Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
MACIEJ SZPUNAR
11.7.2024 (1)
Asia C‑394/23
Association Mousse
vastaan
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect
(Ennakkoratkaisupyyntö – Conseil d’État (ylin hallintotuomioistuin, Ranska))
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 6 artiklan 1 kohta – Käsittelyn lainmukaisuuden periaate – 5 artiklan 1 kohdan c alakohta – Tietojen minimoinnin periaate – Puhuttelumuoto – Kuljetuspalvelujen ostaminen verkossa – 21 artikla – Vastustamisoikeus
I Johdanto
1. Asetuksella (EU) 2016/679(2) (jäljempänä yleinen tietosuoja-asetus) pyritään varmistamaan luonnollisten henkilöiden korkeatasoinen suojelu heidän henkilötietojensa käsittelyssä. Se edellyttää, että rekisterinpitäjät noudattavat henkilötietoja käsitellessään useita periaatteita, kuten tietojen minimoinnin ja käsittelyn lainmukaisuuden periaatteita.
2. Nämä kaksi periaatetta ovat keskeisiä tässä erään yhdistyksen ja kansallisen valvontaviranomaisen välisessä riita-asiassa, joka koskee sitä, että kuljetusyritys väittää käsittelevänsä asiakkaidensa puhuttelumuotoja koskevia tietoja käyttääkseen niitä kaupallisessa viestinnässään, ja joka näin ollen antaa unionin tuomioistuimelle mahdollisuuden selventää niiden soveltamisalaa.
II Asiaa koskevat oikeussäännöt
A Unionin oikeus
3. Yleisen tietosuoja-asetuksen johdanto-osan 4, 10, 39, 40, 44, 47, 69 ja 75 perustelukappaleessa todetaan seuraavaa:
”4) Henkilötietojen käsittely olisi suunniteltava niin, että se palvelee ihmistä. Oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Tässä asetuksessa kunnioitetaan kaikkia perusoikeuksia ja otetaan huomioon [Euroopan unionin perusoikeuskirjassa (jäljempänä perusoikeuskirja)] tunnustetut vapaudet ja periaatteet sellaisina kuin ne ovat vahvistettuina perussopimuksissa, erityisesti jokaisen oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan, oikeus henkilötietojen suojaan, ajatuksen, omantunnon ja uskonnon vapaus, sananvapaus ja tiedonvälityksen vapaus, elinkeinovapaus, oikeus tehokkaisiin oikeussuojakeinoihin ja oikeudenmukaiseen oikeudenkäyntiin sekä oikeus kulttuuriseen, uskonnolliseen ja kielelliseen monimuotoisuuteen.
– –
10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
– –
39) – – Henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. – – Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. – –
40) Jotta henkilötietojen käsittely olisi lainmukaista, sen olisi perustuttava asianomaisen rekisteröidyn suostumukseen tai muuhun oikeutettuun perusteeseen, josta säädetään lainsäädännössä, joko tässä asetuksessa tai tässä asetuksessa tarkoitetussa muussa unionin oikeudessa tai jäsenvaltion lainsäädännössä, mukaan lukien – – tarve panna täytäntöön sopimus, jossa rekisteröity on osapuolena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä.
– –
44) Käsittelyä olisi pidettävä lainmukaisena, kun se on tarpeen sopimuksen yhteydessä tai suunnitellun sopimuksen tekemistä varten.
– –
47) Rekisterinpitäjän, myös sellaisen rekisterinpitäjän, jolle henkilötiedot voidaan luovuttaa, tai kolmannen osapuolen oikeutetut edut voivat muodostaa käsittelyn oikeusperusteen edellyttäen, että rekisteröidyn edut tai perusoikeudet ja ‑vapaudet eivät asetu niiden edelle ja että otetaan huomioon rekisteröityjen kohtuulliset odotukset, jotka perustuvat heidän ja rekisterinpitäjän väliseen suhteeseen. Tällainen oikeutettu etu voi olla olemassa esimerkiksi, kun rekisteröidyn ja rekisterinpitäjän välillä on merkityksellinen ja asianmukainen suhde, kuten että rekisteröity on rekisterinpitäjän asiakas tai tämän palveluksessa – – Oikeutetun edun olemassaoloa on joka tapauksessa arvioitava huolellisesti; on arvioitava muun muassa, voiko rekisteröity kohtuudella odottaa henkilötietojen keruun ajankohtana ja sen yhteydessä, että henkilötietoja voidaan käsitellä tätä tarkoitusta varten. – – Ehdottoman välttämätön henkilötietojen käsittely petosten estämistarkoituksissa on myös asianomaisen rekisterinpitäjän oikeutetun edun mukaista. Henkilötietojen käsittelyä suoramarkkinointitarkoituksissa voidaan pitää oikeutetun edun toteuttamiseksi suoritettuna.
– –
69) Tapauksissa, joissa henkilötietoja voitaisiin käsitellä lainmukaisesti, koska käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi tai rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen vuoksi, rekisteröidyllä olisi kuitenkin oltava oikeus vastustaa hänen tilannettaan koskevien henkilötietojen käsittelyä. Rekisterinpitäjän olisi osoitettava, että rekisterinpitäjän huomattavan tärkeät oikeutetut edut voivat syrjäyttää rekisteröidyn edut tai perusoikeudet ja ‑vapaudet.
– –
75) Nämä todennäköisyydeltään ja vakavuudeltaan vaihtelevat luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat riskit voivat aiheutua henkilötietojen käsittelystä, joka voi aiheuttaa fyysisiä, aineellisia tai aineettomia vahinkoja, erityisesti jos käsittely saattaa johtaa syrjintään – –”
4. Yleisen tietosuoja-asetuksen 2 artiklan 1 kohdan mukaan kyseistä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
5. Yleisen tietosuoja-asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan:
1) ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön – – liittyviä tietoja – –
2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista – –
– –
7) ’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; – –
– –
11) rekisteröidyn ’suostumuksella’ mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen,
– –”
6. Yleisen tietosuoja-asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (”lainmukaisuus, kohtuullisuus ja läpinäkyvyys”);
– –
c) henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (”tietojen minimointi”);
d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä (”täsmällisyys”);
– –”
7. Yleisen tietosuoja-asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1 kohdassa säädetään seuraavaa:
”Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
b) käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;
c) käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;
d) käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi;
e) käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;
f) käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.
– –”
8. Yleisen tietosuoja-asetuksen 13 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, 1 kohdassa säädetään seuraavaa:
”1. Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:
– –
d) rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan;
– –”
9. Yleisen tietosuoja-asetuksen 21 artiklassa, jonka otsikkona on ”Vastustamisoikeus”, 1 kohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan, kuten näihin säännöksiin perustuvaa profilointia. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.”
10. Yleisen tietosuoja-asetuksen 25 artiklan, jonka otsikko on ”Sisäänrakennettu ja oletusarvoinen tietosuoja”, 2 kohdassa säädetään seuraavaa:
”Rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. – –”
B Ranskan oikeus
11. Tietojenkäsittelystä, tiedostoista ja vapauksista 6.1.1978 annetun lain nro 78-17(3) 8 §:ssä säädetään seuraavaa:
”Commission nationale de l’informatique et des libertés [(tietojenkäsittelystä ja perusvapauksista vastaava kansallinen elin)] on itsenäinen hallinnollinen elin.
