Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
M. SZPUNAR
представено на 11 юли 2024 година(1)
Дело C‑394/23
Association Mousse
срещу
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect
(Преюдициално запитване, отправено от Conseil d’État (Държавен съвет, Франция)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 6, параграф 1 — Принцип за законосъобразност на обработването — Член 5, параграф 1, буква в) — Принцип на свеждане на данните до минимум —Обръщение — Онлайн закупуване на транспортна услуга — Член 21 — Право на възражение“
I. Въведение
1. Целта на Регламент (ЕС) 2016/679(2) (наричан по-нататък „ОРЗД“) е да се гарантира високо ниво на защита на физическите лица във връзка с обработването на техните лични данни. За тази цел той изисква администраторите да спазват редица принципи, когато обработват лични данни, сред които т.нар. принцип на „свеждане на данните до минимум“ и принципа за законосъобразност на обработването.
2. Тези два принципа са в основата на настоящото дело, което се отнася до спор между сдружение и национален надзорен орган, във връзка с обработването на данни за формата на обръщение на клиентите, извършвано от транспортно предприятие с изтъкната цел тези данни да бъдат използвани в търговската му комуникация, и така предоставя на Съда възможност да уточни обхвата на тези принципи.
II. Правна уредба
А. Правото на Съюза
3. Съображения 4, 10, 39, 40, 44, 47, 69 и 75 от ОРЗД гласят:
„(4) Обработването на лични данни следва да е предназначено да служи на човечеството. Правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност. Настоящият регламент е съобразен с всички основни права и в него се спазват свободите и принципите, признати от [Хартата на основните права на Европейския съюз, наричана по-нататък „Хартата“], както са залегнали в Договорите, и по-специално зачитането на личния и семейния живот, дома и комуникациите, защитата на личните данни, свободата на мисълта, съвестта и религията, свободата на изразяване на мнение и свободата на информацията, свободата на стопанската инициатива, правото на ефективни правни средства за защита и на справедлив съдебен процес, както и културното, религиозното и езиковото многообразие.
[…]
(10) За да се гарантира последователно и високо ниво на защита на физическите лица, както и за да се премахнат препятствията пред движението на лични данни в Съюза, нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни следва да бъде равностойно във всички държави членки. Следва да се гарантира последователно и еднородно прилагане в рамките на Съюза на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни. […]
[…]
(39) […] Личните данни следва да са адекватни, релевантни и ограничени до необходимото за целите, за които се обработват. […] Личните данни следва да се обработват единствено ако целта на обработването не може разумно да бъде постигната с други средства. […]
(40) За да бъде обработването законосъобразно, личните данни следва да бъдат обработвани въз основа на съгласието на съответния субект на данни или на друго легитимно основание, установено по законодателен път в настоящия регламент или в друг правен акт на Съюза или на държава членка, както е посочено в настоящия регламент, включващо […] необходимостта от изпълнение на договор, по който субектът на данни е страна или с оглед предприемане на стъпки по искане на субекта на данни преди встъпване в договорни отношения.
[…]
(44) Обработването на данни следва да е законосъобразно, когато то е необходимо в контекста на договор или при намерение за сключване на договор.
[…]
(47) Законните интереси на даден администратор, включително на администратор, пред когото може да бъдат разкрити лични данни, или на трета страна могат да предоставят правно основание за обработването, при условие че интересите или основните права и свободи на съответния субект на данни нямат преимущество, като се вземат предвид основателните очаквания на субектите на данни въз основа на техните взаимоотношения с администратора. Такъв законен интерес може да е налице, когато например между субекта на данни и администратора на лични данни съществува съответното определено взаимоотношение, например когато субектът на данни е клиент […] на администратора на лични данни. При всички случаи, за установяването на законен интерес би била необходима внимателна преценка, включително дали субектът на данни може по времето и в контекста на събирането на данни основателно да очаква, че може да се осъществи обработване на личните данни за тази цел. […] Обработването на лични данни, строго необходимо за целите на предотвратяването на измами, също представлява законен интерес на съответния администратор на данни. Обработването на лични данни за целите на директния маркетинг може да се разглежда като осъществявано поради законен интерес.
[…]
(69) Когато личните данни биха могли да се обработват законно, тъй като обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официално правомощие, предоставено на администратора, или по съображения, свързани със законните интереси на администратора или на трета страна, всеки субект на данни следва все пак да има право на възражение срещу обработването на лични данни, свързани с неговото конкретно положение. Администраторът следва да докаже, че неговите неоспорими законни интереси имат предимство пред интересите или основните права и свободи на субекта на данни.
[…]
(75) Рискът за правата и свободите на физическите лица, с различна вероятност и тежест, може да произтича от обработване на лични данни, което би могло да доведе до физически, материални или нематериални вреди, по‑специално когато обработването може да породи дискриминация […]“.
4. Съгласно член 2, параграф 1 от ОРЗД регламентът се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.
5. Член 4 от ОРЗД е озаглавен „Определения“ и гласи:
„За целите на настоящия регламент:
1) „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано […]
2) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, […]
[…]
7) „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; […]
[…]
11) „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени;
[…]“.
6. Член 5 от ОРЗД е озаглавен „Принципи, свързани с обработването на лични данни“ и предвижда:
„1. Личните данни са:
a) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
[…]
в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
г) точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“);
[…]“.
7. Член 6 от ОРЗД е озаглавен „Законосъобразност на обработването“ и предвижда в параграф 1:
„Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;
в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице;
д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
[…]“.
