HvJ EU, 09-01-2025, nr. C-394/23

Documentgegevens:

ECLI:EU:C:2025:2

Instantie: Hof van Justitie van de Europese Unie
Datum: 09-01-2025
Magistraten: K. Lenaerts, T. von Danwitz, M.L. Arastey Sahún, A. Kumin, I. Ziemele
Zaaknummer: C-394/23
Conclusie: M. Szpunar
Roepnaam: Mousse
Vakgebied(en): Privacy (V)
EU-recht (V)
Personen- en familierecht (V)
Brondocumenten en formele relaties: ECLI:EU:C:2025:2, Uitspraak, Hof van Justitie van de Europese Unie, 09‑01‑2025
ECLI:EU:C:2024:610, Conclusie, Hof van Justitie van de Europese Unie, 11‑07‑2024

Uitspraak 09‑01‑2025

Inhoudsindicatie

Prejudiciële verwijzing — Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens — Verordening (EU) 2016/679 — Artikel 5, lid 1, onder c) — Minimale gegevensverwerking — Artikel 6, lid 1 — Rechtmatigheid van de verwerking — Gegevens met betrekking tot de aanspreektitel en de genderidentiteit — Onlineverkoop van vervoerbewijzen — Artikel 21 — Recht van bezwaar

K. Lenaerts, T. von Danwitz, M.L. Arastey Sahún, A. Kumin, I. Ziemele

Partij(en)

In zaak C-394/23,*

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Conseil d'État (hoogste bestuursrechter, Frankrijk) bij beslissing van 21 juni 2023, ingekomen bij het Hof op 28 juni 2023, in de procedure

Mousse

tegen

Commission nationale de l'informatique et des libertés (CNIL),

SNCF Connect,

wijst

HET HOF (Eerste kamer),

samengesteld als volgt: K. Lenaerts, president van het Hof, waarnemend voor de president van de Eerste kamer, T. von Danwitz (rapporteur), vicepresident van het Hof, M. L. Arastey Sahún, A. Kumin en I. Ziemele, rechters,

advocaat-generaal: M. Szpunar,

griffier: I. Illéssy, administrateur,

gezien de stukken en na de terechtzitting op 29 april 2024,

gelet op de opmerkingen van:

—: Mousse, vertegenwoordigd door E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans en D. Holemans, avocats,
—: SNCF Connect, vertegenwoordigd door E. Drouard, J.-J. Gatineau en A. Ligot, avocats,
—: de Franse regering, vertegenwoordigd door R. Bénard, B. Dourthe en B. Fodda als gemachtigden,
—: de Europese Commissie, vertegenwoordigd door A. Bouchagiar en H. Kranenborg als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 11 juli 2024,

het navolgende

Arrest

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 5, lid 1, onder c), artikel 6, lid 1, eerste alinea, onder b) en f), en artikel 21 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: ‘AVG’).

2

Dit verzoek is ingediend in het kader van een geding tussen Mousse, een vereniging, en de Commission nationale de l'informatique et des libertés (nationale commissie voor informatica en vrijheden; hierna: ‘CNIL’) (Frankrijk) over de afwijzing door de CNIL van het door Mousse ingediende bezwaar betreffende de verwerking door de vennootschap SNCF Connect van de gegevens met betrekking tot de aanspreektitel van haar klanten bij de onlineverkoop van vervoerbewijzen.

Toepasselijke bepalingen

Unierecht

AVG

3

De overwegingen 1, 4, 10, 47 en 75 AVG luiden:

‘(1): De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het ‘Handvest’) en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.
: […]
(4): De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.
: […]
(10): Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. […]
: […]
(47): De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is […] van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. […] De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.
: […]
(75): Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, […].’

4

Artikel 1 (‘Onderwerp en doelstellingen’) van deze verordening bepaalt in lid 2:

‘Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.’

5

Artikel 2, lid 1, van deze verordening luidt als volgt:

‘Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.’

6

In artikel 4 (‘Definities’) van diezelfde verordening is bepaald:

‘Voor de toepassing van deze verordening wordt verstaan onder:

1): ‘persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon […];
2): ‘verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen [en] vastleggen […] van gegevens;
: […]
7): ‘verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; […]
: […]
11): ‘toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt;
: […]’

7

Artikel 5 (‘Beginselen inzake verwerking van persoonsgegevens’) AVG luidt als volgt:

‘1.

Persoonsgegevens moeten:

a): worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‘rechtmatigheid, behoorlijkheid en transparantie’);
: […]
c): toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‘minimale gegevensverwerking’);
: […]’

8

Artikel 6 (‘Rechtmatigheid van de verwerking’) van deze verordening bepaalt in lid 1:

‘De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a): de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b): de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d): de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e): de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f): de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
: […]’

9

Artikel 13 (‘Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld’) AVG bepaalt:

‘1.

Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:

: […]
c): de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
d): de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
: […]’

10

In artikel 21 (‘Recht van bezwaar’) van diezelfde verordening is in lid 1 het volgende bepaald:

‘De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.’

Richtlijn 2004/113

11

Volgens artikel 1 heeft richtlijn 2004/113/EG van de Raad van 13 december 2004 houdende toepassing van het beginsel van gelijke behandeling van mannen en vrouwen bij de toegang tot en het aanbod van goederen en diensten (PB 2004, L 373, blz. 37) tot doel een kader te creëren voor de bestrijding van discriminatie op grond van geslacht bij de toegang tot en het aanbod van goederen en diensten, zodat in de lidstaten het beginsel van gelijke behandeling van mannen en vrouwen toegepast kan worden.

Frans recht

12

Artikel 8 van loi n^o 78-17 relative à l'informatique, aux fichiers et aux libertés (wet nr. 78-17 betreffende informatica, bestanden en vrijheden) van 6 januari 1978 (JORF van 7 januari 1978, blz. 227) bepaalt:

‘I A.

De [CNIL] is een onafhankelijke administratieve autoriteit.

I.

Zij is de nationale toezichthoudende autoriteit als bedoeld in en met het oog op de tenuitvoerlegging van de [AVG]. Zij is belast met de volgende taken:

[…]

2^o.

Zij ziet erop toe dat de verwerking van persoonsgegevens wordt uitgevoerd overeenkomstig de bepalingen van de onderhavige wet en andere bepalingen met betrekking tot de bescherming van persoonsgegevens zoals vastgesteld in de wet- en regelgeving, het recht van de […] Unie en de internationale verplichtingen van [de Franse Republiek].

In die hoedanigheid:

: […]
d): behandelt zij klachten, verzoeken en bezwaren van betrokkenen, of van instanties, organisaties of verenigingen, onderzoekt zij de inhoud van de klacht in de mate waarin dat nodig is en stelt zij de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is’.

