null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
MACIEJE SZPUNARA
přednesené dne 11. července 2024(1)
Věc C‑394/23
Association Mousse
proti
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect
[žádost o rozhodnutí o předběžné otázce podaná Conseil d’État (Státní rada, Francie)]
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 6 odst. 1 – Zásada zákonnosti zpracování – Článek 5 odst. 1 písm. c) – Zásada minimalizace údajů – Oslovení – Nákup poskytnutí přepravní služby on-line – Článek 21 – Právo vznést námitku“
I. Úvod
1. Nařízení (EU) 2016/679(2) (dále jen „GDPR“) má za cíl zajistit vysokou úroveň ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů. Za tímto účelem správcům ukládá, aby při zpracování osobních údajů dodržovali několik zásad, včetně tzv. zásady „minimalizace údajů“ a zásady zákonnosti zpracování.
2. Tyto dvě zásady leží v jádru projednávané věci, která se vztahuje ke sporu mezi sdružením a vnitrostátním dohledovým orgánem ohledně toho, že dopravní podnik zpracovává údaje o oslovení zákazníků s deklarovaným cílem využít je v rámci obchodní komunikace, a dává tak Soudnímu dvoru příležitost, aby upřesnil jejich působnost.
II. Právní rámec
A. Unijní právo
3. Body 4, 10, 39, 40, 44, 47, 69 a 75 odůvodnění GDPR uvádějí:
„(4) Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochranu osobních údajů, svobodu myšlení, svědomí a náboženského vyznání, svobodu projevu a informací, svobodu podnikání, právo na účinnou právní ochranu a spravedlivý proces, jakož i kulturní, náboženskou a jazykovou rozmanitost.
[...]
(10) S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. [...]
[...]
(39) [...] Osobní údaje by měly být přiměřené, relevantní a omezené na to, co je nezbytné z hlediska účelů, pro které jsou zpracovávány. [...] Osobní údaje by měly být zpracovány pouze tehdy, nemůže-li být účelu zpracování přiměřeně dosaženo jinými prostředky. [...]
(40) Aby bylo zpracování zákonné, měly by být osobní údaje zpracovávány na základě souhlasu subjektu údajů nebo s ohledem na nějaký jiný legitimní základ stanovený právními předpisy, buď v tomto nařízení, nebo v jiném právním předpise Unie nebo členského státu, jak je uvedeno v tomto nařízení, mimo jiné i s ohledem na […] nezbytnost plnění smlouvy, jejíž stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy.
[...]
(44) Zpracování by mělo být zákonné, pokud je nezbytné v souvislosti s plněním smlouvy nebo úmyslem smlouvu uzavřít.
[...]
(47) Oprávněné zájmy správce, včetně správce, jemuž mohou být osobní údaje poskytnuty, nebo třetí strany se mohou stát právním základem zpracování za předpokladu, že nepřevažují zájmy nebo základní práva a svobody subjektu údajů, a to při zohlednění přiměřeného očekávání subjektu údajů na základě jeho vztahu se správcem. Tento oprávněný zájem by mohl být dán například v situaci, kdy existuje relevantní a odpovídající vztah mezi subjektem údajů a správcem, například pokud je subjekt údajů zákazníkem správce [...] Existenci oprávněného zájmu je v každém případě třeba pečlivě posoudit, včetně toho, zda subjekt údajů může v okamžiku a v kontextu shromažďování osobních údajů důvodně očekávat, že ke zpracování pro tento účel může dojít [...] Oprávněným zájmem dotčeného správce údajů je rovněž zpracování osobních údajů nezbytně nutné pro účely zamezení podvodům. Zpracování osobních údajů pro účely přímého marketingu lze považovat za zpracování prováděné z důvodu oprávněného zájmu.
[...]
(69) Pokud mohou být osobní údaje zákonně zpracovávány, protože je toto zpracování nezbytné pro výkon úkolů vykonávaných ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, nebo z důvodu oprávněných zájmů správce nebo třetí strany, měl by každý dotčený subjekt údajů přesto mít právo vznést námitku proti zpracování osobních údajů, které se týkají jeho konkrétní situace. Mělo by být povinností správce, aby prokázal, že jeho závažné oprávněné zájmy převažují nad zájmy nebo základními právy a svobodami subjektu údajů.
[...]
(75) Různě pravděpodobná a závažná rizika pro práva a svobody fyzických osob mohou vyplynout ze zpracování osobních údajů, které by mohlo vést k fyzické, hmotné nebo nehmotné újmě, zejména v případech, kdy by zpracování mohlo vést k diskriminaci [...]“
4. Podle článku 2 odst. 1 se GDPR vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.
5. Článek 4 GDPR, nadepsaný „Definice“, stanoví:
„Pro účely tohoto nařízení se rozumí
1) ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě [...]
2) ‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání [...]
[...]
7) ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; [...]
[...]
11) ‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů;
[...]“
6. Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, zakotvuje:
„1. Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
[...]
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
d) přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny (‚přesnost‘);
[...]“
7. Článek 6 odst. 1 GDPR, nadepsaný „Zákonnost zpracování“, stanoví:
„Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
[...]“
8. Článek 13 GDPR, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, stanoví:
„1. Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
[...]
d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);
[...]“
9. Článek 21 odst. 1 GDPR, nadepsaný „Právo vznést námitku“, stanoví:
„Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.“
10. Článek 25 odst. 2 GDPR, nadepsaný „Záměrná a standardní ochrana osobních údajů“, stanoví:
„Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Tato povinnost se týká množství shromážděných osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. [...]“
B. Francouzské právo
11. Článek 8 loi no 78-17 relative à l’informatique, aux fichiers et aux libertés (zákon č. 78-17 o výpočetní technice, evidencích a svobodách)(3) ze dne 6. ledna 1978 stanoví, že:
„Commission nationale de l’informatique et des libertés [(CNIL)] [Národní komise pro informační technologie a svobody] je nezávislým správním orgánem. Je vnitrostátním dohledovým orgánem ve smyslu a pro účely uplatňování [GDPR]. Plní tyto úkoly:
[...]