8. Член 13 от ОРЗД е озаглавен „Информация, предоставяна при събиране на лични данни от субекта на данните“ и предвижда в параграф 1:
„1. Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:
[…]
г) когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;
[…]“.
9. Член 21 от ОРЗД е озаглавен „Право на възражение“ и параграф 1 от него предвижда:
„Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него, което се основава на член 6, параграф 1, буква д) или буква е), включително профилиране, основаващо се на посочените разпоредби. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции“.
10. Член 25 от ОРЗД е озаглавен „Защита на данните на етапа на проектирането и по подразбиране“ и предвижда в параграф 2:
„Администраторът въвежда подходящи технически и организационни мерки, за да се гарантира, че по подразбиране се обработват само лични данни, които са необходими за всяка конкретна цел на обработването. Това задължение се отнася до обема на събраните лични данни, степента на обработването, периода на съхраняването им и тяхната достъпност. […]“.
Б. Френското право
11. Член 8 от Loi n° 78‑17 relative à l’informatique, aux fichiers et aux libertés (Закон № 78‑17 за информационните технологии, компютърните файлове и гражданските свободи) от 6 януари 1978 г.(3) гласи:
„Commission nationale de l’informatique et des libertés [Национална комисия по информационните технологии и свободите (CNIL)] е независим административен орган.
Тя е националният надзорен орган по смисъла и за целите на прилагането на [ОРЗД]. Тя изпълнява следните задачи:
[…]
2° Гарантира, че обработването на лични данни се извършва в съответствие с разпоредбите на настоящия закон и другите разпоредби относно защитата на личните данни, предвидени в законовите и подзаконовите актове, правото на Европейския съюз и международните ангажименти на Франция.
Във връзка с това:
[…]
d) Тя разглежда жалбите, петициите и оплакванията, подадени от субект на данни или от структура, организация или сдружение, разглежда или разследва предмета на жалбата, доколкото това е целесъобразно, и информира жалбоподателя за напредъка и за резултатите от разследването в разумен срок, особено ако е необходимо по-нататъшно разследване или координиране с друг надзорен орган. […]“.
III. Факти по делото в главното производство, производство пред Съда и преюдициални въпроси
12. SNCF Connect е дружество, което превозни документи за железопътен транспорт, като например билети за влак, абонаментни карти и карти за отстъпка през своя уебсайт и приложения. Когато закупуват тези превозни документи, клиентите на дружеството трябва задължително да посочат своята форма на обръщение, като отбележат обозначенията „господин“ или „госпожа“.
13. Сдружението Mousse (наричано по-нататък „Mousse“), което е жалбоподател в главното производство, подава до CNIL жалба по административен ред срещу SNCF Connect, тъй като счита, че условията, при които се събират и записват данни за формата на обръщение на клиентите при закупуването на превозни документи, не са в съответствие с изискванията на ОРЗД. В подкрепа на тази жалба по административен ред Mousse изтъква, че събирането на съответните данни не е законосъобразно по смисъла на член 5, параграф 1, буква а) от този регламент, тъй като не почива на нито едно от основанията, предвидени в член 6, параграф 1 от него. Освен това такова събиране на данни нарушавало принципа на свеждане на данните до минимум и принципа на точност, предвидени съответно в член 5, параграф 1, букви в) и г) от същия регламент, както и задълженията за прозрачност и предоставяне на информация, които произтичат от член 13 от него. В този контекст Mousse твърди, че SNCF Connect не би трябвало да събира тези данни или най-малкото би трябвало да предложи на клиентите си допълнителни възможности, като например обозначение „неутрален“ или „друго“.
14. С решение от 23 март 2021 г. CNIL прекратява производството по жалбата, с която е сезирана, като приема, че действията, за които се упреква SNCF Connect, не представляват нарушение на посочените разпоредби на ОРЗД. CNIL констатира, че съгласно член 6, параграф 1, буква б) от този регламент обработването на данните е законосъобразно, тъй като е необходимо за изпълнението на договора за предоставяне на транспортни услуги. Освен това CNIL отбелязва, че с оглед на преследваните с него цели такова обработване е в съответствие с принципа на свеждане на данните до минимум, тъй като обръщането към клиентите чрез използване на тяхната форма на обръщение, съответства на обичайната практика в областта на гражданските, търговските и административните комуникации.
15. На 21 май 2021 г. Mousse подава жалба за отмяна на решението от 23 март 2021 г. на CNIL пред Conseil d’État (Държавен съвет, Франция). В жалбата си Mousse изтъква по‑специално, че задължението за избор на обозначенията „господин“ или „госпожа“ при извършване на онлайн покупка не отговаря на принципа за законосъобразност, нито на принципа на свеждане на данните до минимум, прогласени съответно в член 5, параграф 1, букви a) и в) от ОРЗД, тъй като тези обозначения не са необходими за изпълнението на договора, нито за целите на легитимните интереси на SNCF Connect. Обстоятелството, че посочените обозначения се използват в търговската кореспонденция, не е достатъчно, за да направи необходимо събирането на тези данни. Накрая, по естеството си такова задължение нарушавало правото на пътуване без разкриване на формата на обръщение и правото на зачитане на личния живот, както и свободата за свободно определяне на половото изразяване. Що се отнася по-специално до гражданите на държави, чието гражданско състояние допуска „неутрален пол“, тези обозначения не отговаряли на действителността и следователно биха могли да се окажат в противоречие с принципа на точност, прогласен в член 5, параграф 1, буква г) от този регламент, като същевременно нарушавали свободата им на движение, гарантирана от правото на Съюза.