Se on [(yleisessä tietosuoja-asetuksessa)] tarkoitettu ja sen soveltamisalaan kuuluva kansallinen valvontaviranomainen. Sillä on seuraavat tehtävät:
– –
2. Se huolehtii siitä, että henkilötietojen käsittely toteutetaan tämän lain säännösten ja muiden laissa, asetuksissa, Euroopan unionin oikeudessa ja Ranskan kansainvälisissä sitoumuksissa annettujen henkilötietojen suojaa koskevien säännösten mukaisesti.
Tässä yhteydessä
– –
d) sen on käsiteltävä rekisteröidyn tai elimen, järjestön tai yhdistyksen tekemiä valituksia, vetoomuksia ja kanteluja ja tutkittava siinä määrin kuin on tarpeellista valituksen kohdetta ja ilmoitettava valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa – –.”
III Tosiseikat, oikeudenkäyntimenettely ja ennakkoratkaisukysymykset
12. SNCF Connect on yritys, joka markkinoi verkkosivustonsa ja sovellustensa kautta rautatieliikenteen lippuja, kuten junalippuja, kausilippuja ja alennuskortteja. Ostaessaan matkalippuja yrityksen asiakkaiden on ilmoitettava puhuttelumuotonsa valitsemalla kahdesta vaihtoehdosta (”herra” tai ”rouva”).
13. Pääasian kantaja, Mousse-niminen yhdistys (jäljempänä Mousse), katsoi, että olosuhteet, joiden vallitessa asiakkaiden puhuttelumuotoja koskevia tietoja kerättiin ja tallennettiin matkalippuja ostettaessa, eivät olleet yleisen tietosuoja-asetuksen vaatimusten mukaisia, ja teki CNIL:lle kantelun SNCF Connectia vastaan. Tämän vaatimuksen tueksi Mousse väitti, että kyseisten tietojen kerääminen ei ollut asetuksen 5 artiklan 1 kohdan a alakohdassa säädetyn lainmukaisuuden periaatteen mukaista, koska se ei nojautunut mihinkään sen 6 artiklan 1 kohdassa säädetyistä perusteista. Lisäksi tällainen tietojen kerääminen olisi vastoin kyseisen asetuksen 5 artiklan 1 kohdan c ja d alakohdassa säädettyä tietojen minimoinnin periaatetta ja 5 artiklan 1 kohdan d alakohdassa säädettyä täsmällisyysvaatimusta sekä erityisesti asetuksen 13 artiklasta johtuvia läpinäkyvyys- ja tiedottamisvelvoitteita. Tässä yhteydessä Mousse väitti, että SNCF Connectin ei pitäisi kerätä näitä tietoja tai että sen pitäisi ainakin tarjota asiakkailleen lisävaihtoehtoja, kuten merkintä ”Neutraali” tai ”Muu”.
14. CNIL päätti 23.3.2021 tekemällään päätöksellä käsiteltäväkseen saatetun valituksen käsittelyn, koska se katsoi, että seikat, joista SNCF Connectia moitittiin, eivät merkinneet yleisen tietosuoja-asetuksen asiaa koskevien säännösten rikkomista. CNIL katsoi, että tietojenkäsittely oli asetuksen 6 artiklan 1 kohdan b alakohdan nojalla lainmukaista, koska se oli tarpeen kuljetuspalvelujen tarjoamista koskevan sopimuksen täytäntöön panemiseksi. Lisäksi CNIL totesi, että tarkoituksensa huomioon ottaen tällainen käsittely oli tietojen minimoinnin periaatteen mukaista, koska puhuttelumuodon käyttäminen asiakkaista vastasi siviiliviestinnässä ja kaupallisessa ja hallinnollisessa viestinnässä yleisesti hyväksyttyjä käytäntöjä.
15. Mousse nosti 21.5.2021 CNIL:n 23.3.2021 tekemästä päätöksestä kumoamiskanteen Conseil d’État’ssa (Ranska). Mousse väittää kanteessaan muun muassa, että velvollisuus täyttää joko kohta ”herra” tai ”rouva” verkko-ostoksia tehtäessä ei ole yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa säädetyn lainmukaisuusperiaatteen eikä kyseisen kohdan c alakohdassa säädetyn tietojen minimoinnin periaatteen mukainen, koska tämä merkintä ei ole välttämätön sopimuksen täytäntöön panemiseksi tai SNCF Connectin oikeutettujen etujen toteuttamiseksi. Se, että edellä mainittua ilmaisua käytetään kaupallisessa kirjeenvaihdossa, ei riitä tekemään näiden tietojen keräämisestä tarpeellista. Lopuksi tällainen velvoite olisi omiaan loukkaamaan henkilön oikeutta matkustaa ilmoittamatta puhuttelumuotoaan, oikeutta yksityisyyden suojaan ja vapautta määritellä vapaasti sukupuolen ilmaisunsa. Erityisesti sellaisten maiden kansalaisten osalta, joiden väestörekisteriin voidaan merkitä muunsukupuolisuus, tällainen maininta ei vastaisi todellisuutta ja saattaisi näin ollen osoittautua asetuksen 5 artiklan 1 kohdan d alakohdassa säädetyn täsmällisyysperiaatteen vastaiseksi ja samalla loukata heidän unionin oikeudessa taattua liikkumisvapauttaan.
16. CNIL katsoi, että kanne oli hylättävä, ja väitti, että puhuttelumuodon käsittelyn voitaisiin katsoa olevan ”tarpeen” myös SNCF Connectin oikeutettujen etujen toteuttamiseksi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitetulla tavalla ja että rekisteröidyt voisivat – henkilökohtaisen erityisen tilanteensa perusteella – vedota kyseisen asetuksen 21 artiklassa heille taattuun oikeuteen vastustaa käsittelyä.
17. Ennakkoratkaisua pyytänyt tuomioistuin kysyy ensinnäkin, voidaanko arvioitaessa, onko tietojen kerääminen asianmukaista ja olennaista ja rajoitettu siihen, mikä on tarpeellista, ja onko niiden käsittely tarpeen, ottaa huomioon siviiliviestinnässä ja kaupallisessa ja hallinnollisessa viestinnässä yleisesti hyväksyttyjä käytäntöjä siten, että mainintoihin ”herra” tai ”rouva” rajoittuvia asiakkaiden puhuttelumuotoja koskevien tietojen keräämistä voitaisiin pitää lainmukaisena ja tietojen minimoinnin periaatteen mukaisena. Kyseinen tuomioistuin kysyy myös, onko arvioitaessa asiakkaiden puhuttelumuotoa koskevien tietojen pakollisen keräämisen ja käsittelyn tarpeellisuutta tilanteessa, jossa tietyt asiakkaat katsovat, ettei kumpikaan puhuttelumuoto koske heitä, otettava huomioon, että annettuaan nämä tiedot rekisterinpitäjälle tarjotun palvelun saadakseen nämä asiakkaat voisivat käyttää oikeuttaan vastustaa tiedon käyttämistä vetoamalla yleisen tietosuoja-asetuksen 21 artiklan mukaisesti henkilökohtaiseen erityiseen tilanteeseensa.
