Wyrok z dnia 2025-01-09 sygn. C-394/23

Drukuj dokument lub zaznaczenie Kopiuj zaznaczony tekst bez formatowania

WYROK TRYBUNAŁU (pierwsza izba)

z dnia 9 stycznia 2025 r.

Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 5 ust. 1 lit. c) – Minimalizacja danych – Artykuł 6 ust. 1 – Zgodność przetwarzania z prawem – Dane dotyczące formy grzecznościowej i tożsamości płciowej – Sprzedaż internetowa dokumentów uprawniających do przejazdu – Artykuł 21 – Prawo do sprzeciwu

W sprawie C-394/23

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Conseil d’État (radę stanu, Francja) postanowieniem z dnia 21 czerwca 2023 r., które wpłynęło do Trybunału w dniu 28 czerwca 2023 r., w postępowaniu:

Mousse

przeciwko

Commission nationale de l’informatique et des libertés (CNIL),

SNCF Connect,

TRYBUNAŁ (pierwsza izba),

w składzie: K. Lenaerts, prezes Trybunału, pełniący obowiązki prezesa pierwszej izby, T. von Danwitz (sprawozdawca), wiceprezes Trybunału, M.L. Arastey Sahún, A. Kumin i I. Ziemele, sędziowie,

rzecznik generalny: M. Szpunar,

sekretarz: I. Illéssy, administrator,

uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 29 kwietnia 2024 r.,

rozważywszy uwagi, które przedstawili:

–        w imieniu Mousse – E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans i D. Holemans, advocaten,

–        w imieniu SNCF Connect – E. Drouard, J.-J. Gatineau i A. Ligot, avocats,

–        w imieniu rządu francuskiego – R. Bénard, B. Dourthe i B. Fodda, w charakterze pełnomocników,

–        w imieniu Komisji Europejskiej – A. Bouchagiar i H. Kranenborg, w charakterze pełnomocników,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 11 lipca 2024 r.,

wydaje następujący

Wyrok

1        Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 5 ust. 1 lit. c), art. 6 ust. 1 akapit pierwszy lit. b) i f) oraz art. 21 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowania: Dz.U. 2018, L 127, s. 2; Dz.U. 2021, L 74, s. 35; zwanego dalej „RODO”).

2        Wniosek ten został złożony w ramach sporu pomiędzy stowarzyszeniem Mousse a Commission nationale de l’informatique et des libertés (CNIL) (krajową komisją ds. informatyki i swobód, Francja) w przedmiocie nieuwzględnienia przez tę ostatnią złożonej przez Mousse skargi w sprawie przetwarzania przez spółkę SNCF Connect danych dotyczących form grzecznościowych stosowanych w odniesieniu do jej klientów przy sprzedaży internetowej dokumentów uprawniających do przejazdu.

 Ramy prawne

 Prawo Unii

 RODO

3        Motywy 1, 4, 10, 47 i 75 RODO głoszą:

„(1)      Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Artykuł 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej [»Kartą«]) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.

[…]

(4)      Przetwarzanie danych osobowych należy zorganizować w taki sposób, aby służyło ludzkości. Prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. Niniejsze rozporządzenie nie narusza praw podstawowych, wolności i zasad uznanych w [Karcie] – zapisanych w Traktatach – w szczególności prawa do poszanowania życia prywatnego i rodzinnego, domu oraz komunikowania się, ochrony danych osobowych, wolności myśli, sumienia i religii, wolności wypowiedzi i informacji, wolności prowadzenia działalności gospodarczej, prawa do skutecznego środka prawnego i dostępu do bezstronnego sądu oraz różnorodności kulturowej, religijnej i językowej.

[…]

(10)      Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii, należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych. […]

[…]

(47)      Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora […]. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w danym celu. […] Prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest również przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.

[…]

(75)      Ryzyko naruszenia praw lub wolności osób, o różnym prawdopodobieństwie i wadze, może wynikać z przetwarzania danych osobowych mogącego prowadzić do uszczerbku fizycznego lub szkód majątkowych lub niemajątkowych, w szczególności: jeżeli przetwarzanie może poskutkować dyskryminacją […]”.

4        Artykuł 1 tego rozporządzenia, zatytułowany „Przedmiot i cele”, stanowi w ust. 2:

„Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”.

5        Zgodnie z art. 2 ust. 1 rzeczonego rozporządzenia:

„Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”.

6        Artykuł 4 omawianego rozporządzenia, zatytułowany „Definicje”, stanowi:

„Na użytek niniejszego rozporządzenia:

1)       »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej […];

2)       »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie […];

[…]

7)       »administrator« oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; […]

[…]

11) »zgoda« osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;

[…]”.

7        Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, przewiduje:

„1.      Dane osobowe muszą być:

a)      przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);

[…]

c)      adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);

[…]”.

8        Artykuł 6 tego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1:

„Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

a)      osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b)      przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c)      przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

d)      przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e)      przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f)      przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

[…]”.

9        Artykuł 13 rzeczonego rozporządzenia, zatytułowany „Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą”, przewiduje:

„1.      Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:

[…]

c)      cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;

d)      jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;

[…]”.

10      Artykuł 21 omawianego rozporządzenia, zatytułowany „Prawo do sprzeciwu”, stanowi w ust. 1:

„Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń”.