16. CNIL иска жалбата да бъде отхвърлена и изтъква, че обработването на данни относно формата на обръщение би могло да се квалифицира и като „необходимо“ за целите на легитимните интереси на SNCF Connect по смисъла на член 6, точка 1, буква е) от ОРЗД, и че субектите на данни — в зависимост от конкретната им ситуация — биха могли да упражнят правото на възражение, гарантирано с член 21 от този регламент.
17. Запитващата юрисдикция иска да се установи, от една страна, дали за да се прецени доколко събирането на данни е подходящо, свързано със и ограничено до необходимото, както и необходимостта от обработването на тези данни, могат да се вземат предвид общоприетите практики в областта на гражданските, търговските и административните комуникации, така че събирането на данни относно формата на обръщение на клиентите, ограничено до обозначенията „господин“ или „госпожа“, може да се счита за „законосъобразно и в съответствие“ с принципа на свеждане на данните до минимум. Тази юрисдикция иска да се установи, от друга страна, дали за да се прецени необходимостта от задължителното събиране и последващото обработване на данни относно формата на обръщение на клиентите — и при положение че някои клиенти считат, че не попадат в нито една от двете форми на обръщение — следва да се вземе предвид, че тези клиенти биха могли, след като предоставят тези данни на администратора, за да се ползват от предлаганата услуга, да упражнят правото си на възражение срещу тяхното използване като се позоват на конкретната си ситуация по смисъла на член 21 от ОРЗД.
18. При тези обстоятелства Conseil d’État решава да спре производството и да отправи до Съда следните преюдициални въпроси:
„1) За да се прецени доколко събирането на данни е подходящо, свързано със и ограничено до необходимото по смисъла на разпоредбите на член 5, параграф 1, буква в) от ОРЗД и необходимостта от обработването на тези данни по смисъла на член 6, параграф 1, букви б) и е) от ОРЗД, могат ли да се вземат предвид общоприетите практики в областта на гражданските, търговските и административните комуникации, така че събирането на данни относно формата на обръщение на клиентите, ограничено до обозначенията „господин“ или „госпожа“, може да се счита за необходимо, без това да се изключва от принципа на свеждане на данните до минимум?
2) За да се прецени необходимостта от задължителното събиране и обработване на данни относно формата на обръщение на клиентите — и при положение че някои клиенти считат, че не попадат в нито една от двете форми на обръщение и че събирането на тези данни не е релевантно по отношение на тях — следва ли да се вземе предвид, че тези клиенти биха могли, след като предоставят тези данни на администратора, за да се ползват от предлаганата услуга, да упражнят правото си на възражение срещу тяхното използване и съхраняване като се позоват на конкретната си ситуация в съответствие с член 21 от ОРЗД?“.
19. Писмени становища са представили Mousse, SNCF Connect, френското правителство, както и Европейската комисия. Посочените страни вземат участие в съдебното заседание, проведено на 29 април 2024 г.
IV. Анализ
А. По първия преюдициален въпрос
20. С първия си преюдициален въпрос запитващата юрисдикция иска по същество да се установи дали член 5, параграф 1, буква в) и член 6, параграф 1, букви б) и е) от ОРЗД трябва да се тълкуват в смисъл, че обработването на лични данни относно формата на обръщение на клиентите на транспортно предприятие трябва да се счита за необходимо за изпълнението на договор или за предприемане на стъпки преди сключването на договор или е необходимо за целите на легитимните интереси на администратора или на трета страна, когато това обработване цели да се позволи осъществяване на персонализирана търговска комуникация, като се гарантира зачитането на общоприети практики в областта на търговската комуникация.
21. В самото начало трябва да направя две предварителни бележки в това отношение.
22. От една страна отбелязвам, че страните са съгласни и няма съмнение, че данните за формата на обръщение на клиентите на транспортно предприятие представляват лични данни по смисъла на член 4, точка 1 от ОРЗД, а също така, че събирането и записването им от SNCF Connect трябва да се считат за обработване по смисъла на член 4, точка 2 от този регламент, поради което трябва да се разгледат с оглед на разпоредбите на посочения регламент.
23. От друга страна SNCF Connect и френското правителство защитават становището, че отрицателен отговор на първия преюдициален въпрос би довел до прилагане на ОРЗД в контекст, който не е свързан с него, доколкото като е приел този регламент, законодателят не е възнамерявал да уреди въпроса за общоприетите практики в областта на комуникацията или въпроса за пола. Макар с готовност да признавам, подобно на генералния адвокат Bobek, че уредбата относно защитата на данните понякога може да се „използва при неочаквани обстоятелства“(4), според мен обаче настоящата ситуация не е сред тях. Обстоятелството, че предмет на разглеждане са данните за самоличност и че това косвено отразява дебатите в националните правни системи относно въпроса за половата бинарност, не може да скрие факта, че в конкретния случай действително става въпрос за извършваното от транспортно дружество автоматизирано обработване на лични данни на неговите клиенти, което не само обективно попада в приложното поле на ОРЗД, но и представлява операция по обработване на данни, която законодателят на Съюза е целял да регулира(5).
24. Ето защо ще започна анализа си на първия преюдициален въпрос с общи бележки относно условието обработването на данни да е законосъобразно, на което съгласно ОРЗД са подчинени администраторите, след което ще обсъдя въпроса дали с оглед на посочените принципи това условие следва да се приеме за изпълнено, що се отнася до обработването на данни относно обръщението на клиентите на транспортно предприятие с цел комуникация с тези клиенти чрез използване на общоприети практики в областта на търговската комуникация.