Hoofdgeding en prejudiciële vragen

13

SNCF Connect verkoopt op haar website en via onlineapplicaties vervoerbewijzen voor de trein, zoals treinkaartjes, abonnementen en kortingskaarten. De klanten van deze onderneming zijn verplicht om bij de aankoop van deze vervoerbewijzen op deze website of onlineapplicaties hun aanspreektitel op te geven door de vermelding ‘De heer’ of ‘Mevrouw’ aan te vinken.

14

Aangezien Mousse van mening was dat de voorwaarden voor het verzamelen en vastleggen van gegevens betreffende de aanspreektitel van deze klanten niet in overeenstemming waren met de vereisten van de AVG, heeft zij bij de CNIL een bezwaar ingediend tegen SNCF Connect. Ter ondersteuning van dat bezwaar heeft Mousse aangevoerd dat de verzameling van die gegevens in strijd was met het beginsel van rechtmatigheid, zoals vervat in artikel 5, lid 1, onder a), AVG, aangezien deze gegevensverzameling op geen van de in artikel 6, lid 1, AVG vastgelegde grondslagen berustte. Bovendien is een dergelijke gegevensverzameling in strijd met het in artikel 5, lid 1, onder c), AVG bedoelde beginsel van minimale gegevensverwerking en met name met de uit artikel 13 AVG voortvloeiende transparantie- en informatieverplichtingen.

15

Bij besluit van 23 maart 2021 heeft de CNIL vastgesteld dat de aan SNCF Connect verweten feiten genoemde bepalingen van de AVG niet schonden en dat de procedure voor het onderzoek van dat bezwaar moest worden beëindigd. Ter ondersteuning van dit besluit heeft de CNIL vastgesteld dat de in het hoofdgeding aan de orde zijnde gegevensverwerking rechtmatig was op grond van artikel 6, lid 1, eerste alinea, onder b), AVG omdat deze verwerking noodzakelijk was voor de uitvoering van de betrokken overeenkomst tot verlening van vervoersdiensten. Voorts heeft de CNIL opgemerkt dat die verwerking, gelet op de doeleinden ervan, in overeenstemming was met het beginsel van minimale gegevensverwerking, aangezien het in commerciële, burgerlijke en administratieve communicatie gangbaar was de aanspreektitel van klanten te gebruiken wanneer zij op een gepersonaliseerde manier worden aangesproken.

16

Op 21 mei 2021 heeft Mousse bij de Conseil d'État (hoogste bestuursrechter, Frankrijk), de verwijzende rechter, beroep ingesteld tot nietigverklaring van dit besluit van de CNIL. In haar verzoekschrift heeft Mousse met name aangevoerd dat de verplichting om bij een onlineaankoop de vermelding ‘De heer’ of ‘Mevrouw’ aan te vinken niet beantwoordt aan het beginsel van rechtmatigheid, noch aan het beginsel van minimale gegevensverwerking, zoals vervat in respectievelijk artikel 5, lid 1, onder a), en artikel 5, lid 1, onder c), AVG, aangezien die vermelding niet noodzakelijk is voor de uitvoering van een overeenkomst tot verlening van vervoersdiensten en evenmin voor de behartiging van de gerechtvaardigde belangen van SNCF Connect. Het feit dat dergelijke vermeldingen in commerciële communicatie worden gebruikt, volstaat niet om een dergelijke verplichting als noodzakelijk te beschouwen. Tot slot kan een dergelijke verplichting inbreuk maken op het recht om te reizen zonder zijn aanspreektitel kenbaar te maken, op het recht op eerbiediging van het privéleven alsmede op de vrijheid om zijn genderuitdrukking vrij te bepalen en kan het een risico op discriminatie inhouden. Wat betreft onderdanen van landen waarvan de burgerlijke staat ‘non-binair’ wordt erkend, stemt deze vermelding niet overeen met de werkelijkheid en kan zij met name afbreuk doen aan hun door het Unierecht gewaarborgde vrijheid van verkeer.

17

De CNIL vordert verwerping van dit beroep en betoogt dat de verwerking van de gegevens met betrekking tot de aanspreektitel ook als noodzakelijk kan worden aangemerkt voor de behartiging van de gerechtvaardigde belangen van SNCF Connect krachtens artikel 6, lid 1, eerste alinea, onder f), AVG en dat de betrokkenen — vanwege hun specifieke situatie — het door artikel 21 AVG gewaarborgde recht van bezwaar kunnen uitoefenen.

18

In deze context vraagt de verwijzende rechter zich met name af of bij de beoordeling of de verwerking van de in het hoofdgeding aan de orde zijnde gegevens noodzakelijk is, rekening kan worden gehouden met de gangbare praktijk in commerciële, civiele en administratieve communicatie, zodat het verzamelen van gegevens betreffende de aanspreektitel van klanten, beperkt tot de vermelding ‘De heer’ of ‘Mevrouw’, rechtmatig is en voldoet aan het beginsel van minimale gegevensverwerking. Deze rechter wenst voorts te vernemen of er — bij de beoordeling of die verplichte verzameling en de daaropvolgende verwerking van de gegevens met betrekking tot de aanspreektitel van de klanten noodzakelijk is, terwijl sommige van die klanten van mening zijn dat geen van beide aanspreektitels op hen van toepassing is — rekening moet worden gehouden met het feit dat die klanten, nadat zij die gegevens aan de verwerkingsverantwoordelijke hebben verstrekt teneinde van de betrokken dienst gebruik te kunnen maken, vanwege hun specifieke situatie hun recht van bezwaar in de zin van artikel 21 AVG kunnen uitoefenen tegen het gebruik van die gegevens.

19

Tegen deze achtergrond heeft de Conseil d'État de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

‘1): Mag er bij de beoordeling of de verzamelde gegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is in de zin van artikel 5, lid 1, onder c), AVG en of de verwerking ervan noodzakelijk is in de zin van artikel 6, lid 1, onder b) en f), AVG, rekening worden gehouden met algemeen gangbare praktijken in burgerlijke, commerciële en administratieve communicatie, zodat de verzameling van gegevens met betrekking tot de aanspreektitels van klanten, die beperkt blijft tot de vermeldingen ‘De heer’ of ‘Mevrouw’, als noodzakelijk kan worden beschouwd, en het beginsel van minimale gegevensverwerking daaraan niet in de weg staat?
2): Dient er bij de beoordeling of de verplichte verzameling en verwerking van gegevens met betrekking tot de aanspreektitels van klanten noodzakelijk is, rekening mee te worden gehouden dat sommige klanten, aangezien zij van mening zijn dat geen van die beide aanspreektitels op hen van toepassing is en dat het verzamelen van dat gegeven in hun geval niet ter zake dienend is, na dat gegeven aan de verwerkingsverantwoordelijke te hebben verstrekt teneinde van de aangeboden dienst gebruik te kunnen maken, hun recht kunnen uitoefenen om op grond van artikel 21 AVG vanwege hun specifieke situatie bezwaar te maken tegen het gebruik en de bewaring ervan?’

