Προσωρινό κείμενο
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
MACIEJ SZPUNAR
της 11ης Ιουλίου 2024 (1)
Υπόθεση C‑394/23
Association Mousse
κατά
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect
[αίτηση του Conseil d’État (Συμβουλίου της Επικρατείας, Γαλλία)
για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 6, παράγραφος 1 – Αρχή της νομιμότητας της επεξεργασίας – Άρθρο 5, παράγραφος 1, στοιχείο γʹ – Αρχή της ελαχιστοποίησης των δεδομένων – Προσφώνηση – Αγορά υπηρεσίας μεταφοράς μέσω του διαδικτύου – Άρθρο 21 – Δικαίωμα εναντίωσης»
I. Εισαγωγή
1. Ο κανονισμός (ΕΕ) 2016/679 (2) (στο εξής: ΓΚΠΔ) αποσκοπεί στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν. Για τον σκοπό αυτόν, επιβάλλει στους υπεύθυνους επεξεργασίας να τηρούν ορισμένες αρχές, κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των αρχών της «ελαχιστοποίησης των δεδομένων» και της νομιμότητας της επεξεργασίας.
2. Οι δύο αυτές αρχές βρίσκονται στο επίκεντρο της υπό κρίση υπόθεσης, η οποία αφορά ένδικη διαφορά μεταξύ ένωσης και εθνικής εποπτικής αρχής σχετικά με την επεξεργασία, από επιχείρηση μεταφορών, των δεδομένων προσφώνησης των πελατών της για τον δεδηλωμένο σκοπό της χρήσης τους κατά την εμπορική επικοινωνία μεταξύ τους και η οποία παρέχει, συνεπώς, στο Δικαστήριο τη δυνατότητα να διευκρινίσει το περιεχόμενό τους.
II. Το νομικό πλαίσιο
Α. Το δίκαιο της Ένωσης
3. Οι αιτιολογικές σκέψεις 4, 10, 39, 40, 44, 47, 69 και 75 του ΓΚΠΔ έχουν ως εξής:
«(4) Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα· πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο παρών κανονισμός σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον [Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης)], όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
[…]
(10) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […]
[…]
(39) […] Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να είναι επαρκή και συναφή και να περιορίζονται στα αναγκαία για τους σκοπούς της επεξεργασίας τους. […] Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υποβάλλονται σε επεξεργασία μόνο εάν ο σκοπός της επεξεργασίας δεν μπορεί να επιτευχθεί με άλλα μέσα. […]
(40) Για να είναι η επεξεργασία σύννομη, τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υποβάλλονται σε επεξεργασία με βάση τη συγκατάθεση του ενδιαφερόμενου υποκειμένου των δεδομένων ή με άλλη βάση, προβλεπόμενη από τον νόμο, είτε στον παρόντα κανονισμό είτε σε άλλη νομοθεσία της Ένωσης ή κράτους μέλους όπως αναφέρεται στον παρόντα κανονισμό, περιλαμβανομένης […] της ανάγκης να εκτελεστεί σύμβαση στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατόπιν αίτησης του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης.
[…]
(44) Η επεξεργασία θα πρέπει επίσης να είναι σύννομη εφόσον είναι αναγκαία στο πλαίσιο σύμβασης ή πρόθεσης σύναψης σύμβασης.
[…]
(47) Τα έννομα συμφέροντα του υπευθύνου επεξεργασίας, περιλαμβανομένων εκείνων ενός υπευθύνου επεξεργασίας στον οποίο μπορούν να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα ή τρίτων, μπορεί να παρέχουν τη νομική βάση για την επεξεργασία, υπό τον όρο ότι δεν υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες των υποκειμένων των δεδομένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας. Τέτοιο έννομο συμφέρον θα μπορούσε λόγου χάρη να υπάρχει όταν υφίσταται σχετική και κατάλληλη σχέση μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, όπως αν το υποκείμενο των δεδομένων είναι πελάτης του υπευθύνου επεξεργασίας ή βρίσκεται στην υπηρεσία του […] Εν πάση περιπτώσει η ύπαρξη έννομου συμφέροντος θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων ως προς το κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτό μπορεί να πραγματοποιηθεί επεξεργασία. […] H επεξεργασία δεδομένων προσωπικού χαρακτήρα, στον βαθμό που είναι αυστηρά αναγκαία για τους σκοπούς πρόληψης της απάτης, συνιστά επίσης έννομο συμφέρον του ενδιαφερόμενου υπευθύνου επεξεργασίας. H επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άμεσης εμπορικής προώθησης μπορεί να θεωρηθεί ότι διενεργείται χάριν έννομου συμφέροντος.
[…]
(69) Όταν δεδομένα προσωπικού χαρακτήρα μπορούν να υποβληθούν νόμιμα σε επεξεργασία επειδή η επεξεργασία είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας ή για λόγους έννομων συμφερόντων του υπευθύνου επεξεργασίας ή τρίτου μέρους, κάθε υποκείμενο των δεδομένων θα πρέπει να δικαιούται παρ’ όλα αυτά να αντιταχθεί στην επεξεργασία τυχόν δεδομένων προσωπικού χαρακτήρα που αφορούν την ιδιαίτερη κατάστασή του. Θα πρέπει να εναπόκειται στον υπεύθυνο επεξεργασίας να αποδείξει ότι τα επιτακτικά έννομα συμφέροντά του υπερισχύουν ενδεχομένως των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων.
[…]
(75) Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ποικίλης πιθανότητας και σοβαρότητας, είναι δυνατόν να προκύπτουν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία θα μπορούσε να οδηγήσει σε σωματική, υλική ή μη υλική βλάβη, ιδίως: όταν η επεξεργασία μπορεί να οδηγήσει σε διακρίσεις […]».
4. Σύμφωνα με το άρθρο 2, παράγραφος 1, του ΓΚΠΔ, ο κανονισμός αυτός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης.
5. Το άρθρο 4 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Ορισμοί», προβλέπει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο […]
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση […]
[…]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα[…]
[…]
11) “συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν·
[…]».
6. Το άρθρο 5 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”)·
[…]
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”)·
δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας (“ακρίβεια”)·
[…]».
7. Το άρθρο 6 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», προβλέπει στην παράγραφο 1 τα εξής:
«Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς·
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης·
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας·
δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου·
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας·
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
[…]»
8. Το άρθρο 13 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», προβλέπει στην παράγραφο 1 τα εξής:
«1. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
[…]
δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο·
[…]».
9. Το άρθρο 21 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα εναντίωσης», προβλέπει στην παράγραφο 1 τα εξής:
«Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.»
10. Το άρθρο 25 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού», προβλέπει στην παράγραφο 2 τα εξής:
«Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. […]»
Β. Το γαλλικό δίκαιο
11. Το άρθρο 8 του νόμου 78‑17, της 6ης Ιανουαρίου 1978, περί πληροφορικής, αρχείων και ελευθεριών (3) ορίζει τα εξής:
«Η Commission nationale de l’informatique et des libertés [(εθνική επιτροπή πληροφορικής και ελευθεριών, στο εξής: CNIL)] είναι ανεξάρτητη διοικητική αρχή. Αποτελεί την εθνική εποπτική αρχή κατά την έννοια και για την εφαρμογή του [ΓΚΠΔ]. Ασκεί τα ακόλουθα καθήκοντα:
[…]
2° Διασφαλίζει ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα πραγματοποιείται σύμφωνα με τις διατάξεις του παρόντος νόμου και τις λοιπές διατάξεις σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα που προβλέπονται από νομοθετικά και κανονιστικά κείμενα, το δίκαιο της Ευρωπαϊκής Ένωσης και τις διεθνείς δεσμεύσεις της Γαλλίας.
Για τον σκοπό αυτόν:
[…]
d) χειρίζεται τις καταγγελίες, τις αναφορές και τις αιτιάσεις που υποβάλλονται από υποκείμενο δεδομένων ή από φορέα, οργανισμό ή ένωση, εξετάζει ή ερευνά, στο μέτρο του δυνατού, το αντικείμενο της καταγγελίας και ενημερώνει τον καταγγέλλοντα για την πρόοδο και την έκβαση της έρευνας εντός εύλογου χρονικού διαστήματος, ιδίως εάν απαιτείται περαιτέρω έρευνα ή συντονισμός με άλλη εποπτική αρχή· […]»
III. Τα πραγματικά περιστατικά της κύριας δίκης, η διαδικασία ενώπιον του Δικαστηρίου και τα προδικαστικά ερωτήματα
12. Η SNCF Connect αποτελεί εταιρία που πωλεί τίτλους σιδηροδρομικών μεταφορών, όπως εισιτήρια τρένου, εισιτήρια διαρκείας και εκπτωτικές κάρτες, μέσω της ιστοσελίδας και των εφαρμογών της. Κατά την αγορά των τίτλων αυτών, οι πελάτες της εταιρίας οφείλουν να υποδεικνύουν την προσφώνησή τους, επιλέγοντας την ένδειξη «Κος» ή «Κα».