1. Законосъобразност на обработването на лични данни
25. Член 5 от ОРЗД закрепва някои принципи, свързани с обработването на лични данни. По-специално тази разпоредба предвижда, че такива данни „са обработвани законосъобразно“(6) и „са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват“(7). С други думи, всяко обработване на данни трябва да отговаря в частност на принципа за законосъобразност и на принципа на свеждане на данните до минимум.
26. В член 6 от ОРЗД се уточнява обхватът на принципа за законосъобразност на обработването на данни. Доколкото член 6, параграф 1 от този регламент допуска ограничения на правото на защита на личните данни(8), той е в съответствие с посочените в член 52, параграф 1 от Хартата условия: въпросното ограничение е предвидено в закон и зачита основното съдържание на това право. Освен това такова ограничение е необходимо и отговаря на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на другите(9).
27. Законодателят също така предвижда шест основания, поради които обработването на лични данни е законосъобразно, като излага целите от общ интерес и правата и свободите, изискващи защита, които могат да обосноват ограничаване на правото на защита на личните данни. Съответно член 6, параграф 1 от ОРЗД съдържа „изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно“(10).
28. Член 6, параграф 1 от ОРЗД не установява строга йерархия(11) между основанията, поради които обработването на данни трябва да се приеме за законосъобразно. Така в практиката си Съдът конкретизира връзката между тези основания.
29. От една страна Съдът припомня, че съгласно член 6, параграф 1, буква a) от ОРЗД „обработването на лични данни е законосъобразно, ако и доколкото субектът на данните е дал съгласие за това за една или повече конкретни цели“. Съдът добавя, че „[к]огато липсва такова съгласие […] подобно обработване все пак е обосновано, ако отговаря на някое от изискванията за необходимост, упоменати в член 6, параграф 1, […] букви б)—е) от този регламент“(12). По-нататък Съдът постановява, че „доколкото могат да доведат до законосъобразност на обработването на лични данни, извършено без съгласието на субекта на данни, [въпросните] основания трябва да са предмет на стриктно тълкуване“(13). Следователно основанията за обработване на лични данни, предвидени в член 6, параграф 1 от посочения регламент, са равностойни и нито едно основание не трябва да се приема за субсидиарно спрямо друго.
30. От друга страна Съдът конкретизира некумулативния характер на основанията, предвидени в член 6, параграф 1 от ОРЗД. Ето защо Съдът посочва, че „когато е възможно да се констатира, че дадено обработване на лични данни е необходимо от гледна точка на едно от основанията, предвидени в член 6, параграф 1, […], букви б)—е) от ОРЗД, не се налага да се проверява дали това обработване попада в обхвата и на друго от тези основания“(14). С други думи, както вече посочих(15), обработването на лични данни е законосъобразно, когато е обосновано въз основа на едно-единствено основание, без да се приема дадено основание за субсидиарно спрямо друго.
31. Принципът за законосъобразност, подробно уреден в член 6, параграф 1 от ОРЗД, не може обаче да се разглежда изолирано. Така Съдът последователно приема, че това условие „трябва да се разглежда заедно с т.нар. принцип на „свеждане на данните до минимум“, прогласен в член 5, параграф 1, буква в) [от този регламент]“(16). Съгласно практиката на Съда и както вече подчертах(17), този принцип е израз на принципа на пропорционалност(18), който изисква, както подчертава френското правителство в писменото си становище, установените мерки да бъдат в състояние да осъществят легитимните цели, преследвани от съответната правна уредба, и да не надхвърлят необходимото за тяхното постигане(19).
32. С други думи, принципът на свеждане на данните до минимум предполага да се провери дали обработваните данни могат да помогнат за постигане на преследванaта с обработването им цел — на основанията, посочени в член 6, параграф 1 от ОРЗД — и дали данните се обработват само ако целта на обработването не може разумно да бъде постигната чрез други средства. Обхватът на така обработваните данни както в количествено отношение, така и по същество не е по-широк от необходимото за постигане на тази цел(20).
33. В това отношение ще направя една допълнителна бележка. Следва да се отбележи, че Съдът тълкува принципа на свеждане на данните до минимум във връзка с принципа за законосъобразност на обработването само в случаи, в които въпросното обработване се извършва на някое от основанията по член 6, параграф 1, букви б)—е) от ОРЗД. С други думи, Съдът не е посочил ясно дали принципът на свеждане на данните до минимум е приложим и когато субектът на данните е дал съгласие за обработване на личните му данни. Вярно е, че може да се поддържа тезата, че тъй като субектът е дал съгласие, администраторът може да извърши обработването на всякакви данни, без това да противоречи на принципа на свеждане на данните до минимум.
34. Такова тълкуване обаче не ми изглежда в съответствие нито с целта на ОРЗД да се гарантира високо ниво на защита на физическите лица във връзка с обработването на техните лични данни, нито с текста на разглежданите разпоредби.
35. Всъщност следва да се отбележи, че съгласно член 6, параграф 1, буква a) от ОРЗД обработването е законосъобразно, при условие че субектът на данните е „дал съгласие за обработване на личните му данни за една или повече конкретни цели“(21). В това отношение подчертавам, че съгласие означава „всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните“(22). С други думи, не може да става въпрос за общо съгласие за обработване на всякакви данни. Освен това на субекта на данните трябва да се предостави информация за целта, за която е дадено съгласие за обработването на данни. От своя страна член 5, параграф 1, буква в) от този регламент предвижда, че обработваните данни са „подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват“(23). При тези условия считам, че принципът на свеждане на данните до минимум се прилага дори когато обработването на тези данни се извършва със съгласието на субекта на данни и изисква да се провери дали въпросните данни действително са ограничени до необходимото за постигане на конкретната цел на обработването.