18. Tässä tilanteessa Conseil d’État on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Voidaanko arvioitaessa, onko tietojen kerääminen [yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan] säännöksissä tarkoitetulla tavalla asianmukaista ja olennaista ja rajoitettu siihen, mikä on tarpeellista, ja onko niiden käsittely [kyseisen asetuksen 6 artiklan 1 kohdan b ja f alakohdassa] tarkoitetulla tavalla tarpeen, ottaa huomioon siviiliviestinnässä ja kaupallisessa ja hallinnollisessa viestinnässä yleisesti hyväksyttyjä käytäntöjä siten, että mainintoihin ”herra” tai ”rouva” rajoittuvia asiakkaiden puhuttelumuotoja koskevien tietojen keräämistä voitaisiin pitää tarpeellisena tietojen minimoinnin periaatteen sitä estämättä?
2) Onko arvioitaessa asiakkaiden puhuttelumuotoa koskevien tietojen pakollisen keräämisen ja käsittelyn tarpeellisuutta tilanteessa, jossa tietyt asiakkaat katsovat, ettei kumpikaan puhuttelumuoto koske heitä ja ettei tämän tiedon kerääminen ole heidän osaltaan olennaista, otettava huomioon, että annettuaan tämän tiedon rekisterinpitäjälle tarjotun palvelun saadakseen nämä henkilöt voisivat käyttää oikeuttaan vastustaa tiedon käyttämistä ja säilyttämistä vetoamalla yleisen tietosuoja-asetuksen 21 artiklan mukaisesti henkilökohtaiseen erityiseen tilanteeseensa?”
19. Kirjallisia huomautuksia ovat esittäneet Mousse, SNCF Connect, Ranskan hallitus sekä Euroopan komissio. Kyseiset osapuolet osallistuivat 29.4.2024 pidettyyn istuntoon.
IV Asian tarkastelu
A Ensimmäinen ennakkoratkaisukysymys
20. Kansallinen tuomioistuin kysyy ensimmäisessä ennakkoratkaisukysymyksessään pääasiassa, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa ja 6 artiklan 1 kohdan b ja f alakohtaa tulkittava siten, että kuljetusyrityksen asiakkaiden puhuttelumuotoja koskevien henkilötietojen käsittelyä on pidettävä tarpeellisena sopimuksen täytäntöön panemiseksi tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi tai rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, jos tällaisen käsittelyn tarkoituksena on mahdollistaa yksilöllinen kaupallinen viestintä varmistamalla kaupallisessa viestinnässä yleisesti hyväksyttyjen käytäntöjen noudattaminen.
21. Tältä osin on heti aluksi esitettävä kaksi alustavaa huomautusta.
22. Toisaalta totean, että asianosaiset ovat yhtä mieltä ja että ei ole epäilystäkään siitä, että kuljetusyrityksen asiakkaiden puhuttelumuotoja koskevat tiedot ovat yleisen tietosuoja-asetuksen 4 artiklan 1 kohdassa tarkoitettuja henkilötietoja ja että lisäksi SNCF Connectin suorittamaa kyseisten tietojen keräämistä ja tallentamista on pidettävä mainitun asetuksen 4 artiklan 2 kohdassa tarkoitettuna käsittelynä, minkä vuoksi niitä on tarkasteltava mainitun asetuksen säännösten valossa.
23. SNCF Connect ja Ranskan hallitus puolustavat toisaalta ajatusta, jonka mukaan kielteinen vastaus ensimmäiseen ennakkoratkaisukysymykseen johtaisi yleisen tietosuoja-asetuksen soveltamiseen sille vieraassa asiayhteydessä, koska lainsäätäjä ei ole tätä asetusta antaessaan tarkoittanut säännellä viestintäkäytäntöjä tai sukupuolta koskevia kysymyksiä. Vaikka minun on helppo olla samaa mieltä julkisasiamies Bobekin kanssa siitä, että tietosuojalainsäädäntöä voidaan joskus ”soveltaa yllättävissä tilanteissa”,(4) minusta vaikuttaa siltä, että nyt käsiteltävänä oleva tilanne ei ole sellainen. Se, että kysymyksessä ovat henkilöllisyyttä koskevat tiedot ja että sukupuolen kaksijakoisuutta koskevasta kysymyksestä käytävät keskustelut heijastuvat siten välillisesti kansallisiin oikeusjärjestelmiin, ei voi hämärtää sitä, että nyt esillä olevassa asiassa on kyse siitä, että kuljetusyritys käsittelee asiakkaidensa henkilötietoja automaattisesti, mikä ei ainoastaan kuulu objektiivisesti katsoen yleisen tietosuoja-asetuksen soveltamisalaan, vaan on myös sellainen tietojenkäsittelytoimi, jota unionin lainsäätäjän on ollut tarkoitus säännellä.(5)
24. Aloitan näin ollen ensimmäisen ennakkoratkaisukysymyksen tarkastelun eräillä yleisillä huomautuksilla, jotka koskevat tietojenkäsittelyn lainmukaisuutta koskevaa edellytystä, jota rekisterinpitäjiin sovelletaan yleisen tietosuoja-asetuksen nojalla, minkä jälkeen määrittelen, onko edellä esitettyjen periaatteiden valossa katsottava, että tämä edellytys täyttyy, kun on kyse kuljetusyrityksen asiakkaiden puhuttelumuotoja koskevien tietojen käsittelystä, jonka tarkoituksena on viestiä näille asiakkaille kaupallisessa viestinnässä yleisesti hyväksyttyjä käytäntöjä noudattaen.
1. Henkilötietojen käsittelyn lainmukaisuus
25. Yleisen tietosuoja-asetuksen 5 artiklassa vahvistetaan useita henkilötietojen käsittelyä koskevia periaatteita. Kyseisessä säännöksessä säädetään erityisesti, että tällaisia tietoja ”on käsiteltävä lainmukaisesti”(6) ja ”henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään”.(7) Toisin sanoen kaikessa tietojenkäsittelyssä on noudatettava muun muassa lainmukaisuusperiaatetta ja tietojen minimoinnin periaatetta.