 Dyrektywa 2004/113

11      Zgodnie z art. 1 dyrektywy Rady 2004/113/WE z dnia 13 grudnia 2004 r. wprowadzającej w życie zasadę równego traktowania mężczyzn i kobiet w zakresie dostępu do towarów i usług oraz dostarczania towarów i usług (Dz.U. 2004, L 373, s. 37) ma ona na celu stworzenie ram do walki z dyskryminacją ze względu na płeć w zakresie dostępu do towarów i usług oraz dostarczania towarów i usług, mając na względzie wprowadzenie w życie w państwach członkowskich zasady równego traktowania mężczyzn i kobiet.

 Prawo francuskie

12      Artykuł 8 loi n^o 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (ustawy nr 78‑17 z dnia 6 stycznia 1978 r. o informatyce, danych i swobodach, JORF z dnia 7 stycznia 1978 r., s. 227), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym, stanowi:

„I A. [CNIL] jest niezależnym organem administracyjnym.

I. Jest on krajowym organem nadzorczym w rozumieniu [RODO] i do celów jego stosowania. Wykonuje następujące zadania:

[…]

2.      Czuwa nad tym, aby przetwarzanie danych osobowych odbywało się zgodnie z przepisami niniejszej ustawy i innymi przepisami dotyczącymi ochrony danych osobowych ustanowionymi w aktach ustawodawczych i wykonawczych, w prawie Unii […] oraz w zobowiązaniach międzynarodowych [Republiki Francuskiej].

W tym celu:

[…]

d)      rozpatruje skargi, wnioski i zażalenia wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie, bada w niezbędnym zakresie przedmiot skargi i prowadzi w jej przedmiocie postępowanie oraz informuje wnoszącego skargę w rozsądnym terminie o postępach i wynikach postępowania, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowania lub koordynacja działań z innym organem nadzorczym; […]”.

 Postępowanie główne i pytania prejudycjalne

13      SNCF Connect prowadzi sprzedaż dokumentów uprawniających do przejazdu koleją, takich jak bilety kolejowe, abonamenty i karty zniżkowe, za pośrednictwem swojej witryny internetowej i aplikacji internetowych. Klienci owego przedsiębiorstwa są zobowiązani do podania odnoszącej się do nich formy grzecznościowej poprzez zaznaczenie, podczas zakupu wspomnianych dokumentów uprawniających do przejazdu w rzeczonej witrynie internetowej lub w rzeczonych aplikacjach internetowych, formy „pan” lub „pani”.

14      Uznawszy, że warunki zbierania i utrwalania danych dotyczących form grzecznościowych odnoszących się do tych klientów nie są zgodne z wymogami RODO, Mousse wniosło do CNIL skargę na SNCF Connect. Na poparcie owej skargi Mousse podniosło, że zbieranie wspomnianych danych jest sprzeczne z ustanowioną w art. 5 ust. 1 lit. a) RODO zasadą zgodności przetwarzania z prawem, ponieważ nie opiera się na żadnej z podstaw przewidzianych w art. 6 ust. 1 RODO. Ponadto zbieranie takie narusza zdaniem tego stowarzyszenia zasadę minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c) RODO, a także między innymi obowiązki zapewnienia przejrzystości i informowania wynikające z art. 13 RODO.

15      Decyzją z dnia 23 marca 2021 r. CNIL uznał, że zarzucane SNCF Connect czynności nie uchybiają odnośnym przepisom w RODO i że postępowanie w sprawie rozpatrzenia rzeczonej skargi należy zamknąć. Na poparcie tej decyzji CNIL stwierdził, że przetwarzanie danych będących przedmiotem postępowania głównego było zgodne z prawem na podstawie art. 6 ust. 1 akapit pierwszy lit. b) RODO, ponieważ było ono niezbędne do wykonania zawartej umowy o świadczenie usług przewozowych. Ponadto CNIL wskazał, że ze względu na swoje cele przetwarzanie to jest zgodne z zasadą minimalizacji danych, ponieważ spersonalizowane zwracanie się do klientów – z wykorzystaniem formy grzecznościowej – odpowiada zwyczajom przyjętym w komunikacji handlowej, prywatnej i administracyjnej.

16      W dniu 21 maja 2021 r. Mousse wniosło do Conseil d’État (rady stanu, Francja), będącej sądem odsyłającym, skargę o stwierdzenie nieważności wspomnianej decyzji CNIL. W swojej skardze Mousse podniosło między innymi, że obowiązek zaznaczenia formy „pan” lub „pani” podczas zakupu internetowego nie jest zgodny z zasadą zgodności przetwarzania z prawem zawartą w art. 5 ust. 1 lit. a) RODO ani z zasadą minimalizacji danych, o której mowa w jego art. 5 ust. 1 lit. c), ponieważ określenie to nie jest zdaniem Mousse niezbędne do wykonania umowy o świadczenie usług przewozowych ani do celów wynikających z prawnie uzasadnionych interesów SNCF Connect. Okoliczność, że określeń tego rodzaju używa się w korespondencji handlowej, nie może wystarczyć, by narzucać spełnienie takiego obowiązku. Wreszcie obowiązek taki narusza zdaniem Mousse prawo do podróżowania bez podawania formy grzecznościowej, prawo do poszanowania życia prywatnego oraz swobodę nieskrępowanego wyrażania swojej tożsamości płciowej, a także pociąga za sobą ryzyko dyskryminacji. Co się tyczy obywateli państw, w których w aktach stanu cywilnego dopuszcza się „płeć neutralną”, wspomniane określenie nie odpowiada rzeczywistości i może naruszać między innymi swobodę przemieszczania się tych osób, zagwarantowaną w prawie Unii.