Beantwoording van de prejudiciële vragen

Eerste vraag

20

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, eerste alinea, onder b) en f), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), ervan, aldus moet worden uitgelegd dat de verwerking van persoonsgegevens met betrekking tot de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, kan worden geacht noodzakelijk te zijn voor de uitvoering van een overeenkomst, in de zin van dit punt b), of voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, in de zin van dit punt f).

Opmerkingen vooraf

21

Vooraf zij eraan herinnerd dat het doel van de AVG — zoals blijkt uit artikel 1 alsook uit de overwegingen 1 en 10 ervan — met name bestaat in het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen, in het bijzonder van hun in artikel 8, lid 1, van het Handvest en artikel 16, lid 1, VWEU erkende recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens [arrest van 4 oktober 2024, Schrems (Mededeling van gegevens aan het grote publiek), C-446/21, EU:C:2024:834, punt 45 en aldaar aangehaalde rechtspraak].

22

Overeenkomstig dat doel moet elke verwerking van persoonsgegevens met name in overeenstemming zijn met de beginselen inzake de verwerking van dergelijke gegevens die zijn opgenomen in artikel 5 van deze verordening en moet zij voldoen aan de in artikel 6 van deze verordening opgesomde rechtmatigheidsvoorwaarden (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punt 27 en aldaar aangehaalde rechtspraak).

23

Artikel 5, lid 1, onder a), AVG bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is.

24

Overeenkomstig artikel 5, lid 1, onder c), van deze verordening, dat het beginsel van minimale gegevensverwerking formuleert, moeten deze gegevens tevens toereikend en ter zake dienend zijn en beperkt blijven tot hetgeen noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dat beginsel is een uitdrukking van het evenredigheidsbeginsel [zie in die zin arrest van 4 oktober 2024, Schrems (Mededeling van gegevens aan het grote publiek), C-446/21, EU:C:2024:834, punten 49 en 50 en aldaar aangehaalde rechtspraak].

25

Wat de rechtmatigheidsvoorwaarden van de verwerking betreft, heeft het Hof geoordeeld dat artikel 6, lid 1, eerste alinea, AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. Daarom kan alleen een verwerking die onder een van de in deze bepaling bedoelde gevallen valt als rechtmatig worden aangemerkt (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punt 29 en aldaar aangehaalde rechtspraak).

26

Volgens artikel 6, lid 1, eerste alinea, onder a), AVG is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden. Bij gebreke van een dergelijke toestemming of wanneer die toestemming niet vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven in de zin van artikel 4, punt 11, van deze verordening, kan de verwerking niettemin gerechtvaardigd zijn wanneer is voldaan aan een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), van die verordening genoemde voorwaarden met betrekking tot de noodzakelijkheid van de verwerking [zie in die zin arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punten 91 en 92].

27

In deze context moeten de in deze laatste bepaling bedoelde rechtvaardigingsgronden restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punt 31 en aldaar aangehaalde rechtspraak).

28

Bovendien blijkt uit de rechtspraak van het Hof dat wanneer kan worden vastgesteld dat een verwerking van persoonsgegevens noodzakelijk is in het licht van een van de rechtvaardigingsgronden van artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG, niet hoeft te worden nagegaan of die verwerking ook onder een andere van die rechtvaardigingsgronden valt. In dat verband dient te worden verduidelijkt dat niet aan het noodzakelijkheidsvereiste met betrekking tot de aangenomen rechtvaardiging is voldaan wanneer de door deze gegevensverwerking beoogde doelstelling redelijkerwijs op een even doeltreffende wijze zou kunnen worden bereikt met andere middelen, die minder inbreuk maken op de grondrechten van de betrokken personen — met name op het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, die respectievelijk worden gewaarborgd door de artikelen 7 en 8 van het Handvest — en moeten afwijkingen en beperkingen van het beginsel van bescherming van persoonsgegevens binnen de grenzen van het strikt noodzakelijke blijven [zie in die zin arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 110 en aldaar aangehaalde rechtspraak, en 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punt 94].

29

Tot slot bepaalt artikel 13, lid 1, onder c), AVG dat wanneer bij de betrokkene persoonsgegevens worden verzameld, de verwerkingsverantwoordelijke hem informatie moet verstrekken over de rechtsgrondslag voor die verwerking (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punt 33 en aldaar aangehaalde rechtspraak).

30

In casu moet worden opgemerkt dat niet wordt betwist dat de aanspreektitel, die overeenkomt met een mannelijke of vrouwelijke genderidentiteit, als ‘persoonsgegeven’ kan worden aangemerkt wanneer die betrekking heeft op een geïdentificeerde persoon in de zin van artikel 4, punt 1, AVG, en dat dit gegeven het voorwerp is van een ‘verwerking’ in de zin van artikel 4, punt 2, AVG, voor zover het door SNCF Connect wordt verzameld en vastgelegd in het kader van de onlineverkoop van vervoerbewijzen. Bijgevolg valt deze verwerking, die bovendien geautomatiseerd is, krachtens artikel 2, lid 1, AVG binnen de materiële werkingssfeer van deze verordening.

31

Voorts berust de door de verwijzende rechter gestelde vraag op twee premissen, te weten, ten eerste, dat de in het hoofdgeding aan de orde zijnde gegevensverwerking plaatsvindt zonder toestemming van de betrokkenen in de zin van artikel 4, punt 11, en artikel 6, lid 1, eerste alinea, onder a), AVG, en ten tweede, dat deze verwerking niet noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust in de zin van artikel 6, lid 1, eerste alinea, onder c), AVG. De gestelde vraag heeft dus uitsluitend betrekking op de mogelijkheid om zich in het kader van de in het hoofdgeding aan de orde zijnde gegevensverwerking te beroepen op de in de punten b) en f) van artikel 6, lid 1, eerste alinea, AVG bedoelde rechtvaardigingsgronden.

Artikel 6, lid 1, eerste alinea, onder b), AVG

32

Artikel 6, lid 1, eerste alinea, onder b), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien zij ‘noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen’.

33

Dienaangaande moet de verwerking van persoonsgegevens, om als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, objectief onontbeerlijk zijn om een doel te bereiken dat integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder deze verwerking niet zou kunnen worden bereikt (arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C-17/22 en C-18/22, EU:C:2024:738, punt 43 en aldaar aangehaalde rechtspraak).