26. Yleisen tietosuoja-asetuksen 6 artiklassa määritellään tietojenkäsittelyn lainmukaisuusperiaatteen soveltamisala. Siltä osin kuin kyseisen asetuksen 6 artiklan 1 kohdassa sallitaan henkilötietojen suojaa(8) koskevan oikeuden rajoittaminen, se täyttää perusoikeuskirjan 52 artiklan 1 kohdassa asetetut edellytykset: kyseisestä rajoituksesta säädetään lailla ja siinä kunnioitetaan kyseisen oikeuden olennaista sisältöä. Lisäksi tämä rajoitus on välttämätön ja vastaa unionin tunnustamaa yleisen edun mukaista tavoitetta tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.(9)
27. Lainsäätäjä on näin ollen esittänyt kuusi perustetta, joiden nojalla tietojenkäsittely on lainmukaista, ja esittänyt yleisen edun mukaiset tavoitteet sekä suojelua edellyttävät oikeudet ja vapaudet, jotka voivat oikeuttaa henkilötietojen suojaa koskevan oikeuden rajoittamisen. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetään siten ”tyhjentävästä luettelosta, johon on rajattu tilanteet, joissa henkilötietojen käsittelyn voidaan katsoa olevan laillista”.(10)
28. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa ei aseteta tiukkaa hierarkiaa(11) niiden perusteiden välille, joiden nojalla tietojenkäsittelyä on pidettävä lainmukaisena. Unionin tuomioistuin on siten täsmentänyt oikeuskäytännössään viimeksi mainittujen välisiä suhteita.
29. Yhtäältä se muistutti, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaan ”henkilötietojen käsittely on lainmukaista jos ja siltä osin kuin rekisteröity on antanut sitä koskevan suostumuksensa yhtä tai useampaa erityistä tarkoitusta varten”. Tuomioistuin lisäsi, että ”jos tällainen suostumus puuttuu – –, tällainen käsittely on kuitenkin oikeutettua, jos sen osalta täyttyy jokin 6 artiklan 1 kohdan – – b–f alakohdassa mainituista edellytyksistä”.(12) Lisäksi se on katsonut, että ”[kyseisiä] oikeuttamisperusteita on tulkittava suppeasti, koska niiden perusteella ilman rekisteröidyn suostumusta suoritettavasta henkilötietojen käsittelystä tulee lainmukaista”.(13) Asetuksen 6 artiklan 1 kohdassa säädetyt henkilötietojen käsittelyn perusteet ovat siis samanarvoisia, eikä mitään niistä pitäisi pitää toissijaisena johonkin toiseen nähden.
30. Toisaalta unionin tuomioistuin on täsmentänyt, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetyt oikeuttamisperusteet eivät ole kumulatiivisia. Lisäksi unionin tuomioistuin on todennut, että ”kun henkilötietojen käsittelyn voidaan todeta olevan tarpeen johonkin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan – – b–f alakohdassa olevan oikeuttamisperusteen vuoksi, ei ole määritettävä, kuuluuko tämä käsittely myös jonkin muun oikeuttamisperusteen piiriin”.(14) Toisin sanoen – kuten olen jo maininnut(15) – henkilötietojen käsittely on lainmukaista, jos se on perusteltua yhdestä ainoasta syystä ilman, että mitään perustetta voitaisiin pitää toiseen nähden toissijaisena.
31. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa määriteltyä lainmukaisuusperiaatetta ei kuitenkaan voida tarkastella erikseen. Unionin tuomioistuin on vakiintuneesti katsonut, että tätä edellytystä ”on tarkasteltava yhdessä [kyseisen asetuksen] 5 artiklan 1 kohdan c alakohdassa vahvistetun tietojen minimoinnin periaatteen kanssa”.(16) Tämä periaate on unionin tuomioistuimen oikeuskäytännön mukaan ja kuten olen jo korostanut,(17) ilmaus suhteellisuusperiaatteesta,(18) joka edellyttää, että – kuten Ranskan hallitus kirjallisissa huomautuksissaan väittää – että käytetyillä keinoilla ei ylitetä sitä, mikä on tarpeen tämän tavoitteen saavuttamiseksi.(19)
32. Toisin sanoen tietojen minimoinnin periaatteeseen kuuluu sen tarkistaminen, että käsiteltävät tiedot soveltuvat sen tarkoituksen saavuttamiseen, jota varten niitä käsitellään – yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa esitettyjen perusteiden mukaisesti – ja että tietoja olisi käsiteltävä vain, jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Näin käsiteltyjen tietojen laajuus ei ole määrällisesti tai sisällöllisesti laajempi kuin on tarpeen tämän tarkoituksen saavuttamiseksi.(20)
33. Haluaisin esittää tässä yhteydessä vielä yhden huomautuksen. Huomautan, että unionin tuomioistuin on tulkinnut tietojen minimoinnin periaatetta yhdessä käsittelyn lainmukaisuuden periaatteen kanssa vain tilanteissa, joissa kyseessä oleva käsittely perustuu johonkin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b–f alakohdassa säädetyistä perusteista. Toisin sanoen unionin tuomioistuin ei ole täsmentänyt selvästi, sovelletaanko tietojen minimoinnin periaatetta myös silloin, kun rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn. On totta, että voitaisiin puolustaa ajatusta, jonka mukaan rekisterinpitäjä voi käsitellä mitä tahansa tietoja, jos henkilö antaa siihen suostumuksensa, ilman, että tietojen minimoinnin periaate on esteenä.
34. Tällainen tulkinta ei kuitenkaan ole mielestäni yhteensopiva sen yleisen tietosuoja-asetuksen tavoitteen kanssa, joka koskee korkeatasoisen luonnollisten henkilöiden suojelun varmistamista heidän henkilötietojensa käsittelyssä, eikä kyseisten säännösten sanamuodon kanssa.
35. On muistettava, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaan käsittely on lainmukaista vain, jos rekisteröity on ”antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten”.(21) Tältä osin korostan, että suostumuksella tarkoitetaan ”mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua”.(22) Toisin sanoen kyseessä ei voi olla yleinen suostumus kaikkien tietojen käsittelyyn. Lisäksi rekisteröidylle on ilmoitettava, mihin tietojen käsittelyn tarkoitukseen suostumus annetaan. Asetuksen 5 artiklan 1 kohdan c alakohdassa säädetään, että käsiteltävien tietojen on oltava ”asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään”.(23) Näillä edellytyksillä minusta näyttää siltä, että tietojen minimoinnin periaatetta on sovellettava myös siinä tapauksessa, että tietoja käsitellään rekisteröidyn suostumuksella ja että se johtaa sen tarkistamiseen, että kyseiset tiedot on todellakin rajoitettu siihen, mikä on tarpeellista suhteessa siihen tarkoitukseen, jota varten niitä käsitellään.
36. Näiden näkökohtien valossa SNCF Connectin suorittamaa asiakkaidensa puhuttelumuotoja koskevien tietojen käsittelyä on tutkittava yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b ja f alakohdan valossa, ja on täsmennettävä, että ennakkoratkaisua pyytänyt tuomioistuin viittaa yksinomaan näihin kahteen käsittelytarkoitukseen.
2. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta: käsittelyn tarpeellisuus sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä
37. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa säädetään, että henkilötietojen käsittely on lainmukaista, jos käsittely on ”tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä”.