17      CNIL wnosi o oddalenie tej skargi i podnosi, że przetwarzanie danych dotyczących formy grzecznościowej można również uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez spółkę SNCF Connect na podstawie art. 6 ust. 1 akapit pierwszy lit. f) RODO oraz że osoby, których dane dotyczą, mogą – z przyczyn związanych z ich szczególną sytuacją – powołać się na prawo do sprzeciwu zagwarantowane w art. 21 RODO.

18      W tych okolicznościach sąd odsyłający zastanawia się w szczególności nad kwestią, czy przy ocenie niezbędności przetwarzania danych będącego przedmiotem postępowania głównego można wziąć pod uwagę zwyczaje przyjęte w komunikacji handlowej, prywatnej i administracyjnej, w związku z czym zbieranie danych dotyczących form grzecznościowych odnoszących się do klientów, ograniczone do form „pan” lub „pani”, może być zgodne z prawem i z zasadą minimalizacji danych. Sąd ten zastanawia się ponadto nad kwestią, czy przy ocenie niezbędności owego obowiązkowego zbierania, a następnie przetwarzania danych dotyczących form grzecznościowych odnoszących się do klientów – zważywszy, że niektórzy z tych klientów uważają, iż nie odnosi się do nich żadna z tych dwóch form grzecznościowych – należy wziąć pod uwagę okoliczność, że owi klienci, przekazawszy te dane administratorowi w celu skorzystania z odnośnej usługi, mogą skorzystać z przysługującego im prawa do sprzeciwu wobec wykorzystywania takich danych, z przyczyn związanych z ich szczególną sytuacją, na podstawie art. 21 RODO.

19      W tych okolicznościach Conseil d’État (rada stanu) postanowiła zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1)      Czy przy ocenie adekwatności i stosowności gromadzenia danych oraz ograniczenia go do tego, co niezbędne, w rozumieniu art. 5 ust. 1 lit. c) RODO, a także niezbędności przetwarzania tych danych w rozumieniu art. 6 ust. 1 akapit pierwszy lit. b) i f) RODO można wziąć pod uwagę powszechnie przyjęte zwyczaje w komunikacji prywatnej, handlowej i administracyjnej, w związku z czym gromadzenie danych na temat płci klientów w zakresie ograniczonym do form »pan« lub »pani« można uznać za niezbędne i zgodne z zasadą minimalizacji danych?

2)      Czy przy ocenie niezbędności obowiązkowego gromadzenia i przetwarzania danych wskazujących na płeć form grzecznościowych odnoszących się do klientów – zważywszy, że niektórzy klienci uważają, iż nie przynależą do żadnej z dwóch płci, a gromadzenie tych danych nie jest w ich przypadku stosowne – należy wziąć pod uwagę okoliczność, że owi klienci, przekazawszy te dane administratorowi w celu skorzystania z proponowanej usługi, mogą skorzystać z przysługującego im prawa sprzeciwu wobec wykorzystywania i przechowywania odnośnych danych, powołując się na swoją szczególną sytuację na podstawie art. 21 RODO?”.

 W przedmiocie pytań prejudycjalnych

 W przedmiocie pytania pierwszego

20      Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 1 akapit pierwszy lit. b) i f) RODO w związku z art. 5 ust. 1 lit. c) tego rozporządzenia należy interpretować w ten sposób, że przetwarzanie danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, można uznać za niezbędne do wykonania umowy w rozumieniu owej lit. b) lub niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią w rozumieniu owej lit. f).

 Uwagi wstępne

21      Na wstępie należy przypomnieć, że cel realizowany przez RODO, jak wynika z jego art. 1 oraz z jego motywów 1 i 10, polega w szczególności na zapewnieniu wysokiego stopnia ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich prawa do życia prywatnego w zakresie przetwarzania danych osobowych, zapisanego w art. 8 ust. 1 Karty i w art. 16 ust. 1 TFUE [wyrok z dnia 4 października 2024 r., Schrems (Przekazywanie danych do wiadomości publicznej), C‑446/21, EU:C:2024:834, pkt 45 i przytoczone tam orzecznictwo].

22      Zgodnie z tym celem wszelkie przetwarzanie danych osobowych musi w szczególności być zgodne z zasadami dotyczącymi przetwarzania takich danych określonymi w art. 5 tego rozporządzenia i spełniać warunki zgodności przetwarzania z prawem wymienione w art. 6 wspomnianego rozporządzenia (wyrok z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 27 i przytoczone tam orzecznictwo).

23      Artykuł 5 ust. 1 lit. a) RODO stanowi, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

24      Zgodnie z art. 5 ust. 1 lit. c) tego rozporządzenia, zawierającym zasadę minimalizacji danych, dane te muszą być również adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Zasada ta jest wyrazem zasady proporcjonalności [zob. podobnie wyrok z dnia 4 października 2024 r., Schrems (Przekazywanie danych do wiadomości publicznej), C‑446/21, EU:C:2024:834, pkt 49, 50 i przytoczone tam orzecznictwo].

25      Co się tyczy warunków zgodności przetwarzania z prawem, w art. 6 ust. 1 akapit pierwszy RODO zawarto, jak orzekł Trybunał, wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. Aby zatem można było uznać dane przetwarzanie za zgodne z prawem, musi ono stanowić jeden z przewidzianych w tym przepisie przypadków (wyrok z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 29 i przytoczone tam orzecznictwo).