13. Δεδομένου ότι η προσφεύγουσα της κύριας δίκης, ήτοι η ένωση Mousse (στο εξής: Mousse) εκτίμησε ότι οι συνθήκες υπό τις οποίες γινόταν η συλλογή και καταχώρηση της προσφώνησης των πελατών κατά την αγορά των τίτλων δεν ήταν σύμφωνες προς τις απαιτήσεις του ΓΚΠΔ, υπέβαλε καταγγελία κατά της SNCF Connect ενώπιον της CNIL. Προς στήριξη της καταγγελίας της, η Mousse ισχυρίστηκε ότι η συλλογή των εν λόγω δεδομένων δεν συνάδει με την αρχή της νομιμότητας που κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο αʹ, του κανονισμού αυτού, καθόσον δεν στηρίζεται σε καμία από τις βάσεις του άρθρου 6, παράγραφος 1, του κανονισμού. Επιπλέον, η εν λόγω συλλογή δεδομένων παραβιάζει την αρχή της ελαχιστοποίησης των δεδομένων και την αρχή της ακρίβειας, οι οποίες διατυπώνονται, αντιστοίχως, στο άρθρο 5, παράγραφος 1, στοιχεία γʹ και δʹ, του ίδιου κανονισμού, καθώς και τις υποχρεώσεις διαφάνειας και ενημέρωσης που απορρέουν, ιδίως, από το άρθρο 13 αυτού. Στο πλαίσιο αυτό, η Mousse υποστήριξε ότι η SNCF Connect δεν πρέπει να συλλέγει τα ως άνω δεδομένα ή ότι πρέπει, τουλάχιστον, να παρέχει στους πελάτες της πρόσθετες δυνατότητες, όπως η ένδειξη «Ουδέτερο» ή «Άλλο».
14. Με απόφαση της 23ης Μαρτίου 2021, η CNIL έθεσε στο αρχείο την καταγγελία που υποβλήθηκε ενώπιόν της καθόσον έκρινε ότι οι πράξεις που προσάπτονται στην SNCF Connect δεν συνιστούν παράβαση των διατάξεων του ΓΚΠΔ. Η CNIL διαπίστωσε ότι η επεξεργασία των δεδομένων ήταν νόμιμη, βάσει του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του εν λόγω κανονισμού, για τον λόγο ότι ήταν απαραίτητη για την εκτέλεση της σύμβασης παροχής υπηρεσιών μεταφοράς. Επιπλέον, η CNIL επισήμανε ότι η επεξεργασία αυτή, λαμβανομένων υπόψη των σκοπών της, ήταν σύμφωνη με την αρχή της ελαχιστοποίησης των δεδομένων δεδομένου ότι η επικοινωνία με τους πελάτες με τη χρήση της προσφώνησής τους ανταποκρίνεται στην πρακτική που εφαρμόζεται στις αστικές, εμπορικές και διοικητικές επικοινωνίες.
15. Στις 21 Μαΐου 2021, η Mousse άσκησε ενώπιον του Conseil d’État (Συμβουλίου της Επικρατείας, Γαλλία) προσφυγή ακυρώσεως της απόφασης της CNIL της 23ης Μαρτίου 2021. Με την προσφυγή της, η Mousse υποστηρίζει, μεταξύ άλλων, ότι η υποχρέωση επιλογής της ένδειξης «Κος» ή «Κα» κατά την πραγματοποίηση διαδικτυακών αγορών δεν συνάδει ούτε με την αρχή της νομιμότητας ούτε με την αρχή της ελαχιστοποίησης των δεδομένων, οι οποίες κατοχυρώνονται, αντιστοίχως, στο άρθρο 5, παράγραφος 1, στοιχεία αʹ και γʹ, του ΓΚΠΔ, δεδομένου ότι η ένδειξη αυτή δεν είναι απαραίτητη ούτε για την εκτέλεση σύμβασης ούτε για τους σκοπούς των έννομων συμφερόντων της SNCF Connect. Το γεγονός ότι η εν λόγω ένδειξη χρησιμοποιείται στην εμπορική αλληλογραφία δεν αρκεί για να καταστεί απαραίτητη η συλλογή των δεδομένων αυτών. Τέλος, μια τέτοιου είδους υποχρέωση μπορεί να προσβάλει το δικαίωμα του ατόμου να ταξιδεύει χωρίς να γνωστοποιεί τον τρόπο προσφώνησής του και το δικαίωμα στον σεβασμό της ιδιωτικής ζωής καθώς και να περιορίζει την ελευθερία του ατόμου να καθορίζει ελεύθερα την έκφραση του φύλου του. Όσον αφορά, ιδίως, τους υπηκόους των χωρών που αναγνωρίζουν το «ουδέτερο φύλο» ως προσωπική κατάσταση, η ως άνω ένδειξη δεν θα ανταποκρινόταν στην πραγματικότητα και θα μπορούσε, συνεπώς, να αποδειχθεί αντίθετη προς την αρχή της ακρίβειας που κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο δʹ, του κανονισμού, περιορίζοντας ταυτόχρονα την ελευθερία της κυκλοφορίας τους που κατοχυρώνεται στο δίκαιο της Ένωσης.
16. Η CNIL ζητεί την απόρριψη της προσφυγής και υποστηρίζει ότι η επεξεργασία των δεδομένων που αφορούν την προσφώνηση μπορεί επίσης να θεωρηθεί «απαραίτητη» για τους σκοπούς των έννομων συμφερόντων που επιδιώκει η SNCF Connect, κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ και ότι τα υποκείμενα των δεδομένων μπορούν –λόγω της ιδιαίτερης κατάστασής τους– να προβάλουν το δικαίωμα εναντίωσης που κατοχυρώνεται στο άρθρο 21 του κανονισμού.
17. Το αιτούν δικαστήριο διερωτάται, αφενός, αν, προκειμένου να εκτιμηθεί κατά πόσον η συλλογή των δεδομένων είναι κατάλληλη, συναφής και περιορίζεται στο αναγκαίο καθώς και κατά πόσον η επεξεργασία τους είναι απαραίτητη, μπορεί να ληφθούν υπόψη οι κοινώς αποδεκτές πρακτικές που εφαρμόζονται στις αστικές, εμπορικές και διοικητικές επικοινωνίες, με αποτέλεσμα η συλλογή των δεδομένων σχετικά με την προσφώνηση των πελατών, η οποία περιορίζεται στις ενδείξεις «Κος» ή «Κα», να μπορεί να θεωρηθεί «σύννομη και σύμφωνη» με την αρχή της ελαχιστοποίησης των δεδομένων. Το αιτούν δικαστήριο διερωτάται, αφετέρου, αν, προκειμένου να εκτιμηθεί κατά πόσον είναι απαραίτητη η υποχρεωτική συλλογή και η μετέπειτα επεξεργασία των δεδομένων που αφορούν την προσφώνηση των πελατών και μολονότι ορισμένοι εξ αυτών φρονούν ότι δεν καλύπτονται από καμία από τις δύο προσφωνήσεις, πρέπει να ληφθεί υπόψη ότι οι πελάτες μπορούν, αφού παράσχουν τα δεδομένα αυτά στον υπεύθυνο επεξεργασίας προκειμένου να κάνουν χρήση της προτεινόμενης υπηρεσίας, να ασκήσουν το δικαίωμα εναντίωσης στη χρήση των δεδομένων αυτών βάσει της ιδιαίτερης κατάστασής τους κατά την έννοια του άρθρου 21 του ΓΚΠΔ.
