Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
M. SZPUNAR
van 11 juli 2024 (1)
Zaak C‑394/23
Association Mousse
tegen
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect
[verzoek van de Conseil d’État (hoogste bestuursrechter, Frankrijk) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 6, lid 1 – Beginsel van rechtmatigheid van de verwerking – Artikel 5, lid 1, onder c) – Beginsel van minimale gegevensverwerking – Aanspreektitel – Onlineaankoop van vervoersdiensten – Artikel 21 – Recht van bezwaar”
I. Inleiding
1. Verordening (EU) 2016/679(2) (hierna: „AVG”) beoogt natuurlijke personen een hoog beschermingsniveau te bieden op het vlak van de verwerking van hun persoonsgegevens. Hiertoe verplicht de verordening de verwerkingsverantwoordelijken om bij de verwerking van persoonsgegevens een aantal beginselen in acht te nemen, waaronder het zogenaamde beginsel van „minimale gegevensverwerking” en het beginsel van rechtmatigheid van de verwerking.
2. Deze twee beginselen staan centraal in de onderhavige zaak, die een geschil betreft tussen een vereniging en een nationale toezichthoudende autoriteit over de door een vervoersbedrijf verrichte verwerking van gegevens met betrekking tot de aanspreektitel van zijn klanten met als doel om daar gebruik van te maken in de tot hen gerichte commerciële communicatie, en die het Hof in de gelegenheid stelt om de draagwijdte van die beginselen te verduidelijken.
II. Toepasselijke bepalingen
A. Unierecht
3. Overwegingen 4, 10, 39, 40, 44, 47, 69 en 75 AVG luiden als volgt:
„(4) De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het [Handvest van de grondrechten van de Europese Unie (hierna: ,Handvest’)] zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie‑ en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.
[...]
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]
[...]
(39) [...] De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. [...] Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. [...]
(40) Voor rechtmatige verwerking van persoonsgegevens is de toestemming van de betrokkene vereist of een andere gerechtvaardigde grondslag waarin de wet voorziet, hetzij in deze verordening, hetzij in andere Unierechtelijke of lidstaatrechtelijke bepalingen als bedoeld in deze verordening, of ook [...] om een overeenkomst uit te voeren waarbij de betrokkene partij is of om op verzoek van de betrokkene voorafgaand aan het aangaan van een overeenkomst maatregelen te nemen.
[...]
(44) Een verwerking die noodzakelijk is in het kader van een overeenkomst of een voorgenomen overeenkomst, dient rechtmatig te zijn.
[...]
(47) De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is [...] van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. [...] De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.
[...]
(69) Wanneer persoonsgegevens rechtmatig mogen worden verwerkt omdat de verwerking nodig is ter vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, dan wel op grond van de gerechtvaardigde belangen van een verwerkingsverantwoordelijke of een derde, dient een betrokkene niettemin bezwaar te kunnen maken tegen de verwerking van gegevens die op zijn specifieke situatie betrekking hebben. De verwerkingsverantwoordelijke moet aantonen dat zijn dwingende gerechtvaardigde belangen wellicht zwaarder wegen dan de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene.
[...]
(75) Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, [...].”
4. Krachtens artikel 2, lid 1, is de AVG van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
5. Artikel 4 AVG, met als opschrift „Definities”, bepaalt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon [...];
2) ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, [...] van gegevens;
[...]
7) ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; [...]
[...]
11) ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt;
[...]”
6. Artikel 5 AVG, met als opschrift „Beginselen inzake verwerking van persoonsgegevens”, bepaalt:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
[...]
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (‚juistheid’);
[...]”
7. Artikel 6 AVG, met als opschrift „Rechtmatigheid van de verwerking”, bepaalt in lid 1:
„De verwerking is alleen rechtmatig indien en voor zover aan ten minste één van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
[...]”
8. Artikel 13 AVG, met als opschrift „Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, luidt als volgt:
„1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[...]
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
[...]”
9. Artikel 21 AVG, met als opschrift „Recht van bezwaar”, bepaalt in lid 1:
„De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.”
10. Artikel 25 AVG, met als opschrift „Gegevensbescherming door ontwerp en door standaardinstellingen”, bepaalt in lid 2:
„De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. [...]”
B. Frans recht
11. Artikel 8 van loi n 78‑17 relative à l’informatique, aux fichiers et aux libertés (wet nr. 78‑17 betreffende informatica, bestanden en vrijheden)(3) van 6 januari 1978 bepaalt:
„De Commission nationale de l’informatique et des libertés [nationale commissie voor informatica en vrijheden; hierna: ‚CNIL’)] is een onafhankelijke administratieve autoriteit.
Zij is de nationale toezichthoudende autoriteit als bedoeld in en met het oog op de tenuitvoerlegging van de [AVG]. Zij is belast met de volgende taken:
[...]
2° Zij ziet erop toe dat de verwerking van persoonsgegevens wordt uitgevoerd overeenkomstig de bepalingen van de onderhavige wet en andere bepalingen met betrekking tot de bescherming van persoonsgegevens zoals vastgesteld in de wet‑ en regelgeving, het recht van de Europese Unie en de internationale verplichtingen van Frankrijk.
In die hoedanigheid:
[...]
d) behandelt zij klachten, verzoeken en bezwaren van betrokkenen, of van instanties, organisaties of verenigingen, onderzoekt zij de inhoud van de klacht in de mate waarin dat gepast is en stelt zij de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is;
[...]”
III. Feiten van het hoofdgeding, procedure bij het Hof en prejudiciële vragen
12. SNCF Connect is een onderneming die op haar website en via applicaties vervoerbewijzen voor de trein verkoopt zoals treinkaartjes, abonnementen en kortingskaarten. Bij de aankoop van die vervoerbewijzen zijn de klanten van die onderneming verplicht om hun aanspreektitel op te geven door het aankruisen van de vermelding „De heer” of „Mevrouw”.