36. Именно през призмата на тези съображения следва да се разгледа извършваното от SNCF Connect обработване на данни за формата на обръщение на неговите клиенти с оглед на член 6, параграф 1, букви б) и е) от ОРЗД, с уточнението, че запитващата юрисдикция се позовава единствено на тези две цели на обработването.
2. По член 6, параграф 1, буква б) от ОРЗД: необходимост от обработването за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор
37. Член 6, параграф 1, буква б) от ОРЗД предвижда, че обработването на лични данни е законосъобразно, ако е „необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор“.
38. В решение Meta Platforms и др. Съдът е уточнил обхвата на тази разпоредба. Така той постановява, че „за да се счита за необходимо за изпълнението на договор по смисъла на тази разпоредба, обработването на лични данни трябва да е обективно необходимо за постигането на цел, която е неразделна част от договорната престация, предназначена за субекта на данни. Ето защо администраторът трябва да може да докаже доколко основната цел на договора не би могла да бъде постигната без разглежданото обработване“(24).
39. Страните са съгласни, че основната цел на договора е предоставянето на превозен документ и в крайна сметка на железопътен превоз на клиентите. Ето защо е важно да се провери, от една страна, дали данните за формата на обръщение на клиентите се обработват за постигането на цел, която е неразделна част от транспортната услуга, и от друга страна, дали това обработване е обективно необходимо за тази цел.
а) Определяне на целта на обработването
40. SNCF Connect и френското правителство изтъкват, че изпълнението на договора за транспорт предполага осъществяване на комуникация с клиента, както при резервацията, така и по време на и след съответното пътуване, и предполага да се знае формата на обръщение на клиента, за да се осъществява персонализирана комуникация с него в съответствие и с общоприетите практики в областта на търговската комуникация.
41. SNCF Connect допълва, че за изпълнението на договора за транспорт е важно да се знае полът на субекта на данните, за да може да се адаптира предоставянето на услуги в конкретни случаи, като например оказване на съдействие на лица с намалена подвижност или за осигуряване на достъп до вагони само за жени при пътуване с влак през нощта. В това отношение отбелязвам, че такава цел не е, строго погледнато, предмет на първия преюдициален въпрос, така както е формулиран от запитващата юрисдикция, която изрично се позовава на използването на общоприети практики в областта на търговската комуникация. Доколкото обаче в по-общ план запитващата юрисдикция поставя на Съда въпрос за събирането на данни относно формата на обръщение с оглед на принципите на свеждане на данните до минимум и за законосъобразност на обработването, все пак ще разгледам този довод.
42. Що се отнася до целта на комуникация с клиента, считам, че тя следва да се разглежда като неразделна част от договора за транспорт. Всъщност такъв договор предполага предоставяне на превозен документ, а следователно и осъществяване на контакт с клиента, за да му бъде предаден. Според мен необходимостта от осъществяване на контакт с клиента продължава да е налице и по време на транспорта, по-специално за да бъде предупреден клиентът за всеки инцидент, който оказва въздействие върху пътуването му, както и след осъществяването на транспорта, по‑конкретно при комуникация с центъра за обслужване на клиенти във връзка с пътуването.
43. В това отношение трябва да уточня, че следва да се отхвърли доводът на френското правителство, че целта на обработването е не само комуникацията с клиента, но по-конкретно и комуникацията с клиента в съответствие с обичайната практика в областта на търговската комуникация. От една страна, струва ми се, че така определената цел не е неразделна част от предоставянето на транспортна услуга: нищо не сочи, че тази цел не би могла да бъде постигната при липсата на комуникация в съответствие с общоприетите практики в областта на търговската комуникация. От друга страна този довод се основава на кръгова логика. Така определената цел на обработването на данни — осъществяване на комуникация в съответствие с общоприетите практики в областта на търговската комуникация — всъщност се смесва с използваните за постигането на тази цел средства — прибягване до общоприетите практики в областта на търговската комуникация.
44. Що се отнася до адаптирането на транспортната услуга към конкретни случаи като посочените от SNCF Connect, струва ми се също така трудно да се оспори, че това адаптиране е неразделна част от услугата, тъй като цели именно да се гарантира изпълнението ѝ.
45. Според мен, дори обаче целите на въпросното обработване действително да са присъщи на предоставянето на транспортна услуга и да са допустими съгласно член 6, параграф 1, буква б) от ОРЗД, обработването на лични данни трябва да е необходимо за постигането на посочената цел, така че основната цел на договора да не може да бъде постигната без това обработване и да не съществуват възможни алтернативни варианти, при които намесата е по-слаба, за постигане на същата цел.
46. Считам обаче, че обработването на данните, свързани с формата на обръщение, надхвърля необходимото за точното изпълнение на договора.
б) Необходимост от обработването за постигане на поставените цели
47. На първо място, що се отнася до комуникационната цел, точното изпълнение на договора за транспорт не може да зависи от използването на формата на обръщение в комуникацията на транспортното дружеството с неговите клиенти, въпреки че администраторът възнамерява да комуникира персонализирано със своите клиенти. Всъщност транспортно дружество може без особена трудност да комуникира със своите клиенти персонализирано, без да използва форма на обръщение.
48. Освен това, макар в съдебното заседание SNCF Connect да подчертава необходимостта от опазване на имиджа на марка чрез използване на изрази, които са общоприети в областта на търговската комуникация, този резултат също може да се постигне с други изрази, които показват уважение към клиента и не зависят от формата на обръщение.