18. Στο πλαίσιο αυτό, το Conseil d’État (Συμβούλιο της Επικρατείας, Γαλλία) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Μπορεί να ληφθεί υπόψη, προκειμένου να εκτιμηθεί κατά πόσον η συλλογή των δεδομένων είναι κατάλληλη, συναφής και περιορίζεται στο αναγκαίο κατά την έννοια της διάταξης του άρθρου 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ και κατά πόσον η επεξεργασία τους είναι απαραίτητη κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχεία βʹ και στʹ, του κανονισμού αυτού, η κοινώς αποδεκτή πρακτική που εφαρμόζεται στις αστικές, εμπορικές και διοικητικές επικοινωνίες, με αποτέλεσμα η συλλογή των δεδομένων σχετικά με την προσφώνηση των πελατών, η οποία περιορίζεται στις ενδείξεις “Κος” ή “Κα”, να μπορεί να θεωρηθεί απαραίτητη, χωρίς τούτο να προσκρούει στην αρχή της ελαχιστοποίησης των δεδομένων;
2) Πρέπει, προκειμένου να εκτιμηθεί κατά πόσον είναι απαραίτητη η υποχρεωτική συλλογή και επεξεργασία των δεδομένων σχετικά με την προσφώνηση των πελατών και μολονότι ορισμένοι πελάτες φρονούν ότι δεν καλύπτονται από καμία από τις δύο προσφωνήσεις και ότι η συλλογή του δεδομένου αυτού δεν είναι συναφής στην περίπτωσή τους, να ληφθεί υπόψη ότι οι τελευταίοι μπορούν, αφού παράσχουν το δεδομένο αυτό στον υπεύθυνο επεξεργασίας προκειμένου να κάνουν χρήση της προτεινόμενης υπηρεσίας, να ασκήσουν το δικαίωμα εναντίωσης στη χρήση και την αποθήκευσή του επικαλούμενοι την ιδιαίτερη κατάστασή τους κατ’ εφαρμογήν του άρθρου 21 του ΓΚΠΔ;»
19. Η Mousse, η SNCF Connect, η Γαλλική Κυβέρνηση καθώς και η Ευρωπαϊκή Επιτροπή κατέθεσαν γραπτές παρατηρήσεις. Οι ίδιες συμμετείχαν στην επ’ ακροατηρίου συζήτηση, η οποία διεξήχθη στις 29 Απριλίου 2024.
IV. Ανάλυση
Α. Επί του πρώτου προδικαστικού ερωτήματος
20. Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 5, παράγραφος 1, στοιχείο γʹ και το άρθρο 6, παράγραφος 1, στοιχεία βʹ και στʹ, του ΓΚΠΔ έχουν την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα σχετικά με την προσφώνηση των πελατών μιας επιχείρησης μεταφορών πρέπει να θεωρηθεί απαραίτητη για την εκτέλεση σύμβασης ή για να ληφθούν μέτρα πριν από τη σύναψη της σύμβασης ή για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, στην περίπτωση που η επεξεργασία αυτή αποσκοπεί στο να καταστεί δυνατή μια προσωποποιημένη εμπορική επικοινωνία μέσω της διασφάλισης της τήρησης κοινώς αποδεκτών πρακτικών που εφαρμόζονται στην εμπορική επικοινωνία.
21. Πρέπει, εξαρχής, να διατυπώσω, συναφώς, δύο προκαταρκτικές παρατηρήσεις.
22. Αφενός, επισημαίνω ότι οι διάδικοι συμφωνούν και ότι δεν υπάρχει αμφιβολία ότι τα δεδομένα που αφορούν την προσφώνηση των πελατών επιχείρησης μεταφορών αποτελούν δεδομένα προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ και ότι, επιπλέον, η συλλογή και η καταχώρισή τους από την SNCF Connect πρέπει να θεωρηθεί επεξεργασία κατά την έννοια του άρθρου 4, σημείο 2, του κανονισμού αυτού με αποτέλεσμα να πρέπει να εξεταστούν υπό το πρίσμα των διατάξεων του εν λόγω κανονισμού.
23. Αφετέρου, η SNCF Connect και η Γαλλική Κυβέρνηση υποστηρίζουν ότι μια αρνητική απάντηση στο πρώτο προδικαστικό ερώτημα θα οδηγούσε στην εφαρμογή του ΓΚΠΔ σε μη συναφές προς αυτόν πλαίσιο στο μέτρο που, με την έκδοση του εν λόγω κανονισμού, ο νομοθέτης δεν αποσκοπούσε στη ρύθμιση της πρακτικής που εφαρμόζεται στις επικοινωνίες ή του ζητήματος του φύλου. Μολονότι δέχομαι ευχαρίστως, όπως ο γενικός εισαγγελέας M. Bobek, ότι νόμοι περί προστασίας δεδομένων μπορούν ενίοτε να «χρησιμοποιούνται σε [παράδοξες] καταστάσεις» (4), φρονώ εντούτοις ότι η υπό κρίση περίπτωση δεν εντάσσεται σε αυτές. Το γεγονός ότι η υπό κρίση περίπτωση αφορά δεδομένα ταυτότητας και ότι, ως εκ τούτου, αποτυπώνονται εμφανώς οι συζητήσεις που υφίστανται στο πλαίσιο των εθνικών έννομων τάξεων σχετικά με τη δυαδικότητα του φύλου δεν μπορεί να αποκρύψει το ότι, εν προκειμένω, πρόκειται για αυτόματη επεξεργασία δεδομένων προσωπικού χαρακτήρα πελατών από εταιρία μεταφορών, η οποία όχι μόνον εμπίπτει λόγω αντικειμένου στο πεδίο εφαρμογής του ΓΚΠΔ, αλλά αποτελεί και πράξη επεξεργασίας δεδομένων την οποία αποσκοπούσε να ρυθμίσει ο νομοθέτης της Ένωσης (5).
24. Συνεπώς, θα αρχίσω την ανάλυση του πρώτου προδικαστικού ερωτήματος με ορισμένες γενικές παρατηρήσεις που αφορούν την προϋπόθεση της νομιμότητας της επεξεργασίας των δεδομένων, την οποία οφείλουν να τηρούν, σύμφωνα με τον ΓΚΠΔ, οι υπεύθυνοι επεξεργασίας δεδομένων, προτού διαπιστώσω αν, υπό το πρίσμα των ανωτέρω αρχών, η προϋπόθεση αυτή πρέπει να θεωρηθεί ότι πληρούται στην περίπτωση της επεξεργασίας δεδομένων σχετικά με την προσφώνηση των πελατών μιας επιχείρησης μεταφορών με σκοπό την επικοινωνία με τους πελάτες αυτούς μέσω της χρήσης κοινώς αποδεκτών πρακτικών στην εμπορική επικοινωνία.
1. Επί της νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα
25. Στο άρθρο 5 του ΓΚΠΔ διατυπώνονται ορισμένες αρχές που αφορούν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Ειδικότερα, η διάταξη αυτή προβλέπει ότι τα εν λόγω δεδομένα «υποβάλλονται σε σύννομη επεξεργασία» (6) και ότι «είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία» (7). Με άλλα λόγια, οποιαδήποτε επεξεργασία δεδομένων πρέπει να συνάδει, μεταξύ άλλων, με την αρχή της νομιμότητας και την αρχή της ελαχιστοποίησης των δεδομένων.
26. Το άρθρο 6 του ΓΚΠΔ προσδιορίζει το περιεχόμενο της αρχής της νομιμότητας της επεξεργασίας δεδομένων. Στο μέτρο που επιτρέπει τον περιορισμό του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα (8), το άρθρο 6, παράγραφος 1, του κανονισμού πληροί τις προϋποθέσεις του άρθρου 52, παράγραφος 1, του Χάρτη: ο επίμαχος περιορισμός προβλέπεται από τον νόμο και σέβεται το βασικό περιεχόμενο του δικαιώματος αυτού. Επιπλέον, ο ως άνω περιορισμός είναι αναγκαίος και ανταποκρίνεται σε σκοπό γενικού συμφέροντος που αναγνωρίζει η Ένωση ή στην ανάγκη προστασίας των δικαιωμάτων και ελευθεριών των τρίτων (9).
27. Επίσης, ο νομοθέτης προέβλεψε έξι λόγους για τους οποίους η επεξεργασία δεδομένων είναι νόμιμη, καθορίζοντας τους σκοπούς γενικού συμφέροντος και τα δικαιώματα και τις ελευθερίες που χρήζουν προστασίας και μπορούν να δικαιολογήσουν τον περιορισμό του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα. Το άρθρο 6, παράγραφος 1, του ΓΚΠΔ περιέχει, συνεπώς, «εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί νόμιμη» (10).
28. Το άρθρο 6, παράγραφος 1, του ΓΚΠΔ δεν προβλέπει αυστηρή ιεράρχηση (11) μεταξύ των λόγων για τους οποίους η επεξεργασία δεδομένων πρέπει να θεωρείται νόμιμη. Συνεπώς, το Δικαστήριο διευκρίνισε στη νομολογία του τη μεταξύ τους σχέση.