13. Verzoekster in het hoofdgeding, de vereniging Mousse (hierna: „Mousse”), heeft bij de CNIL een klacht ingediend tegen SNCF Connect, omdat zij van mening was dat de voorwaarden waaronder de aanspreektitels van de klanten werden verzameld en vastgelegd bij de aankoop van vervoerbewijzen in strijd waren met de vereisten van de AVG. Ter onderbouwing van deze klacht heeft Mousse aangevoerd dat de verzameling van de betrokken gegevens in strijd was met het beginsel van rechtmatigheid, zoals neergelegd in artikel 5, lid 1, onder a), van die verordening, aangezien deze aan geen van de in artikel 6, lid 1, van die verordening vastgestelde voorwaarden voldeed. Bovendien is een dergelijke verzameling strijdig met de beginselen van minimale gegevensverwerking en van juistheid, die zijn neergelegd in respectievelijk artikel 5, lid 1, onder c) en d), van diezelfde verordening, alsmede met de transparantie ‑ en informatieverplichtingen die met name uit artikel 13 AVG voortvloeien. In dit verband heeft Mousse betoogd dat SNCF Connect die gegevens niet had mogen verzamelen of dat dit bedrijf zijn klanten in elk geval extra keuzemogelijkheden had moeten bieden, zoals „Neutraal” of „Andere”.
14. Bij besluit van 23 maart 2021 heeft de CNIL de behandeling van de bij haar ingediende klacht afgesloten op grond dat de aan SNCF Connect verweten feiten geen schending opleverden van de genoemde bepalingen van de AVG. De CNIL heeft vastgesteld dat de gegevensverwerking rechtmatig was op grond van artikel 6, lid 1, onder b), van die verordening, omdat deze noodzakelijk was voor de uitvoering van de overeenkomst tot levering van vervoersdiensten. Bovendien heeft de CNIL opgemerkt dat die verwerking, met het oog op de doelstellingen ervan, in overeenstemming was met het beginsel van minimale gegevensverwerking, aangezien het in burgerlijke, commerciële en administratieve communicatie met klanten gangbaar was om hun aanspreektitel te gebruiken.
15. Op 21 mei 2021 heeft Mousse bij de Conseil d’État (hoogste bestuursrechter, Frankrijk) beroep ingesteld tot nietigverklaring van het besluit van 23 maart 2021 van de CNIL. In haar verzoekschrift heeft Mousse met name aangevoerd dat de verplichting om bij onlineaankoop te kiezen voor de vermelding „De heer” of „Mevrouw” niet strookt met het beginsel van rechtmatigheid noch met het beginsel van minimale gegevensverwerking, zoals geformuleerd in respectievelijk artikel 5, lid 1, onder a) en c), AVG, aangezien die vermelding niet noodzakelijk is voor de uitvoering van de overeenkomst en evenmin voor de behartiging van de gerechtvaardigde belangen van SNCF Connect. Dat die vermelding in commerciële correspondentie gangbaar is, volstaat niet ter rechtvaardiging van de noodzaak om deze gegevens te verzamelen. Tot slot maakt die verplichting inbreuk op het recht om te reizen zonder zijn aanspreektitel kenbaar te maken, op het recht op eerbiediging van het privéleven alsmede op de vrijheid om zijn genderuitdrukking vrij te bepalen. Met name wat betreft de onderdanen van landen waarvan de burgerlijke stand „non-binair” erkent, komt die vermelding niet overeen met de werkelijkheid en kan deze dus strijdig zijn met het in artikel 5, lid 1, onder d), van die verordening neergelegde beginsel van juistheid, waarbij afbreuk wordt gedaan aan hun door het Unierecht gewaarborgde recht op vrij verkeer.
16. De CNIL vordert verwerping van dit beroep en betoogt dat de verwerking van de gegevens met betrekking tot de aanspreektitel ook kan worden aangemerkt als „noodzakelijk” voor de behartiging van de gerechtvaardigde belangen van SNCF Connect in de zin van artikel 6, lid 1, onder f), AVG en dat de betrokkenen – vanwege hun specifieke situatie – het door artikel 21 van die verordening gewaarborgde recht van bezwaar kunnen uitoefenen.
17. De verwijzende rechter vraagt zich ten eerste af of – bij de beoordeling of de verzamelde gegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is en of de verwerking ervan noodzakelijk is – rekening mag worden gehouden met de algemeen gangbare praktijken in burgerlijke, commerciële en administratieve communicatie, zodat de verzameling van gegevens met betrekking tot de aanspreektitel van klanten, die beperkt is tot de vermeldingen „De heer” of „Mevrouw”, kan worden aangemerkt als „rechtmatig en in overeenstemming” met het beginsel van minimale gegevensverwerking. Deze rechter wenst ten tweede te vernemen of – bij de beoordeling of de verplichte verzameling en de daaropvolgende verwerking van de gegevens met betrekking tot de aanspreektitel van de klanten noodzakelijk is – rekening moet worden gehouden met het feit dat sommige klanten, aangezien zij van mening zijn dat geen van beide aanspreektitels op hen van toepassing is, na dat gegeven aan de verwerkingsverantwoordelijke te hebben verstrekt teneinde van de aangeboden dienst gebruik te kunnen maken, hun recht kunnen uitoefenen om op grond van artikel 21 AVG vanwege hun specifieke situatie bezwaar te maken tegen het gebruik van die gegevens.
18. In deze omstandigheden heeft de Conseil d’État de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Mag er bij de beoordeling of de verzamelde gegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is in de zin van artikel 5, lid 1, onder c), AVG en of de verwerking ervan noodzakelijk is in de zin van artikel 6, lid 1, onder b) en f), AVG, rekening worden gehouden met algemeen gangbare praktijken in burgerlijke, commerciële en administratieve communicatie, zodat de verzameling van gegevens met betrekking tot de aanspreektitels van klanten, die beperkt blijft tot de vermeldingen „De heer” of „Mevrouw”, als noodzakelijk kan worden beschouwd, en het beginsel van minimale gegevensverwerking daaraan niet in de weg staat?