2° Zajišťuje, aby zpracování osobních údajů bylo prováděno v souladu s ustanoveními tohoto zákona a s ostatními ustanoveními o ochraně osobních údajů zakotvenými právními a správními předpisy, právem Evropské unie a mezinárodními závazky Francie.
Z tohoto titulu:
[...]
d) Vyřizuje oznámení, petice a stížnosti podané subjektem údajů nebo institucí, organizací nebo sdružením, v nezbytném rozsahu zkoumá nebo prošetřuje předmět oznámení a v přiměřené lhůtě informuje původce oznámení o míře pokroku a výsledku šetření, a to zejména je-li nezbytné další šetření nebo koordinace s jiným dohledovým orgánem. [...]“
III. Skutkové okolnosti v původním řízení, řízení před Soudním dvorem a předběžné otázky
12. SNCF Connect je společnost, která prostřednictvím svých internetových stránek a aplikací prodává přepravní doklady pro železniční přepravu, jako jsou vlakové jízdenky, časové jízdenky a slevové karty. Při nákupu těchto přepravních dokladů jsou zákazníci této společnosti nuceni povinně uvést oslovení, a to zaškrtnutím údaje „pan“ nebo „paní“.
13. Jelikož žalobce v původním řízení, sdružení Mousse (dále jen „Mousse“), měl za to, že podmínky, za nichž jsou shromažďována a zaznamenávána oslovení zákazníků při nákupu přepravních dokladů, nejsou v souladu s požadavky GDPR, podal proti společnosti SNCF Connect oznámení ke CNIL. Na podporu tohoto oznámení sdružení Mousse tvrdilo, že shromažďování dotčených údajů není v souladu se zásadou zákonnosti, jak je zakotvena v čl. 5 odst. 1 písm. a) tohoto nařízení, protože se neopírá o žádný z důvodů stanovených v čl. 6 odst. 1 uvedeného nařízení. Mimoto takové shromažďování porušuje zásadu minimalizace údajů a zásadu přesnosti, které jsou zakotveny v čl. 5 odst. 1 písm. c) a d) téhož nařízení, jakož i povinnost transparentnosti a informační povinnost, které plynou zejména z článku 13 tohoto nařízení. V této souvislosti sdružení Mousse tvrdilo, že společnost SNCF Connect by tyto údaje neměla shromažďovat nebo že by měla svým zákazníkům alespoň nabídnout další možnosti, jako je údaj „neutrální“ nebo „jiné“.
14. Rozhodnutím ze dne 23. března 2021 CNIL prošetřování oznámení, které jí bylo předloženo, uzavřela s tím, že měla za to, že skutky vytýkané společnosti SNCF Connect nejsou porušeními uvedených ustanovení GDPR. CNIL konstatovala, že zpracování údajů je na základě čl. 6 odst. 1 písm. b) tohoto nařízení zákonné, a to z toho důvodu, že je nezbytné pro splnění smlouvy o poskytnutí přepravních služeb. CNIL mimoto uvedla, že s ohledem na svoje účely je takové zpracování v souladu se zásadou minimalizace údajů, jelikož obracet se na zákazníky s využitím jejich oslovení odpovídá zvyklostem v oblasti občanských, obchodních a správních sdělení.
15. Dne 21. května 2021 napadlo sdružení Mousse rozhodnutí CNIL ze dne 23. března 2021 žalobou na neplatnost u Conseil d’État (Státní rada, Francie). V žalobě sdružení Mousse zejména tvrdí, že povinnost zvolit si při nákupu on-line údaj „pan“ nebo „paní“ neodpovídá zásadě zákonnosti ani zásadě minimalizace údajů, které jsou uvedeny v čl. 5 odst. 1 písm. a) a c) GDPR, jelikož tento údaj není nezbytný ke splnění smlouvy, ani pro účely oprávněných zájmů společnosti SNCF Connect. Okolnost, že uvedený odkaz se užívá v obchodní korespondenci, nemůže stačit k tomu, aby založil nezbytnost shromažďování těchto údajů. Taková povinnost může konečně porušovat právo cestovat bez sdělování vlastního oslovení, právo na respektování soukromého života a svobodu volně vymezit své genderové vyjádření. Pokud jde zejména o státní příslušníky těch zemí, v jejichž evidencích obyvatel se připouští „neutrální gender“, neodpovídá tento údaj skutečnosti, a mohl by se tedy ukázat v rozporu se zásadou přesnosti, která je uvedena v čl. 5 odst. 1 písm. d) tohoto nařízení, a současně porušovat jejich svobodu pohybu, která je zaručena unijním právem.
16. CNIL navrhuje, aby byla tato žaloba zamítnuta, a tvrdí, že zpracování údajů o oslovení by mohlo být kvalifikováno jako „nezbytné“ i pro účely oprávněných zájmů sledovaných společností SNCF Connect ve smyslu čl. 6 odst. 1 písm. f) GDPR a že subjekty údajů by mohly – v závislosti na konkrétní situaci – uplatnit právo vznést námitku, které je zaručeno v článku 21 tohoto nařízení.
17. Předkládající soud si zaprvé klade otázku, zda lze pro účely posuzování přiměřenosti, relevantnosti a omezení shromažďování údajů na nezbytný rozsah, jakož i nezbytnosti jejich zpracování, zohlednit běžně přijímané zvyklosti v oblasti občanských, obchodních a správních sdělení, takže shromažďování údajů o oslovení zákazníků omezené na údaje „pan“ nebo „paní“ by bylo možno kvalifikovat jako „zákonné a v souladu“ se zásadou minimalizace údajů. Tento soud si zadruhé klade otázku, zda je za účelem posuzování nezbytnosti povinného shromažďování a následného zpracování údajů o oslovení zákazníků, i když někteří z nich mají za to, že nespadají do rámce žádného z obou těchto oslovení, třeba zohlednit, že tito zákazníci mohou poté, co tyto údaje poskytli správci za účelem využití nabízené služby, vykonat právo vznést námitku proti použití těchto údajů z důvodu konkrétní situace ve smyslu článku 21 GDPR.