29. Αφενός, υπενθύμισε ότι, κατά το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, «η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εάν και στον βαθμό που το υποκείμενο των δεδομένων έχει παράσχει τη συγκατάθεσή του για έναν ή περισσότερους συγκεκριμένους σκοπούς». Το Δικαστήριο πρόσθεσε ότι «[ε]λλείψει τέτοιας συγκατάθεσης, […] η επεξεργασία δικαιολογείται παρά ταύτα εφόσον πληροί κάποια από τις απαιτήσεις αναγκαιότητας στις οποίες αναφέρεται το άρθρο 6, παράγραφος 1, […], στοιχεία βʹ έως στʹ, του κανονισμού αυτού» (12). Επιπλέον, έκρινε ότι «οι [οικείοι] δικαιολογητικοί λόγοι πρέπει να ερμηνεύονται στενά, δεδομένου ότι η επίκλησή τους μπορεί να καταστήσει νόμιμη μια επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται ελλείψει συγκατάθεσης του υποκειμένου των δεδομένων» (13). Συνεπώς, οι λόγοι επεξεργασίας δεδομένων προσωπικού χαρακτήρα, οι οποίοι προβλέπονται στο άρθρο 6, παράγραφος 1, του εν λόγω κανονισμού, είναι ισοδύναμοι και κανένας εξ αυτών δεν πρέπει να θεωρηθεί επικουρικός σε σχέση με άλλον.
30. Αφετέρου, το Δικαστήριο προσδιόρισε τον μη σωρευτικό χαρακτήρα των δικαιολογητικών λόγων που προβλέπονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ. Επισήμανε, συνεπώς, ότι «όταν χωρεί η διαπίστωση ότι μια επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι αναγκαία βάσει ενός εκ των δικαιολογητικών λόγων που προβλέπονται στο άρθρο 6, παράγραφος 1, […], στοιχεία βʹ έως στʹ, του ΓΚΠΔ, δεν είναι απαραίτητο να εξεταστεί αν η ίδια επεξεργασία καλύπτεται και από κάποιον άλλον εκ των δικαιολογητικών αυτών λόγων» (14). Με άλλα λόγια, όπως ήδη εξήγησα (15), η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εφόσον δικαιολογείται βάσει ενός και μόνου λόγου, χωρίς κάποιος λόγος να μπορεί να θεωρηθεί επικουρικός σε σχέση με άλλον.
31. Ωστόσο, η αρχή της νομιμότητας που προβλέπεται λεπτομερώς στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ δεν μπορεί να εξεταστεί μεμονωμένα. Συνεπώς, κατά πάγια νομολογία του Δικαστηρίου, η προϋπόθεση αυτή «πρέπει να εξετάζεται από κοινού με τη λεγόμενη αρχή της “ελαχιστοποίησης των δεδομένων”, την οποία καθιερώνει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του [κανονισμού αυτού]» (16). Σύμφωνα με τη νομολογία του Δικαστηρίου, και όπως ήδη επισήμανα (17), η αρχή αυτή συνιστά έκφραση της αρχής της αναλογικότητας (18) η οποία απαιτεί, όπως υποστηρίζει η Γαλλική Κυβέρνηση στις γραπτές παρατηρήσεις της, να είναι τα χρησιμοποιούμενα μέσα πρόσφορα για την υλοποίηση του επιδιωκομένου από την οικεία διάταξη σκοπού και να μην υπερβαίνουν το αναγκαίο για την επίτευξη του σκοπού αυτού μέτρο (19).
32. Με άλλα λόγια, η αρχή της ελαχιστοποίησης των δεδομένων απαιτεί να εξακριβώνεται ότι τα δεδομένα που υποβάλλονται σε επεξεργασία είναι πρόσφορα για την επίτευξη του σκοπού που επιδιώκεται με την επεξεργασία τους –σύμφωνα με τους λόγους που προβλέπονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ– και τούτο συντρέχει μόνο εάν ο σκοπός της επεξεργασίας δεν μπορεί ευλόγως να επιτευχθεί με άλλα μέσα. Συνεπώς, το εύρος των δεδομένων που υποβάλλονται σε επεξεργασία, τόσο από ποσοτική όσο και από ουσιαστική άποψη, δεν υπερβαίνει το αναγκαίο για την επίτευξη του σκοπού αυτού μέτρο (20).
33. Συναφώς, θα διατυπώσω μια συμπληρωματική παρατήρηση. Επισημαίνω ότι το Δικαστήριο ερμήνευσε την αρχή της ελαχιστοποίησης των δεδομένων σε συνδυασμό με την αρχή της νομιμότητας της επεξεργασίας μόνο σε περιπτώσεις στις οποίες η επίμαχη επεξεργασία βασιζόταν σε έναν από τους λόγους που προβλέπονται στο άρθρο 6, παράγραφος 1, στοιχεία βʹ έως στʹ, του ΓΚΠΔ. Με άλλα λόγια, το Δικαστήριο δεν διευκρίνισε με σαφήνεια αν η αρχή της ελαχιστοποίησης των δεδομένων έχει επίσης εφαρμογή στην περίπτωση που το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Είναι αληθές ότι θα μπορούσε να υποστηριχθεί ότι, στο μέτρο που το υποκείμενο των δεδομένων παρέχει τη συγκατάθεσή του, ο υπεύθυνος επεξεργασίας μπορεί να επεξεργάζεται οποιαδήποτε δεδομένα, χωρίς τούτο να προσκρούει στην αρχή της ελαχιστοποίησης.
34. Ωστόσο, φρονώ ότι η ερμηνεία αυτή δεν συνάδει ούτε με τον σκοπό του ΓΚΠΔ να διασφαλίζει υψηλό επίπεδο προστασίας των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν ούτε με το γράμμα των επίμαχων διατάξεων.
35. Πράγματι, επισημαίνω ότι το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ προβλέπει ότι η επεξεργασία είναι σύννομη εφόσον το υποκείμενο των δεδομένων «έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς» (21). Συναφώς, επισημαίνω ότι ως συγκατάθεση νοείται «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη» (22). Με άλλα λόγια, δεν νοείται γενική συγκατάθεση για την επεξεργασία οποιωνδήποτε δεδομένων. Επιπλέον, το υποκείμενο των δεδομένων πρέπει να ενημερώνεται για τον σκοπό για τον οποίο παρέχει συγκατάθεση για την επεξεργασία δεδομένων. Το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του εν λόγω κανονισμού προβλέπει, συναφώς, ότι τα δεδομένα που υποβάλλονται σε επεξεργασία είναι «κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία» (23). Υπό τις συνθήκες αυτές, φρονώ ότι η αρχή της ελαχιστοποίησης των δεδομένων εφαρμόζεται ακόμη και στην περίπτωση που τα δεδομένα υποβάλλονται σε επεξεργασία με τη συγκατάθεση του υποκειμένου των δεδομένων και οδηγεί στην εξακρίβωση του ότι τα επίμαχα δεδομένα περιορίζονται στο αναγκαίο για την επίτευξη του συγκεκριμένου σκοπού της επεξεργασίας.
36. Λαμβανομένων υπόψη των ως άνω εκτιμήσεων, πρέπει να εξεταστεί η επεξεργασία από την SNCF Connect των δεδομένων προσφώνησης των πελατών της υπό το πρίσμα του άρθρου 6, παράγραφος 1, στοιχεία βʹ και στʹ, του ΓΚΠΔ, με τη διευκρίνιση ότι το αιτούν δικαστήριο κάνει λόγο αποκλειστικά για τους δύο αυτούς σκοπούς επεξεργασίας.
2. Επί του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ: η αναγκαιότητα της επεξεργασίας για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης
37. Το άρθρο 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ προβλέπει ότι επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη εάν «είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης».
38. Το Δικαστήριο διευκρίνισε στην απόφαση Meta Platforms κ.λπ. το περιεχόμενο της διάταξης αυτής. Έκρινε, συνεπώς, ότι «για να θεωρηθεί μια επεξεργασία δεδομένων προσωπικού χαρακτήρα ως απαραίτητη για την εκτέλεση σύμβασης κατά την έννοια της εν λόγω διάταξης, πρέπει να είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού που είναι άρρηκτα συνδεδεμένος με τη συμβατική παροχή η οποία προορίζεται για το υποκείμενο των δεδομένων. Ο υπεύθυνος επεξεργασίας πρέπει, συνεπώς, να είναι σε θέση να αποδείξει για ποιον λόγο το κύριο αντικείμενο της σύμβασης δεν θα μπορούσε να υλοποιηθεί ελλείψει της επίμαχης επεξεργασίας» (24).