2) Dient er bij de beoordeling of de verplichte verzameling en verwerking van gegevens met betrekking tot de aanspreektitels van klanten noodzakelijk is, rekening mee te worden gehouden dat sommige klanten, aangezien zij van mening zijn dat geen van die beide aanspreektitels op hen van toepassing is en dat het verzamelen van dat gegeven in hun geval niet ter zake dienend is, na dat gegeven aan de verwerkingsverantwoordelijke te hebben verstrekt teneinde van de aangeboden dienst gebruik te kunnen maken, hun recht kunnen uitoefenen om op grond van artikel 21 AVG vanwege hun specifieke situatie bezwaar te maken tegen het gebruik en de bewaring ervan?”
19. Mousse, SNCF Connect, de Franse regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend. Diezelfde partijen hebben deelgenomen aan de terechtzitting van 29 april 2024.
IV. Analyse
A. Eerste prejudiciële vraag
20. Met zijn eerste prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 1, onder c), en artikel 6, lid 1, onder b) en f), AVG aldus moeten worden uitgelegd dat de verwerking van persoonsgegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf noodzakelijk moet worden geacht voor de uitvoering van een overeenkomst of om vóór de sluiting van een overeenkomst maatregelen te nemen dan wel voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer deze verwerking tot doel heeft om gepersonaliseerde commerciële communicatie mogelijk te maken en daarbij de inachtneming van algemeen gangbare praktijken in commerciële communicatie wordt gewaarborgd.
21. In dit verband wil ik om te beginnen twee inleidende opmerkingen maken.
22. Ten eerste merk ik op dat partijen het met elkaar eens zijn en dat het geen twijfel lijdt dat de gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf persoonsgegevens vormen in de zin van artikel 4, punt 1, AVG en voorts dat het verzamelen en vastleggen ervan door SNCF Connect moet worden beschouwd als een verwerking in de zin van artikel 4, punt 2, van die verordening, zodat deze handelingen moeten worden onderzocht in het licht van de bepalingen van die verordening.
23. Ten tweede betogen SNCF Connect en de Franse regering dat een ontkennend antwoord op de eerste prejudiciële vraag ertoe zou leiden dat de AVG wordt toegepast in een context die haar vreemd is, aangezien de wetgever met de vaststelling van deze verordening niet de bedoeling heeft gehad om de praktijken op het gebied van communicatie of de genderkwestie te regelen. Hoewel ik het zonder meer eens ben met advocaat-generaal Bobek dat de wetgeving inzake gegevensbescherming soms wordt „toegepast in nogal verrassende omstandigheden”(4), valt de onderhavige situatie daar mijns inziens niet onder. Dat het gaat om gegevens over de burgerlijke identiteit en dat daarmee de aandacht wordt gevestigd op de discussies die thans in de nationale rechtsorden bestaan over de kwestie van de binaire gendercategorieën, mag niet het feit verhullen dat in casu duidelijk sprake is van een automatische verwerking van persoonsgegevens van klanten door een vervoersbedrijf, die niet alleen objectief gezien binnen de werkingssfeer van de AVG valt, maar ook een gegevensverwerking is die de Uniewetgever beoogde te regelen.(5)
24. Ik zal mijn analyse van de eerste prejudiciële vraag beginnen met algemene opmerkingen over de voorwaarde inzake de rechtmatigheid van de gegevensverwerking, die op grond van de AVG geldt voor de verwerkingsverantwoordelijken. Daarna zal ik in het licht van de uiteengezette beginselen nagaan of aan deze voorwaarde is voldaan wat betreft de verwerking van gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf die tot doel heeft om met die klanten te kunnen communiceren en waarbij een beroep wordt gedaan op algemeen gangbare praktijken in commerciële communicatie.
1. Rechtmatigheid van de verwerking van persoonsgegevens
25. Artikel 5 AVG formuleert een aantal beginselen die van toepassing zijn op de verwerking van persoonsgegevens. In het bijzonder wordt hierin bepaald dat dergelijke gegevens „worden verwerkt op een wijze die [...] rechtmatig [...] is”(6) en „toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt”(7). Met andere woorden, elke gegevensverwerking moet met name voldoen aan het beginsel van rechtmatigheid en aan het beginsel van minimale gegevensverwerking.
26. Artikel 6 AVG preciseert de draagwijdte van het beginsel van rechtmatigheid van de gegevensverwerking. Voor zover artikel 6, lid 1, van die verordening een beperking inhoudt van het recht op bescherming van persoonsgegevens(8), voldoet het aan de voorwaarden van artikel 52, lid 1, van het Handvest: de betrokken beperking is bij wet gesteld en eerbiedigt de wezenlijke inhoud van dat recht. Bovendien is deze beperking noodzakelijk en beantwoordt zij aan een door de Unie erkende doelstelling van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen(9)
27. Ook heeft de wetgever zes gronden vastgesteld waarop gegevensverwerking rechtmatig is. Deze vormen een uitwerking van de doelstellingen van algemeen belang en de te beschermen rechten en vrijheden die een beperking van het recht op bescherming van persoonsgegevens kunnen rechtvaardigen. Artikel 6, lid 1, AVG bevat aldus „een uitputtende en limitatieve lijst van gevallen waarin de verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn”.(10)
28. In artikel 6, lid 1, AVG is geen sprake van een strikte hiërarchie(11) tussen de gronden waarop gegevensverwerking als rechtmatig moet worden beschouwd. Derhalve heeft het Hof in zijn rechtspraak de verhouding tussen die gronden vastgesteld.