18. V této souvislosti se Conseil d’État (Státní rada) rozhodla přerušit řízení a předložit Soudnímu dvoru následující předběžné otázky:
„1) Lze pro účely posuzování toho, zda je shromažďování údajů přiměřené, relevantní a omezené na nezbytný rozsah ve smyslu ustanovení [čl. 5 odst. 1 písm. c) GDPR] a zda je jejich zpracování nezbytné ve smyslu [čl. 6 odst. 1 písm. b) a f) GDPR], zohlednit zvyklosti běžně přijímané v oblasti občanských, obchodních a správních sdělení, takže shromažďování údajů o oslovení zákazníků omezené na údaje ‚pan‘ nebo ‚paní‘ by mohlo být považováno za nezbytné, aniž by tomu byla na překážku zásada minimalizace údajů?
2) Je za účelem posuzování, zda je povinné shromažďování a zpracování údajů o oslovení zákazníků nezbytné, i když se určití zákazníci domnívají, že nespadají do rámce žádného z obou oslovení a že shromažďování tohoto údaje není v jejich případě relevantní, třeba zohlednit, že tito zákazníci mohou poté, co tento údaj poskytli správci za účelem využití nabízené služby, podle článku 21 GDPR vykonat právo vznést námitku proti použití a uložení tohoto údaje, a to s odkazem na svou konkrétní situaci?“
19. Písemná vyjádření předložily sdružení Mousse, společnost SNCF Connect, francouzská vláda a dále Evropská komise. Titíž účastníci řízení se zúčastnili jednání konaného dne 29. dubna 2024.
IV. Analýza
A. K první předběžné otázce
20. První předběžnou otázkou se předkládající soud v podstatě dotazuje, zda musí být čl. 5 odst. 1 písm. c) a čl. 6 odst. 1 písm. b) a f) GDPR vykládány v tom smyslu, že zpracování osobních údajů o oslovení zákazníků dopravního podniku musí být považováno za nezbytné pro splnění smlouvy nebo opatření přijatých před uzavřením smlouvy nebo za nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, pokud je cílem tohoto zpracování umožnit personalizovanou obchodní komunikaci při zajištění souladu s obecně přijímanými zvyklostmi v oblasti obchodních sdělení.
21. Je třeba, abych v tomto ohledu učinil úvodem dvě poznámky.
22. Zaprvé uvádím, že účastníci řízení se shodují a že není pochyb o tom, že údaje o oslovení zákazníků dopravního podniku jsou osobními údaji ve smyslu čl. 4 odst. 1 GDPR a že jejich shromažďování a zaznamenávání ze strany společnosti SNCF Connect musí být mimoto považováno za zpracování ve smyslu čl. 4 odst. 2 tohoto nařízení, takže je třeba je zkoumat ve světle ustanovení uvedeného nařízení.
23. Zadruhé společnost SNCF Connect a francouzská vláda obhajují myšlenku, že záporná odpověď na první předběžnou otázku by vedla k použití GDPR v kontextu, který mu není vlastní, jelikož přijetím tohoto nařízení normotvůrce nezamýšlel upravit zvyklosti v oblasti komunikace nebo otázku genderu. I když ochotně připouštím, a to stejně jako generální advokát M. Bobek, že se pravidla na ochranu osobních údajů „použijí za překvapivých okolností(4), podle mého názoru platí, že projednávaná situace do toho nespadá. Skutečnost, že jsou dotčeny údaje o totožnosti a že se zde odrážejí debaty, k nimž nyní dochází ve vnitrostátních právních řádech o otázce binarity genderu, nemůže vést k zastření okolnosti, že v projednávaném případě skutečně jde o automatizované zpracování osobních údajů zákazníků ze strany dopravní společnosti, které nejen objektivně spadá do působnosti GDPR, nýbrž je i operací zpracování údajů, kterou měl unijní normotvůrce za cíl upravit(5).
24. Analýzu první předběžné otázky tedy zahájím obecnými poznámkami, pokud jde o podmínku vztahující se k zákonnosti zpracování údajů, které podle GDPR správci podléhají, a poté posoudím, zda ve světle uvedených zásad musí být tato podmínka posuzována jako splněná, pokud jde o zpracování údajů o oslovení zákazníků dopravního podniku za účelem komunikace s těmito zákazníky s využitím obecně přijímaných zvyklostí v oblasti obchodních sdělení.
1. K zákonnosti zpracování osobních údajů
25. Článek 5 GDPR stanoví několik zásad, které se ke zpracování osobních údajů vztahují. Toto ustanovení zejména stanoví, že takové údaje „musí být zpracovávány zákonným způsobem“(6) a „musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány“(7). Jinými slovy, každé zpracování údajů musí odpovídat zejména zásadě zákonnosti a zásadě minimalizace údajů.
26. Článek 6 GDPR upřesňuje působnost zásady zákonnosti zpracování údajů. Jelikož čl. 6 odst. 1 tohoto nařízení umožňuje omezení práva na ochranu osobních údajů(8), odpovídá podmínkám stanoveným v čl. 52 odst. 1 Listiny: dotčené omezení je stanoveno zákonem a respektuje podstatu tohoto práva. Mimoto je toto omezení nezbytné a odpovídá cíli obecného zájmu, který uznává Unie, nebo potřebě ochrany práv a svobod druhého(9).
27. Normotvůrce také stanovil šest důvodů, na jejichž základě je zpracování údajů zákonné, přičemž jasně formuloval cíle obecného zájmu a práva a svobody vyžadující ochranu jako to, co je s to odůvodnit omezení práva na ochranu osobních údajů. Článek 6 odst. 1 GDPR stanoví „taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné“(10).