39. Οι διάδικοι συμφωνούν ότι κύριο αντικείμενο της σύμβασης αποτελεί η παροχή τίτλου μεταφοράς και, εν τέλει, η μεταφορά πελατών μέσω του σιδηροδρόμου. Πρέπει, επομένως, να εξακριβωθεί, αφενός, αν τα δεδομένα της προσφώνησης του πελάτη υποβάλλονται σε επεξεργασία για την επίτευξη σκοπού που είναι άρρηκτα συνδεδεμένος με την παροχή της υπηρεσίας της μεταφοράς και, αφετέρου, αν η επεξεργασία αυτή είναι αντικειμενικώς αναγκαία προς τούτο.
α) Προσδιορισμός του σκοπού της επεξεργασίας
40. Η SNCF Connect και η Γαλλική Κυβέρνηση υποστηρίζουν ότι η εκτέλεση της σύμβασης μεταφοράς προϋποθέτει την επικοινωνία με τον πελάτη, τόσο στο πλαίσιο της κράτησης όσο και κατά τη διάρκεια του οικείου ταξιδιού και μετά το πέρας αυτού, και απαιτεί τη γνώση της προσφώνησης του πελάτη με σκοπό την επικοινωνία με αυτόν κατά τρόπο προσωποποιημένο και σύμφωνα με τις κοινώς αποδεκτές πρακτικές στην εμπορική επικοινωνία.
41. Η SNCF Connect προσθέτει ότι επιβάλλεται, για την εκτέλεση της σύμβασης μεταφοράς, να γνωρίζει το φύλο του υποκειμένου των δεδομένων προκειμένου να μπορεί να προσαρμόζει την παροχή σε ειδικές περιπτώσεις, όπως η παροχή συνδρομής σε άτομα με μειωμένη κινητικότητα ή η πρόσβαση σε βαγόνια που προορίζονται για γυναίκες στα νυχτερινά τρένα. Συναφώς, επισημαίνω ότι ο ανωτέρω σκοπός δεν αποτελεί αυτός καθεαυτόν αντικείμενο του πρώτου προδικαστικού ερωτήματος, όπως αυτό διατυπώνεται από το αιτούν δικαστήριο, το οποίο επικαλείται ρητώς τη χρήση κοινώς αποδεκτών πρακτικών στην εμπορική επικοινωνία. Εντούτοις, θα εξετάσω το εν λόγω επιχείρημα, στο μέτρο που το αιτούν δικαστήριο ζητεί, γενικότερα, από το Δικαστήριο να αποφανθεί επί της συλλογής των δεδομένων προσφώνησης υπό το πρίσμα των αρχών της ελαχιστοποίησης των δεδομένων και της νομιμότητας της επεξεργασίας.
42. Όσον αφορά τον σκοπό της επικοινωνίας με τον πελάτη, φρονώ ότι πρέπει να θεωρηθεί άρρηκτα συνδεδεμένος με τη σύμβαση μεταφοράς. Πράγματι, μια τέτοιου είδους σύμβαση προϋποθέτει την παροχή τίτλου μεταφοράς και, ως εκ τούτου, την επαφή με τον πελάτη για την αποστολή του εν λόγω τίτλου. Θεωρώ ότι η ανάγκη επικοινωνίας με τον πελάτη εξακολουθεί να υφίσταται κατά τη διάρκεια της μεταφοράς, προκειμένου, μεταξύ άλλων, ο τελευταίος να προειδοποιείται για οποιοδήποτε γεγονός που επηρεάζει το ταξίδι του και μετά το πέρας της μεταφοράς, ιδίως στην περίπτωση ανταλλαγής πληροφοριών με τις υπηρεσίες εξυπηρέτησης πελατών σχετικά με το ταξίδι.
43. Συναφώς, οφείλω να διευκρινίσω ότι πρέπει να απορριφθεί το επιχείρημα της Γαλλικής Κυβέρνησης ότι σκοπό της επεξεργασίας αποτελεί όχι μόνον η επικοινωνία με τον πελάτη, αλλά, ειδικότερα, η επικοινωνία με τον πελάτη σύμφωνα με τις πρακτικές που εφαρμόζονται στην εμπορική επικοινωνία. Αφενός, φρονώ ότι σκοπός που καθορίζεται κατά τον τρόπο αυτόν δεν είναι άρρηκτα συνδεδεμένος με την παροχή μιας υπηρεσίας μεταφοράς: από κανένα στοιχείο δεν προκύπτει ότι η τελευταία δεν θα μπορούσε να υλοποιηθεί ελλείψει επικοινωνίας σύμφωνα με τις κοινώς αποδεκτές πρακτικές στην εμπορική επικοινωνία. Αφετέρου, το εν λόγω επιχείρημα στηρίζεται σε διάλληλο συλλογισμό. Ο σκοπός της επεξεργασίας δεδομένων που καθορίζεται κατά τον τρόπο αυτόν –ήτοι η επικοινωνία σύμφωνα με τις κοινώς αποδεκτές πρακτικές στην εμπορική επικοινωνία– συγχέεται στην πραγματικότητα με τα μέσα που χρησιμοποιούνται για την επίτευξη του σκοπού αυτού –ήτοι τη χρήση κοινώς αποδεκτών πρακτικών στην εμπορική επικοινωνία.
44. Όσον αφορά την προσαρμογή της παροχής υπηρεσίας μεταφοράς σε ειδικές περιπτώσεις, όπως εκείνες που επικαλείται η SNCF Connect, θεωρώ ότι δύσκολα μπορεί να αμφισβητηθεί ότι είναι άρρηκτα συνδεδεμένη με την παροχή αυτή δεδομένου ότι αποσκοπεί ακριβώς στο να διασφαλίσει την υλοποίησή της.
45. Ωστόσο, μολονότι οι σκοποί της επίμαχης επεξεργασίας είναι πράγματι, κατά τη γνώμη μου, άρρηκτα συνδεδεμένοι με την παροχή υπηρεσίας μεταφοράς και μπορούν να γίνουν δεκτοί βάσει του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει επιπλέον να είναι αναγκαία για την επίτευξη του αναφερόμενου σκοπού, με αποτέλεσμα το κύριο αντικείμενο της σύμβασης να μην μπορεί να υλοποιηθεί χωρίς την επεξεργασία αυτή και να μην υφίστανται άλλες εφικτές και λιγότερο επεμβατικές λύσεις για την επίτευξη του ίδιου σκοπού.
46. Φρονώ, εντούτοις, ότι η επεξεργασία των δεδομένων προσφώνησης βαίνει πέραν του μέτρου που είναι αναγκαίο για την ορθή εκτέλεση της σύμβασης.
β) Επί της αναγκαιότητας της επεξεργασίας για την επίτευξη των προσδιορισθέντων σκοπών
47. Πρώτον, όσον αφορά τον σκοπό της επικοινωνίας, η ορθή εκτέλεση της σύμβασης μεταφοράς δεν μπορεί να εξαρτάται από τη χρήση προσφώνησης κατά την επικοινωνία της εταιρίας μεταφορών με τους πελάτες της, ακόμη και αν ο υπεύθυνος επεξεργασίας έχει την πρόθεση να επικοινωνεί κατά τρόπο προσωπικό με τους πελάτες της. Πράγματι, μια εταιρία μεταφορών μπορεί να επικοινωνεί ευχερώς με τους πελάτες της κατά τρόπο προσωποποιημένο χωρίς να χρησιμοποιεί την προσφώνησή τους.
48. Επιπλέον, μολονότι η SNCF Connect επισήμανε, κατά την επ’ ακροατηρίου συζήτηση, την ανάγκη διατήρησης της φήμης της με τη χρήση κοινώς αποδεκτών διατυπώσεων στην εμπορική επικοινωνία, εντούτοις η επίτευξη του αποτελέσματος αυτού μπορεί να καταστεί δυνατή, εξίσου, με τη χρήση άλλων διατυπώσεων με τις οποίες εκφράζεται εκτίμηση προς τον πελάτη και οι οποίες δεν εξαρτώνται από την προσφώνηση.