49. Това важи в още по-голяма степен, тъй като, както твърди Mousse, освен ако запитващата юрисдикция не установи друго, на практика SNCF Connect не използва системно общоприетите практики в областта на търговската комуникация, които биха предполагали да се знае формата на обръщение на клиентите, а използва други по-общи изрази, като например „Благодаря, приятно пътуване!“ или „Добър ден!“. Според мен липсата на системно използване на формата на обръщение на клиентите в комуникацията на SNCF Connect ясно показва не само липсата на необходимост да се обработват тези данни за изпълнението на въпросния договор, но и — с оглед на принципа на свеждане на данните до минимум — по-широко обработване на данни, отколкото е необходимо.
50. В същия ред на мисли отбелязвам, че запитано по този въпрос в хода на съдебното заседание SNCF Connect се съгласява, че умишленото предаване на форма на обръщение, различна от действителната форма на обръщение на субекта на данните, наистина не се отразява на предоставянето на транспортната услуга. При тези обстоятелства се налага изводът, че основната цел на договора все пак може да бъде постигната без разглежданото обработване.
51. На второ място, що се отнася до целта за адаптиране на транспортната услуга, отново считам, че обработването на данните, свързани с формата на обръщение, надхвърля необходимото за постигането на тази цел. От една страна, според мен личните данни, които са релевантни, за да позволят такова адаптиране, не са данните, свързани с формата на обръщение, които според френското правителство не са елемент от гражданско състояние на лицата, а данните за пола на клиентите, посочен в гражданското състояние на лицата. От друга страна, същата тази цел би могла да бъде постигната чрез събиране и обработване на тези данни не за всички заявки за закупуване на превозни документи, а само за конкретните случаи, когато има такава необходимост, като например заявка за закупуване на превозен документ за пътуване във вагон само за жени при пътуване с влак през нощта или при искане за оказване на съдействие на лице с намалена подвижност.
52. При тези обстоятелства считам, че член 6, параграф 1, буква б) и член 5, параграф 1, буква в) от ОРЗД следва да се тълкува в смисъл, че систематичното обработване на данните, свързани с формата на обръщение, не може да се счита за необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор, когато обработването цели да се позволи осъществяване на персонализирана търговска комуникация, като се гарантира зачитането на общоприети практики в областта на търговската комуникация, или да се осигури адаптиране на транспортната услуга поради пола на субекта на данните.
3. По член 6, параграф 1, буква е) от ОРЗД: необходимост от обработването за целите на легитимните интереси на администратора или на трета страна
53. Член 6, параграф 1, буква е) от ОРЗД предвижда, че обработването на лични данни е законосъобразно, ако е „необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете“.
54. Съгласно установената практика на Съда от тази разпоредба следва, че три кумулативни условия трябва да са налице, за да бъде обработването на лични данни законосъобразно. Първо, администраторът или третата страна трябва да преследва легитимни интереси. Второ, обработването на личните данни да е необходимо за целите на преследваните легитимни интереси. Трето, интересите, основните свободи или права на лицето, ползващо се от защитата на данните, да нямат преимущество пред легитимния интерес на администратора или на трета страна(25).
55. Що се отнася до първото условие за преследване на легитимен интерес, в решение Meta Platforms и др. Съдът подчертава, че „следва да се уточни, че съгласно член 13, параграф 1, буква г) от ОРЗД, щом лични данни, свързани с даден субект на данни, се събират от субекта на данните, администраторът трябва да му посочи преследваните легитимни интереси, когато това обработване се основава на член 6, параграф 1[…], буква е) от този регламент“(26). Ето защо в същото решение Съдът приема, че тази разпоредба трябва да се тълкува в смисъл, че обработване на лични данни „може да се счита за необходимо за целите на легитимните интереси на администратора или на трета страна, по смисъла на тази разпоредба, само ако посоченият оператор е уведомил ползвателите, от които са били събрани данните, за преследван с обработването им легитимен интерес“(27).
56. С други думи, санкцията за неизпълнение на задължението за предоставяне на информация по член 13, параграф 1, буква г) от ОРЗД е незаконосъобразността на обработването на разглежданите лични данни.
57. Както обаче изтъква Комисията и освен ако запитващата юрисдикция не установи друго, струва ми се, че SNCF Connect не е изпълнило това задължение.
58. Както подчертава Комисията, SNCF Connect посочва в своята „харта за поверителност“, която е достъпна на уебсайта му, правното основание за обработването на данните за формата на обръщение като „легитимен интерес“. Ще направя две бележки в това отношение. От една страна, със самото посочване на легитимен интерес, без да се уточнява какъв точно е този легитимен интерес, не може да се изпълни задължението за предоставяне на информация, предвидено в член 13, параграф 1, буква г) от ОРЗД, който задължава администратора да посочи преследвания легитимен интерес. От друга страна, и при всяко положение общо посочване на легитимен интерес в „харта за поверителност“, която наистина е достъпна на уебсайта на администратора, но която клиентът трябва съзнателно да търси, също не е в съответствие с член 13, параграф 1, буква г) от този регламент. Всъщност тази разпоредба изисква субектът на данните да бъде информиран за преследвания легитимен интерес в момента на събиране на данните, което според мен предполага такава информация да бъде директно съобщена на клиента, когато той предоставя въпросните данни, отнасящи за него.
59. Освен това, на въпрос относно задължението за предоставяне на информация, поставен в хода на съдебното заседание, SNCF Connect не може да посочи дали неговите клиенти действително са информирани за преследвания с обработването легитимен интерес в момента на събиране на данните, свързани с формата на обръщение.
