmens duomenų tvarkymui, be kurio toks tvarkymas galėtų būti laikomas teisėtu. Taigi man atrodo, kad toks aiškinimas gali pakenkti tikslui užtikrinti aukštą fizinių asmenų apsaugos lygį tvarkant jų asmens duomenis.

84.

Manau, kad į antrąjį prejudicinį klausimą reikia atsakyti, kad BDAR 6 straipsnio 1 dalies f punktas turi būti aiškinamas taip, jog, siekiant įvertinti būtinybę tvarkyti asmens duomenis, kaip tai suprantama pagal šią nuostatą, pagal jį draudžiama atsižvelgti į galimą duomenų subjekto teisę nesutikti, numatytą šio reglamento 21 straipsnio 1 dalyje.

V.

Išvada

85.

Remdamasis tuo, kas išdėstyta, siūlau taip atsakyti į Conseil d’État (Prancūzija) pateiktus prejudicinius klausimus: