C-394/23

proti

Commission nationale de l’informatique et des libertés (CNIL),

SNCF Connect

[návrh na začatie prejudiciálneho konania, ktorý podala Conseil d’État (Štátna rada, Francúzsko)]

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 6 ods. 1 – Zásada zákonnosti spracúvania – Článok 5 ods. 1 písm. c) – Zásada minimalizácie údajov – Oslovenie – Nákup poskytovanej služby prepravy na internete – Článok 21 – Právo namietať“

I. Úvod

Právo Únie

3.

Odôvodnenia 4, 10, 39, 40, 44, 47, 69 a 75 GDPR uvádzajú:

„(4)

Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v [Charte základných práv Európskej únie (ďalej len ‚Charta‘)], ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.

…

Aby bolo spracúvanie zákonné, osobné údaje by sa mali spracúvať na základe súhlasu dotknutej osoby alebo na nejakom inom legitímnom základe, ktorý je stanovený v právnych predpisoch, a to buď v tomto nariadení alebo v iných právnych predpisoch Únie alebo v práve členského štátu [v inom ustanovení vnútroštátneho práva alebo práva Únie – neoficiálny preklad ], ako je to uvedené v tomto nariadení, vrátane… nevyhnutnosti plnenia zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo s cieľom podniknúť kroky na požiadanie dotknutej osoby pred uzavretím zmluvy.

…

(44)

Spracúvanie by sa malo považovať za zákonné, ak je potrebné v súvislosti so zmluvou alebo s úmyslom uzatvoriť zmluvu.

…

(47)

…

(75)

Riziko pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä ak spracúvanie môže viesť k diskriminácii…“

4.

Podľa článku 2 ods. 1 GDPR sa toto nariadenie vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.

5.

…

7.

‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;…

…

11.

‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;

…

c)

primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);

d)

správne a podľa potreby aktualizované; musia sa prijať všetky potrebné opatrenia, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bezodkladne vymažú alebo opravia (‚správnosť‘);

…“

spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;

c)

spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;

d)

spracúvanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby;

e)

„1. V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

…

d)

ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;

…“

9.

Francúzske právo

11.

Článok 8 loi n o 78‑17 relative à l’informatique, aux fichiers et aux libertés (zákon o informačných technológiách, súboroch údajov a slobodách) ( 3 ) zo 6. januára 1978 stanovuje:

„Commission nationale de l’informatique et des libertés [Národná komisia pre informačné technológie a slobody (CNIL)] je nezávislý správny orgán.

Je vnútroštátnym dozorným orgánom v zmysle a na účely uplatňovania [GDPR]. Vykonáva tieto úlohy:

…

III. Skutkový stav vo veci samej, konanie na Súdnom dvore a prejudiciálne otázky

12.

SNCF Connect je spoločnosť, ktorá prostredníctvom svojej internetovej stránky a aplikácií predáva cestovné lístky na železničnú dopravu, akými sú lístky na vlak, predplatené cestovné lístky a zľavnené karty. Pri kúpe týchto cestovných lístkov sú zákazníci tejto spoločnosti povinní uviesť svoje oslovenie zaškrtnutím možnosti „pán“ alebo „pani“.

13.

Keďže žalobca vo veci samej, združenie Mousse (ďalej len „Mousse“), sa domnieval, že podmienky, za ktorých sa získavali a zaznamenávali údaje o oslovení zákazníkov pri nákupe cestovných lístkov, neboli v súlade s požiadavkami GDPR, obrátil sa na CNIL so sťažnosťou proti spoločnosti SNCF Connect. Na podporu tejto sťažnosti Mousse uviedlo, že získavanie dotknutých údajov nebolo v súlade so zásadou zákonnosti zakotvenou v článku 5 ods. 1 písm. a) tohto nariadenia, keďže nebolo založené na žiadnom z dôvodov stanovených v článku 6 ods. 1 uvedeného nariadenia. Okrem toho takéto získavanie porušuje zásadu minimalizácie údajov a zásadu správnosti, ktoré sú v príslušnom poradí uvedené v článku 5 ods. 1 písm. c) a d) toho istého nariadenia, ako aj povinnosti transparentnosti a informovania vyplývajúce najmä z jeho článku 13. V tejto súvislosti Mousse tvrdilo, že SNCF Connect by nemala zhromažďovať tieto údaje alebo že by prinajmenšom mala svojim zákazníkom ponúknuť doplňujúce možnosti, ako napríklad „neutrálne“ alebo „iné“.

14.

Dňa 21. mája 2021 podalo Mousse žalobu o neplatnosť proti rozhodnutiu komisie CNIL z 23. marca 2021 na Conseil d’État (Štátna rada, Francúzsko). Mousse vo svojej žalobe predovšetkým tvrdí, že povinnosť zvoliť si pri nákupe online oslovenie „pán“ alebo „pani“ nezodpovedá zásade zákonnosti ani zásade minimalizácie údajov uvedeným v príslušnom poradí v článku 5 ods. 1 písm. a) a c) GDPR, keďže tento údaj nie je nevyhnutný na plnenie zmluvy ani na účely oprávnených záujmov spoločnosti SNCF Connect. Okolnosť, že uvedený údaj sa používa v obchodnej korešpondencii, nemôže stačiť na to, aby bolo získavanie týchto údajov nevyhnutné. Napokon takáto povinnosť môže porušovať právo cestovať bez oznámenia svojho občianskeho oslovenia, právo na rešpektovanie súkromného života, ako aj slobodu voľne vymedziť svoje rodové vyjadrenie. Pokiaľ ide najmä o štátnych príslušníkov krajín, ktorých občiansky stav pripúšťa„neutrálny rod“, tento údaj nezodpovedá skutočnosti, a teda môže byť v rozpore so zásadou správnosti uvedenou v článku 5 ods. 1 písm. d) tohto nariadenia a zároveň zasahovať do ich slobody pohybu zaručenej právom Únie.

16.

CNIL navrhuje zamietnuť túto žalobu a tvrdí, že spracúvanie údajov o oslovení možno kvalifikovať ako „nevyhnutné“ aj na účely oprávnených záujmov sledovaných spoločnosťou SNCF Connect v zmysle článku 6 ods. 1 písm. f) GDPR a že dotknuté osoby môžu v závislosti od svojej konkrétnej situácie uplatniť právo namietať zaručené v článku 21 tohto nariadenia.

17.

2.

Má sa pri posudzovaní nevyhnutnosti povinného zhromažďovania a spracúvania údajov týkajúcich sa oslovenia zákazníkov a vzhľadom na to, že niektorí zákazníci sa domnievajú, že nepatria do žiadnej z dvoch kategórií oslovení a že zhromažďovanie týchto údajov nie je v ich prípade relevantné, zohľadniť skutočnosť, že by mohli po tom, čo tieto údaje prevádzkovateľovi poskytli s cieľom využiť ponúkanú službu, uplatniť svoje právo namietať proti ich používaniu a uchovávaniu s odkazom na svoju konkrétnu situáciu podľa článku 21 GDPR?“

19.

Písomné pripomienky predložili Mousse, SNCF Connect, francúzska vláda a Európska komisia. Tí istí účastníci konania sa zúčastnili na pojednávaní, ktoré sa konalo 29. apríla 2024.

IV. Analýza

A.

Na jednej strane chcem uviesť, že účastníci konania sa zhodujú v tom – o čom niet pochýb –, že údaje o oslovení zákazníkov dopravného podniku predstavujú osobné údaje v zmysle článku 4 bodu 1 GDPR a že ich získavanie a zaznamenávanie spoločnosťou SNCF Connect treba považovať za spracúvanie v zmysle článku 4 bodu 2 tohto nariadenia, takže ich treba preskúmať s ohľadom na ustanovenia uvedeného nariadenia.

23.

Na druhej strane SNCF Connect a francúzska vláda zastávajú názor, podľa ktorého by záporná odpoveď na prvú prejudiciálnu otázku viedla k uplatneniu GDPR v kontexte, ktorý s ním nesúvisí, keďže normotvorca prijatím tohto nariadenia nemal v úmysle upraviť zvyklosti v oblasti komunikácie alebo rodové otázky. Hoci pripúšťam, podobne ako generálny advokát Bobek, že pravidlá v oblasti ochrany súkromia sa niekedy môžu „uplatňovať za pomerne prekvapivých okolností“, ( 4 ) domnievam sa, že prejednávaná situácia medzi ne nepatrí. Skutočnosť, že ide o údaje o totožnosti a že sa tu implicitne odrážajú diskusie existujúce vo vnútroštátnych právnych poriadkoch, pokiaľ ide o otázku binárnosti rodov, nemôže viesť k zastieraniu skutočnosti, že v prejednávanej veci ide o automatizované spracúvanie osobných údajov zákazníkov zo strany dopravnej spoločnosti, ktoré nielenže objektívne spadá do pôsobnosti GDPR, ale predstavuje operáciu spracúvania údajov, ktorej regulácia bola cieľom normotvorcu Únie. ( 5 )

24.

Svoju analýzu prvej prejudiciálnej otázky teda začnem všeobecnými poznámkami v súvislosti s podmienkou týkajúcou sa zákonnosti spracúvania údajov, ktorej podľa GDPR podliehajú prevádzkovatelia, a následne určím, či vzhľadom na uvedené zásady treba túto podmienku považovať za splnenú, pokiaľ ide o spracúvanie údajov týkajúcich sa oslovenia zákazníkov dopravného podniku s cieľom komunikovať s týmito zákazníkmi s využitím bežne prípustných zvyklostí v oblasti obchodnej komunikácie.

Normotvorca tiež stanovil šesť dôvodov, na základe ktorých je spracúvanie údajov zákonné, pričom vysvetlil ciele všeobecného záujmu a práva a slobody vyžadujúce ochranu, ktoré môžu odôvodniť obmedzenie práva na ochranu osobných údajov. Článok 6 ods. 1 tak stanovuje „taxatívny a obmedzujúci zoznam prípadov, v ktorých možno považovať spracúvanie osobných údajov za zákonné“ ( 10 ).

28.

Článok 6 ods. 1 GDPR nestanovuje prísnu hierarchiu ( 11 ) medzi dôvodmi, pre ktoré treba spracúvanie údajov považovať za zákonné. Súdny dvor tak vo svojej judikatúre špecifikoval ich vzájomné vzťahy.

29.

Na jednej strane pripomenul, že podľa článku 6 ods. 1 písm. a) GDPR „je spracúvanie osobných údajov zákonné iba vtedy a iba v rozsahu, v akom s ním dotknutá osoba súhlasila na jeden alebo viacero konkrétnych účelov“. Súdny dvor dodal, že „v prípade neexistencie takéhoto súhlasu… je takéto spracúvanie napriek tomu odôvodnené, ak spĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1…písm. b) až f) tohto nariadenia“ ( 12 ). Okrem toho rozhodol, že dotknuté „odôvodnenia…, pokiaľ umožňujú zákonnosť spracúvania osobných údajov vykonávaného bez súhlasu dotknutej osoby, [sa] musia vykladať reštriktívne“ ( 13 ). Dôvody spracúvania osobných údajov stanovené v článku 6 ods. 1 uvedeného nariadenia sú teda rovnocenné a žiadny dôvod nemožno považovať za subsidiárny vo vzťahu k inému.

30.

33.

V tejto súvislosti by som chcel uviesť doplňujúcu poznámku. Chcem poukázať na to, že Súdny dvor vyložil zásadu minimalizácie údajov v spojení so zásadou zákonnosti spracúvania len v situáciách, keď bolo dané spracúvanie založené na jednom z dôvodov stanovených v článku 6 ods. 1 písm. b) až f) GDPR. Inak povedané, Súdny dvor jasne nespresnil, či sa má zásada minimalizácie údajov uplatniť aj vtedy, keď dotknutá osoba súhlasila so spracúvaním svojich osobných údajov. Je pravda, že by sa dalo tvrdiť, že pokiaľ s tým osoba súhlasí, prevádzkovateľ môže spracúvať všetky údaje bez toho, aby tomu bránila zásada minimalizácie.

34.

Takýto výklad sa mi však nezdá byť zlučiteľný ani s cieľom GDPR, ktorým je zabezpečiť vysokú úroveň ochrany fyzických osôb pri spracúvaní ich osobných údajov, ani so znením dotknutých ustanovení.

35.

38.

Súdny dvor spresnil rozsah tohto ustanovenia v rozsudku Meta Platforms a i. Súdny dvor tak rozhodol, že „aby sa spracúvanie osobných údajov považovalo za nevyhnutné na plnenie zmluvy v zmysle tohto ustanovenia, musí byť objektívne nevyhnutné na dosiahnutie účelu, ktorý je neoddeliteľnou súčasťou zmluvného plnenia určeného dotknutej osobe. Prevádzkovateľ tak musí byť schopný preukázať, prečo by bez predmetného spracúvania nebolo možné dosiahnuť hlavný predmet zmluvy“ ( 24 ).

39.

Účastníci konania sa zhodujú na tom, že hlavný predmet zmluvy je vymedzený ako dodanie cestovného lístka a v konečnom dôsledku preprava zákazníkov po železnici. Treba teda overiť, či sa na jednej strane údaje o oslovení zákazníka spracúvajú na dosiahnutie účelu, ktorý je neoddeliteľnou súčasťou služby prepravy, a na druhej strane, či je toto spracúvanie objektívne nevyhnutné na tento účel.

a) Identifikácia účelu spracúvania

40.

43.

V tejto súvislosti musím spresniť, že tvrdenie francúzskej vlády, podľa ktorého účelom spracúvania nie je len komunikácia so zákazníkom, ale presnejšie aj komunikácia so zákazníkom podľa zvyklostí v oblasti obchodnej komunikácie, treba odmietnuť. Na jednej strane sa mi takto vymedzený účel nezdá byť neoddeliteľnou súčasťou poskytovania služby prepravy: nič nenasvedčuje tomu, že by k nej nemohlo dôjsť bez komunikácie podľa bežne prípustných zvyklostí v oblasti obchodnej komunikácie. Na druhej strane toto tvrdenie vychádza z cyklického odôvodnenia. Takto vymedzený účel spracúvania údajov – komunikovať podľa všeobecne prípustných zvyklostí v oblasti obchodnej komunikácie – sa totiž zamieňa s prostriedkami použitými na dosiahnutie tohto účelu – používanie bežne prípustných zvyklostí v oblasti obchodnej komunikácie.

44.

Pokiaľ ide o prispôsobenie služby prepravy osobitným prípadom, na ktoré poukazuje SNCF Connect, zdá sa mi tiež ťažko spochybniteľné, že je neoddeliteľnou súčasťou tejto služby, keďže má práve zabezpečiť jej realizáciu.

45.

Aj keď sú účely predmetného spracúvania podľa môjho názoru skutočne spojené s poskytovaním služby prepravy a možno ich pripustiť na základe článku 6 ods. 1 písm. b) GDPR, je ešte potrebné, aby spracúvanie osobných údajov bolo nevyhnutné na dosiahnutie uvádzaného účelu, takže bez tohto spracúvania by nebolo možné dosiahnuť hlavný predmet zmluvy, ako aj to, aby neexistovali žiadne iné použiteľné a menej rušivé riešenia na dosiahnutie toho istého účelu.