29. In de eerste plaats heeft het Hof in herinnering gebracht dat volgens artikel 6, lid 1, onder a), AVG „de verwerking van persoonsgegevens alleen rechtmatig [is] indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden”. Het Hof heeft daaraan toegevoegd dat „[b]ij gebreke van een dergelijke toestemming [...] de verwerking niettemin gerechtvaardigd [is] wanneer is voldaan aan een van de in artikel 6, lid 1, [...] onder b) tot en met f), van deze verordening genoemde voorwaarden waarbij er sprake is van noodzakelijkheid”.(12) Bovendien heeft het Hof geoordeeld dat „de [betrokken] rechtvaardigingsgronden restrictief [moeten] worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven”.(13) De in artikel 6, lid 1, AVG genoemde gronden voor verwerking van persoonsgegevens zijn dus gelijkwaardig en geen enkele moet worden beschouwd als ondergeschikt aan een andere.
30. In de tweede plaats heeft het Hof aangegeven dat de rechtvaardigingsgronden van artikel 6, lid 1, AVG niet cumulatief zijn. Zo heeft het Hof verklaard dat „wanneer kan worden vastgesteld dat een verwerking van persoonsgegevens noodzakelijk is in het licht van een van de rechtvaardigingsgronden van artikel 6, lid 1, [...] onder b) tot en met f), AVG, niet [hoeft] te worden nagegaan of die verwerking ook onder een andere van die rechtvaardigingsgronden valt”.(14) Met andere woorden, zoals ik al eerder heb opgemerkt(15), de verwerking van persoonsgegevens is rechtmatig wanneer die wordt gerechtvaardigd door een enkele grond, zonder dat een rechtvaardigingsgrond kan worden beschouwd als ondergeschikt aan een andere.
31. Het in artikel 6, lid 1, AVG uitgewerkte beginsel van rechtmatigheid kan echter niet als zodanig worden onderzocht. Zo is het vaste rechtspraak van het Hof dat deze voorwaarde „moet worden onderzocht in samenhang met het zogenoemde beginsel van ,minimale gegevensverwerking’ van artikel 5, lid 1, onder c), [van die verordening]”.(16) Dit beginsel geeft, volgens de rechtspraak van het Hof en zoals ik al eerder heb aangegeven(17), uitdrukking aan het evenredigheidsbeginsel(18) dat vereist – zoals de Franse regering betoogt in haar schriftelijke opmerkingen – dat de gebruikte middelen passend zijn om de nagestreefde doelstelling te bereiken en niet verder gaan dan daarvoor noodzakelijk is(19).
32. Met andere woorden, het beginsel van minimale gegevensverwerking veronderstelt dat wordt nagegaan of de verwerkte gegevens passend zijn om het doel te bereiken dat met de verwerking ervan wordt beoogd – volgens de in artikel 6, lid 1, AVG genoemde gronden – en dat de verwerkte gegevens alleen passend zijn wanneer het doel van de verwerking niet redelijkerwijs kan worden bereikt met andere middelen. De aldus verwerkte gegevens zijn, zowel kwalitatief als inhoudelijk gezien, niet uitgebreider dan noodzakelijk is om dit doel te verwezenlijken.(20)
33. In dit verband wil ik een aanvullende opmerking maken. Het Hof heeft het beginsel van minimale gegevensverwerking alleen in samenhang met het beginsel van rechtmatigheid van de verwerking uitgelegd in situaties waarin de betrokken verwerking gebaseerd was op een van de gronden van artikel 6, lid 1, onder b) tot en met f), AVG. Anders gezegd, het Hof heeft niet duidelijk aangegeven of het beginsel van minimale gegevensverwerking ook moet worden toegepast wanneer de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. Gesteld zou kunnen worden dat, in geval van toestemming van de betrokkene, de verwerkingsverantwoordelijke alle gegevens mag verwerken zonder dat het beginsel van minimale gegevensverwerking zich daartegen verzet.
34. Een dergelijke uitlegging lijkt mij echter niet verenigbaar met de doelstelling van de AVG om natuurlijke personen een hoog beschermingsniveau te garanderen in verband met de verwerking van hun persoonsgegevens, en evenmin met de tekst van de betrokken bepalingen.
35. Ik merk op dat artikel 6, lid 1, onder a), AVG bepaalt dat de verwerking rechtmatig is indien de betrokkene „toestemming [heeft] gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden”.(21) In dit verband wijs ik erop dat onder toestemming „elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting” moet worden verstaan.(22) Met andere woorden, er kan geen sprake zijn van een algemene toestemming voor de verwerking van alle gegevens. Bovendien moet het doel van de gegevensverwerking waarvoor toestemming is gegeven aan de betrokkene zijn medegedeeld. Artikel 5, lid 1, onder c), van die verordening bepaalt dat de verwerkte gegevens „toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt”.(23) In die omstandigheden is het beginsel van minimale gegevensverwerking mijns inziens van toepassing zelfs indien de verwerking van die gegevens heeft plaatsgevonden met toestemming van de betrokkene, en moet derhalve worden nagegaan of de betrokken gegevens inderdaad beperkt zijn tot wat noodzakelijk is om het specifieke doel van de verwerking te bereiken.
36. Tegen de achtergrond van deze overwegingen moet de door SNCF Connect verrichte verwerking van gegevens met betrekking tot de aanspreektitel van haar klanten worden onderzocht in het licht van artikel 6, lid 1, onder b) en f), AVG, waarbij moet worden opgemerkt dat de verwijzende rechter uitsluitend verwijst naar deze twee doeleinden van de verwerking.
2. Artikel 6, lid 1, onder b), AVG: de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen
37. Artikel 6, lid 1, onder b), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien deze „noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”.