26      Zgodnie z brzmieniem art. 6 ust. 1 akapit pierwszy lit. a) RODO przetwarzanie danych osobowych jest zgodne z prawem, gdy – i w takim zakresie, w jakim – osoba, której dane dotyczą, wyraziła na to zgodę w określonym celu lub określonych celach. W braku takiej zgody lub jeżeli zgoda ta nie została udzielona w sposób dobrowolny, konkretny, świadomy i jednoznaczny w rozumieniu art. 4 pkt 11 tego rozporządzenia, takie przetwarzanie jest jednak uzasadnione, w sytuacji gdy spełnia ono jeden z wymogów dotyczących niezbędności, o których mowa w art. 6 ust. 1 akapit pierwszy lit. b)–f) rzeczonego rozporządzenia [zob. podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 91, 92].

27      W tym kontekście uzasadnienia przewidziane w tym ostatnim przepisie, ze względu na to, że pozwalają one na uznanie za zgodne z prawem przetwarzania danych osobowych dokonywanego w przypadku braku zgody osoby, której dane dotyczą, winny podlegać wykładni zawężającej (wyrok z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 31 i przytoczone tam orzecznictwo).

28      Ponadto, jak już zostało to rozstrzygnięte przez Trybunał, jeżeli można stwierdzić, że przetwarzanie danych osobowych jest niezbędne w świetle jednego z uzasadnień przewidzianych w art. 6 ust. 1 akapit pierwszy lit. b)–f) RODO, nie ma potrzeby ustalania, czy przetwarzanie to wchodzi również w zakres innego z tych uzasadnień. W tym względzie należy wyjaśnić, że wymóg niezbędności związany z przyjętym uzasadnieniem nie jest spełniony, jeżeli cel realizowany przez owo przetwarzanie można racjonalnie osiągnąć w sposób równie skuteczny za pomocą innych środków, w mniejszym stopniu naruszających prawa podstawowe osób, których dane dotyczą, w szczególności prawa do poszanowania życia prywatnego i do ochrony danych osobowych zagwarantowane w art. 7 i 8 Karty, ponieważ odstępstwa od zasady ochrony takich danych i ograniczenia tej zasady powinny być stosowane w granicach tego, co jest ściśle niezbędne [zob. podobnie wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 110 i przytoczone tam orzecznictwo; z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 94].

29      Należy wreszcie wskazać, że zgodnie z art. 13 ust. 1 lit. c) RODO, w przypadku gdy dane osobowe zbierane są od osoby, której dotyczą, to na administratorze danych spoczywa obowiązek poinformowania tej osoby o celach przetwarzania owych danych oraz o podstawie prawnej tego przetwarzania (wyrok z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 33 i przytoczone tam orzecznictwo).

30      W niniejszej sprawie należy zauważyć, że nie zakwestionowano tego, iż formę grzecznościową, wiążącą się z męską lub żeńską tożsamością płciową, można uznać za „dane osobowe”, ponieważ odnosi się ona do zidentyfikowanej osoby fizycznej w rozumieniu art. 4 pkt 1 RODO, i że tego rodzaju dane podlegają „przetwarzaniu” w rozumieniu art. 4 pkt 2 RODO w zakresie, w jakim są one zbierane i utrwalane przez SNCF Connect przy sprzedaży internetowej dokumentów uprawniających do przejazdu. W związku z tym owo przetwarzanie, mające zresztą charakter zautomatyzowany, objęte jest przedmiotowym zakresem stosowania tego rozporządzenia na podstawie jego art. 2 ust. 1.

31      Ponadto pytanie przedstawione przez sąd odsyłający opiera się na dwóch przesłankach, a mianowicie, po pierwsze, że przetwarzanie danych będące przedmiotem postępowania głównego dokonywane jest bez zgody osób, których dane dotyczą, w rozumieniu art. 4 pkt 11 i art. 6 ust. 1 akapit pierwszy lit. a) RODO, a po drugie, że owo przetwarzanie nie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze w rozumieniu art. 6 ust. 1 akapit pierwszy lit. c) RODO. Przedstawione pytanie dotyczy zatem wyłącznie możliwości powołania się, w kontekście przetwarzania danych będącego przedmiotem postępowania głównego, na uzasadnienia, o których mowa w art. 6 ust. 1 akapit pierwszy lit. b) i f) RODO.

 W przedmiocie art. 6 ust. 1 akapit pierwszy lit. b) RODO

32      Artykuł 6 ust. 1 akapit pierwszy lit. b) RODO stanowi, że przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest „niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”.

33      W związku z tym, aby przetwarzanie danych osobowych zostało uznane za niezbędne do wykonania umowy w rozumieniu tego przepisu, musi być ono obiektywnie konieczne do osiągnięcia celu stanowiącego integralną część świadczenia umownego na rzecz osoby, której dane dotyczą. Administrator musi zatem być w stanie wykazać, dlaczego główny cel umowy nie mógłby zostać osiągnięty bez rzeczonego przetwarzania (wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 43 i przytoczone tam orzecznictwo).

34      Okoliczność, że takie przetwarzanie zostało wymienione w umowie lub że jest ono jedynie przydatne do jej wykonania, jest w tym względzie sama w sobie bez znaczenia. Elementem decydującym o zastosowaniu uzasadnienia, o którym mowa w art. 6 ust. 1 akapit pierwszy lit. b) RODO, jest bowiem to, że przetwarzanie danych osobowych dokonywane przez administratora ma istotne znaczenie dla prawidłowego wykonania umowy zawartej między nim a osobą, której dane dotyczą, i co za tym idzie, że nie istnieją inne dające się zastosować, mniej inwazyjne, rozwiązania (wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 44 i przytoczone tam orzecznictwo).