28. Článek 6 odst. 1 GDPR nestanoví striktní hierarchii(11) mezi důvody, na jejichž základě musí být zpracování údajů považováno za zákonné. Soudní dvůr vztahy mezi těmito důvody upřesnil v judikatuře.
29. Soudní dvůr zaprvé připomněl, že podle čl. 6 odst. 1 písm. a) GDPR „je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu“. Soudní dvůr dodal, že „[b]ez takového souhlasu, [...] je takové zpracování přesto odůvodněné, pokud splňuje jeden z požadavků nezbytnosti uvedených v čl. 6 odst. 1 [...] písm. b) až f) tohoto nařízení“(12). Mimoto rozhodl, že „musí být [dotčená] odůvodnění – jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů – vykládána restriktivně“(13). Důvody zpracování osobních údajů stanovené v čl. 6 odst. 1 uvedeného nařízení jsou tedy rovnocenné a žádný z nich nelze považovat za subsidiární ve vztahu k druhému.
30. Zadruhé Soudní dvůr upřesnil, že důvody stanovené v čl. 6 odst. 1 GDPR nejsou kumulativní. Uvedl tak, že „je-li možné konstatovat, že zpracování osobních údajů je nezbytné s ohledem na některý z důvodů stanovených v čl. 6 odst. 1 [...] písm. b) až f) GDPR, není třeba zjišťovat, zda se na toto zpracování vztahuje i nějaký další z těchto důvodů“(14). Jinými slovy, jak jsem již uvedl(15), zpracování osobních údajů je zákonné, je-li odůvodněno jediným důvodem, aniž by některý důvod mohl být považován za subsidiární ve vztahu k druhému.
31. Zásadu zákonnosti, která je konkretizována v čl. 6 odst. 1 GDPR, však nelze analyzovat izolovaně. Soudní dvůr ustáleně rozhoduje, že tato podmínka „musí být posuzována společně se zásadou ‚minimalizace údajů‘ zakotvenou v čl. 5 odst. 1 písm. c) [tohoto nařízení]“(16). Tato zásada je podle judikatury Soudního dvora, a jak jsem již zdůraznil(17), projevem zásady proporcionality(18), která vyžaduje, jak v písemném vyjádření zdůrazňuje francouzská vláda, aby použité prostředky byly způsobilé k uskutečnění sledovaného cíle a nepřekračovaly meze toho, co je k dosažení tohoto cíle nezbytné(19).
32. Jinak řečeno, zásada minimalizace údajů předpokládá ověření, že zpracovávané údaje jsou způsobilé k dosažení účelu, který jejich zpracování sleduje – v souladu s důvody uvedenými v čl. 6 odst. 1 GDPR – a že zpracovávané údaje jsou způsobilé pouze tehdy, pokud účelu zpracování nelze rozumně dosáhnout jinými prostředky. Rozsah takto zpracovávaných údajů není jak z kvantitativního, tak z věcného hlediska širší, než je nezbytné k dosažení tohoto účelu(20).
33. V tomto ohledu učiním doplňující poznámku. Uvádím, že Soudní dvůr vykládal zásadu minimalizace údajů, ve spojení se zásadou zákonnosti zpracování, pouze v situacích, kdy se dotčené zpracování opíralo o některý z důvodů stanovených v čl. 6 odst. 1 písm. b) až f) GDPR. Jinak řečeno, Soudní dvůr jasně neupřesnil, zda se má zásada minimalizace údajů použít i tehdy, kdy subjekt údajů se zpracováním svých osobních údajů souhlasil. Je pravda, že by bylo možné obhajovat myšlenku, že v rozsahu, v jakém s tím daná osoba souhlasí, může správce provést zpracování všech údajů, aniž by tomu zásada minimalizace bránila.
34. Takový výklad však podle mého názoru není slučitelný ani s cílem GDPR zajistit vysokou úroveň ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů, ani se zněním dotčených ustanovení.
35. Uvádím totiž, že čl. 6 odst. 1 písm. a) GDPR stanoví, že zpracování je zákonné za podmínky, že subjekt údajů udělil „souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů“(21). V tomto ohledu zdůrazňuji, že souhlasem se rozumí „jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle“(22). Jinak řečeno, nemůže jít o obecný souhlas se zpracováním všech údajů. Mimoto subjektu údajů musí být sdělen účel, pro který je souhlas se zpracováním údajů udělen. Článek 5 odst. 1 písm. c) tohoto nařízení zase stanoví, že zpracovávané údaje musí být „přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány“(23). Za těchto podmínek jsem toho názoru, že zásada minimalizace údajů se použije i v případě, že je zpracování těchto údajů uskutečňováno se souhlasem subjektu údajů, a vede k ověření, že dotčené údaje jsou skutečně omezeny na to, co je nezbytné k dosažení konkrétního účelu zpracování.
36. S ohledem na tyto úvahy je třeba provést přezkum zpracování údajů o oslovení zákazníků ze strany společnosti SNCF Connect ve světle čl. 6 odst. 1 písm. b) a f) GDPR, a to s tím upřesněním, že předkládající soud odkazuje výlučně na tyto dva účely zpracování.
2. K čl. 6 odst. 1 písm. b) GDPR: nezbytnost zpracování pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů
37. Článek 6 odst. 1 písm. b) GDPR stanoví, že zpracování osobních údajů je zákonné, je-li „nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů“.
38. V rozsudku Meta Platforms a další Soudní dvůr působnost tohoto ustanovení upřesnil. Soudní dvůr rozhodl, že „aby bylo zpracování osobních údajů považováno za nezbytné pro splnění smlouvy ve smyslu tohoto ustanovení, musí být objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného subjektu údajů. Správce tedy musí být schopen prokázat, proč by bez předmětného zpracování nemohlo být dosaženo hlavního předmětu smlouvy“(24).