60. Ето защо първото условие по член 6, параграф 1, буква е) от ОРЗД за наличие на легитимен интерес, разглеждано в светлината на задължението за уведомяване за въпросния интерес, предвидено в член 13, параграф 1, буква г) от този регламент, не е изпълнено. При това положение обработването на свързаните с формата на обръщение данни в такава ситуация не може да се счита за законосъобразно по смисъла на тази разпоредба, без да е необходимо да се разглежда дали са изпълнени другите две условия по член 6, параграф 1, буква е) от посочения регламент.
а) Заключение относно тълкуването на член 6, параграф 1, буква е) от ОРЗД
61. Според мен от изложеното следва, че член 6, параграф 1, буква е) и член 5, параграф 1, буква в) от ОРЗД трябва да се тълкуват в смисъл, че обработване на данни, свързани с формата на обръщение на клиенти на транспортно дружество, не може да се счита за необходимо за целите на легитимните интереси на администратора или на трета страна, по смисъла на тази разпоредба, доколкото това дружество не е посочило на ползвателите, от които са били събрани данните, преследван с обработването им легитимен интерес.
б) Допълнителни бележки
62. От съображения за изчерпателност и в случай че Съдът стигне до извода, че информация за въпросния легитимен интерес е предоставена в съответствие с член 13, параграф 1, буква г) от ОРЗД, все пак ще продължа анализа на условията, които трябва да бъдат изпълнени, за да може обработване на лични данни да се счита за законосъобразно съгласно член 6, параграф 1, буква е) от този регламент.
63. На първо място, що се отнася до условието за наличие на легитимен интерес, SNCF Connect и френското правителство изтъкват, че преследваният легитимен интерес е комуникацията с клиента.
64. Отбелязвам, че Съдът е постановил, що се отнася до понятието „легитимни интереси“, че „при липсата на определение на това понятие в ОРЗД, следва да се подчертае […], че широк кръг от интереси по принцип могат да се считат за легитимни“(28).
65. В това отношение припомням, че SNCF Connect е предприятие, което предлага превозни документи за железопътен транспорт чрез онлайн продажба. Както вече посочих(29), изпълнението на тази услуга предполага осъществяване на контакт с клиента поне за да му бъде предаден превозният документ. Ето защо ми се струва, че целта на комуникация с клиента може да представлява легитимен интерес на това предприятие по смисъла на член 6, параграф 1, буква е) от ОРЗД, така че първото условие да е налице такъв легитимен интерес според мен следва да се приеме за изпълнено.
66. На второ място, що се отнася до условието обработването на личните данни да е необходимо за целите на легитимните интереси, според мен то не е изпълнено. Както показах в рамките на анализа си на член 6, параграф 1, буква б) от ОРЗД, обработването на данните, свързани с формата на обръщение, надхвърля необходимото за постигането на целта за комуникация с клиента, тъй като тази комуникация може да се осъществи, без да се използват тези данни(30).
67. На трето и последно място, що се отнася до условието интересите или основните права и свободи на субекта на данните да нямат преимущество пред легитимния интерес на администратора или на трета страна, следва да се подчертае, че Съдът е постановил, че „това условие предполага претегляне на съответните противоположни права и интереси, което по принцип зависи от конкретните обстоятелства в отделния случай, и че следователно запитващата юрисдикция следва да направи такова претегляне, като отчете тези специфични обстоятелства“(31). Все пак ще изложа някои бележки, за да дам насоки на запитващата юрисдикция при извършването на тази преценка.
68. Съдът е постановил, че „[п]ри това претегляне на съответните противоположни права и интереси, а именно на администратора, от една страна, и на субекта на данните, от друга, е важно да се отчетат […], по-специално основателните очаквания на субекта на данни, както и обхватът на съответното обработване и отражението му върху този субект“(32).
69. Освен това, видно от съображение 47 от ОРЗД, „за установяването на законен интерес би била необходима внимателна преценка, включително дали субектът на данни може по времето и в контекста на събирането на данни основателно да очаква, че може да се осъществи обработване на личните данни за тази цел“.
70. В това отношение не виждам в каква степен клиентът на транспортно предприятие би могъл основателно да очаква данните, свързани с формата на обръщение, да бъдат обработвани от предприятието с цел осъществяване на комуникация при изпълнение на услуга по покупка на превозен документ.
71. Във всеки случай не считам, че самото наличие на основателни очаквания е достатъчно, за да се гарантира, че легитимният интерес на администратора има преимущество пред интересите или основните права и свободи на субекта на данни. Макар този елемент несъмнено да е релевантен за претеглянето, което трябва да се извърши, за разлика от това той не може системно да навежда на извода, че легитимният интерес на администратора има преимущество, по-конкретно когато въпросното обработване на лични данни може да засегне гарантирани от Хартата свобода или основно право на субекта на данните.
72. Както поддържа Mousse, според мен настоящият случай е именно такъв. Всъщност това сдружение изтъква наличието на риск от дискриминация, основана на пола, поради обработването на данните, свързани с формата на обръщение, що се отнася по‑специално до транссексуални лица или до лица, които са граждани на държава, в която се допуска неутрален пол.
73. При тези обстоятелства и при условие запитващата юрисдикция да извърши необходимите проверки считам, че легитимният интерес за комуникация с клиента не може да има преимущество пред интересите или основните права и свободи на субекта на данни.
Б. По втория преюдициален въпрос
74. С втория си преюдициален въпрос запитващата юрисдикция иска по същество да се установи дали член 6, параграф 1, буква е) от ОРЗД трябва да се тълкува в смисъл, че за целите на преценката за необходимостта от обработване на лични данни по смисъла на тази разпоредба следва да се вземе предвид евентуалното съществуване на право на възражение на субекта на данните съгласно член 21, параграф 1 от този регламент.