35      W tych okolicznościach, w przypadku gdy umowa obejmuje kilka odrębnych usług lub elementów usługi, które można wykonywać niezależnie od siebie, kwestię zastosowania art. 6 ust. 1 akapit pierwszy lit. b) RODO należy oceniać w kontekście każdej z tych usług oddzielnie [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 100].

36      W niniejszej sprawie bezsporne jest, że głównym przedmiotem umowy rozpatrywanej w postępowaniu głównym jest świadczenie klientom usługi przewozu kolejowego. Według sądu odsyłającego przetwarzanie danych będące przedmiotem postępowania głównego ma na celu personalizację komunikacji handlowej z klientem przy poszanowaniu zwyczajów powszechnie przyjętych w tej dziedzinie.

37      Jak co do istoty zauważył rzecznik generalny w pkt 42 opinii, komunikacja handlowa może być celem stanowiącym integralną część danego świadczenia umownego, ponieważ świadczenie takiej usługi przewozu kolejowego wiąże się co do zasady z komunikacją z klientem, między innymi w celu przekazania mu drogą elektroniczną dokumentu uprawniającego do przejazdu, poinformowania go o ewentualnych zmianach w odnośnej podróży oraz umożliwienia mu korespondencji z działem obsługi klienta. Komunikacja ta może wymagać poszanowania zwyczajów i używania między innymi form grzecznościowych w celu okazania przez dane przedsiębiorstwo szacunku swojemu klientowi, a tym samym zachowania wizerunku tego przedsiębiorstwa.

38      Mimo to wydaje się, że komunikacja taka nie musi być koniecznie personalizowana z uwzględnieniem tożsamości płciowej danego klienta. Zgodnie bowiem z orzecznictwem personalizacja treści nie wydaje się niezbędna do oferowania klientowi usług, w sytuacji gdy usługi te można, w razie potrzeby, świadczyć mu w formie równoważnej alternatywy niewiążącej się z taką personalizacją, wobec czego nie jest ona obiektywnie konieczna do osiągnięcia celu stanowiącego integralną część rzeczonych usług [zob. podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 102].

39      Co się tyczy usług rozpatrywanych w postępowaniu głównym, personalizacja komunikacji handlowej oparta na zakładanej tożsamości płciowej w zależności od formy grzecznościowej nie wydaje się ani obiektywnie konieczna, ani istotna dla prawidłowego wykonania odnośnej umowy w rozumieniu orzecznictwa przypomnianego w pkt 33 i 34 niniejszego wyroku.

40      Wydaje się bowiem, że można zastosować mniej inwazyjne rozwiązanie, ponieważ rzeczone przedsiębiorstwo mogłoby zdecydować się – wobec klientów, którzy nie życzą sobie podawania odnoszącej się do nich formy grzecznościowej, lub ogólnie – na komunikację opartą na zwrotach grzecznościowych generycznych, włączających i bez korelacji z zakładaną tożsamością płciową klientów. Zresztą, jak zauważył rzecznik generalny w pkt 49 i 50 opinii, wydaje się – z zastrzeżeniem dokonania weryfikacji przez sąd odsyłający – że SNCF Connect używa już takich zwrotów, a ponadto, że użycie niewłaściwej formy grzecznościowej nie ma znaczenia dla świadczenia odnośnych usług przewozowych, co zdaje się potwierdzać, iż przetwarzanie danych będące przedmiotem postępowania głównego nie jest obiektywnie konieczne do realizacji głównego przedmiotu umowy.

41      W tym kontekście należy ponadto wyjaśnić, że SNCF Connect podniosło na rozprawie, iż przetwarzanie danych będące przedmiotem postępowania głównego miało też inny cel, a mianowicie odpowiednie dostosowanie usług przewozowych w pociągach nocnych, obejmujące rezerwowanie wagonów dla osób o tej samej tożsamości płciowej i zapewnienie pomocy pasażerom z niepełnosprawnościami. Według SNCF Connect ów cel odpowiedniego dostosowania usług przewozowych może wymagać poznania tożsamości płciowej klientów, których dane dotyczą.

42      Tymczasem ów drugi cel nie może uzasadniać systematycznego i powszechnego przetwarzania danych dotyczących form grzecznościowych odnoszących się do wszystkich klientów odnośnego przedsiębiorstwa, w tym klientów podróżujących w dzień lub klientów bez niepełnosprawności. Takie przetwarzanie byłoby bowiem nieproporcjonalne – a w związku z tym sprzeczne z zasadą minimalizacji danych, przypomnianą w pkt 24 niniejszego wyroku – ponieważ można byłoby je ograniczyć do danych dotyczących tożsamości płciowej jedynie tych klientów, którzy chcą podróżować pociągiem nocnym lub skorzystać ze spersonalizowanej pomocy ze względu na niepełnosprawność.

43      Zatem art. 6 ust. 1 akapit pierwszy lit. b) RODO w związku z jego art. 5 ust. 1 lit. c) należy interpretować w ten sposób, że przetwarzanie danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie wydaje się ani obiektywnie konieczne, ani istotne dla prawidłowego wykonania umowy, a tym samym nie można go uznać za niezbędne do wykonania tej umowy.