39. Účastníci řízení se shodují na vymezení hlavního předmětu smlouvy, jímž je poskytnutí přepravního dokladu a in fine přeprava zákazníků po železnici. Je tedy důležité ověřit zaprvé, zda jsou údaje o oslovení zákazníka zpracovávány za účelem dosažení účelu, který je nedílnou součástí plnění přepravní služby, a zadruhé, zda je toto zpracování za tímto účelem objektivně nezbytné.
a) Určení účelu zpracování
40. Společnost SNCF Connect a francouzská vláda tvrdí, že splnění přepravní smlouvy předpokládá komunikaci se zákazníkem, a to jak při rezervaci, tak v průběhu dotčené cesty a po jejím skončení, a vyžaduje znalost oslovení tohoto zákazníka za účelem personalizované komunikace se zákazníkem a v souladu s obecně přijímanými zvyklostmi v oblasti obchodních sdělení.
41. Společnost SNCF Connect dodává, že za účelem splnění přepravní smlouvy je důležité znát pohlaví dotčené osoby, aby bylo možné přizpůsobit plnění ve zvláštních případech, jako je pomoc osobám s omezenou schopností pohybu nebo přístup do vozů, které jsou v nočních vlacích vyhrazeny ženám. V tomto ohledu uvádím, že takový účel není striktně předmětem první předběžné otázky, jak je formulována předkládajícím soudem, který výslovně odkazuje na užívání obecně přijímaných zvyklostí v oblasti obchodních sdělení. Avšak vzhledem k tomu, že se předkládající soud Soudního dvora obecně dotazuje na shromažďování údajů o oslovení ve světle zásady minimalizace údajů a zásady zákonnosti zpracování, ke zkoumání takového argumentu přesto přikročím.
42. Pokud jde o účel komunikace se zákazníkem, jsem toho názoru, že tato komunikace by měla být považována za nedílnou součást přepravní smlouvy. Taková smlouva totiž předpokládá dodání přepravního dokladu, a tedy navázání kontaktu se zákazníkem, aby mu byl tento doklad předán. Nutnost komunikace se zákazníkem podle mého názoru přetrvává i během uskutečňování přepravy, a to zejména za účelem předejití jakékoli události, která má dopad na zákazníkovu cestu, a po přepravě, a to zejména v případě výměny informací s oddělením služeb zákazníkům ohledně této cesty.
43. V tomto ohledu je třeba, abych upřesnil, že argument formulovaný francouzskou vládou, podle něhož účelem zpracování není jen komunikace se zákazníkem, nýbrž konkrétně i komunikace se zákazníkem v souladu se zvyklostmi v oblasti obchodních sdělení, musí být odmítnut. Takto definovaný účel není zaprvé podle mého názoru nedílnou součástí plnění přepravní služby: nic nenaznačuje, že by tohoto účelu nebylo možné dosáhnout bez komunikace v souladu s běžně přijímanými zvyklostmi v oblasti obchodních sdělení. Tento argument je zadruhé založen na argumentaci kruhem. Takto definovaný účel zpracování údajů – komunikace v souladu s obecně přijímanými zvyklostmi v oblasti obchodních sdělení – je totiž směšován s prostředky použitými k dosažení tohoto účelu – použití obecně přijímaných zvyklostí v oblasti obchodních sdělení.
44. Pokud jde o přizpůsobení plnění přepravní služby zvláštním případům, jak uvádí společnost SNCF Connect, je podle mého názoru stěží sporu o tom, že tvoří nedílnou součást tohoto plnění, jelikož směřuje právě k zajištění jeho uskutečnění.
45. Avšak i tehdy, kdy jsou účely dotčeného zpracování podle mého názoru vskutku vlastní plnění přepravní služby a lze je podle čl. 6 odst. 1 písm. b) GDPR připustit, je třeba i to, aby bylo zpracování osobních údajů nezbytné k dosažení uplatňovaného účelu tak, že bez tohoto zpracování by nebylo možné dosáhnout hlavního předmětu smlouvy, a aby neexistovala jiná proveditelná a méně narušující řešení k dosažení téhož účelu.
46. Jsem přitom toho názoru, že zpracování údajů o oslovení překračuje meze toho, co je nezbytné k tomu, aby bylo možné smlouvu řádně splnit.
b) Nezbytnost zpracování k dosažení určených účelů
47. Na prvním místě, pokud jde o účel komunikace, řádné splnění přepravní smlouvy nemůže záviset na užití oslovení při komunikaci přepravní společnosti s jejími zákazníky, a to i tehdy, kdy má správce v úmyslu komunikovat se svými zákazníky personalizovaným způsobem. Přepravní společnost může se svými zákazníky snadno komunikovat personalizovaným způsobem, aniž by užívala jejich oslovení.
48. Mimoto, i když společnost SNCF Connect na jednání zdůraznila nutnost chránit obraz značky užíváním formulací běžně přijímaných v obchodních sděleních, lze tohoto výsledku dosáhnout i jinými formulacemi, které vyjadřují ohled ve vztahu k zákazníkovi a nejsou závislé na oslovení.
49. Tak je tomu tím spíše, že jak zdůrazňuje sdružení Mousse a s výhradou ověření ze strany předkládajícího soudu, společnost SNCF Connect se v praxi soustavně neuchylovala k běžně přijímaným zvyklostem v oblasti obchodních sdělení, které by vyžadovaly znát oslovení zákazníků, nýbrž užívá jiné obecnější formulace, jako je „Díky, šťastnou cestu“ nebo i „Dobrý den“. Skutečnost, že v komunikaci společnosti SNCF Connect nedochází k využívání oslovení zákazníků soustavně, podle mého názoru jasně naznačuje nejen, že zpracování těchto údajů není pro splnění dotčené smlouvy nezbytné, nýbrž i to, že ve světle zásady minimalizace údajů dochází k zpracování širšího okruhu údajů, než je nezbytné.