Okrem toho, hoci SNCF Connect na pojednávaní zdôraznila potrebu zachovať imidž značky používaním formulácií bežne prípustných v obchodnej komunikácii, dosiahnutie tohto výsledku môžu rovnako umožniť aj iné formulácie svedčiace o úcte k zákazníkovi, ktoré nezávisia od oslovenia.

49.

Platí to o to viac, že – ako tvrdí Mousse a s výhradou overenia vnútroštátnym súdom – SNCF Connect v praxi nie vždy používa bežne prípustné zvyklosti v oblasti obchodnej komunikácie, ktoré by si vyžadovali poznať oslovenie zákazníkov, ale používa aj iné všeobecnejšie formulácie, ako napríklad „Ďakujeme, šťastnú cestu“ alebo „Dobrý deň“. Neexistencia systematického využívania oslovenia klientov v komunikácii spoločnosti SNCF Connect podľa môjho názoru jasne naznačuje nielen to, že spracúvanie týchto údajov nie je nevyhnutné na plnenie predmetnej zmluvy, ale aj to, že vzhľadom na zásadu minimalizácie údajov je spracúvanie údajov rozsiahlejšie, než je nevyhnutné.

50.

Rovnako chcem poukázať na to, že SNCF Connect, ktorej bola v tejto súvislosti položená otázka na pojednávaní, uznala, že úmyselné uvedenie iného oslovenia, než je skutočné oslovenie dotknutej osoby, v skutočnosti nemá vplyv na poskytovanie služby prepravy. Za týchto podmienok treba konštatovať, že hlavný predmet zmluvy možno dosiahnuť aj bez spracúvania dotknutých údajov.

51.

54.

Judikatúra Súdneho dvora je ustálená v tom, že z tohto ustanovenia vyplýva, že na to, aby spracúvanie osobných údajov, ktorého sa ustanovenie týka, bolo zákonné, musia byť splnené tri kumulatívne podmienky. Po prvé prevádzkovateľ alebo tretia strana musia sledovať oprávnený záujem. Po druhé spracúvanie osobných údajov je nevyhnutné na dosiahnutie oprávneného záujmu. Po tretie záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany. ( 25 )

55.

Pokiaľ ide o prvú podmienku týkajúcu sa sledovania oprávneného záujmu, Súdny dvor v rozsudku Meta Platforms a i. zdôraznil, že „v súlade s článkom 13 ods. 1 písm. d) GDPR prevádzkovateľovi prislúcha, aby pri získavaní osobných údajov od dotknutej osoby, ktoré sa týkajú tejto osoby, tejto dotknutej osobe oznámil sledované oprávnené záujmy, ak je toto spracúvanie založené na článku 6 ods. 1… písm. f) tohto nariadenia“ ( 26 ). Súdny dvor tak v tomto rozsudku rozhodol, že toto posledné uvedené ustanovenie sa má vykladať v tom zmysle, že spracúvanie osobných údajov „možno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle tohto ustanovenia, len pod podmienkou, že uvedený prevádzkovateľ oznámil používateľom, od ktorých boli údaje získané, oprávnený záujem, ktorý sa ich spracúvaním sleduje“ ( 27 ).

56.

Inak povedané, sankciou za nedodržanie informačnej povinnosti stanovenej v článku 13 ods. 1 písm. d) GDPR je nezákonnosť spracúvania dotknutých osobných údajov.

60.

V dôsledku toho nie je splnená prvá podmienka článku 6 ods. 1 písm. f) GDPR, ktorá sa týka existencie oprávneného záujmu a ktorá je vykladaná z hľadiska povinnosti oznámiť tento záujem stanovenej v článku 13 ods. 1 písm. d) tohto nariadenia. Spracúvanie údajov o oslovení preto v takejto situácii nemožno považovať za zákonné v zmysle tohto ustanovenia, pričom nie je potrebné skúmať, či sú splnené ďalšie dve podmienky stanovené v článku 6 ods. 1 písm. f) uvedeného nariadenia.

a) Záver k výkladu článku 6 ods. 1 písm. f) GDPR

61.