 W przedmiocie art. 6 ust. 1 akapit pierwszy lit. f) RODO

44      Artykuł 6 ust. 1 akapit pierwszy lit. f) RODO stanowi, że przetwarzanie danych osobowych jest zgodne z prawem w zakresie, w jakim jest ono „niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem”.

45      Zgodnie z utrwalonym orzecznictwem w przepisie tym określono trzy kumulatywne przesłanki zgodności przetwarzania danych osobowych z prawem, a mianowicie, po pierwsze, realizację prawnie uzasadnionego interesu przez administratora lub stronę trzecią, po drugie, niezbędność przetwarzania danych osobowych do celów wynikających z tego prawnie uzasadnionego interesu, oraz po trzecie, przesłankę, aby interesy lub podstawowe prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa przed prawnie uzasadnionymi interesami administratora lub osoby trzeciej [wyroki: z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 106; z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 37].

46      Co się tyczy, po pierwsze, przesłanki dotyczącej realizacji prawnie uzasadnionego interesu, należy wyjaśnić, że zgodnie z art. 13 ust. 1 lit. d) RODO administrator podczas pozyskiwania danych osobowych od osoby, której dane dotyczą, winien poinformować ją, jeżeli owo przetwarzanie odbywa się na podstawie art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia, o realizowanych przez siebie prawnie uzasadnionych interesach. W braku definicji w RODO pojęcia „prawnie uzasadnionego interesu” za zgodny z prawem można co do zasady uznać szeroki wachlarz interesów. W szczególności pojęcie to nie ogranicza się do interesów usankcjonowanych i określonych ustawowo [zob. podobnie wyroki: z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 107; z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 38, 40, 41 i przytoczone tam orzecznictwo].

47      I tak z motywu 47 RODO wynika, że taki prawnie uzasadniony interes może istnieć na przykład w przypadku istotnego i odpowiedniego powiązania między osobą, której dane dotyczą, a administratorem, w tym gdy osoba, której dane dotyczą, jest klientem administratora.

48      Jeśli chodzi, po drugie, o przesłankę, zgodnie z którą przetwarzanie danych osobowych musi być niezbędne do celów wynikających z prawnie uzasadnionego interesu, i w świetle orzecznictwa przypomnianego w pkt 28 niniejszego wyroku, na sądzie odsyłającym spoczywa obowiązek zweryfikowania, czy tego prawnie uzasadnionego interesu w przetwarzaniu danych nie można, racjonalnie rzecz biorąc, osiągnąć w równie skuteczny sposób za pomocą innych środków, w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których dane dotyczą, ponieważ takie przetwarzanie powinno być dokonywane w granicach tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu.

49      W tym kontekście należy również przypomnieć, że przesłankę, zgodnie z którą przetwarzanie musi być niezbędne, należy badać łącznie z zasadą minimalizacji danych, ustanowioną w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 52 i przytoczone tam orzecznictwo).

50      Wreszcie po trzecie, jeśli chodzi o przesłankę, zgodnie z którą interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie mają nadrzędnego charakteru wobec prawnie uzasadnionego interesu administratora lub strony trzeciej, to Trybunał orzekł, że wiąże się ona z wyważeniem rozpatrywanych przeciwstawnych praw i interesów, co jest co do zasady uzależnione od konkretnych okoliczności danego przypadku, w związku z czym dokonanie tego wyważenia, z uwzględnieniem owych szczególnych okoliczności, należy do sądu odsyłającego. Jak wynika z motywu 47 RODO, interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się takiego przetwarzania (zob. podobnie wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 53, 54 i przytoczone tam orzecznictwo).

51      O ile w niniejszej sprawie to do sądu odsyłającego należy ostatecznie ocena, czy przetwarzanie danych osobowych rozpatrywane w postępowaniu głównym spełnia trzy przypomniane w pkt 45 niniejszego wyroku przesłanki, o tyle Trybunał, orzekając w przedmiocie odesłania prejudycjalnego, może udzielić temu sądowi wskazówek stanowiących dla niego pomoc przy dokonywaniu owego ustalenia (zob. analogicznie wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 55 i przytoczone tam orzecznictwo).

52      Co się tyczy pierwszej przesłanki, o której mowa w pkt 46 niniejszego wyroku, do sądu odsyłającego będzie należało zweryfikowanie, czy SNCF Connect poinformowało klientów o swoim prawnie uzasadnionym interesie, zgodnie z art. 13 ust. 1 lit. d) RODO, na etapie zbierania danych rozpatrywanych w postępowaniu głównym. Jak zauważył rzecznik generalny w pkt 58 opinii, przepis ów nakłada obowiązek bezpośredniego poinformowania osób, których dane dotyczą, o prawnie uzasadnionym interesie realizowanym w momencie owego zbierania, bez czego rzeczonego zbierania nie można uzasadnić na podstawie art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia. Akta sprawy, którymi dysponuje Trybunał, nie pozwalają na dokonanie oceny, czy wymóg ten został spełniony w ramach sprawy rozpatrywanej w postępowaniu głównym.

53      W tym kontekście należy wyjaśnić, że w uwagach na piśmie SNCF Connect odwołało się do celu marketingu bezpośredniego, który to marketing mógłby wymagać personalizacji komunikacji, a w związku z tym przetwarzania danych będącego przedmiotem postępowania głównego.