34

Het feit dat een dergelijke verwerking in de overeenkomst is vermeld of louter nuttig is voor de uitvoering ervan, is in dit verband op zich irrelevant. Voor de toepassing van de in artikel 6, lid 1, eerste alinea, onder b), AVG bedoelde rechtvaardiging is namelijk doorslaggevend dat de verwerking van persoonsgegevens door de verwerkingsverantwoordelijke essentieel is voor de correcte uitvoering van de tussen hem en de betrokkene gesloten overeenkomst en dat er dus geen bruikbare, minder ingrijpende alternatieven bestaan (arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C-17/22 en C-18/22, EU:C:2024:738, punt 44 en aldaar aangehaalde rechtspraak).

35

In dit verband moet de toepasselijkheid van artikel 6, lid 1, eerste alinea, onder b), AVG in de context van een overeenkomst die bestaat in verschillende diensten of verschillende afzonderlijke elementen van dezelfde dienst die onafhankelijk van elkaar kunnen worden uitgevoerd, voor elk van deze diensten afzonderlijk worden beoordeeld [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punt 100].

36

In casu staat vast dat het hoofddoel van de in het hoofdgeding aan de orde zijnde overeenkomst erin bestaat klanten een spoorvervoersdienst aan te bieden. Volgens de verwijzende rechter heeft de in het hoofdgeding aan de orde zijnde gegevensverwerking tot doel om op gepersonaliseerde wijze met de klant te communiceren, met inachtneming van de algemene gangbare praktijken in commerciële communicatie.

37

Zoals de advocaat-generaal in punt 42 van zijn conclusie in wezen heeft opgemerkt, kan commerciële communicatie een doel vormen dat integrerend deel uitmaakt van de betrokken contractuele prestatie, aangezien het verlenen van een dergelijke spoorvervoersdienst in beginsel inhoudt dat met de klant wordt gecommuniceerd, met name om hem een vervoerbewijs elektronisch toe te zenden, hem in kennis te stellen over eventuele wijzigingen in de desbetreffende reis en uitwisselingen met de klantenservice mogelijk te maken. Bij deze communicatie kan het noodzakelijk zijn om gangbare praktijken in acht te nemen en met name beleefdheidsformules te hanteren, waarmee de betrokken onderneming respect toont voor haar klant en zodoende haar imago beschermt.

38

Een dergelijke communicatie lijkt echter niet noodzakelijkerwijs te hoeven worden gepersonaliseerd op basis van de genderidentiteit van de betrokken klant. Volgens de rechtspraak lijkt de personalisatie van de inhoud immers niet noodzakelijk om een klant diensten aan te bieden wanneer hem, in voorkomend geval, voor deze diensten een gelijkwaardig alternatief kan worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten [zie in die zin arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punt 102].

39

Wat de in het hoofdgeding aan de orde zijnde diensten betreft, is een personalisatie van de commerciële communicatie, die is gebaseerd op een veronderstelde genderidentiteit op basis van de aanspreektitel, noch objectief onontbeerlijk, noch essentieel voor de correcte uitvoering van de betrokken overeenkomst in de zin van de in de punten 33 en 34 van het onderhavige arrest in herinnering gebrachte rechtspraak.

40

Er lijkt namelijk een praktische en minder ingrijpende oplossing te bestaan, aangezien de betrokken onderneming in haar communicatie met klanten die hun aanspreektitel niet kenbaar wensen te maken, of in haar algemene communicatie, kan kiezen voor generieke, inclusieve beleefdheidsformules die geen verband houden met de veronderstelde genderidentiteit van de klanten. Zoals de advocaat-generaal in de punten 49 en 50 van zijn conclusie heeft opgemerkt, lijkt SNCF Connect overigens, onder voorbehoud van verificatie door de verwijzende rechter, reeds dergelijke formuleringen te gebruiken en lijkt de vermelding van een onjuiste aanspreektitel bovendien geen invloed te hebben op de verlening van de betrokken vervoersdiensten, hetgeen zou bevestigen dat de in het hoofdgeding aan de orde zijnde gegevensverwerking niet objectief onontbeerlijk is om het hoofddoel van de overeenkomst te verwezenlijken.

41

In deze context moet nog worden verduidelijkt dat SNCF Connect ter terechtzitting heeft betoogd dat met de in het hoofdgeding aan de orde zijnde gegevensverwerking een tweede doel werd nagestreefd, namelijk de vervoersdiensten aanpassen voor nachttreinen, met wagons die zijn voorbehouden aan personen met eenzelfde genderidentiteit, en bijstand verlenen aan passagiers met een handicap. Volgens SNCF Connect is het voor deze aangepaste vervoersdiensten noodzakelijk om de genderidentiteit van de betrokken klanten te kennen.

42

Dit tweede doel kan echter geen rechtvaardiging vormen voor de systematische en algemene gegevensverwerking met betrekking tot de aanspreektitel van alle klanten van de betrokken onderneming, met inbegrip van de klanten die overdag reizen of geen handicap hebben. Een dergelijke verwerking zou namelijk onevenredig zijn en derhalve in strijd zijn met het in punt 24 van het onderhavige arrest in herinnering gebrachte beginsel van minimale gegevensverwerking, aangezien die verwerking had kunnen worden beperkt tot de gegevens betreffende de genderidentiteit van alleen de klanten die met de nachttrein willen reizen of om persoonlijke assistentie verzoeken wegens een handicap.

43

Artikel 6, lid 1, eerste alinea, onder b), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), AVG, moet bijgevolg aldus worden uitgelegd dat de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, noch objectief onontbeerlijk noch essentieel is voor de correcte uitvoering van een overeenkomst en dus niet kan worden geacht noodzakelijk te zijn voor de uitvoering van die overeenkomst.

Artikel 6, lid 1, eerste alinea, onder f), AVG

44

Artikel 6, lid 1, eerste alinea, onder f), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien die ‘noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is’.

45

Volgens vaste rechtspraak worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn. Ten eerste moet de verwerkingsverantwoordelijke of een derde een gerechtvaardigd belang behartigen; ten tweede moet de verwerking van persoonsgegevens noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang, en ten derde mogen de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde [arresten van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punt 106, en 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punt 37].

46

Wat de eerste voorwaarde inzake de behartiging van een gerechtvaardigd belang betreft, moet worden verduidelijkt dat het volgens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6, lid 1, eerste alinea, onder f), van deze verordening, de betrokken persoon op het moment waarop persoonsgegevens bij hem worden verzameld, mee te delen welke gerechtvaardigde belangen worden behartigd. Bij gebreke van een definitie van het begrip ‘gerechtvaardigd belang’ in de AVG, kan een breed scala aan belangen in beginsel als gerechtvaardigd worden beschouwd. In het bijzonder is deze bepaling ruimer dan een ‘tot de wet behorend, wet zijnd, in een wet vastgelegd’ belang [zie in die zin arresten van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punt 107, en 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, punten 38, 40 en 41 en aldaar aangehaalde rechtspraak].