38. Unionin tuomioistuin selvensi tämän säännöksen soveltamisalaa tuomiossa Meta Platforms ym. Unionin tuomioistuin on siten katsonut, että ”jotta henkilötietojen käsittelyn voidaan katsoa olevan tarpeen sopimuksen täytäntöön panemiseksi tässä säännöksessä tarkoitetussa merkityksessä, sen on oltava objektiivisesti välttämätöntä sellaisen tarkoituksen toteuttamiseksi, joka on rekisteröidylle tarkoitetun sopimusperusteisen suorituksen olennainen osa. Rekisterinpitäjän on siis voitava osoittaa, miltä osin sopimuksen pääkohdetta ei voitaisi toteuttaa ilman kyseessä olevaa käsittelyä.”(24)
39. Osapuolet ovat yhtä mieltä siitä, että sopimuksen pääasialliseksi tarkoitukseksi määritellään matkalipun toimittaminen ja viime kädessä asiakkaiden kuljettaminen rautateitse. Sen vuoksi on tärkeää tarkistaa ensinnäkin, käsitelläänkö asiakkaan puhuttelumuotoja koskevia tietoja sellaista tarkoitusta varten, joka on kuljetuspalvelun tarjoamisen olennainen osa, ja toiseksi, onko tällainen käsittely objektiivisesti katsoen välttämätöntä tämän tarkoituksen kannalta.
a) Käsittelyn tarkoituksen yksilöiminen
40. SNCF Connect ja Ranskan hallitus väittävät, että kuljetussopimuksen täytäntöönpano edellyttää yhteydenpitoa asiakkaaseen sekä varauksen tekohetkellä että kyseisen matkan aikana ja sen jälkeen ja edellyttää tämän asiakkaan puhuttelumuodon tuntemista, jotta hänen kanssaan voidaan viestiä yksilöllisesti ja kaupallisessa viestinnässä yleisesti hyväksyttyjä käytäntöjä noudattaen.
41. SNCF Connect lisää, että kuljetussopimuksen täytäntöönpanon kannalta on tärkeää tietää asianomaisen henkilön sukupuoli, jotta palvelua voidaan mukauttaa erityistapauksissa, kun kyseessä on esimerkiksi liikuntarajoitteisten henkilöiden avustaminen tai pääsy naisille varattuihin vaunuihin yöjunissa. Tältä osin totean, että tällainen tavoite ei varsinaisesti kuulu ennakkoratkaisupyynnön esittäneen tuomioistuimen muotoilemaan ensimmäiseen ennakkoratkaisukysymykseen, jossa viitataan nimenomaisesti kaupallisessa viestinnässä yleisesti hyväksyttyjen käytäntöjen noudattamiseen. Tarkastelen kuitenkin tätä väitettä siltä osin kuin kansallinen tuomioistuin kysyy unionin tuomioistuimelta yleisemmin puhuttelumuotoja koskevien tietojen keräämisestä tietojen minimointia ja käsittelyn lainmukaisuutta koskevien periaatteiden valossa.
42. Asiakkaan kanssa käytävän viestinnän tarkoituksen osalta katson, että kyseistä viestintää olisi pidettävä kuljetussopimuksen olennaisena osana. Tällainen sopimus edellyttää nimittäin lipun toimittamista ja siten yhteydenottoa asiakkaaseen sen toimittamiseksi. Tarve olla yhteydessä asiakkaaseen jatkuu mielestäni myös kuljetuksen aikana, jotta häntä voidaan erityisesti varoittaa kaikista hänen matkaansa vaikuttavista tapahtumista, ja myös kuljetuksen jälkeen, erityisesti silloin, kun tarvitaan kyseistä matkaa koskevaa viestintää asiakaspalvelun kanssa.
43. Tältä osin minun on huomautettava, että Ranskan hallituksen esittämä väite, jonka mukaan käsittelyn tarkoituksena ei ole ainoastaan yhteydenpito asiakkaaseen vaan erityisesti yhteydenpito asiakkaaseen kaupallisen viestinnän käytäntöjä noudattaen, on hylättävä. Yhtäältä näin määritelty tarkoitus ei mielestäni ole kuljetuspalvelujen tarjoamisen olennainen osa: mikään ei viittaa siihen, että tämä ei olisi ollut mahdollista ilman kaupallisessa viestinnässä yleisesti hyväksyttyjen käytäntöjen mukaista viestintää. Toisaalta tämä väite perustuu kehäpäätelmään. Näin määritelty tietojenkäsittelyn tarkoitus, joka on viestintä kaupallisessa viestinnässä yleisesti hyväksyttyjä käytäntöjä noudattaen, on nimittäin päällekkäinen tämän tarkoituksen – kaupallisessa viestinnässä yleisesti hyväksyttyjen käytäntöjen noudattaminen kaupallisessa viestinnässä – saavuttamiseksi käytettyjen keinojen kanssa.
44. Mitä tulee kuljetuspalvelun mukauttamiseen SNCF Connectin mainitsemien tapausten kaltaisiin erityistapauksiin, minun on myös vaikea kiistää sitä, että tämä on kyseisen palvelun olennainen osa, koska sen tarkoituksena on nimenomaan varmistaa palvelun toteutuminen.
45. Vaikka kyseisen käsittelyn tarkoitukset ovatkin mielestäni kuljetuspalvelujen tarjoamiseen olennaisesti liittyviä ja ne voidaan hyväksyä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdan nojalla, henkilötietojen käsittelyn on kuitenkin oltava sillä tavalla välttämätöntä ilmoitetun tarkoituksen saavuttamiseksi, että sopimuksen pääasiallista tarkoitusta ei voitaisi saavuttaa ilman kyseistä käsittelyä ja että saman tarkoituksen saavuttamiseksi ei ole olemassa muita toteuttamiskelpoisia ja vähemmän rajoittavia ratkaisuja.
46. Olen kuitenkin sitä mieltä, että puhuttelumuotoja koskevien tietojen käsittely ylittää sen, mikä on tarpeen sopimuksen asianmukaisen täytäntöönpanon kannalta.
b) Käsittelyn tarpeellisuus yksilöityjä tarkoituksia varten
47. Ensinnäkin viestinnän tarkoituksen osalta voidaan todeta, että kuljetussopimuksen asianmukainen täyttäminen ei voi riippua siitä, käyttääkö kuljetusyritys puhuttelumuotoja viestinnässään asiakkaidensa kanssa, vaikka rekisterinpitäjä aikookin viestiä asiakkailleen yksilöllisesti. Kuljetusyritys voi nimittäin helposti viestiä asiakkaidensa kanssa yksilöllisesti käyttämättä heidän puhuttelumuotojaan.
48. Lisäksi vaikka SNCF Connect korosti kuulemisessa tarvetta säilyttää brändimielikuva käyttämällä kaupallisessa viestinnässä yleisesti hyväksyttyjä muotoiluja, tämä voidaan saavuttaa yhtä hyvin myös muilla muotoiluilla, jotka osoittavat asiakkaan huomioon ottamista ja jotka eivät riipu puhuttelumuodoista.