38. Het Hof heeft in het arrest Meta Platforms e.a. de strekking van deze bepaling verduidelijkt. Zo heeft het Hof geoordeeld dat „[o]m als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, [...] de verwerking van persoonsgegevens objectief onontbeerlijk [moet] zijn om een doel te bereiken dat een integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt”.(24)
39. Partijen zijn het erover eens dat het hoofddoel van de overeenkomst erin bestaat om vervoerbewijzen te verstrekken en in fine om klanten per spoor te vervoeren. Er dient dus te worden nagegaan of de gegevens met betrekking tot de aanspreektitel van de klant worden verwerkt om een doel te bereiken dat een integrerend deel uitmaakt van de vervoersdienst en voorts of die verwerking daarvoor objectief onontbeerlijk is.
a) Vaststelling van het doel van de verwerking
40. SNCF Connect en de Franse regering voeren aan dat de uitvoering van de vervoersovereenkomst veronderstelt dat met de klant wordt gecommuniceerd, zowel bij de reservering als tijdens en na de betrokken reis, en met zich meebrengt dat de aanspreektitel van die klant bekend is zodat met de klant op gepersonaliseerde wijze kan worden gecommuniceerd volgens de algemeen gangbare praktijken in commerciële communicatie.
41. SNCF Connect voegt hieraan toe dat het voor de uitvoering van de vervoersovereenkomst van belang is om het geslacht van de betrokkene te kennen om de prestatie in specifieke gevallen te kunnen aanpassen, zoals de bijstand aan personen met een beperkte mobiliteit of de toegang tot voor vrouwen gereserveerde wagons in de nachttrein. In dit verband merk ik op dat deze doelstelling strikt genomen geen deel uitmaakt van de eerste prejudiciële vraag zoals geformuleerd door de verwijzende rechter, waarin uitdrukkelijk wordt verwezen naar het gebruik van algemeen gangbare praktijken op het gebied van commerciële communicatie. Voor zover de verwijzende rechter het Hof echter in meer algemene zin bevraagt over het verzamelen van gegevens met betrekking tot aanspreektitels in het licht van de beginselen van minimale gegevensverwerking en van rechtmatigheid van de verwerking, zal ik dit argument toch onderzoeken.
42. Wat het doel van de communicatie met de klant betreft, ben ik van mening dat dit moet worden beschouwd als een integrerend deel van de vervoersovereenkomst. Een dergelijke overeenkomst veronderstelt immers dat een vervoerbewijs wordt verstrekt en dat dus contact met de klant wordt opgenomen om hem dit bewijs te doen toekomen. De noodzaak om met de klant te communiceren blijft mijns inziens ook bestaan tijdens het vervoer zelf, teneinde de klant met name te informeren over voorvallen die van invloed zijn op zijn reis, en na afloop van de reis, in het bijzonder wanneer contact wordt opgenomen met de klantenservice over die reis.
43. In dit verband dien ik erop te wijzen dat het argument van de Franse regering, dat het doel van de verwerking niet alleen de communicatie met de klant is maar meer in het bijzonder de communicatie met de klant volgens de praktijken in commerciële communicatie, moet worden afgewezen. Ten eerste maakt een aldus omschreven doel mijns inziens geen integrerend deel uit van de vervoersdienst: uit niets blijkt dat die dienst niet kan worden uitgevoerd wanneer communicatie volgens de algemeen gangbare praktijken in commerciële communicatie ontbreekt. Ten tweede bevat dit argument een cirkelredenering. Het aldus omschreven doel van de gegevensverwerking – communiceren volgens de algemeen gangbare praktijken in commerciële communicatie – valt immers samen met de middelen die worden gebruikt om dit doel te bereiken – het gebruik van algemeen gangbare praktijken in commerciële communicatie.
44. Wat betreft de door SNCF Connect genoemde aanpassing van de vervoersdienst in specifieke gevallen, kan volgens mij ook moeilijk worden betwist dat deze een integrerend deel uitmaakt van die prestatie, aangezien die aanpassing juist bedoeld is om de uitvoering ervan te garanderen.
45. Hoewel de doelstellingen van de betrokken verwerking naar mijn mening wel degelijk inherent zijn aan een vervoersdienst en kunnen worden erkend op grond van artikel 6, lid 1, onder b), AVG, is het echter ook nodig dat de verwerking van persoonsgegevens onontbeerlijk is voor de verwezenlijking van de genoemde doelstelling, zodat het hoofddoel van de overeenkomst niet kan worden bereikt zonder die verwerking en er geen andere uitvoerbare en minder ingrijpende oplossingen bestaan om hetzelfde doel te bereiken.
46. Ik ben van mening dat de verwerking van gegevens met betrekking tot de aanspreektitel verder gaat dan noodzakelijk is voor de correcte uitvoering van de overeenkomst.
b) Noodzaak van de verwerking om de vastgestelde doelen te bereiken
47. Wat in de eerste plaats het doel bestaande in communicatie betreft, hangt de correcte uitvoering van de vervoersovereenkomst niet af van het gebruik van de aanspreektitel in de communicatie van het vervoersbedrijf met zijn klanten, ook al wil de verwerkingsverantwoordelijke op gepersonaliseerde wijze met zijn klanten communiceren. Een vervoersbedrijf kan immers gemakkelijk gepersonaliseerd communiceren met zijn klanten zonder gebruik te maken van hun aanspreektitel.
48. Bovendien heeft SNCF Connect ter terechtzitting weliswaar gewezen op de noodzaak om een imago in stand te houden door het gebruik van algemeen gangbare formuleringen in commerciële communicatie, maar dit resultaat kan net zo goed worden bereikt met andere formuleringen die van respect jegens de klant getuigen en die niet afhangen van de aanspreektitel.
49. Dit geldt des te meer omdat, zoals Mousse betoogt en onder voorbehoud van verificatie door de verwijzende rechter, SNCF Connect in de praktijk niet systematisch gebruikmaakt van de algemeen gangbare praktijken op het gebied van commerciële communicatie waarvoor het nodig is om de aanspreektitel van de klanten te kennen, maar ook andere meer algemene formuleringen gebruikt, zoals „Bedankt, goede reis” of „Goedemorgen”. Het feit dat de aanspreektitel van klanten niet systematisch wordt gebruikt in de communicatie van SNCF Connect maakt volgens mij duidelijk dat niet alleen de noodzaak van de verwerking van die gegevens voor de uitvoering van de betrokken overeenkomst ontbreekt, maar ook dat, in het licht van het beginsel van minimale gegevensverwerking, de gegevensverwerking verder gaat dan noodzakelijk is.