47

Zoals blijkt uit overweging 47 AVG kan een dergelijk gerechtvaardigd belang bijvoorbeeld aanwezig zijn wanneer er sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is van de verwerkingsverantwoordelijke.

48

Wat de tweede voorwaarde betreft dat de verwerking van persoonsgegevens noodzakelijk is voor de behartiging van het gerechtvaardigde belang, staat het, gelet op de in punt 28 van het onderhavige arrest in herinnering gebrachte rechtspraak, aan de verwijzende rechter om na te gaan of het gerechtvaardigde belang dat met de gegevensverwerking wordt behartigd, redelijkerwijs niet even doeltreffend kan worden behartigd met andere middelen die de fundamentele vrijheden en rechten van de betrokkenen minder aantasten, aangezien een dergelijke verwerking moet worden verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dat gerechtvaardigde belang.

49

In dit verband zij er tevens aan herinnerd dat de voorwaarde inzake de noodzaak van de verwerking moet worden onderzocht in samenhang met het beginsel van minimale gegevensverwerking van artikel 5, lid 1, onder c), AVG, op grond waarvan persoonsgegevens toereikend moeten zijn, ter zake dienend en beperkt tot hetgeen noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C-17/22 en C-18/22, EU:C:2024:738, punt 52 en aldaar aangehaalde rechtspraak).

50

Wat ten slotte de derde voorwaarde betreft, volgens welke de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, heeft het Hof geoordeeld dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter in kwestie staat om bij deze afweging rekening te houden met die specifieke omstandigheden van de zaak. Zoals blijkt uit overweging 47 AVG kunnen de belangen en de grondrechten van de betrokkene met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet verwachten (zie in die zin arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C-17/22 en C-18/22, EU:C:2024:738, punten 53 en 54 en aldaar aangehaalde rechtspraak).

51

Hoewel het in casu uiteindelijk aan de verwijzende rechter staat om te beoordelen of met betrekking tot de in de hoofdgeding aan de orde zijnde verwerking van persoonsgegevens is voldaan aan de drie voorwaarden die in punt 45 van het onderhavige arrest in herinnering zijn gebracht, kan het Hof evenwel in zijn uitspraak op een verzoek om een prejudiciële beslissing preciseringen geven teneinde de verwijzende rechter te leiden bij die vaststelling (zie naar analogie arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C-17/22 en C-18/22, EU:C:2024:738, punt 55 en aldaar aangehaalde rechtspraak).

52

Wat de eerste voorwaarde betreft, die is genoemd in punt 46 van het onderhavige arrest, staat het aan de verwijzende rechter om na te gaan of SNCF Connect in het stadium van de in het hoofdgeding aan de orde zijnde gegevensverzameling haar klanten op een gerechtvaardigd belang had gewezen overeenkomstig artikel 13, lid 1, onder d), AVG. Zoals de advocaat-generaal in punt 58 van zijn conclusie heeft opgemerkt, vereist deze bepaling dat de betrokkenen er op het moment van die gegevensverzameling direct over worden geïnformeerd welk gerechtvaardigd belang daarmee wordt behartigd, omdat die gegevensverzameling anders niet gerechtvaardigd kan zijn op grond van artikel 6, lid 1, eerste alinea, onder f), van die verordening. Aan de hand van het dossier waarover het Hof beschikt, kan niet worden beoordeeld of in het hoofdgeding aan dit vereiste is voldaan.

53

In deze context moet worden gepreciseerd dat SNCF Connect in haar schriftelijke opmerkingen heeft verwezen naar een doel van direct marketing, waarvoor gepersonaliseerde communicatie en bijgevolg de verwerking van de in het hoofdgeding aan de orde zijnde gegevens noodzakelijk zou kunnen zijn.

54

Volgens overweging 47, laatste zin, AVG kan de verwerking van persoonsgegevens voor direct marketing worden beschouwd als een verwerking die beantwoordt aan een gerechtvaardigd belang. In het bijzonder kan de personalisatie van reclame in een dergelijke context gelijk worden gesteld aan direct marketing [zie naar analogie arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punt 115].

55

Wat de tweede voorwaarde betreft, die is genoemd in punt 48 van het onderhavige arrest, lijkt gepersonaliseerde commerciële communicatie, onder voorbehoud van verificatie door de verwijzende rechter, te kunnen worden beperkt tot de verwerking van de voor- en achternamen van klanten, aangezien hun aanspreektitel en/of genderidentiteit informatie is die in deze context niet strikt noodzakelijk is, met name in het licht van het beginsel van minimale gegevensverwerking.

56

In hun respectieve schriftelijke opmerkingen stellen SNCF Connect en de Franse regering dat bij de beoordeling of een verwerking van persoonsgegevens noodzakelijk is, rekening moet worden gehouden met de gangbare praktijken en sociale conventies van elke lidstaat, in het bijzonder met het oog op het behoud van de in overweging 4 AVG genoemde taalkundige en culturele verscheidenheid. Evenwel dient ten eerste te worden opgemerkt dat artikel 6, lid 1, eerste alinea, onder f), AVG niet bepaalt dat bij de beoordeling of een dergelijke verwerking noodzakelijk is, rekening moet worden gehouden met gangbare praktijken en sociale conventies, met dien verstande dat dit artikel restrictief moet worden uitgelegd, zoals in punt 27 van het onderhavige arrest in herinnering is gebracht.

57

Ten tweede doet het feit dat er geen gegevens met betrekking tot de aanspreektitel of de genderidentiteit van de betrokken klanten worden verwerkt, geen afbreuk aan deze verscheidenheid. Zoals blijkt uit punt 40 van het onderhavige arrest, staat het de verwerkingsverantwoordelijke immers vrij om deze gangbare praktijken en sociale conventies in acht te nemen door in zijn communicatie met klanten die hun aanspreektitel niet kenbaar wensen te maken, of in zijn algemene communicatie, te kiezen voor generieke, inclusieve beleefdheidsformules die geen verband houden met de genderidentiteit van die klanten, zodat het betoog van SNCF Connect en de Franse regering hoe dan ook niet kan slagen.

58

Wat betreft de derde voorwaarde, die is genoemd in punt 50 van het onderhavige arrest, en de afweging van de tegengestelde rechten en belangen in kwestie — namelijk die van de verwerkingsverantwoordelijke enerzijds en die van de betrokkene anderzijds — moet met name rekening worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de betrokken verwerking en de gevolgen ervan voor die persoon [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C-252/21, EU:C:2023:537, punt 116].