54      W tym względzie, zgodnie z motywem 47 zdanie ostatnie RODO, za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. W szczególności personalizację reklamy można uznać w takim kontekście za marketing bezpośredni [zob. analogicznie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 115].

55      Co się tyczy drugiej przesłanki, o której mowa w pkt 48 niniejszego wyroku – z zastrzeżeniem dokonania weryfikacji przez sąd odsyłający – wydaje się, że personalizacja komunikacji handlowej może ograniczać się do przetwarzania nazwisk i imion klientów, ponieważ odnosząca się do nich forma grzecznościowa lub ich tożsamość płciowa nie są informacjami, które wydają się ściśle niezbędne w tych okolicznościach, w szczególności w świetle zasady minimalizacji danych.

56      W przedstawionych uwagach na piśmie SNCF Connect i rząd francuski podniosły, że przy ocenie niezbędności przetwarzania danych osobowych należy uwzględnić zwyczaje i konwencje społeczne w każdym państwie członkowskim, w szczególności w celu zachowania różnorodności językowej i kulturowej, o której mowa w motywie 4 RODO. Należy jednak zauważyć, po pierwsze, że art. 6 ust. 1 akapit pierwszy lit. f) RODO nie przewiduje uwzględniania zwyczajów i konwencji społecznych przy ocenie niezbędnego charakteru takiego przetwarzania, ponieważ wyjaśniono, iż artykuł ów winien podlegać wykładni zawężającej, jak przypomniano w pkt 27 niniejszego wyroku.

57      Po drugie, brak przetwarzania danych dotyczących formy grzecznościowej lub tożsamości płciowej klientów, których dane dotyczą, nie wydaje się wpływać na ową różnorodność. Jak bowiem wynika z pkt 40 niniejszego wyroku, administrator może uszanować wspomniane zwyczaje i konwencje społeczne poprzez użycie – wobec klientów, którzy nie życzą sobie podawania odnoszącej się do nich formy grzecznościowej, lub ogólnie – zwrotów grzecznościowych generycznych, włączających i bez korelacji z tożsamością płciową owych klientów, zatem argumentacji przedstawionej przez SNCF Connect oraz przez rząd francuski nie można, tak czy inaczej, uwzględnić.

58      Co się tyczy trzeciej przesłanki, o której mowa w pkt 50 niniejszego wyroku, i wyważenia wchodzących w grę przeciwstawnych praw i interesów, a mianowicie praw i interesów administratora z jednej strony oraz praw i interesów osoby, której dane dotyczą, z drugiej strony, należy wziąć pod uwagę w szczególności rozsądne oczekiwania osoby, której dane dotyczą, oraz zakres przedmiotowego przetwarzania i jego wpływ na tę osobę [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 116].

59      Jak co do istoty zauważył rzecznik generalny w pkt 70 opinii, z zastrzeżeniem dokonania weryfikacji przez sąd odsyłający, klient przedsiębiorstwa przewozowego nie musi się spodziewać, że będzie ono przetwarzać dane dotyczące odnoszącej się do niego formy grzecznościowej lub jego tożsamości płciowej w kontekście zakupu dokumentu uprawniającego do przejazdu. Taka sytuacja miałaby miejsce w szczególności wtedy, gdyby owego przetwarzania dokonywano wyłącznie w celu marketingu bezpośredniego.

60      Prawnie uzasadniony interes związany z marketingiem bezpośrednim nie może w każdym razie mieć nadrzędnego charakteru w wypadku ryzyka naruszenia praw podstawowych i wolności osoby, której dane dotyczą. Jak bowiem wynika z motywu 75 RODO, ryzyko naruszenia praw lub wolności osób, o różnym prawdopodobieństwie i wadze zagrożeń, może wynikać z przetwarzania danych osobowych mogącego prowadzić do uszczerbku fizycznego lub szkód majątkowych lub niemajątkowych, między innymi jeżeli przetwarzanie może skutkować dyskryminacją.

61      Szczególnie w tych okolicznościach do sądu odsyłającego będzie należało ustalenie, czy istnieje ryzyko dyskryminacji ze względu na tożsamość płciową, podnoszone przez Mousse, w świetle między innymi dyrektywy 2004/113, ponieważ dyrektywa ta wprowadza w życie zasadę równego traktowania mężczyzn i kobiet w zakresie dostępu do towarów i usług oraz ich dostarczania.

62      W tym względzie należy wyjaśnić, że zakres stosowania tej dyrektywy nie może ograniczać się tylko do dyskryminacji wynikającej z przynależności do takiej czy innej płci. Zważywszy na przedmiot i charakter praw, które ma chronić, dyrektywa ta powinna również znajdować zastosowanie w przypadku dyskryminacji, która ma podłoże w zmianie tożsamości płciowej danej osoby (zob. analogicznie wyrok z dnia 27 kwietnia 2006 r., Richards, C‑423/04, EU:C:2006:256, pkt 24 i przytoczone tam orzecznictwo).

63      W związku z tym art. 6 ust. 1 akapit pierwszy lit. f) RODO w związku z art. 5 ust. 1 lit. c) tego rozporządzenia należy interpretować w ten sposób, że przetwarzania danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią, jeżeli:

–        o realizowanym prawnie uzasadnionym interesie nie poinformowano owych klientów w momencie zbierania tych danych lub

–        rzeczonego przetwarzania nie dokonano w granicach tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu, lub

–        w świetle wszystkich istotnych okoliczności prawa podstawowe i wolności wspomnianych klientów mogą mieć nadrzędny charakter wobec rzeczonego prawnie uzasadnionego interesu, między innymi z uwagi na ryzyko dyskryminacji ze względu na tożsamość płciową.