Z vyššie uvedeného vyplýva, že podľa môjho názoru by sa mali článok 6 ods. 1 písm. f) GDPR a článok 5 ods. 1 písm. c) tohto nariadenia vykladať v tom zmysle, že spracúvanie údajov o oslovení zákazníkov dopravnej spoločnosti nemožno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle tohto ustanovenia, pokiaľ táto spoločnosť neoznámila používateľom, od ktorých boli údaje získané, oprávnený záujem, ktorý sa ich spracúvaním sleduje.

b) Dodatočné poznámky

65.

V tejto súvislosti pripomínam, že SNCF Connect je podnik, ktorý ponúka na internetový predaj cestovné lístky na železničnú dopravu. Ako som uviedol, ( 29 ) táto služba predpokladá kontaktovanie zákazníka prinajmenšom na účely odovzdania cestovného lístka. Domnievam sa teda, že účel komunikácie so zákazníkom môže predstavovať oprávnený záujem tohto podniku v zmysle článku 6 ods. 1 písm. f) GDPR, takže prvú podmienku týkajúcu sa existencie takéhoto oprávneného záujmu treba podľa môjho názoru považovať za splnenú.

66.

Pokiaľ ide v druhom rade o podmienku týkajúcu sa nevyhnutnosti spracúvania osobných údajov na účely dosiahnutia oprávneného záujmu, domnievam sa, že táto podmienka nie je splnená. Ako som preukázal v rámci mojej analýzy článku 6 ods. 1 písm. b) GDPR, spracúvanie údajov o oslovení ide nad rámec toho, čo je nevyhnutné na dosiahnutie účelu komunikácie so zákazníkom, keďže táto komunikácia môže prebiehať aj bez použitia týchto údajov. ( 30 )

67.

Pokiaľ ide v treťom a poslednom rade o podmienku týkajúcu sa toho, že záujmy alebo základné práva a slobody dotknutej osoby neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany, chcem zdôrazniť, že Súdny dvor už rozhodol, že „táto podmienka si vyžaduje zváženie protichodných práv a záujmov, ktoré v zásade závisí od konkrétnych okolností konkrétneho prípadu, a že v dôsledku toho prináleží vnútroštátnemu súdu, aby vykonal toto zváženie s prihliadnutím na tieto osobitné okolnosti“ ( 31 ). Uvediem však niekoľko poznámok s cieľom usmerniť vnútroštátny súd pri vykonávaní tohto posúdenia.

71.

V každom prípade si nemyslím, že samotná existencia dôvodných očakávaní postačuje na zabezpečenie toho, aby oprávnený záujem prevádzkovateľa prevážil nad záujmami alebo základnými právami a slobodami dotknutej osoby. Hoci je takáto skutočnosť určite relevantná v rámci zváženia, ktoré sa má vykonať, nemôže naopak systematicky viesť k záveru, že oprávnený záujem prevádzkovateľa má prednosť, najmä ak spracúvanie dotknutých osobných údajov môže zasiahnuť do slobody alebo základného práva dotknutej osoby, ako sú zaručené Chartou.

72.

Domnievam sa, že v prejednávanej veci pritom ide o taký prípad, ako tvrdí Mousse. Toto združenie totiž tvrdí, že v dôsledku spracúvania údajov o oslovení existuje riziko diskriminácie z dôvodu pohlavia, najmä pokiaľ ide o transrodové osoby alebo osoby so štátnou príslušnosťou štátu, ktorý uznáva neutrálne pohlavie.

73.

Za týchto podmienok a s výhradou overenia vnútroštátnym súdom zastávam názor, že oprávnený záujem na komunikácii so zákazníkom nemôže prevážiť nad záujmami alebo základnými právami a slobodami dotknutej osoby.