49. Τούτο ισχύει ακόμη περισσότερο καθόσον, όπως υποστηρίζει η Mousse και με την επιφύλαξη του ελέγχου που θα διενεργήσει το αιτούν δικαστήριο, η SNCF Connect δεν χρησιμοποιεί συστηματικά, στην πράξη, τις κοινώς αποδεκτές πρακτικές στην εμπορική επικοινωνία που προϋποθέτουν γνώση της προσφώνησης των πελατών, αλλά γενικότερα σχήματα, όπως «Ευχαριστούμε, καλό ταξίδι» ή «Καλημέρα». Φρονώ ότι η μη συστηματική χρήση της προσφώνησης των πελατών στο πλαίσιο της επικοινωνίας της SNCF Connect υποδεικνύει σαφώς όχι μόνον την έλλειψη αναγκαιότητας επεξεργασίας των δεδομένων αυτών για την εκτέλεση της επίμαχης σύμβασης αλλά και το ότι, υπό το πρίσμα της αρχής της ελαχιστοποίησης των δεδομένων, η επεξεργασία των δεδομένων βαίνει πέραν του αναγκαίου μέτρου.
50. Στο ίδιο πνεύμα, επισημαίνω ότι, ερωτηθείσα επί του ζητήματος αυτού κατά την επ’ ακροατηρίου συζήτηση, η SNCF Connect συμφώνησε ότι η σκόπιμη διαβίβαση προσφώνησης διαφορετικής από την πραγματική προσφώνηση του υποκειμένου των δεδομένων δεν ασκεί στην πραγματικότητα καμία επιρροή στην παροχή της υπηρεσίας μεταφοράς. Υπό τις συνθήκες αυτές, επιβάλλεται η διαπίστωση ότι το κύριο αντικείμενο της σύμβασης μπορεί πάντοτε να υλοποιηθεί ελλείψει της επίμαχης επεξεργασίας δεδομένων.
51. Δεύτερον, όσον αφορά τον σκοπό προσαρμογής της παροχής της υπηρεσίας μεταφοράς, και επί του εν λόγω ζητήματος εκτιμώ ότι η επεξεργασία των δεδομένων προσφώνησης βαίνει πέραν του μέτρου που είναι αναγκαίο για την επίτευξή του. Αφενός, φρονώ ότι τα δεδομένα προσωπικού χαρακτήρα που μπορούν να καταστήσουν δυνατή την προσαρμογή αυτή δεν είναι τα δεδομένα προσφώνησης, τα οποία, όπως υποστηρίζει η Γαλλική Κυβέρνηση, δεν εντάσσονται στην προσωπική κατάσταση των ατόμων, αλλά τα δεδομένα που αφορούν το φύλο των πελατών, όπως παρατίθενται στην προσωπική κατάσταση των ατόμων. Αφετέρου, ο ίδιος σκοπός θα μπορούσε να επιτευχθεί με τη συλλογή και την επεξεργασία των δεδομένων αυτών όχι για το σύνολο των παραγγελιών τίτλων μεταφορών, αλλά μόνον για τις ειδικές περιπτώσεις που τις απαιτούν, όπως η παραγγελία τίτλου μεταφοράς για ταξίδι σε βαγόνι που προορίζεται για γυναίκες σε νυχτερινά τρένα ή το αίτημα παροχής συνδρομής σε άτομα με μειωμένη κινητικότητα.
52. Υπό τις συνθήκες αυτές, θεωρώ ότι το άρθρο 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, και το άρθρο 5, παράγραφος 1, στοιχείο γʹ, αυτού, έχουν την έννοια ότι η συστηματική επεξεργασία των δεδομένων προσφώνησης δεν μπορεί να θεωρηθεί απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, στην περίπτωση που η εν λόγω επεξεργασία αποσκοπεί στο να καταστεί δυνατή μια προσωποποιημένη εμπορική επικοινωνία με τη διασφάλιση της τήρησης κοινώς αποδεκτών πρακτικών στην εμπορική επικοινωνία ή στο να διασφαλιστεί η προσαρμογή της παροχής της υπηρεσίας μεταφοράς λόγω του φύλου του υποκειμένου των δεδομένων.
3. Επί του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ: η αναγκαιότητα της επεξεργασίας για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος
53. Το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ προβλέπει ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα είναι σύννομη εάν «είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί».
54. Κατά πάγια νομολογία του Δικαστηρίου, από τη διάταξη αυτή προκύπτει ότι πρέπει να πληρούνται σωρευτικά τρεις προϋποθέσεις προκειμένου η επεξεργασία των συναφών δεδομένων προσωπικού χαρακτήρα να είναι σύννομη. Πρώτον, ο υπεύθυνος επεξεργασίας ή τρίτος πρέπει να επιδιώκει έννομο συμφέρον. Δεύτερον, η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι απαραίτητη για την εξυπηρέτηση του εννόμου συμφέροντος. Τρίτον, τα συμφέροντα ή οι ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων δεν πρέπει να υπερισχύουν του εννόμου συμφέροντος του υπευθύνου επεξεργασίας ή του τρίτου (25).
55. Όσον αφορά την πρώτη προϋπόθεση της επιδίωξης έννομου συμφέροντος, το Δικαστήριο επισήμανε, στην απόφαση Meta Platforms κ.λπ. ότι «βάσει του άρθρου 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας υποχρεούται, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα όταν αυτά συλλέγονται απευθείας από το υποκείμενο των δεδομένων, να του γνωστοποιήσει ποια είναι τα επιδιωκόμενα έννομα συμφέροντα σε περίπτωση που η επεξεργασία στηρίζεται στο άρθρο 6, παράγραφος 1, […], στοιχείο στʹ, του κανονισμού» (26). Το Δικαστήριο έκρινε, συνεπώς, στην ίδια απόφαση, ότι η τελευταία ως άνω διάταξη έχει την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα «δεν μπορεί να θεωρηθεί απαραίτητη για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, κατά την έννοια της διάταξης αυτής, παρά μόνον υπό την προϋπόθεση ότι η ενδιαφερόμενη επιχείρηση έχει γνωστοποιήσει στους χρήστες από τους οποίους συλλέγονται τα δεδομένα ποιο έννομο συμφέρον επιδιώκεται με την επεξεργασία τους» (27).
56. Με άλλα λόγια, η μη τήρηση της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ επιφέρει ως κύρωση τον παράνομο χαρακτήρα της επίμαχης επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
57. Ωστόσο, όπως ισχυρίζεται η Επιτροπή, και με την επιφύλαξη του ελέγχου που θα διενεργήσει το αιτούν δικαστήριο, φρονώ ότι η SNCF Connect δεν τήρησε την υποχρέωση αυτή.
58. Όπως επισημαίνει η Επιτροπή, η SNCF Connect αναφέρει, στην «πολιτική απορρήτου» η οποία διατίθεται στην ιστοσελίδα της, ως νομική βάση της επεξεργασίας των δεδομένων προσφώνησης το «έννομο συμφέρον». Θα διατυπώσω, συναφώς, δύο παρατηρήσεις. Αφενός, η απλή αναφορά του έννομου συμφέροντος, χωρίς αυτό να προσδιορίζεται ακριβώς, δεν μπορεί να συνιστά τήρηση της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, η οποία επιβάλλει στον υπεύθυνο επεξεργασίας να αναφέρει το επιδιωκόμενο έννομο συμφέρον. Αφετέρου, και εν πάση περιπτώσει, η γενική αναφορά έννομου συμφέροντος σε πολιτική απορρήτου, η οποία διατίθεται μεν στην ιστοσελίδα του υπεύθυνου επεξεργασίας, πλην όμως ο πελάτης πρέπει να την αναζητήσει αυτοβούλως, δεν συνάδει περαιτέρω με το άρθρο 13, παράγραφος 1, στοιχείο δʹ, του κανονισμού αυτού. Πράγματι, η εν λόγω διάταξη επιβάλλει την ενημέρωση του υποκειμένου των δεδομένων σχετικά με το επιδιωκόμενο έννομο συμφέρον κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, πράγμα που προϋποθέτει, κατά τη γνώμη μου, ότι η πληροφορία αυτή γνωστοποιείται άμεσα στον πελάτη όταν ο τελευταίος παρέχει τα επίμαχα δεδομένα που τον αφορούν.
59. Επιπλέον, ερωτηθείσα κατά την επ’ ακροατηρίου συζήτηση επί της υποχρέωσης ενημέρωσης, η SNCF Connect δεν ήταν σε θέση να αναφέρει ότι το έννομο συμφέρον που επιδιώκεται με την επεξεργασία γνωστοποιείται πράγματι στους πελάτες της κατά τη λήψη των δεδομένων προσφώνησης.