59

Zoals de advocaat-generaal in punt 70 van zijn conclusie in wezen heeft opgemerkt, wordt de klant van een vervoersonderneming, onder voorbehoud van verificatie door de verwijzende rechter, niet geacht te verwachten dat die onderneming in het kader van de aankoop van een vervoerbewijs gegevens betreffende zijn aanspreektitel of zijn genderidentiteit verwerkt. Dit zou met name het geval zijn indien die verwerking uitsluitend voor doeleinden van direct marketing werd verricht.

60

Het gerechtvaardigde belang in verband met direct marketing kan hoe dan ook niet prevaleren ingeval er een risico bestaat dat de fundamentele rechten en vrijheden van de betrokkene worden aangetast. Uit overweging 75 AVG volgt immers dat het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name waar de verwerking kan leiden tot discriminatie.

61

In dit verband staat het aan de verwijzende rechter om in het bijzonder na te gaan of er, zoals Mousse stelt, sprake is van een risico op discriminatie op grond van genderidentiteit, met name in het licht van richtlijn 2004/113, die toepassing geeft aan het beginsel van gelijke behandeling van mannen en vrouwen bij de toegang tot en het aanbod van goederen en diensten.

62

In dit opzicht moet worden verduidelijkt dat de werkingssfeer van deze richtlijn dan ook niet kan worden beperkt tot discriminaties die verband houden met het behoren tot het ene dan wel het andere geslacht. Gelet op haar doelstelling en op de aard van de rechten die zij beoogt te beschermen, dient die richtlijn ook toepassing te vinden bij discriminaties die berusten op de verandering van genderidentiteit van een persoon (zie naar analogie arrest van 27 april 2006, Richards, C-423/04, EU:C:2006:256, punt 24 en aldaar aangehaalde rechtspraak).

63

Bijgevolg moet artikel 6, lid 1, eerste alinea, onder f), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), van deze verordening, aldus worden uitgelegd dat de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, niet kan worden geacht noodzakelijk te zijn voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer:

—: bij het verzamelen van deze gegevens aan deze klanten niet kenbaar is gemaakt welk gerechtvaardigd belang daarmee wordt behartigd, of
—: die verwerking niet wordt verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dit gerechtvaardigde belang, of
—: gelet op alle relevante omstandigheden, de fundamentele vrijheden en rechten van die klanten zwaarder kunnen wegen dan dat gerechtvaardigde belang, met name wegens een risico op discriminatie op grond van genderidentiteit.

64

Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder b) en f), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), van deze verordening, aldus moet worden uitgelegd dat

—

de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, noch objectief onontbeerlijk noch essentieel is voor de correcte uitvoering van een overeenkomst en derhalve niet kan worden geacht noodzakelijk te zijn voor de uitvoering van die overeenkomst;

—

de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, niet kan worden geacht noodzakelijk te zijn voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer:

—: bij het verzamelen van deze gegevens aan deze klanten niet kenbaar is gemaakt welk gerechtvaardigd belang daarmee wordt behartigd, of
—: die verwerking niet wordt verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dit gerechtvaardigde belang, of
—: gelet op alle relevante omstandigheden, de fundamentele vrijheden en rechten van die klanten zwaarder kunnen wegen dan dat gerechtvaardigde belang, met name wegens een risico op discriminatie op grond van genderidentiteit.

Tweede vraag

65

Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, eerste alinea, onder f), AVG aldus moet worden uitgelegd dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening moet worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene krachtens artikel 21 van die verordening.

66

Artikel 21, lid 1, AVG bepaalt dat de betrokkene te allen tijde het recht heeft om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van punt e) of punt f), van artikel 6, lid 1, eerste alinea, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor een dergelijke verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

67

De toepasselijkheid van artikel 21 AVG en bijgevolg het eventuele bestaan van een recht van bezwaar veronderstellen dat er sprake is van een rechtmatige verwerking, die in casu is gebaseerd op artikel 6, lid 1, eerste alinea, onder f), van deze verordening. Om rechtmatig te zijn moet een dergelijke verwerking eerst voldoen aan de in punt 48 van dit arrest genoemde voorwaarde van strikte noodzakelijkheid.

68

Zoals de advocaat-generaal in de punten 80 en 82 van zijn conclusie heeft opgemerkt, volgt dus uit de bewoordingen en de opzet van de betrokken bepalingen dat het bestaan van een recht van bezwaar niet in aanmerking kan worden genomen bij de beoordeling van de rechtmatigheid en in het bijzonder van de noodzaak van de in het hoofdgeding aan de orde zijnde verwerking van persoonsgegevens.

69

Deze uitlegging wordt bevestigd door de doelstelling van de AVG, die — in het licht van overweging 10 — erin bestaat natuurlijke personen een hoog beschermingsniveau van de fundamentele rechten en vrijheden te bieden in verband met de verwerking van persoonsgegevens. Elke andere uitlegging zou namelijk tot gevolg hebben dat de vereisten van artikel 6, lid 1, eerste alinea, onder f), AVG worden afgezwakt door de gronden voor de rechtmatigheid van de betrokken verwerking uit te breiden, terwijl deze bepaling, gelet op de in punt 27 van het onderhavige arrest in herinnering gebrachte rechtspraak, restrictief moet worden uitgelegd.

70

Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder f), AVG aldus moet worden uitgelegd dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, geen rekening dient te worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene krachtens artikel 21 van die verordening.

Kosten

71

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Eerste kamer) verklaart voor recht:

1)

Artikel 6, lid 1, eerste alinea, onder b) en f), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), gelezen in samenhang met artikel 5, lid 1, onder c), van deze verordening,

moet aldus worden uitgelegd dat

—

de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, niet kan worden geacht noodzakelijk te zijn voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer:

—: bij het verzamelen van deze gegevens aan deze klanten niet kenbaar is gemaakt welk gerechtvaardigd belang daarmee wordt behartigd, of
—: die verwerking niet wordt verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dit gerechtvaardigde belang, of
—: gelet op alle relevante omstandigheden, de fundamentele vrijheden en rechten van die klanten zwaarder kunnen wegen dan dat gerechtvaardigde belang, met name wegens een risico op discriminatie op grond van genderidentiteit.

2)

Artikel 6, lid 1, eerste alinea, onder f), van verordening 2016/679

moet aldus worden uitgelegd dat

bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, geen rekening dient te worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene krachtens artikel 21 van die verordening.

ondertekeningen

Toon alle voetnoten

Voetnoten

Voetnoten Uitspraak 09‑01‑2025

Procestaal: Frans.

Conclusie 11‑07‑2024

Inhoudsindicatie

Prejudiciële verwijzing — Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens — Verordening (EU) 2016/679 — Artikel 6, lid 1 — Beginsel van rechtmatigheid van de verwerking — Artikel 5, lid 1, onder c) — Beginsel van minimale gegevensverwerking — Aanspreektitel — Onlineaankoop van vervoersdiensten — Artikel 21 — Recht van bezwaar

M. Szpunar

Partij(en)

Zaak C-394/231.