50. In het verlengde daarvan merk ik op dat SNCF Connect, waaraan ter terechtzitting vragen ter zake werden gesteld, het ermee eens is dat het bewust mededelen van een andere aanspreektitel dan de daadwerkelijke aanspreektitel van de betrokkene in wezen geen invloed heeft op de vervoersdienst. In deze omstandigheden moet worden vastgesteld dat het hoofddoel van de overeenkomst nog steeds kan worden bereikt zonder de verwerking van de betrokken gegevens.
51. Wat in de tweede plaats het doel bestaande in de aanpassing van de vervoersdienst betreft, ben ik ook hier van mening dat de verwerking van de gegevens met betrekking tot de aanspreektitel verder gaat dan noodzakelijk is om die dienst te kunnen verrichten. Ten eerste zijn de persoonsgegevens die relevant zijn voor een dergelijke aanpassing volgens mij niet de gegevens met betrekking tot de aanspreektitel die, volgens de Franse regering, geen deel uitmaken van de burgerlijke staat van personen, maar de gegevens met betrekking tot het geslacht van de klanten, zoals dat in de burgerlijke staat van personen is opgenomen. Ten tweede kan dit doel worden bereikt door die gegevens niet voor alle bestellingen van vervoerbewijzen te verzamelen en te verwerken, maar alleen voor de specifieke gevallen waarin dat nodig is, zoals de bestelling van een vervoerbewijs om te reizen in een voor vrouwen gereserveerde wagon in de nachttrein of een verzoek om bijstand voor een persoon met beperkte mobiliteit.
52. In die omstandigheden ben ik van mening de artikel 6, lid 1, onder b), AVG, en artikel 5, lid 1, onder c), ervan aldus moeten worden uitgelegd dat de systematische verwerking van gegevens met betrekking tot de aanspreektitel niet kan worden beschouwd als noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen, wanneer deze verwerking tot doel heeft om gepersonaliseerde commerciële communicatie mogelijk te maken waarbij de inachtneming van algemeen gangbare praktijken in commerciële communicatie wordt gewaarborgd, of om een vervoersdienst aan te passen vanwege het geslacht van de betrokkene.
3. Artikel 6, lid 1, onder f), AVG: de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde
53. Artikel 6, lid 1, onder f), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien die „noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”.
54. Volgens vaste rechtspraak van het Hof worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerking van persoonsgegevens rechtmatig is. Ten eerste moet de verwerkingsverantwoordelijke of een derde een gerechtvaardigd belang nastreven. Ten tweede is de verwerking van persoonsgegevens noodzakelijk voor de behartiging van het gerechtvaardigde belang. Ten derde wegen de belangen of de grondrechten en fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.(25)
55. Wat de eerste voorwaarde betreft, die ziet op de behartiging van een gerechtvaardigd belang, heeft het Hof er in het arrest Meta Platforms e.a. op gewezen dat „het volgens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6, lid 1, [...] onder f), van deze verordening, de betrokken persoon op het moment waarop persoonsgegevens bij hem worden verzameld, mee te delen welke gerechtvaardigde belangen worden nagestreefd”.(26) Het Hof heeft in ditzelfde arrest geoordeeld dat laatstgenoemde bepaling aldus moet worden uitgelegd dat een verwerking van persoonsgegevens „slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd”.(27)
56. Met andere woorden, de sanctie voor de niet-nakoming van de informatieplicht van artikel 13, lid 1, onder d), AVG is de onrechtmatigheid van de betrokken verwerking van persoonsgegevens.
57. Zoals de Commissie aanvoert, en onder voorbehoud van verificatie door de verwijzende rechter, lijkt het mij dat SNCF Connect deze verplichting niet is nagekomen.
58. Zoals de Commissie benadrukt, noemt SNCF Connect in haar „privacyverklaring”, die beschikbaar is op haar website, „het gerechtvaardigde belang” als rechtsgrondslag voor de verwerking van de gegevens met betrekking tot de aanspreektitel. Ik wil in dit verband twee opmerkingen formuleren. Ten eerste kan met de enkele vermelding van „het gerechtvaardigde belang”, zonder dat wordt uitgelegd wat dit gerechtvaardigde belang precies inhoudt, niet worden voldaan aan de informatieplicht van artikel 13, lid 1, onder d), AVG, die vereist dat de verwerkingsverantwoordelijke aangeeft welk gerechtvaardigd belang wordt nagestreefd. Ten tweede, en in elk geval, is de algemene vermelding van een gerechtvaardigd belang in een „privacyverklaring”, die weliswaar beschikbaar is op de website van de verwerkingsverantwoordelijke maar die de klant zelf moet opzoeken, evenmin in overeenstemming met artikel 13, lid 1, onder d), van die verordening. Deze bepaling verplicht immers om de betrokkene te informeren over het nagestreefde gerechtvaardigde belang bij de verkrijging van de persoonsgegevens, hetgeen naar mijn mening veronderstelt dat die informatie direct aan de klant wordt medegedeeld wanneer deze de hem betreffende gegevens verstrekt.
59. Bovendien was SNCF Connect, toen haar ter terechtzitting vragen werden gesteld over de informatieplicht, niet in staat om aan te geven dat het met de verwerking nagestreefde gerechtvaardigde belang daadwerkelijk aan haar klanten wordt medegedeeld op het moment waarop de gegevens met betrekking tot de aanspreektitel worden verzameld.