49. Tämä on sitäkin tärkeämpää, koska – kuten Mousse väittää ja jollei ennakkoratkaisupyynnön esittäneen tuomioistuimen suorittamasta tarkastuksesta muuta johdu – SNCF Connect ei käytännössä järjestelmällisesti noudata kaupallisessa viestinnässä yleisesti hyväksyttyjä käytäntöjä, jotka edellyttäisivät asiakkaiden puhuttelumuotojen tuntemista, vaan käyttää muita, yleisempiä ilmaisuja, kuten ”Kiitos, hyvää matkaa” tai ”Hyvää päivää”. Se, että SNCF Connectin viestinnässä ei käytetä järjestelmällisesti asiakkaiden puhuttelumuotoja, näyttää mielestäni selvästi osoittavan, että kyseisten tietojen käsittely ei ole tarpeen kyseessä olevan sopimuksen täytäntöön panemiseksi ja että tietojen minimoinnin periaatteen valossa tietoja käsitellään laajemmin kuin on tarpeen.
50. Samassa yhteydessä totean, että kun SNCF Connectilta kysyttiin tästä asiasta kuulemisessa, se oli samaa mieltä siitä, että muun puhuttelumuodon kuin asianomaisen henkilön oikean puhuttelumuodon tarkoituksellisella ilmoittamisella ei ole vaikutusta kuljetuspalvelujen tarjoamiseen. Näissä olosuhteissa on katsottava, että sopimuksen pääasiallinen tarkoitus voidaan aina saavuttaa ilman kyseessä olevien tietojen käsittelyä.
51. Toiseksi siltä osin kuin on kyse tarkoituksesta mukauttaa kuljetuspalvelua, olen jälleen kerran sitä mieltä, että puhuttelumuotoja koskevien tietojen käsittelyssä ylitetään se, mikä on tarpeen sen toteutumiseksi. Toisaalta minusta vaikuttaa siltä, että puhuttelumuotoja koskevat tiedot – jotka eivät Ranskan hallituksen mielestä ole osa siviilisäätyä koskevia tietoja – eivät ole tällaiseen mukauttamiseen tarvittavia henkilötietoja, vaan tarvittavat tiedot koskevat asiakkaiden sukupuolta, sellaisena kuin se ilmenee väestötietojärjestelmästä. Toisaalta sama tavoite voitaisiin saavuttaa keräämällä ja käsittelemällä näitä tietoja lipputilausten yhteydessä vain tarvittaessa, kuten sellaisissa erityistapauksissa kuin lipputilauksen tekeminen yöjunien naisille varattuun vaunuun tai liikuntarajoitteisen henkilön avustuspyynnön yhteydessä.
52. Näissä olosuhteissa katson, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohtaa ja 5 artiklan 1 kohdan c alakohtaa on tulkittava siten, että puhuttelumuotoja koskevien tietojen järjestelmällistä käsittelyä ei voida pitää tarpeellisena sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sellaisten sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi, jotka on toteutettu rekisteröidyn pyynnöstä, jos tällaisen käsittelyn tarkoituksena on mahdollistaa yksilöllinen kaupallinen viestintä varmistamalla kaupallisessa viestinnässä yleisesti hyväksyttyjen käytäntöjen noudattaminen tai varmistaa, että kuljetuspalvelua mukautetaan rekisteröidyn sukupuolen mukaan.
3. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta: käsittelyn tarpeellisuus rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi
53. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdassa säädetään, että henkilötietojen käsittely on lainmukaista, jos se on ”tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi”.
54. Unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan kyseisestä säännöksestä seuraa, että kolmen kumulatiivisen edellytyksen on täytyttävä, jotta henkilötietojen käsittely, jota se koskee, olisi lainmukaista. Rekisterinpitäjän tai kolmannen osapuolen on ensinnäkin tavoiteltava oikeutettua etua. Toiseksi henkilötietojen käsittelyn on oltava tarpeen oikeutetun edun toteuttamiseksi. Kolmanneksi henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja ‑vapaudet eivät voi syrjäyttää rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua.(25)
55. Siltä osin kuin on kyse ensimmäisestä edellytyksestä, joka koskee oikeutetun edun tavoittelua, unionin tuomioistuin korosti tuomiossa Meta Platforms ym., että ”yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdan mukaan rekisterinpitäjän on ilmoitettava rekisteröidylle silloin, kun häneltä kerätään häntä koskevia henkilötietoja, tavoitellut oikeutetut edut, kun kyseinen käsittely perustuu tämän asetuksen 6 artiklan 1 kohdan – – f alakohtaan.”(26) Samassa tuomiossa tuomioistuin totesi, että viimeksi mainittua säännöstä on tulkittava siten, että henkilötietojen käsittelyn ”voidaan katsoa olevan tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi tässä säännöksessä tarkoitetussa merkityksessä ainoastaan sillä edellytyksellä, että kyseinen ylläpitäjä on ilmoittanut tietojen keräämisen kohteena olleille käyttäjille niiden käsittelyllä tavoiteltavasta oikeutetusta edusta”.(27)
56. Toisin sanoen yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdassa säädetyn ilmoitusvelvollisuuden noudattamatta jättäminen tekee henkilötietojen käsittelystä lainvastaista.
57. Kuten komissio toteaa ja jollei ennakkoratkaisua pyytäneen tuomioistuimen selvityksistä muuta johdu, vaikuttaa siltä, ettei SNCF Connect ole noudattanut tätä velvollisuutta.
58. Kuten komissio toteaa, SNCF Connect mainitsee verkkosivuillaan saatavilla olevassa ”salassapitosäännöstössä” henkilötietojen käsittelyn oikeusperustaksi ”oikeutetun edun”. Esitän tältä osin kaksi huomautusta. Toisaalta pelkkä maininta oikeutetusta edusta ilman, että täsmennetään tarkasti, mikä tämä oikeutettu etu on, ei voi täyttää yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdassa säädettyä ilmoitusvelvollisuutta, jonka mukaan rekisterinpitäjän on ilmoitettava tavoiteltu oikeutettu etu. Toisaalta on joka tapauksessa todettava, että myöskään se, että oikeutettu etu mainitaan yleisesti ”salassapitosäännöstössä”, joka on tosin saatavilla rekisterinpitäjän verkkosivustolla, mutta jota asiakkaan on haettava vapaaehtoisesti, ei ole kyseisen asetuksen 13 artiklan 1 kohdan d alakohdan mukaista. Tässä säännöksessä edellytetään, että rekisteröidylle ilmoitetaan oikeutetusta edusta tietojen keruun ajankohtana, mikä mielestäni edellyttää, että tämä tieto saatetaan suoraan asiakkaan tietoon silloin, kun hän antaa kyseiset tiedot.
59. Kun SNCF Connectilta kysyttiin kuulemisessa ilmoitusvelvollisuudesta, se ei kyennyt toteamaan, että käsittelyyn liittyvä oikeutettu etu todella ilmoitetaan sen asiakkaille henkilötietoja kerättäessä.