64      W świetle wszystkich powyższych rozważań odpowiedź na pytanie pierwsze powinna brzmieć: art. 6 ust. 1 akapit pierwszy lit. b) i f) RODO w związku z art. 5 ust. 1 lit. c) tego rozporządzenia należy interpretować w ten sposób, że:

–        przetwarzanie danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie wydaje się ani obiektywnie konieczne, ani istotne dla prawidłowego wykonania umowy, a tym samym nie można go uznać za niezbędne do wykonania tej umowy;

–        przetwarzania danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią, jeżeli:

–        o realizowanym prawnie uzasadnionym interesie nie poinformowano owych klientów w momencie zbierania tych danych lub

–        rzeczonego przetwarzania nie dokonano w granicach tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu, lub

–        w świetle wszystkich istotnych okoliczności prawa podstawowe i wolności wspomnianych klientów mogą mieć nadrzędny charakter wobec rzeczonego prawnie uzasadnionego interesu, między innymi z uwagi na ryzyko dyskryminacji ze względu na tożsamość płciową.

 W przedmiocie pytania drugiego

65      Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 1 akapit pierwszy lit. f) RODO należy interpretować w ten sposób, że przy ocenie niezbędności przetwarzania danych osobowych na podstawie tego przepisu należy uwzględnić ewentualne istnienie prawa do sprzeciwu przysługującego osobie, której dane dotyczą, na mocy art. 21 RODO.

66      Artykuł 21 ust. 1 RODO stanowi, że osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 akapit pierwszy lit. e) lub f) tego rozporządzenia, w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych, prawnie uzasadnionych podstaw do takiego przetwarzania, nadrzędnych wobec interesów oraz praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.

67      Stosowanie art. 21 RODO i w związku z tym ewentualne istnienie prawa do sprzeciwu zakładają, że ma miejsce przetwarzanie zgodne z prawem, oparte w niniejszej sprawie na art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia. Tymczasem, aby przetwarzanie takie było zgodne z prawem, musi ono wcześniej spełnić przesłankę ścisłej niezbędności, o której mowa w pkt 48 niniejszego wyroku.

68      Jak zauważył rzecznik generalny w pkt 80 i 82 opinii, zarówno z brzmienia, jak i z systematyki odnośnych przepisów wynika zatem, że przy ocenie zgodności z prawem, a w szczególności konieczności przetwarzania danych osobowych będącego przedmiotem postępowania głównego, nie można uwzględniać istnienia prawa do sprzeciwu.

69      Interpretację ową potwierdza cel realizowany przez RODO, którym jest, w świetle jego motywu 10, zapewnienie wysokiego stopnia ochrony praw podstawowych i wolności osób fizycznych w związku z przetwarzaniem danych osobowych. Jakakolwiek inna interpretacja skutkowałaby bowiem złagodzeniem wymogów, o których mowa w art. 6 ust. 1 akapit pierwszy lit. f) RODO, poprzez rozszerzenie podstaw zgodności odnośnego przetwarzania z prawem, nawet jeżeli przepis ten należy interpretować zawężająco, w świetle orzecznictwa przypomnianego w pkt 27 niniejszego wyroku.

70      W świetle wszystkich powyższych rozważań odpowiedź na pytanie drugie powinna brzmieć: art. 6 ust. 1 akapit pierwszy lit. f) RODO należy interpretować w ten sposób, że przy ocenie niezbędności przetwarzania danych osobowych w rozumieniu tego przepisu nie należy uwzględniać ewentualnego istnienia prawa do sprzeciwu przysługującego osobie, której dane dotyczą, na podstawie art. 21 RODO.

 W przedmiocie kosztów

71      Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (pierwsza izba) orzeka, co następuje:

1)      Artykuł 6 ust. 1 akapit pierwszy lit. b) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) w związku z art. 5 ust. 1 lit. c) tego rozporządzenia

należy interpretować w ten sposób, że:

–        przetwarzanie danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie wydaje się ani obiektywnie konieczne, ani istotne dla prawidłowego wykonania umowy, a tym samym nie można go uznać za niezbędne do wykonania tej umowy;

–        przetwarzania danych osobowych dotyczących form grzecznościowych odnoszących się do klientów przedsiębiorstwa przewozowego, które ma na celu personalizację komunikacji handlowej opartą na tożsamości płciowej, nie można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora tych danych lub przez stronę trzecią, jeżeli:

–        o realizowanym prawnie uzasadnionym interesie nie poinformowano owych klientów w momencie zbierania tych danych lub

–        rzeczonego przetwarzania nie dokonano w granicach tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu, lub

–        w świetle wszystkich istotnych okoliczności prawa podstawowe i wolności wspomnianych klientów mogą mieć nadrzędny charakter wobec rzeczonego prawnie uzasadnionego interesu, między innymi z uwagi na ryzyko dyskryminacji ze względu na tożsamość płciową.

2)      Artykuł 6 ust. 1 akapit pierwszy lit. f) rozporządzenia 2016/679

należy interpretować w ten sposób, że:

przy ocenie niezbędności przetwarzania danych osobowych w rozumieniu tego przepisu nie należy uwzględniać ewentualnego istnienia prawa do sprzeciwu przysługującego osobie, której dane dotyczą, na podstawie art. 21 tego rozporządzenia.