50. Ve stejné myšlenkové linii uvádím, že společnost SNCF Connect, která byla na jednání na tuto otázku dotázána, souhlasila s tím, že úmyslné uvedení jiného oslovení, než je skutečné oslovení dotčené osoby, nemá ve skutečnosti dopad na plnění přepravní služby. Za těchto podmínek je třeba konstatovat, že hlavního předmětu smlouvy lze stále dosáhnout i bez zpracování dotčených údajů.
51. Na druhém místě, pokud jde o účel přizpůsobení plnění přepravy, i v tomto případě jsem toho názoru, že zpracování údajů o oslovení přesahuje meze toho, co je nezbytné k tomu, aby jej bylo možné dosáhnout. Zaprvé osobními údaji, které jsou relevantní k tomu, aby takové přizpůsobení umožnily, nejsou podle mého názoru údaje o oslovení, které podle názoru francouzské vlády nepředstavují prvek osobního stavu, nýbrž údaje o pohlaví zákazníků, jak se uvádí v evidenci obyvatel. Zadruhé by téhož cíle mohlo být dosaženo shromažďováním a zpracováním těchto údajů nikoli u všech objednávek přepravních dokladů, nýbrž pouze u zvláštních případů, které to vyžadují, jako je objednávka přepravního dokladu pro jízdu ve voze, který je v nočních vlacích vyhrazen ženám, nebo žádost o pomoc pro osobu s omezenou schopností pohybu.
52. Za těchto podmínek jsem toho názoru, že čl. 6 odst. 1 písm. b) GDPR a čl. 5 odst. 1 písm. c) téhož nařízení je třeba vykládat v tom smyslu, že systematické zpracování údajů o oslovení nelze považovat za nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, ani pro provedení předsmluvních opatření přijatých na žádost tohoto subjektu údajů, pokud je cílem tohoto zpracování umožnit personalizovanou obchodní komunikaci, jež zaručí dodržení obecně přijímaných zvyklostí v oblasti obchodních sdělení, nebo zajistit přizpůsobení plnění přepravy z důvodu pohlaví dotčené osoby.
3. K čl. 6 odst. 1 písm. f) GDPR: nezbytnost zpracování pro účely oprávněných zájmů příslušného správce či třetí strany
53. Článek 6 odst. 1 písm. f) GDPR stanoví, že zpracování osobních údajů je zákonné, pokud je „nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě“.
54. V judikatuře Soudního dvora je ustáleno, že z tohoto ustanovení plyne, že pro to, aby bylo zpracování osobních údajů, na které se uvedené ustanovení vztahuje, zákonné, musí být splněny tři kumulativní podmínky. Zaprvé správce nebo třetí strana musí sledovat oprávněný zájem. Zadruhé, zpracování osobních údajů je nezbytné pro uskutečnění sledovaného oprávněného zájmu. Zatřetí, zájmy nebo základní práva a svobody subjektu údajů nemají přednost před oprávněným zájmem správce nebo třetí strany(25).
55. Pokud jde o první podmínku, která se týká sledování oprávněného zájmu, Soudní dvůr v rozsudku Meta Platforms a další zdůraznil, že „v souladu s čl. 13 odst. 1 písm. d) GDPR je na správci, aby v okamžiku, kdy jsou osobní údaje týkající se subjektu údajů od tohoto subjektu získány, sdělil uvedenému subjektu sledované oprávněné zájmy, pokud je toto zpracování založeno na čl. 6 odst. 1 […] písm. f) tohoto nařízení“(26). Soudní dvůr v témže rozsudku rozhodl, že toto posledně uvedené ustanovení musí být vykládáno v tom smyslu, že zpracování osobních údajů „může být považováno za nezbytné pro účely oprávněných zájmů sledovaných správcem nebo třetí osobou ve smyslu tohoto ustanovení pouze za podmínky, že uvedený provozovatel informoval uživatele, od nichž byly údaje shromážděny, o oprávněném zájmu sledovaném jejich zpracováním“(27).
56. Jinak řečeno, sankcí za nedodržení informační povinnosti stanovené v čl. 13 odst. 1 písm. d) GDPR je protiprávnost zpracování dotčených osobních údajů.
57. Jak tvrdí Komise a s výhradou ověření ze strany předkládajícího soudu, přitom podle mého názoru platí, že společnost SNCF Connect této povinnosti nevyhověla.
58. Jak zdůrazňuje Komise, společnost SNCF Connect v „listině důvěrnosti“, která je dostupná na jejích internetových stránkách, uvádí, že právním základem pro zpracování údajů o oslovení je „oprávněný zájem“. V tomto ohledu učiním dvě poznámky. Zaprvé pouhá zmínka o oprávněném zájmu, aniž by bylo upřesněno, jaký tento oprávněný zájem přesně je, nemůže naplnit informační povinnost uvedenou v čl. 13 odst. 1 písm. d) GDPR, který správci ukládá, aby uváděl oprávněný zájem, jenž sleduje. Zadruhé a každopádně, obecná zmínka o oprávněném zájmu v „listině důvěrnosti“, která je sice dostupná na internetových stránkách správce, ale zákazník ji musí úmyslně vyhledat, nevyhovuje čl. 13 odst. 1 písm. d) tohoto nařízení. Toto ustanovení totiž ukládá, aby o sledovaném oprávněném zájmu byl subjekt údajů informován v okamžiku, kdy jsou údaje shromažďovány, což podle mého názoru předpokládá, že s takovými informacemi musí být zákazník přímo seznámen, když dotčené údaje, které se ho týkají, poskytuje.
59. Mimoto společnost SNCF Connect nebyla na dotaz vznesený na jednání, jenž se týkal informační povinnosti, schopna uvést, že oprávněný zájem, který je zpracováním sledován, je jejím zákazníkům skutečně sdělen v okamžiku shromažďování údajů o oslovení.