60. Näin ollen yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan ensimmäinen edellytys, joka koskee oikeutetun edun olemassaoloa, tulkittuna kyseisen asetuksen 13 artiklan 1 kohdan d alakohdassa säädetyn kyseistä etua koskevan ilmoitusvelvollisuuden valossa, ei täyty. Näin ollen puhuttelumuotoja koskevien tietojen käsittelyä tällaisessa tilanteessa ei voida pitää kyseisessä säännöksessä tarkoitetulla tavalla lainmukaisena, eikä ole tarpeen tutkia, täyttyvätkö kaksi muuta kyseisen asetuksen 6 artiklan 1 kohdan f alakohdassa säädettyä edellytystä.
a) Päätelmä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan tulkinnasta
61. Edellä esitetystä seuraa, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohtaa ja 5 artiklan 1 kohdan c alakohtaa on mielestäni tulkittava siten, että kuljetusyrityksen asiakkaiden puhuttelumuotoja koskevien tietojen käsittelyä ei voida pitää tarpeellisena rekisterinpitäjän tai tässä säännöksessä tarkoitetun kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, jos tämä yritys ei ole ilmoittanut tietojen keräämisen kohteena olleille käyttäjille niiden käsittelyllä tavoiteltavasta oikeutetusta edusta.
b) Lisähuomautuksia
62. Täydellisyyden vuoksi ja siltä varalta, että unionin tuomioistuin päätyy siihen tulokseen, että kyseessä oleva oikeutettu etu on ilmoitettu yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdan mukaisesti, jatkan kuitenkin niiden edellytysten analysointia, joiden on täytyttävä, jotta henkilötietojen käsittelyä voidaan pitää lainmukaisena kyseisen asetuksen 6 artiklan 1 kohdan f alakohdan nojalla.
63. Ensinnäkin oikeutetun edun olemassaoloa koskevan edellytyksen osalta SNCF Connect ja Ranskan hallitus väittävät, että yhteydenpito asiakkaan kanssa voi muodostaa tavoitellun oikeutetun edun.
64. Huomautan, että unionin tuomioistuimen mukaan oikeutetun edun käsitteen osalta on todettava, että ”koska tätä käsitettä ei ole määritelty yleisessä tietosuoja-asetuksessa, hyvin monenlaisia etuja voidaan lähtökohtaisesti pitää oikeutettuina”.(28)
65. Tältä osin muistutan, että SNCF Connect on yritys, joka tarjoaa rautatieliikenteen lippujen verkkomyyntiä. Kuten olen jo maininnut,(29) ainakin lipun toimittamiseksi tämä palvelu edellyttää yhteydenpitoa asiakkaaseen. Näin ollen minusta vaikuttaa siltä, että asiakkaan kanssa käytävän viestinnän tarkoitus voi muodostaa tämän yrityksen oikeutetun edun yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitetulla tavalla, joten ensimmäisen edellytyksen, joka liittyy tällaisen oikeutetun edun olemassaoloon, on mielestäni katsottava täyttyvän.
66. Toiseksi edellytys, joka koskee henkilötietojen käsittelyn tarpeellisuutta oikeutetun edun toteuttamiseksi, ei mielestäni täyty. Kuten olen osoittanut yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohtaa koskevan analyysini yhteydessä, puhuttelumuotoja koskevien tietojen käsittelyssä mennään pidemmälle kuin on tarpeen asiakkaan kanssa käytävän viestinnän tarkoituksen saavuttamiseksi, koska tämä viestintä voidaan toteuttaa ilman näiden tietojen käyttöä.(30)
67. Kolmanneksi ja viimeiseksi edellytyksestä, jonka mukaan rekisteröidyn edut tai perusoikeudet ja ‑vapaudet eivät saa olla etusijalla rekisterinpitäjän tai kolmannen osapuolen oikeutettuun etuun nähden, haluan huomauttaa, että unionin tuomioistuin on todennut, että ”se merkitsee kyseessä olevien vastakkaisten oikeuksien ja etujen punnintaa, joka riippuu lähtökohtaisesti kunkin tapauksen konkreettisista olosuhteista, ja näin ollen ennakkoratkaisua pyytäneen tuomioistuimen on suoritettava tämä punninta ottaen huomioon nämä erityiset olosuhteet”.(31) Esitän kuitenkin joitakin huomautuksia, jotka ohjaavat ennakkoratkaisua pyytänyttä tuomioistuinta tämän arvioinnin tekemisessä.
68. Unionin tuomioistuin on siten katsonut, että ”kyseessä olevien vastakkaisten – eli yhtäältä rekisterinpitäjän ja toisaalta rekisteröidyn – oikeuksien ja etujen punninnassa on otettava huomioon – – muun muassa rekisteröidyn kohtuulliset odotukset sekä kyseessä olevan käsittelyn laajuus ja vaikutus, joka sillä on tähän henkilöön”.(32)
69. Lisäksi yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleesta ilmenee, että ”oikeutetun edun olemassaoloa on – – arvioitava huolellisesti; on arvioitava muun muassa, voiko rekisteröity kohtuudella odottaa henkilötietojen keruun ajankohtana ja sen yhteydessä, että henkilötietoja voidaan käsitellä tätä tarkoitusta varten”.
70. Tältä osin en ymmärrä, missä määrin kuljetusyrityksen asiakas olisi voinut kohtuudella odottaa, että yritys käsittelee hänen puhuttelumuotoja koskevia tietojaan tarkoituksenaan asiakkaan kanssa käytävä viestintä matkalipun ostosuorituksen yhteydessä.
71. En missään tapauksessa usko, että pelkkä kohtuullisten odotusten olemassaolo riittää varmistamaan, että rekisterinpitäjän oikeutettu etu syrjäyttää rekisteröidyn edut tai perusoikeudet ja ‑vapaudet. Vaikka tällainen seikka on varmasti merkityksellinen suoritettavan punninnan yhteydessä, se ei toisaalta voi systemaattisesti johtaa siihen johtopäätökseen, että rekisterinpitäjän oikeutettu etu on etusijalla, varsinkaan silloin, kun kyseessä olevien henkilötietojen käsittely on omiaan loukkaamaan perusoikeuskirjassa taattua rekisteröidyn perusoikeutta tai ‑vapautta.
72. Kuten Mousse väittää, tilanne näyttää olevan tällainen nyt käsiteltävässä asiassa. Se väittää, että puhuttelumuotoja koskevien tietojen käsittelystä aiheutui sukupuoleen perustuvan syrjinnän vaara erityisesti transsukupuolisten henkilöiden tai sellaisten henkilöiden osalta, joilla on neutraalin sukupuolen tunnustavan valtion kansalaisuus.
73. Näissä olosuhteissa ja edellyttäen, että ennakkoratkaisupyynnön esittänyt tuomioistuin tarkistaa asian, katson, että oikeutettu etu, joka liittyy asiakkaan kanssa käytävään viestintään, ei voi syrjäyttää rekisteröidyn etuja tai perusoikeuksia ja ‑vapauksia.
B Toinen ennakkoratkaisukysymys
74. Toisella ennakkoratkaisukysymyksellään kansallinen tuomioistuin haluaa pääasiassa selvittää, onko yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohtaa tulkittava siten, että arvioitaessa tässä säännöksessä tarkoitetun henkilötietojen käsittelyn tarpeellisuutta on otettava huomioon rekisteröidyn mahdollinen oikeus vastustaa käsittelyä kyseisen asetuksen 21 artiklan 1 kohdan nojalla.