60. Bijgevolg is niet voldaan aan de eerste voorwaarde van artikel 6, lid 1, onder f), AVG, die ziet op het bestaan van een gerechtvaardigd belang, zoals uitgelegd in het licht van de verplichting om dit belang mede te delen overeenkomstig artikel 13, lid 1, onder d), van die verordening. Derhalve kan de verwerking van gegevens met betrekking tot de aanspreektitel in een dergelijke situatie niet worden beschouwd als rechtmatig in de zin van die bepaling, zonder dat hoeft te worden onderzocht of aan de twee andere voorwaarden van artikel 6, lid 1, onder f), AVG is voldaan.
a) Conclusie over de uitlegging van artikel 6, lid 1, onder f), AVG
61. Uit het voorgaande volgt mijns inziens dat artikel 6, lid 1, onder f), AVG, en artikel 5, lid 1, onder c), ervan aldus moeten worden uitgelegd dat de verwerking van gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf niet noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van die bepaling, voor zover deze onderneming de gebruikers bij wie de gegevens werden verzameld niet heeft medegedeeld welk gerechtvaardigd belang met de verwerking ervan werd nagestreefd.
b) Aanvullende opmerkingen
62. Volledigheidshalve, voor het geval het Hof tot de slotsom komt dat het betrokken gerechtvaardigde belang wel overeenkomstig artikel 13, lid 1, onder d), AVG is medegedeeld, zal ik toch doorgaan met het onderzoek van de voorwaarden waaraan moet worden voldaan opdat een verwerking van persoonsgegevens als rechtmatig wordt beschouwd op grond van artikel 6, lid 1, onder f), van die verordening.
63. Wat in de eerste plaats de voorwaarde inzake het bestaan van een gerechtvaardigd belang betreft, betogen SNCF Connect en de Franse regering dat het nagestreefde gerechtvaardigde belang de communicatie met de klant is.
64. Ik merk op dat het Hof met betrekking tot het begrip „gerechtvaardigd belang” heeft geoordeeld dat „er bij gebreke van een definitie van dit begrip in de AVG op [moet] worden gewezen [...] dat een breed scala aan belangen in beginsel als gerechtvaardigd kan worden beschouwd”.(28)
65. In dit verband breng ik in herinnering dat SNCF Connect een onderneming is die onlinevervoerbewijzen voor de trein verkoopt. Zoals ik reeds heb opgemerkt(29), veronderstelt deze dienst dat contact wordt opgenomen met de klant, in elk geval om hem zijn vervoerbewijs te doen toekomen. Derhalve ben ik van mening dat de doelstelling om met de klant te communiceren voor deze onderneming een gerechtvaardigd belang kan vormen in de zin van artikel 6, lid 1, onder f), AVG, zodat aan de eerste voorwaarde, wat het bestaan van een dergelijk gerechtvaardigd belang betreft, mijns inziens is voldaan.
66. Wat in de tweede plaats de voorwaarde inzake de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang betreft, hieraan is volgens mij niet voldaan. Zoals ik heb aangetoond in het kader van mijn analyse van artikel 6, lid 1, onder b), AVG, gaat de verwerking van de gegevens met betrekking tot de aanspreektitel verder dan noodzakelijk is om de doelstelling van communicatie met de klant te kunnen bereiken, aangezien die communicatie mogelijk is zonder gebruik te maken van die gegevens.(30)
67. Wat in de derde en laatste plaats de voorwaarde betreft dat de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, wijs ik erop dat het Hof heeft geoordeeld dat „deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter staat om bij deze afweging rekening te houden met die specifieke omstandigheden”.(31) Ik zal echter nog een paar opmerkingen maken die de verwijzende rechter van nut kunnen zijn bij deze beoordeling.
68. Zo heeft het Hof geoordeeld dat „[i]n het kader van deze afweging van de tegengestelde rechten en belangen in kwestie – namelijk die van de verwerkingsverantwoordelijke enerzijds en die van de betrokkene anderzijds – [...] met name rekening [moet] worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de verwerking en de gevolgen ervan voor die persoon”.(32)
69. Bovendien blijkt uit overweging 47 AVG dat „een zorgvuldige beoordeling geboden [is] om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”.
70. In dit verband ontgaat het mij in hoeverre de klant van een vervoersbedrijf redelijkerwijs kon verwachten dat zijn gegevens met betrekking tot de aanspreektitel door dit bedrijf zouden worden verwerkt teneinde te communiceren in het kader van de aankoop van een vervoerbewijs.
71. Hoe dan ook is volgens mij het enkele bestaan van redelijke verwachtingen onvoldoende om ervoor te zorgen dat het gerechtvaardigde belang van de verwerkingsverantwoordelijke zwaarder weegt dan de belangen of de grondrechten en fundamentele vrijheden van de betrokkene. Hoewel een dergelijk element zeker relevant is in het kader van de te maken afweging, kan het er echter niet stelselmatig toe leiden dat het gerechtvaardigde belang van de verwerkingsverantwoordelijke zwaarder weegt, in het bijzonder wanneer de verwerking van de betrokken persoonsgegevens inbreuk kan maken op een grondrecht of een fundamentele vrijheid van de betrokkene, zoals gewaarborgd door het Handvest.
72. Zoals Mousse betoogt, lijkt dit mij in casu het geval. Deze vereniging voert namelijk aan dat er een risico bestaat op discriminatie op grond van geslacht vanwege de verwerking van de gegevens met betrekking tot de aanspreektitel, in het bijzonder ten aanzien van transgenders of personen met de nationaliteit van een land dat non-binariteit erkent.
73. In deze omstandigheden, en onder voorbehoud van de verificaties door de verwijzende rechter, ben ik van mening dat het gerechtvaardigde belang bestaande in communicatie met de klant niet zwaarder weegt dan de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene.
B. Tweede prejudiciële vraag
74. Met zijn tweede prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, onder f), AVG aldus moet worden uitgelegd dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening moet worden gehouden met het feit dat de betrokkene een recht van bezwaar kan uitoefenen krachtens artikel 21, lid 1, van die verordening.
75. Artikel 21, lid 1, AVG bepaalt dat de betrokkene te allen tijde het recht heeft om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van die verordening, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.