60. První podmínka podle čl. 6 odst. 1 písm. f) GDPR, vztahující se k existenci oprávněného zájmu, vykládaná ve světle povinnosti sdělit tento zájem stanovené v čl. 13 odst. 1 písm. d) tohoto nařízení, proto není splněna. Zpracování údajů o oslovení v takové situaci tedy nelze považovat za zákonné ve smyslu tohoto ustanovení, aniž by bylo třeba zkoumat, zda jsou splněny obě ostatní podmínky stanovené v čl. 6 odst. 1 písm. f) uvedeného nařízení.
a) Závěr k výkladu čl. 6 odst. 1 písm. f) GDPR
61. Z výše uvedeného plyne, že čl. 6 odst. 1 písm. f) GDPR a čl. 5 odst. 1 písm. c) tohoto nařízení musí být podle mého názoru vykládány v tom smyslu, že zpracování údajů o oslovení zákazníků ze strany přepravní společnosti nelze považovat za nezbytné pro účely oprávněných zájmů správce nebo třetí strany ve smyslu tohoto ustanovení, jelikož tato společnost nesdělila uživatelům, od kterých byly údaje shromážděny, oprávněný zájem, který je zpracováním uvedených údajů sledován.
b) Doplňující poznámky
62. Pro úplnost a pro případ, že by Soudní dvůr dospěl k závěru, že dotčený oprávněný zájem byl v souladu s čl. 13 odst. 1 písm. d) GDPR sdělen, budu přesto pokračovat v analýze podmínek, které musí být splněny k tomu, aby bylo zpracování osobních údajů považováno na základě článku 6 odst. 1 písm. f) tohoto nařízení za zákonné.
63. Pokud jde zaprvé o podmínku vztahující se k existenci oprávněného zájmu, společnost SNCF Connect a francouzská vláda tvrdí, že sledovaným oprávněným zájmem je komunikace se zákazníkem.
64. Uvádím, že Soudní dvůr rozhodl, pokud jde o pojem „oprávněného zájmu“, že „vzhledem k tomu, že GDPR tento pojem nedefinuje, je třeba zdůraznit, [...] že za oprávněný zájem lze v zásadě považovat širokou škálu zájmů“(28).
65. V tomto ohledu připomínám, že společnost SNCF Connect je podnikem, který nabízí on-line prodej přepravních dokladů na železniční přepravu. Jak jsem již uvedl(29), tato služba předpokládá navázání kontaktu se zákazníkem, a to alespoň za tím účelem, aby mu byl přepravní doklad předán. Jeví se mi, že účel komunikace se zákazníkem může být pro tento podnik oprávněným zájmem ve smyslu čl. 6 odst. 1 písm. f) GDPR, takže první podmínka, vztahující se k existenci takového oprávněného zájmu, by měla být podle mého názoru považována za splněnou.
66. Pokud jde zadruhé o podmínku vztahující se k nezbytnosti zpracování osobních údajů za účelem naplnění oprávněného zájmu, ta podle mého názoru splněna není. Jak jsem ukázal v rámci analýzy čl. 6 odst. 1 písm. b) GDPR, zpracování údajů o oslovení překračuje meze toho, co je nezbytné k dosažení účelu komunikace se zákazníkem, jelikož tato komunikace může probíhat bez využití těchto údajů(30).
67. Pokud jde zatřetí a konečně o podmínku, která se vztahuje k tomu, že zájmy nebo základní svobody a práva subjektu údajů nemají přednost před oprávněným zájmem správce nebo třetí strany, zdůrazňuji, že Soudní dvůr rozhodl, že „tato podmínka zahrnuje vyvážení dotčených protichůdných práv a zájmů, které v zásadě závisí na konkrétních okolnostech každého jednotlivého případu“(31). Uvedu však některé poznámky jako vodítko pro předkládající soud při provádění tohoto posouzení.
68. Soudní dvůr rozhodl, že „[v] rámci tohoto poměřování předmětných protichůdných práv a zájmů, a sice práv a zájmů správce na straně jedné a práv a zájmů subjektu údajů na straně druhé, je třeba zohlednit […] mimo jiné rozumná očekávání subjektu údajů a rozsah předmětného zpracování a jeho dopad na tuto osobu“(32).
69. Mimoto z bodu 47 odůvodnění GDPR plyne, že „[e]xistenci oprávněného zájmu je v každém případě třeba pečlivě posoudit, včetně toho, zda subjekt údajů může v okamžiku a v kontextu shromažďování osobních údajů důvodně očekávat, že ke zpracování pro tento účel může dojít“.
70. V tomto ohledu nevidím, do jaké míry mohl zákazník dopravního podniku rozumně očekávat, že údaje o jeho oslovení budou tímto podnikem zpracovány za účelem komunikace v rámci poskytnutí nákupu přepravního dokladu.
71. Každopádně si nemyslím, že pouhá existence rozumných očekávání stačí k zajištění toho, že oprávněný zájem správce má přednost před zájmy nebo základními právy a svobodami subjektu údajů. I když je takový prvek jistě relevantní v rámci vážení, které má být provedeno, nemůže naproti tomu systematicky vést k závěru, že přednost má oprávněný zájem správce, a to zejména pokud zpracování dotčených osobních údajů může porušit základní svobodu nebo právo subjektu údajů, jak jsou zaručena Listinou.
72. Jak přitom tvrdí sdružení Mousse, tak je tomu podle mého názoru v projednávané věci. Toto sdružení totiž uplatňuje, že existuje riziko diskriminace na základě genderu z důvodu zpracování údajů o oslovení, a to zejména pokud jde o transgender osoby nebo o osoby, které mají státní příslušnost státu, který uznává neutrální gender.
73. Za těchto podmínek a s výhradou ověření ze strany předkládajícího soudu jsem toho názoru, že oprávněný zájem na komunikaci se zákazníkem nemůže mít přednost před zájmy nebo základními právy a svobodami subjektu údajů.
B. Ke druhé předběžné otázce
74. Druhou předběžnou otázkou se předkládající soud v podstatě snaží zjistit, zda čl. 6 odst. 1 písm. f) GDPR musí být vykládán v tom smyslu, že pro účely posuzování nezbytnosti zpracování osobních údajů ve smyslu tohoto ustanovení je třeba zohlednit existenci případného práva subjektu údajů vznést námitku podle čl. 21 odst. 1 tohoto nařízení.