Association Mousse

tegen

Commission nationale de l'informatique et des libertés (CNIL),

SNCF Connect

[verzoek van de Conseil d'État (hoogste bestuursrechter, Frankrijk) om een prejudiciële beslissing]

I. Inleiding

1.

Verordening (EU) 2016/6792. (hierna: ‘AVG’) beoogt natuurlijke personen een hoog beschermingsniveau te bieden op het vlak van de verwerking van hun persoonsgegevens. Hiertoe verplicht de verordening de verwerkingsverantwoordelijken om bij de verwerking van persoonsgegevens een aantal beginselen in acht te nemen, waaronder het zogenaamde beginsel van ‘minimale gegevensverwerking’ en het beginsel van rechtmatigheid van de verwerking.

2.

Deze twee beginselen staan centraal in de onderhavige zaak, die een geschil betreft tussen een vereniging en een nationale toezichthoudende autoriteit over de door een vervoersbedrijf verrichte verwerking van gegevens met betrekking tot de aanspreektitel van zijn klanten met als doel om daar gebruik van te maken in de tot hen gerichte commerciële communicatie, en die het Hof in de gelegenheid stelt om de draagwijdte van die beginselen te verduidelijken.

II. Toepasselijke bepalingen

A. Unierecht

3.

Overwegingen 4, 10, 39, 40, 44, 47, 69 en 75 AVG luiden als volgt:

‘(4): De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het [Handvest van de grondrechten van de Europese Unie (hierna: ‘Handvest’)] zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.
: […]
(10): Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. […]
: […]
(39): […] De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. […] Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. […]
(40): Voor rechtmatige verwerking van persoonsgegevens is de toestemming van de betrokkene vereist of een andere gerechtvaardigde grondslag waarin de wet voorziet, hetzij in deze verordening, hetzij in andere Unierechtelijke of lidstaatrechtelijke bepalingen als bedoeld in deze verordening, of ook […] om een overeenkomst uit te voeren waarbij de betrokkene partij is of om op verzoek van de betrokkene voorafgaand aan het aangaan van een overeenkomst maatregelen te nemen.
: […]
(44): Een verwerking die noodzakelijk is in het kader van een overeenkomst of een voorgenomen overeenkomst, dient rechtmatig te zijn.
: […]
(47): De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is […] van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. […] De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.
: […]
(69): Wanneer persoonsgegevens rechtmatig mogen worden verwerkt omdat de verwerking nodig is ter vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, dan wel op grond van de gerechtvaardigde belangen van een verwerkingsverantwoordelijke of een derde, dient een betrokkene niettemin bezwaar te kunnen maken tegen de verwerking van gegevens die op zijn specifieke situatie betrekking hebben. De verwerkingsverantwoordelijke moet aantonen dat zijn dwingende gerechtvaardigde belangen wellicht zwaarder wegen dan de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene.
: […]
(75): Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, […].’

4.

Krachtens artikel 2, lid 1, is de AVG van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

5.

Artikel 4 AVG, met als opschrift ‘Definities’, bepaalt:

‘Voor de toepassing van deze verordening wordt verstaan onder:

1): ‘persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon […];
2): ‘verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, […] van gegevens;
: […]
7): ‘verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; […]
: […]
11): ‘toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt;
: […]’

6.

Artikel 5 AVG, met als opschrift ‘Beginselen inzake verwerking van persoonsgegevens’, bepaalt:

‘1.

Persoonsgegevens moeten:

a): worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‘rechtmatigheid, behoorlijkheid en transparantie’);
: […]
c): toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‘minimale gegevensverwerking’);
d): juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (‘juistheid’);
: […]’

7.

Artikel 6 AVG, met als opschrift ‘Rechtmatigheid van de verwerking’, bepaalt in lid 1:

‘De verwerking is alleen rechtmatig indien en voor zover aan ten minste één van de onderstaande voorwaarden is voldaan:

a): de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b): de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d): de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e): de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f): de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
: […]’

8.

Artikel 13 AVG, met als opschrift ‘Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld’, luidt als volgt:

‘1.

: […]
d): de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
: […]’

9.

Artikel 21 AVG, met als opschrift ‘Recht van bezwaar’, bepaalt in lid 1:

10.

Artikel 25 AVG, met als opschrift ‘Gegevensbescherming door ontwerp en door standaardinstellingen’, bepaalt in lid 2:

‘De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. […]’

B. Frans recht

11.

Artikel 8 van loi n 78-17 relative à l'informatique, aux fichiers et aux libertés (wet nr. 78-17 betreffende informatica, bestanden en vrijheden)3. van 6 januari 1978 bepaalt:

‘De Commission nationale de l'informatique et des libertés [nationale commissie voor informatica en vrijheden; hierna: ‘CNIL’)] is een onafhankelijke administratieve autoriteit.

Zij is de nationale toezichthoudende autoriteit als bedoeld in en met het oog op de tenuitvoerlegging van de [AVG]. Zij is belast met de volgende taken:

: […]
2^o.: Zij ziet erop toe dat de verwerking van persoonsgegevens wordt uitgevoerd overeenkomstig de bepalingen van de onderhavige wet en andere bepalingen met betrekking tot de bescherming van persoonsgegevens zoals vastgesteld in de wet- en regelgeving, het recht van de Europese Unie en de internationale verplichtingen van Frankrijk.

In die hoedanigheid:

: […]
d): behandelt zij klachten, verzoeken en bezwaren van betrokkenen, of van instanties, organisaties of verenigingen, onderzoekt zij de inhoud van de klacht in de mate waarin dat gepast is en stelt zij de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is;
: […]’

III. Feiten van het hoofdgeding, procedure bij het Hof en prejudiciële vragen

12.

SNCF Connect is een onderneming die op haar website en via applicaties vervoerbewijzen voor de trein verkoopt zoals treinkaartjes, abonnementen en kortingskaarten. Bij de aankoop van die vervoerbewijzen zijn de klanten van die onderneming verplicht om hun aanspreektitel op te geven door het aankruisen van de vermelding ‘De heer’ of ‘Mevrouw’.

13.