75. Член 21, параграф 1 от ОРЗД предвижда, че субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него, което се основава на член 6, параграф 1, буква д) или буква е), включително профилиране, основаващо се на посочените разпоредби. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции.
76. Съгласно постоянната съдебна практика за целите на тълкуването на разпоредба от правото на Съюза трябва да се вземат предвид не само нейният текст, но и контекстът ѝ и целите на правната уредба, от която тя е част(33).
77. Що се отнася до текста на член 21, параграф 1 от ОРЗД, посочвам, че законодателят на Съюза подчертава, че правото на възражение се отнася до обработване на лични данни, което по‑специално се основава на член 6, параграф 1, буква е) от този регламент. С други думи, както изтъкват Mousse и Комисията, правото на възражение предполага да е налице законосъобразно обработване въз основа по-специално на легитимния интерес на администратора. Следователно това право е предназначено да се упражнява само след като бъде извършено законосъобразно обработване, за да бъде същото преустановено.
78. Според мен това се потвърждава от втората част на член 21, параграф 1 от ОРЗД, който предвижда, че в случай на направено възражение съгласно тази разпоредба от страна на субекта на данните администраторът прекратява обработването на съответните данни(34). Според мен този текст очевидно предполага, че обработването на въпросните данни е законосъобразно при условията, посочени в член 6, параграф 1, буква е) от този регламент, но че след като е подадено възражение, тези данни не може повече да бъдат предмет на такова обработване.
79. С други думи, член 21, параграф 1 от ОРЗД се прилага само след като се установи законосъобразността на обработването.
80. Така от текста на член 21, параграф 1 от ОРЗД следва, че съществуването на право на възражение изобщо не е релевантно за преценката на необходимостта от такова обработване съгласно член 6, параграф 1, буква е) от този регламент, тъй като прилагането на член 21, параграф 1 от посочения регламент предполага условията на член 6, параграф 1, буква е) от същия регламент вече да са изпълнени.
81. Подобно буквално тълкуване на член 21, параграф 1 от ОРЗД се потвърждава освен това от анализа му с оглед на контекста и на целите на този регламент.
82. Що се отнася до контекстуалното тълкуване на тази разпоредба, отбелязвам, че основанията, които могат да обосноват обработването на лични данни, са посочени в член 6 от ОРЗД, който визира принципа за законосъобразност, в рамките на глава II от този регламент, отнасяща се до принципите, приложими за обработването на данни. От своя страна член 21 от посочения регламент се съдържа в глава III, която се отнася до правата на субекта на данни. Освен това, както вече подчертах, съгласно постоянната съдебна практика основанията, посочени в член 6 от същия регламент, са изчерпателни(35). При тези обстоятелства въпросните две разпоредби изпълняват две различни функции и няма как да се приеме, че член 21 от ОРЗД може да бъде взет предвид при преценката на законосъобразността на обработването, уредена само в член 6 от този регламент.
83. Що се отнася до телеологическото тълкуване на член 6, параграф 1, буква е) и на член 21 от ОРЗД, вземането предвид на съществуването на право на възражение за целите на преценката на законосъобразността на обработване на данни съгласно член 6 от този регламент би означавало да се допусне, че обработване на данни е законосъобразно само поради възможността субектът на данните впоследствие да направи възражение срещу такова обработване. Следователно това би довело до разширяване на основанията за законосъобразност на обработването отвъд предвидените в член 6 от посочения регламент случаи и до поставяне на нивото на защита на субектите на данни в зависимост от усилията им да направят възражение срещу обработването на личните им данни, в противен случай това обработване би могло да бъде счетено за законосъобразно. Поради това ми се струва, че подобно тълкуване може да засегне целта да се гарантира високо ниво на защита на физическите лица във връзка с обработването на личните им данни.
84. Ето защо считам, че на втория преюдициален въпрос следва да се отговори, че член 6, параграф 1, буква е) от ОРЗД трябва да се тълкува в смисъл, че не допуска за целите на преценката на необходимостта от обработване на лични данни по смисъла на тази разпоредба да се вземе предвид евентуалното съществуване на право на възражение на субекта на данни съгласно член 21, параграф 1 от този регламент.
V. Заключение
85. С оглед на всички изложени по-горе съображения предлагам на поставените от Conseil d’État (Държавен съвет, Франция) преюдициални въпроси да се отговори по следния начин:
„Член 6, параграф 1, буква б) и член 5, параграф 1, буква в) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкуват в смисъл, че
систематично обработване на данни, свързани с формата на обръщение, не може да се счита за необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор, когато обработването цели да се позволи осъществяване на персонализирана търговска комуникация, като се гарантира зачитане на общоприети практики в областта на търговската комуникация, или да се осигури адаптиране на транспортната услуга поради пола на субекта на данните.
Член 6, параграф 1, буква е) и член 5, параграф 1, буква в) от Регламент 2016/679
трябва да се тълкуват в смисъл, че
обработване на данни, свързани с формата на обръщение на клиенти на транспортно дружество, не може да се счита за необходимо за целите на легитимните интереси на администратора или на трета страна, по смисъла на тази разпоредба, доколкото това дружество не е посочило на ползвателите, от които са били събрани данните, преследван с обработването им легитимен интерес.
Член 6, параграф 1, буква е) от Регламент 2016/679
трябва да се тълкува в смисъл, че
не допуска за целите на преценката на необходимостта от обработване на лични данни по смисъла на тази разпоредба да се вземе предвид евентуалното съществуване на право на възражение на субекта на данни съгласно член 21, параграф 1 от този регламент“.