76.

Podľa ustálenej judikatúry je pri výklade ustanovenia práva Únie potrebné zohľadniť nielen znenie takého ustanovenia, ale aj jeho kontext a ciele právnej úpravy, ktorej je súčasťou. ( 33 )

77.

Pokiaľ ide o znenie článku 21 ods. 1 GDPR, chcem uviesť, že normotvorca Únie zdôrazňuje, že právo namietať sa týka spracúvania osobných údajov založeného okrem iného na článku 6 ods. 1 písm. f) tohto nariadenia. Inak povedané, ako tvrdia Mousse a Komisia, právo namietať predpokladá existenciu zákonného spracúvania, a to najmä na základe oprávneného záujmu prevádzkovateľa. Toto právo sa teda môže uplatniť až po tom, ako došlo k zákonnému spracovaniu, s cieľom jeho zastavenia.

78.

To podľa môjho názoru potvrdzuje druhá časť článku 21 ods. 1 GDPR, ktorá stanovuje, že v prípade, ak dotknutá osoba namieta podľa tohto ustanovenia, prevádzkovateľ predmetné údaje už ďalej nespracúva. ( 34 ) Z takejto formulácie podľa môjho názoru jasne vyplýva, že predmetné spracúvanie údajov je zákonné za podmienok uvedených v článku 6 ods. 1 písm. f) tohto nariadenia, ale že tieto údaje po podaní námietky už nesmú byť takto spracúvané.

82.

Pokiaľ ide o kontextuálny výklad tohto ustanovenia, chcem poukázať na to, že dôvody, na ktorých sa môže zakladať spracúvanie osobných údajov, sú uvedené v článku 6 GDPR, ktorý sa týka zásady zákonnosti v rámci kapitoly II tohto nariadenia týkajúcej sa zásad, ktorými sa riadi spracúvanie údajov. Článok 21 uvedeného nariadenia zase patrí do kapitoly III týkajúcej sa práv dotknutej osoby. Okrem toho, ako som už zdôraznil, dôvody uvedené v článku 6 toho istého nariadenia sú podľa ustálenej judikatúry vyčerpávajúce. ( 35 ) Za týchto podmienok obe dotknuté ustanovenia plnia dve odlišné funkcie a nemožno sa domnievať, že článok 21 GDPR možno zohľadniť pri skúmaní zákonnosti spracúvania, ktoré upravuje iba článok 6 tohto nariadenia.

83.

Pokiaľ ide o teleologický výklad článku 6 ods. 1 písm. f) a článku 21 GDPR, zohľadnenie existencie práva namietať na účely posúdenia zákonnosti spracúvania údajov podľa článku 6 tohto nariadenia by znamenalo pripustiť zákonnosť spracúvania údajov len z dôvodu možnosti, že dotknutá osoba môže neskôr namietať proti tomuto spracúvaniu. Viedlo by to teda k rozšíreniu dôvodov zákonnosti spracúvania nad rámec prípadov stanovených v článku 6 uvedeného nariadenia a k tomu, že úroveň ochrany dotknutých osôb by závisela od ich náležitej starostlivosti s cieľom namietať proti spracúvaniu ich osobných údajov, bez ktorej by sa toto spracúvanie mohlo považovať za zákonné. Takýto výklad by teda podľa môjho názoru mohol ohroziť cieľ, ktorým je zabezpečiť vysokú úroveň ochrany fyzických osôb pri spracúvaní ich osobných údajov.

sa majú vykladať v tom zmysle, že:

systematické spracúvanie údajov o oslovení nemožno považovať za nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo na vykonanie opatrení pred uzatvorením zmluvy na základe žiadosti tejto osoby, ak cieľom tohto spracúvania je umožniť individuálnu obchodnú komunikáciu zabezpečením uplatňovania bežne prípustných zvyklostí v oblasti obchodnej komunikácie alebo zabezpečiť prispôsobenie služby prepravy z dôvodu pohlavia dotknutej osoby.