60. Συνεπώς, δεν πληρούται η πρώτη προϋπόθεση του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ σχετικά με την ύπαρξη έννομου συμφέροντος, ερμηνευόμενη υπό το πρίσμα της υποχρέωσης γνωστοποίησης του εν λόγω συμφέροντος που προβλέπεται στο άρθρο 13, παράγραφος 1, στοιχείο δʹ, του κανονισμού αυτού. Επομένως, η επεξεργασία των δεδομένων προσφώνησης σε μια τέτοια περίπτωση δεν μπορεί να θεωρηθεί σύννομη κατά την έννοια της ως άνω διάταξης, χωρίς να απαιτείται να εξεταστεί το αν πληρούνται οι άλλες δύο προϋποθέσεις του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του εν λόγω κανονισμού.
α) Συμπέρασμα σχετικά με την ερμηνεία του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ
61. Από τα ανωτέρω προκύπτει, κατά τη γνώμη μου, ότι το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, και το άρθρο 5, παράγραφος 1, στοιχείο γʹ, αυτού, έχουν την έννοια ότι η επεξεργασία των δεδομένων προσφώνησης των πελατών εταιρίας μεταφορών δεν μπορεί να θεωρηθεί απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, κατά την έννοια της διάταξης αυτής, στο μέτρο που η εν λόγω εταιρία δεν έχει γνωστοποιήσει στους χρήστες τα δεδομένα των οποίων συλλέγησαν το έννομο συμφέρον που επιδιώκεται με την επεξεργασία τους.
β) Πρόσθετες παρατηρήσεις
62. Χάριν πληρότητας, και σε περίπτωση που το Δικαστήριο καταλήξει στο συμπέρασμα ότι το επίμαχο έννομο συμφέρον γνωστοποιήθηκε σύμφωνα με το άρθρο 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, θα συνεχίσω, εντούτοις, την ανάλυση των προϋποθέσεων που πρέπει να πληρούνται προκειμένου να θεωρηθεί σύννομη η επεξεργασία δεδομένων προσωπικού χαρακτήρα βάσει του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του κανονισμού αυτού.
63. Πρώτον, όσον αφορά την προϋπόθεση της ύπαρξης έννομου συμφέροντος, η SNCF Connect και η Γαλλική Κυβέρνηση υποστηρίζουν ότι το επιδιωκόμενο έννομο συμφέρον είναι η επικοινωνία με τον πελάτη.
64. Επισημαίνω ότι το Δικαστήριο έκρινε, όσον αφορά την έννοια του «έννομου συμφέροντος», ότι, «ελλείψει ορισμού της έννοιας αυτής από τον ΓΚΠΔ, υπογραμμίζεται ότι […] υπάρχει ένα ευρύ φάσμα συμφερόντων τα οποία μπορούν, κατ’ αρχήν, να θεωρηθούν ως έννομα» (28).
65. Συναφώς, υπενθυμίζω ότι η SNCF Connect αποτελεί εταιρία που πωλεί μέσω του διαδικτύου τίτλους σιδηροδρομικών μεταφορών. Όπως επισήμανα (29), η υπηρεσία αυτή επιβάλλει την επαφή με τον πελάτη, τουλάχιστον για την αποστολή προς τον ίδιο του τίτλου μεταφοράς. Συνεπώς, εκτιμώ ότι ο σκοπός της επικοινωνίας με τον πελάτη μπορεί να αποτελεί έννομο συμφέρον της επιχείρησης αυτής, κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, με αποτέλεσμα να πρέπει, κατά τη γνώμη μου, να θεωρηθεί ότι πληρούται η πρώτη προϋπόθεση της ύπαρξης τέτοιου έννομου συμφέροντος.
66. Δεύτερον, όσον αφορά την προϋπόθεση της αναγκαιότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του εννόμου συμφέροντος, φρονώ ότι αυτή δεν πληρούται. Όπως απέδειξα στο πλαίσιο της ανάλυσης του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, η επεξεργασία των δεδομένων προσφώνησης βαίνει πέραν του μέτρου που είναι αναγκαίο για την επίτευξη του σκοπού της επικοινωνίας με τον πελάτη καθόσον η επικοινωνία αυτή μπορεί να πραγματοποιηθεί χωρίς τη χρήση των ανωτέρω δεδομένων (30).
67. Τρίτον και τελευταίον, όσον αφορά την προϋπόθεση ότι πρέπει τα συμφέροντα ή οι ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων να μην υπερισχύουν του εννόμου συμφέροντος του υπευθύνου επεξεργασίας ή του τρίτου, επισημαίνω ότι το Δικαστήριο έκρινε ότι «απαιτείται μια στάθμιση των αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων η οποία εξαρτάται, κατ’ αρχήν, από τις συγκεκριμένες περιστάσεις της κάθε περίπτωσης και, κατά συνέπεια, εναπόκειται στο αιτούν δικαστήριο να προβεί στην εν λόγω στάθμιση λαμβάνοντας υπόψη τις ειδικές αυτές περιστάσεις» (31). Θα διατυπώσω, εντούτοις, ορισμένες παρατηρήσεις προκειμένου να καθοδηγήσω το αιτούν δικαστήριο κατά τη διενέργεια της εκτίμησης αυτής.
68. Το Δικαστήριο έκρινε, συνεπώς, ότι «στο πλαίσιο της απαιτούμενης στάθμισης των αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων, ήτοι εκείνων του υπευθύνου επεξεργασίας, αφενός, και εκείνων του υποκειμένου των δεδομένων, αφετέρου, πρέπει να λαμβάνονται υπόψη […] ιδίως οι εύλογες προσδοκίες του υποκειμένου των δεδομένων, η έκταση της επίμαχης επεξεργασίας και ο αντίκτυπός της στο υποκείμενο των δεδομένων» (32).
69. Επιπλέον, από την αιτιολογική σκέψη 47 του ΓΚΠΔ προκύπτει ότι «η ύπαρξη έννομου συμφέροντος θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων ως προς το κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτό μπορεί να πραγματοποιηθεί επεξεργασία».
70. Συναφώς, δεν αντιλαμβάνομαι κατά πόσον ο πελάτης μιας επιχείρησης μεταφορών θα μπορούσε εύλογα να αναμένει ότι η τελευταία επεξεργάζεται τα δεδομένα της προσφώνησής του με σκοπό την επικοινωνία στο πλαίσιο της παροχής της υπηρεσίας αγοράς τίτλου μεταφοράς.
71. Εν πάση περιπτώσει, θεωρώ ότι απλώς και μόνον η ύπαρξη εύλογων προσδοκιών δεν αρκεί ώστε να διασφαλίζεται ότι το έννομο συμφέρον του υπευθύνου επεξεργασίας υπερισχύει των συμφερόντων ή των ελευθεριών και των θεμελιωδών δικαιωμάτων του υποκειμένου των δεδομένων. Μολονότι ένα τέτοιο στοιχείο είναι ασφαλώς κρίσιμο στο πλαίσιο της στάθμισης που πρέπει να διενεργηθεί, δεν μπορεί, αντιθέτως, να οδηγεί συστηματικά στο συμπέρασμα ότι το έννομο συμφέρον του υπευθύνου επεξεργασίας υπερισχύει, ιδίως στην περίπτωση που η επίμαχη επεξεργασία των δεδομένων προσωπικού χαρακτήρα ενδέχεται να θίγει ελευθερία ή να προσβάλει θεμελιώδες δικαίωμα του υποκειμένου των δεδομένων, όπως αυτά κατοχυρώνονται στον Χάρτη.
72. Ωστόσο, όπως υποστηρίζει η Mousse, φρονώ ότι τούτο ισχύει εν προκειμένω. Πράγματι, η ένωση αυτή προβάλλει την ύπαρξη κινδύνου διακρίσεων λόγω φύλου εξαιτίας της επεξεργασίας δεδομένων προσφώνησης, ιδίως όσον αφορά τα διεμφυλικά άτομα ή υπηκόους κράτους που αναγνωρίζει το ουδέτερο φύλο.
73. Υπό τις συνθήκες αυτές, και με την επιφύλαξη του ελέγχου που θα διενεργήσει το αιτούν δικαστήριο, εκτιμώ ότι το έννομο συμφέρον της επικοινωνίας με τον πελάτη δεν μπορεί να υπερισχύει των συμφερόντων ή ελευθεριών και των θεμελιωδών δικαιωμάτων του υποκειμένου των δεδομένων.