75. Článek 21 odst. 1 GDPR stanoví, že subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, a to přinejmenším pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.
76. Podle ustálené judikatury platí, že pro výklad ustanovení unijního práva je třeba vzít v úvahu nejen jeho znění, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí(33).
77. Pokud jde o znění čl. 21 odst. 1 GDPR, uvádím, že unijní normotvůrce zdůrazňuje, že právo vznést námitku se týká zpracování osobních údajů založeného zejména na čl. 6 odst. 1 písm. f) tohoto nařízení. Jinak řečeno, jak tvrdí sdružení Mousse a Komise, právo vznést námitku předpokládá existenci zákonného zpracování, a to zejména na základě oprávněného zájmu správce. Toto právo se má tedy uplatnit teprve poté, co došlo k zákonnému zpracování, aby bylo toto zpracování ukončeno.
78. To podle mého názoru potvrzuje čl. 21 odst. 1 druhá část GDPR, která stanoví, že v případě námitky subjektu údajů na základě tohoto ustanovení správce dotčené údaje dále nezpracovává(34). Taková formulace podle mého názoru dává jasně na srozuměnou, že zpracování dotčených údajů je za podmínek uvedených v čl. 6 odst. 1 písm. f) tohoto nařízení zákonné, avšak jakmile byla podána námitka, nesmějí být tyto údaje dále předmětem takového zpracování.
79. Jinak řečeno, čl. 21 odst. 1 GDPR se má uplatnit teprve poté, co je stanovena zákonnost zpracování.
80. Ze znění čl. 21 odst. 1 GDPR tedy plyne, že existence práva vznést námitku není pro účely posuzování nezbytnosti takového zpracování podle čl. 6 odst. 1 písm. f) tohoto nařízení nikterak relevantní, jelikož uplatnění čl. 21 odst. 1 uvedeného nařízení předpokládá, že jsou již splněny podmínky podle čl. 6 odst. 1 písm. f) téhož nařízení.
81. Takový doslovný výklad čl. 21 odst. 1 GDPR je mimoto potvrzen jeho analýzou ve světle kontextu a cílů tohoto nařízení.
82. Pokud jde o kontextuální výklad tohoto ustanovení, uvádím, že důvody, o které se může zpracování osobních údajů opírat, jsou stanoveny v článku 6 GDPR, jež uvádí zásadu zákonnosti v rámci kapitoly II tohoto nařízení, která se týká zásad, jimiž se zpracování údajů řídí. Článek 21 uvedeného nařízení zase spadá do rámce kapitoly III, která se týká práv subjektu údajů. Mimoto, jak jsem již zdůraznil, důvody uvedené v článku 6 téhož nařízení jsou podle ustálené judikatury taxativní(35). Za těchto podmínek plní obě dotčená ustanovení dvě odlišné funkce a nelze mít za to, že článek 21 GDPR může být při přezkumu zákonnosti zpracování, která se řídí pouze článkem 6 tohoto nařízení, zohledněn.
83. Pokud je o teleologický výklad čl. 6 odst. 1 písm. f) a článku 21 GDPR, zohlednění existence práva vznést námitku pro účely posuzování zákonnosti zpracování údajů podle článku 6 tohoto nařízení by znamenalo připustit zákonnost zpracování údajů pouze z důvodu možnosti, že subjekt údajů může proti tomuto zpracování následně vznést námitku. To by tedy vedlo k rozšíření důvodů zákonnosti zpracování nad rámec samotných případů uvedených v článku 6 uvedeného nařízení a k tomu, že úroveň ochrany subjektů údajů by byla závislá na jejich řádné péči s ohledem na vznesení námitky proti zpracování jejich osobních údajů, bez čehož by mohlo být toto zpracování považováno za zákonné. Takový výklad by tedy podle mého názoru mohl ohrozit cíl zajistit vysokou úroveň ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů.
84. Jsem proto toho názoru, že na druhou předběžnou otázku je třeba odpovědět, že čl. 6 odst. 1 písm. f) GDPR musí být vykládán v tom smyslu, že brání tomu, aby byla pro účely posuzování nezbytnosti zpracování osobních údajů ve smyslu tohoto ustanovení zohledněna případná existence práva subjektu údajů vznést námitku podle čl. 21 odst. 1 tohoto nařízení.
V. Závěry
85. S ohledem na všechny výše uvedené úvahy navrhuji, aby bylo na předběžné otázky předložené Conseil d’État (Státní rada, Francie) odpovězeno následovně:
„Článek 6 odst. 1 písm. b) a čl. 5 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládány v tom smyslu, že
systematické zpracování údajů o oslovení nelze považovat za nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, ani pro provedení předsmluvních opatření přijatých na žádost tohoto subjektu údajů, pokud je cílem tohoto zpracování umožnit personalizovanou obchodní komunikaci, jež zaručí dodržení obecně přijímaných zvyklostí v oblasti obchodních sdělení, nebo zajistit přizpůsobení plnění přepravy z důvodu pohlaví dotčené osoby.
Článek 6 odst. 1 písm. f) a čl. 5 odst. 1 písm. c) nařízení 2016/679
musí být vykládány v tom smyslu, že
zpracování údajů o oslovení zákazníků ze strany přepravní společnosti nelze považovat za nezbytné pro účely oprávněných zájmů správce nebo třetí strany ve smyslu ustanovení, jelikož tato společnost nesdělila uživatelům, od kterých byly údaje shromážděny, oprávněný zájem, který je zpracováním uvedených údajů sledován.
Článek 6 odst. 1 písm. f) nařízení 2016/679
musí být vykládán v tom smyslu, že
brání tomu, aby byla pro účely posuzování nezbytnosti zpracování osobních údajů ve smyslu tohoto ustanovení zohledněna případná existence práva subjektu údajů vznést námitku podle čl. 21 odst. 1 tohoto nařízení.“