75. Yleisen tietosuoja-asetuksen 21 artiklan 1 kohdassa säädetään, että rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu mainitun asetuksen 6 artiklan 1 kohdan e tai f alakohtaan, kuten näihin säännöksiin perustuvaa profilointia. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.
76. Vakiintuneen oikeuskäytännön mukaan unionin oikeuden säännöksen tai määräyksen tulkinnassa on otettava huomioon paitsi sen sanamuoto myös asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa säännös tai määräys on.(33)
77. Yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan osalta totean, että unionin lainsäätäjä korostaa, että vastustamisoikeus koskee henkilötietojen käsittelyä, joka perustuu muun muassa kyseisen asetuksen 6 artiklan 1 kohdan f alakohtaan. Toisin sanoen, kuten Mousse ja komissio väittävät, vastustamisoikeus edellyttää lainmukaista käsittelyä, joka perustuu erityisesti rekisterinpitäjän oikeutettuun etuun. Tätä oikeutta voidaan siis käyttää vasta sitten, kun lainmukainen käsittely on suoritettu, jotta käsittely voidaan lopettaa.
78. Tämä vahvistetaan nähdäkseni yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan toisessa osassa, jossa säädetään, että jos rekisteröity vastustaa kyseistä säännöstä, rekisterinpitäjä ei saa enää käsitellä kyseisiä tietoja.(34) Mielestäni tämä sanamuoto merkitsee selvästi sitä, että kyseisten tietojen käsittely on lainmukaista asetuksen 6 artiklan 1 kohdan f alakohdassa säädetyin edellytyksin, mutta että tietoja ei saa enää käsitellä, kun käsittelyä on vastustettu.
79. Toisin sanoen yleisen tietosuoja-asetuksen 21 artiklan 1 kohtaa voidaan soveltaa vasta, kun käsittelyn lainmukaisuus on osoitettu.
80. Yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan sanamuodosta seuraa näin ollen, että vastustamisoikeuden olemassaololla ei ole mitään merkitystä arvioitaessa tällaisen käsittelyn tarpeellisuutta kyseisen asetuksen 6 artiklan 1 kohdan f alakohdan nojalla, koska asetuksen 21 artiklan 1 kohdan täytäntöönpano edellyttää, että asetuksen 6 artiklan 1 kohdan f alakohdassa säädetyt edellytykset täyttyvät.
81. Yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan tällainen sanamuodon mukainen tulkinta saa lisäksi vahvistuksen sen analyysistä kyseisen asetuksen asiayhteyden ja tavoitteiden valossa.
82. Tämän säännöksen asiayhteyteen liittyvän tulkinnan osalta muistutan, että perusteet, joihin henkilötietojen käsittely voi nojautua, mainitaan yleisen tietosuoja-asetuksen II lukuun, joka koskee tietojenkäsittelyä koskevia periaatteita, sisältyvässä 6 artiklassa, jossa viitataan lainmukaisuusperiaatteeseen. Kyseisen asetuksen 21 artikla puolestaan kuuluu III lukuun, joka koskee rekisteröidyn oikeuksia. Lisäksi kuten olen jo todennut, saman asetuksen 6 artiklassa säädetyt perusteet ovat vakiintuneen oikeuskäytännön mukaan tyhjentäviä.(35) Näissä olosuhteissa kyseisillä kahdella säännöksellä on kaksi eri tehtävää, eikä voida katsoa, että yleisen tietosuoja-asetuksen 21 artikla voitaisiin ottaa huomioon tarkasteltaessa käsittelyn lainmukaisuutta, jota säännellään ainoastaan kyseisen asetuksen 6 artiklassa.
83. Asetuksen 6 artiklan 1 kohdan f alakohdan ja 21 artiklan teleologisen tulkinnan osalta huomautan, että vastustamisoikeuden olemassaolon huomioon ottaminen arvioitaessa tietojenkäsittelyn lainmukaisuutta mainitun asetuksen 6 artiklan nojalla merkitsisi tietojenkäsittelyn lainmukaisuuden toteamista pelkästään sen mahdollisuuden perusteella, että rekisteröity voi myöhemmin vastustaa kyseistä käsittelyä. Tämä johtaisi siis siihen, että lainmukaisen käsittelyn perusteita laajennettaisiin kyseisen asetuksen 6 artiklassa säädettyjä tapauksia laajemmalle ja että rekisteröityjen suojan taso saatettaisiin riippuvaiseksi siitä, että he vastustavat huolellisesti henkilötietojensa käsittelyä, mitä ilman käsittelyä voitaisiin pitää lainmukaisena. Tällainen tulkinta on siis mielestäni omiaan haittaamaan tavoitetta varmistaa luonnollisten henkilöiden suojelun korkea taso heidän henkilötietojensa käsittelyssä.
84. Katson näin ollen, että toiseen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohtaa on tulkittava siten, että se on esteenä sille, että arvioitaessa sitä, onko kyseisessä säännöksessä tarkoitettu henkilötietojen käsittely tarpeen, otetaan huomioon rekisteröidyn mahdollinen oikeus vastustaa tietojen käsittelyä kyseisen asetuksen 21 artiklan 1 kohdan nojalla.
V Ratkaisuehdotus
85. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Conseil d’État’n (Ranska) esittämiin ennakkoratkaisukysymyksiin seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 6 artiklan 1 kohdan b alakohtaa ja 5 artiklan 1 kohdan c alakohtaa
on tulkittava siten, että
puhuttelumuotoja koskevien tietojen järjestelmällistä käsittelyä ei voida pitää tarpeellisena sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sellaisten sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi, jotka on toteutettu rekisteröidyn pyynnöstä, jos tällaisen käsittelyn tarkoituksena on mahdollistaa yksilöllinen kaupallinen viestintä varmistamalla kaupallisessa viestinnässä yleisesti hyväksyttyjen käytäntöjen noudattaminen tai sen varmistaminen, että kuljetuspalvelua mukautetaan rekisteröidyn sukupuolen mukaan.
Asetuksen 2016/679 6 artiklan 1 kohdan f alakohtaa ja 5 artiklan 1 kohdan c alakohtaa
on tulkittava siten, että
kuljetusyrityksen asiakkaiden puhuttelumuotoja koskevien tietojen käsittelyä ei voida pitää tarpeellisena rekisterinpitäjän tai tässä säännöksessä tarkoitetun kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, jos tämä yritys ei ole ilmoittanut tietojen keräämisen kohteena olleille käyttäjille niiden käsittelyllä tavoiteltavasta oikeutetusta edusta.
Asetuksen 2016/679 6 artiklan 1 kohdan f alakohtaa
on tulkittava siten, että
se on esteenä sille, että arvioitaessa sitä, onko tässä säännöksessä tarkoitettu henkilötietojen käsittely tarpeen, otetaan huomioon rekisteröidyn mahdollinen oikeus vastustaa tietojen käsittelyä kyseisen asetuksen 21 artiklan 1 kohdan nojalla.