Článok 6 ods. 1 písm. f) a článok 5 ods. 1 písm. c) nariadenia 2016/679

sa majú vykladať v tom zmysle, že:

spracúvanie údajov o oslovení zákazníkov dopravnej spoločnosti nemožno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle tohto ustanovenia, pokiaľ táto spoločnosť neoznámila používateľom, od ktorých boli údaje získané, oprávnený záujem, ktorý sa ich spracúvaním sleduje.

Článok 6 ods. 1 písm. f) nariadenia 2016/679

( 5 ) Naproti tomu vo veci, v ktorej bol vydaný rozsudok zo 4. mája 2017, Rīgas satiksme ( C‑13/16 , EU:C:2017:336 ), išlo o otázku poskytnutia osobných údajov fyzickej osobe potrebných na účely podania žaloby na civilnom súde proti inej fyzickej osobe, ktorá sa údajne dopustila správneho deliktu.

( 6 ) Článok 5 ods. 1 písm. a) GDPR.

( 7 ) Článok 5 ods. 1 písm. c) GDPR.

( 8 ) Ako je zakotvené v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ.

( 9 ) O vzťahu medzi článkom 6 ods. 1 GDPR a článkom 52 ods. 1 Charty pozri KOTSCHY, W.: Article 6. Lawfulness of Processing. In: KUNER, C., BYGRAVE, L. A. a DOCKSEY, C.: The EU General Data Protection Regulation (GDPR) . A Commentary . Oxford: Oxford University Press, 2020, s. 325 a 326.

( 10 ) Rozsudky z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) ( C‑439/19 , EU:C:2021:504 , bod 99 ), a zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C‑252/21, ďalej len „rozsudok Meta Platforms a i., EU:C:2023:537 , bod 90 ).

( 17 ) Pozri návrhy, ktoré som predniesol vo veci Latvijas Republikas Saeima (Pokutové body) ( C‑439/19 , EU:C:2020:1054 , bod 109 ).

( 18 ) Rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) ( C‑439/19 , EU:C:2021:504 , bod 98 ). V tejto súvislosti pozri aj LUBASZ, D. In: LUBASZ, D.: Ochrona danych osobowych . Warszava: Wolters Kluwer, 2020, bod 202.

( 19 ) Pozri napríklad rozsudok z 9. novembra 2010, Volker und Markus Schecke a Eifert ( C‑92/09 a C‑93/09 , EU:C:2010:662 , bod 74 a citovaná judikatúra).

( 20 ) Pozri TERWANGNE, C.: Article 5. Principles Relating to Processing of Personal Data . In: The EU General Data Protection Regulation (GDPR). A Commentary , c. d., s. 317.

( 21 ) Kurzívou zvýraznil generálny advokát.

( 22 ) Článok 4 bod 11 GDPR.

( 29 ) Pozri bod 42 vyššie.

( 30 ) Pozri bod 47 a nasl. vyššie.

( 31 ) Rozsudok Meta Platforms a i. (bod 110).

( 32 ) Rozsudok Meta Platforms a i. (bod 116).

( 33 ) Rozsudky z 11. mája 2017, Krijgsman ( C‑302/16 , EU:C:2017:359 , bod 24 ); z 29. septembra 2022, Spoločnosť LOT (Náhrada uložená správnym orgánom) ( C‑597/20 , EU:C:2022:735 , bod 21 ), a z 29. februára 2024, Eventmedia Soluciones ( C‑11/23 , EU:C:2024:194 , bod 24 ).

( 34 ) Pozri nemeckú jazykovú verziu („Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr …“) a anglickú jazykovú verziu („The controller shall no longer process the personal data…“), či dokonca poľskú verziu („Administratorowi nie wolno już przetwarzać tych danych osobowych…“). Kurzívou zvýraznil generálny advokát.