Β. Επί του δευτέρου προδικαστικού ερωτήματος
74. Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ έχει την έννοια ότι, προκειμένου να εκτιμάται η αναγκαιότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την έννοια της εν λόγω διάταξης, πρέπει να λαμβάνεται υπόψη η ενδεχόμενη ύπαρξη δικαιώματος εναντίωσης του υποκειμένου των δεδομένων κατά το άρθρο 21, παράγραφος 1, του κανονισμού αυτού.
75. Το άρθρο 21, παράγραφος 1, του ΓΚΠΔ προβλέπει ότι το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6, παράγραφος 1, στοιχείο εʹ ή στʹ, περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.
76. Κατά πάγια νομολογία, για την ερμηνεία διάταξης του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο εντάσσεται και οι σκοποί που επιδιώκονται με τη ρύθμιση της οποίας αποτελεί μέρος (33).
77. Όσον αφορά το γράμμα του άρθρου 21, παράγραφος 1, του ΓΚΠΔ, επισημαίνω ότι ο νομοθέτης της Ένωσης τονίζει ότι το δικαίωμα εναντίωσης αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα που βασίζεται, μεταξύ άλλων, στο άρθρο 6, παράγραφος 1, στοιχείο στʹ, του κανονισμού αυτού. Με άλλα λόγια, όπως υποστηρίζουν η Mousse και η Επιτροπή, το δικαίωμα εναντίωσης προϋποθέτει την ύπαρξη σύννομης επεξεργασίας, η οποία βασίζεται, μεταξύ άλλων, στο έννομο συμφέρον του υπευθύνου επεξεργασίας. Συνεπώς, το δικαίωμα αυτό πρέπει να ασκείται μόνον όταν πραγματοποιείται σύννομη επεξεργασία, με σκοπό την παύση της.
78. Θεωρώ ότι τούτο επιβεβαιώνεται από το άρθρο 21, παράγραφος 1, δεύτερο εδάφιο, του ΓΚΠΔ, το οποίο προβλέπει ότι σε περίπτωση εναντίωσης, βάσει της διάταξης αυτής, από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον σε επεξεργασία τα επίμαχα δεδομένα (34). Η ως άνω διατύπωση υποδηλώνει σαφώς, κατά τη γνώμη μου, ότι η επεξεργασία των επίμαχων δεδομένων είναι σύννομη κατά τους όρους του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του κανονισμού αυτού, πλην όμως τα εν λόγω δεδομένα δεν μπορούν πλέον, μετά την προβολή της εναντίωσης, να υποβάλλονται σε επεξεργασία.
79. Με άλλα λόγια, το άρθρο 21, παράγραφος 1, του ΓΚΠΔ έχει περιθώριο εφαρμογής μόνον εφόσον διαπιστωθεί η νομιμότητα της επεξεργασίας.
80. Επομένως, από το γράμμα του άρθρου 21, παράγραφος 1, του ΓΚΠΔ προκύπτει ότι η ύπαρξη δικαιώματος εναντίωσης ουδόλως ασκεί επιρροή στην εκτίμηση της αναγκαιότητας της επεξεργασίας αυτής δυνάμει του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του εν λόγω κανονισμού, δεδομένου ότι η εφαρμογή του άρθρου 21, παράγραφος 1, του ίδιου κανονισμού προϋποθέτει ότι πληρούνται οι προϋποθέσεις του άρθρου 6, παράγραφος 1, στοιχείο στʹ, αυτού.
81. Μια τέτοιου είδους γραμματική ερμηνεία του άρθρου 21, παράγραφος 1, του ΓΚΠΔ επιβεβαιώνεται, επιπλέον, από την ανάλυσή του υπό το πρίσμα του πλαισίου και των σκοπών του κανονισμού αυτού.
82. Όσον αφορά τη συστηματική ερμηνεία της εν λόγω διάταξης, επισημαίνω ότι οι λόγοι στους οποίους μπορεί να στηρίζεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα προβλέπονται στο άρθρο 6 του ΓΚΠΔ, το οποίο κάνει λόγο για την αρχή της νομιμότητας, στο πλαίσιο του κεφαλαίου II του κανονισμού αυτού σχετικά με τις αρχές που διέπουν την επεξεργασία δεδομένων. Το άρθρο 21 του εν λόγω κανονισμού εντάσσεται στο κεφάλαιο ΙΙΙ σχετικά με τα δικαιώματα του υποκειμένου των δεδομένων. Επιπλέον, όπως ήδη επισήμανα, οι λόγοι που προβλέπονται στο άρθρο 6 του ίδιου κανονισμού απαριθμούνται, κατά πάγια νομολογία, εξαντλητικώς (35). Υπό τις συνθήκες αυτές, οι δύο επίμαχες διατάξεις επιτελούν δύο διαφορετικές λειτουργίες και δεν μπορεί να θεωρηθεί ότι το άρθρο 21 του ΓΚΠΔ μπορεί να ληφθεί υπόψη κατά την εξέταση της νομιμότητας της επεξεργασίας, η οποία διέπεται αποκλειστικά από το άρθρο 6 του ως άνω κανονισμού.
83. Όσον αφορά την τελολογική ερμηνεία του άρθρου 6, παράγραφος 1, στοιχείο στʹ και του άρθρου 21 του ΓΚΠΔ, η συνεκτίμηση της ύπαρξης δικαιώματος εναντίωσης για την εκτίμηση της νομιμότητας επεξεργασίας δεδομένων βάσει του άρθρου 6 του κανονισμού αυτού θα συνεπαγόταν παραδοχή της νομιμότητας της επεξεργασίας δεδομένων για τον λόγο και μόνον ότι το υποκείμενο των δεδομένων θα μπορούσε να αντιταχθεί στη συνέχεια στην εν λόγω επεξεργασία. Τούτο θα οδηγούσε, συνεπώς, στην επέκταση των λόγων νομιμότητας της επεξεργασίας πέραν των περιπτώσεων που προβλέπονται περιοριστικώς στο άρθρο 6 του εν λόγω κανονισμού και στην εξάρτηση του επιπέδου προστασίας των υποκειμένων των δεδομένων από την επιμέλεια που επιδεικνύουν για την εναντίωση στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, άλλως η επεξεργασία αυτή θα μπορούσε να θεωρηθεί σύννομη. Φρονώ ότι μια τέτοια ερμηνεία μπορεί, συνεπώς, να υπονομεύσει τον σκοπό της διασφάλισης υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν.
84. Συνεπώς, κατά τη γνώμη μου, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται στο να λαμβάνεται υπόψη, για την εκτίμηση της αναγκαιότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την έννοια της εν λόγω διάταξης, η ενδεχόμενη ύπαρξη δικαιώματος εναντίωσης του υποκειμένου των δεδομένων κατά το άρθρο 21, παράγραφος 1, του κανονισμού αυτού.
V. Πρόταση
85. Υπό το πρίσμα του συνόλου των ανωτέρω εκτιμήσεων, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα που υπέβαλε το Conseil d’État (Συμβούλιο της Επικρατείας, Γαλλία) ως εξής:
Το άρθρο 6, παράγραφος 1, στοιχείο βʹ, και το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχουν την έννοια ότι:
η συστηματική επεξεργασία των δεδομένων προσφώνησης δεν μπορεί να θεωρηθεί απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, στην περίπτωση που η επεξεργασία αυτή αποσκοπεί στο να καταστεί δυνατή μια προσωποποιημένη εμπορική επικοινωνία με τη διασφάλιση της τήρησης κοινώς αποδεκτών πρακτικών στην εμπορική επικοινωνία ή στο να διασφαλιστεί η προσαρμογή της παροχής της υπηρεσίας μεταφοράς λόγω του φύλου του υποκειμένου των δεδομένων.
Το άρθρο 6, παράγραφος 1, στοιχείο στʹ, και το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού 2016/679
έχουν την έννοια ότι:
η επεξεργασία των δεδομένων προσφώνησης των πελατών εταιρίας μεταφορών δεν μπορεί να θεωρηθεί απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, κατά την έννοια της διάταξης αυτής, στο μέτρο που η εν λόγω εταιρία δεν έχει γνωστοποιήσει στους χρήστες τα δεδομένα των οποίων συλλέγησαν το έννομο συμφέρον που επιδιώκεται με την επεξεργασία τους.
Το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
αντιτίθεται στο να λαμβάνεται υπόψη, για την εκτίμηση της αναγκαιότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την έννοια της εν λόγω διάταξης, η ενδεχόμενη ύπαρξη δικαιώματος εναντίωσης του υποκειμένου των δεδομένων κατά το άρθρο 21, παράγραφος 1, του κανονισμού αυτού.