76. Volgens vaste rechtspraak dient bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening te worden gehouden met de bewoordingen ervan, maar eveneens met de context ervan en met de doeleinden die worden nagestreefd met de regeling waarvan zij deel uitmaakt.(33)
77. Wat de bewoordingen van artikel 21, lid 1, AVG betreft, merk ik op dat de Uniewetgever aangeeft dat het recht van bezwaar betrekking heeft op de verwerking van persoonsgegevens op basis van met name artikel 6, lid 1, onder f), van die verordening. Met andere woorden, zoals Mousse en de Commissie betogen, veronderstelt het recht van bezwaar dat er sprake is van een rechtmatige verwerking op basis van met name het gerechtvaardigde belang van de verwerkingsverantwoordelijke. Dit recht kan dus pas worden uitgeoefend nadat een rechtmatige verwerking heeft plaatsgevonden teneinde die te doen beëindigen.
78. Dit wordt volgens mij bevestigd door het tweede deel van artikel 21, lid 1, AVG, dat bepaalt dat ingeval de betrokkene bezwaar maakt op grond van die bepaling, de verwerkingsverantwoordelijke de verwerking van de betrokken gegevens staakt.(34) Een dergelijke formulering impliceert mijns inziens duidelijk dat de verwerking van de betrokken gegevens rechtmatig is overeenkomstig de voorwaarden van artikel 6, lid 1, onder f), AVG, maar dat die gegevens niet meer mogen worden verwerkt nadat bezwaar is gemaakt.
79. Anders gezegd, artikel 21, lid 1, AVG kan pas een rol spelen nadat de rechtmatigheid van de verwerking is vastgesteld.
80. Uit de bewoordingen van artikel 21, lid 1, AVG volgt dus dat het bestaan van een recht van bezwaar geenszins relevant is voor de beoordeling van de noodzaak van een dergelijke verwerking in de zin van artikel 6, lid 1, onder f), van die verordening, aangezien de toepassing van artikel 21, lid 1, AVG veronderstelt dat reeds aan de voorwaarden van artikel 6, lid 1, onder f), van die verordening is voldaan.
81. Een dergelijke letterlijke uitlegging van artikel 21, lid 1, AVG wordt bovendien bevestigd bij onderzoek van die bepaling in het licht van de context en de doelstellingen van die verordening.
82. Wat de contextuele uitlegging van die bepaling betreft, merk ik op dat de rechtvaardigingsgronden voor de verwerking van persoonsgegevens worden vermeld in artikel 6 AVG, dat betrekking heeft op het beginsel van rechtmatigheid en deel uitmaakt van hoofdstuk II van die verordening, betreffende de beginselen inzake verwerking van persoonsgegevens. Artikel 21 van die verordening daarentegen valt onder hoofdstuk III, dat de rechten van de betrokkene betreft. Bovendien, zoals ik reeds heb opgemerkt, is de opsomming van rechtvaardigingsgronden in artikel 6 van deze verordening volgens vaste rechtspraak uitputtend.(35) In die omstandigheden vervullen de twee betrokken bepalingen twee verschillende functies en kan niet worden geoordeeld dat artikel 21 AVG in aanmerking kan worden genomen bij het onderzoek van de rechtmatigheid van de verwerking, die uitsluitend wordt geregeld in artikel 6 van die verordening.
83. Wat de teleologische uitlegging van artikel 6, lid 1, onder f), en van artikel 21 AVG betreft, zou het in aanmerking nemen van het bestaan van een recht van bezwaar bij de beoordeling van de rechtmatigheid van een gegevensverwerking op grond van artikel 6 van die verordening, erop neerkomen dat wordt erkend dat een gegevensverwerking rechtmatig is om de enkele reden dat de betrokkene later bezwaar kan maken tegen die verwerking. Dit zou er dus toe leiden dat de rechtvaardigingsgronden voor de rechtmatigheid van verwerkingen worden uitgebreid tot andere dan de in artikel 6 van die verordening genoemde gevallen en dat het niveau van bescherming van de betrokkenen afhangt van hun voortvarendheid om bezwaar te maken tegen de verwerking van hun persoonsgegevens, omdat die verwerking anders kan worden aangemerkt als rechtmatig. Mijns inziens kan een dergelijke uitlegging derhalve afbreuk doen aan de doelstelling om natuurlijke personen een hoog beschermingsniveau te garanderen in verband met de verwerking van hun persoonsgegevens.
84. Bijgevolg ben ik van mening dat op de tweede prejudiciële vraag moet worden geantwoord dat artikel 6, lid 1, onder f), AVG aldus moet worden uitgelegd dat het zich ertegen verzet dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening wordt gehouden met het feit dat de betrokkene een recht van bezwaar kan uitoefenen krachtens artikel 21, lid 1, van die verordening.
V. Conclusie
85. Gelet op een en ander geef ik het Hof in overweging om de prejudiciële vragen van de Conseil d’État te beantwoorden als volgt:
„Artikel 6, lid 1, onder b), en artikel 5, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moeten aldus worden uitgelegd dat
de systematische verwerking van gegevens met betrekking tot de aanspreektitel niet kan worden beschouwd als noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen, wanneer deze verwerking tot doel heeft om gepersonaliseerde commerciële communicatie mogelijk te maken waarbij de inachtneming van algemeen gangbare praktijken in commerciële communicatie wordt gewaarborgd, of om een vervoersdienst aan te passen vanwege het geslacht van de betrokkene.
Artikel 6, lid 1, onder f), en artikel 5, lid 1, onder c), van verordening 2016/679
moeten aldus worden uitgelegd dat
de verwerking van gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf niet noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van die bepaling, voor zover deze onderneming de gebruikers bij wie de gegevens werden verzameld niet heeft medegedeeld welk gerechtvaardigd belang met de verwerking ervan werd nagestreefd.
Artikel 6, lid 1, onder f), van verordening 2016/679
moet aldus worden uitgelegd dat
het zich ertegen verzet dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening wordt gehouden met het feit dat de betrokkene een recht van bezwaar kan uitoefenen krachtens artikel 21, lid 1, van die verordening.”