Verzoekster in het hoofdgeding, de vereniging Mousse (hierna: ‘Mousse’), heeft bij de CNIL een klacht ingediend tegen SNCF Connect, omdat zij van mening was dat de voorwaarden waaronder de aanspreektitels van de klanten werden verzameld en vastgelegd bij de aankoop van vervoerbewijzen in strijd waren met de vereisten van de AVG. Ter onderbouwing van deze klacht heeft Mousse aangevoerd dat de verzameling van de betrokken gegevens in strijd was met het beginsel van rechtmatigheid, zoals neergelegd in artikel 5, lid 1, onder a), van die verordening, aangezien deze aan geen van de in artikel 6, lid 1, van die verordening vastgestelde voorwaarden voldeed. Bovendien is een dergelijke verzameling strijdig met de beginselen van minimale gegevensverwerking en van juistheid, die zijn neergelegd in respectievelijk artikel 5, lid 1, onder c) en d), van diezelfde verordening, alsmede met de transparantie — en informatieverplichtingen die met name uit artikel 13 AVG voortvloeien. In dit verband heeft Mousse betoogd dat SNCF Connect die gegevens niet had mogen verzamelen of dat dit bedrijf zijn klanten in elk geval extra keuzemogelijkheden had moeten bieden, zoals ‘Neutraal’ of ‘Andere’.

14.

Bij besluit van 23 maart 2021 heeft de CNIL de behandeling van de bij haar ingediende klacht afgesloten op grond dat de aan SNCF Connect verweten feiten geen schending opleverden van de genoemde bepalingen van de AVG. De CNIL heeft vastgesteld dat de gegevensverwerking rechtmatig was op grond van artikel 6, lid 1, onder b), van die verordening, omdat deze noodzakelijk was voor de uitvoering van de overeenkomst tot levering van vervoersdiensten. Bovendien heeft de CNIL opgemerkt dat die verwerking, met het oog op de doelstellingen ervan, in overeenstemming was met het beginsel van minimale gegevensverwerking, aangezien het in burgerlijke, commerciële en administratieve communicatie met klanten gangbaar was om hun aanspreektitel te gebruiken.

15.

Op 21 mei 2021 heeft Mousse bij de Conseil d'État (hoogste bestuursrechter, Frankrijk) beroep ingesteld tot nietigverklaring van het besluit van 23 maart 2021 van de CNIL. In haar verzoekschrift heeft Mousse met name aangevoerd dat de verplichting om bij onlineaankoop te kiezen voor de vermelding ‘De heer’ of ‘Mevrouw’ niet strookt met het beginsel van rechtmatigheid noch met het beginsel van minimale gegevensverwerking, zoals geformuleerd in respectievelijk artikel 5, lid 1, onder a) en c), AVG, aangezien die vermelding niet noodzakelijk is voor de uitvoering van de overeenkomst en evenmin voor de behartiging van de gerechtvaardigde belangen van SNCF Connect. Dat die vermelding in commerciële correspondentie gangbaar is, volstaat niet ter rechtvaardiging van de noodzaak om deze gegevens te verzamelen. Tot slot maakt die verplichting inbreuk op het recht om te reizen zonder zijn aanspreektitel kenbaar te maken, op het recht op eerbiediging van het privéleven alsmede op de vrijheid om zijn genderuitdrukking vrij te bepalen. Met name wat betreft de onderdanen van landen waarvan de burgerlijke stand ‘non-binair’ erkent, komt die vermelding niet overeen met de werkelijkheid en kan deze dus strijdig zijn met het in artikel 5, lid 1, onder d), van die verordening neergelegde beginsel van juistheid, waarbij afbreuk wordt gedaan aan hun door het Unierecht gewaarborgde recht op vrij verkeer.

16.

De CNIL vordert verwerping van dit beroep en betoogt dat de verwerking van de gegevens met betrekking tot de aanspreektitel ook kan worden aangemerkt als ‘noodzakelijk’ voor de behartiging van de gerechtvaardigde belangen van SNCF Connect in de zin van artikel 6, lid 1, onder f), AVG en dat de betrokkenen — vanwege hun specifieke situatie — het door artikel 21 van die verordening gewaarborgde recht van bezwaar kunnen uitoefenen.

17.

De verwijzende rechter vraagt zich ten eerste af of — bij de beoordeling of de verzamelde gegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is en of de verwerking ervan noodzakelijk is — rekening mag worden gehouden met de algemeen gangbare praktijken in burgerlijke, commerciële en administratieve communicatie, zodat de verzameling van gegevens met betrekking tot de aanspreektitel van klanten, die beperkt is tot de vermeldingen ‘De heer’ of ‘Mevrouw’, kan worden aangemerkt als ‘rechtmatig en in overeenstemming’ met het beginsel van minimale gegevensverwerking. Deze rechter wenst ten tweede te vernemen of — bij de beoordeling of de verplichte verzameling en de daaropvolgende verwerking van de gegevens met betrekking tot de aanspreektitel van de klanten noodzakelijk is — rekening moet worden gehouden met het feit dat sommige klanten, aangezien zij van mening zijn dat geen van beide aanspreektitels op hen van toepassing is, na dat gegeven aan de verwerkingsverantwoordelijke te hebben verstrekt teneinde van de aangeboden dienst gebruik te kunnen maken, hun recht kunnen uitoefenen om op grond van artikel 21 AVG vanwege hun specifieke situatie bezwaar te maken tegen het gebruik van die gegevens.

18.

In deze omstandigheden heeft de Conseil d'État de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

‘1): Mag er bij de beoordeling of de verzamelde gegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is in de zin van artikel 5, lid 1, onder c), AVG en of de verwerking ervan noodzakelijk is in de zin van artikel 6, lid 1, onder b) en f), AVG, rekening worden gehouden met algemeen gangbare praktijken in burgerlijke, commerciële en administratieve communicatie, zodat de verzameling van gegevens met betrekking tot de aanspreektitels van klanten, die beperkt blijft tot de vermeldingen ‘De heer’ of ‘Mevrouw’, als noodzakelijk kan worden beschouwd, en het beginsel van minimale gegevensverwerking daaraan niet in de weg staat?
2): Dient er bij de beoordeling of de verplichte verzameling en verwerking van gegevens met betrekking tot de aanspreektitels van klanten noodzakelijk is, rekening mee te worden gehouden dat sommige klanten, aangezien zij van mening zijn dat geen van die beide aanspreektitels op hen van toepassing is en dat het verzamelen van dat gegeven in hun geval niet ter zake dienend is, na dat gegeven aan de verwerkingsverantwoordelijke te hebben verstrekt teneinde van de aangeboden dienst gebruik te kunnen maken, hun recht kunnen uitoefenen om op grond van artikel 21 AVG vanwege hun specifieke situatie bezwaar te maken tegen het gebruik en de bewaring ervan?’

19.

Mousse, SNCF Connect, de Franse regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend. Diezelfde partijen hebben deelgenomen aan de terechtzitting van 29 april 2024.

IV. Analyse

A. Eerste prejudiciële vraag

20.

Met zijn eerste prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 1, onder c), en artikel 6, lid 1, onder b) en f), AVG aldus moeten worden uitgelegd dat de verwerking van persoonsgegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf noodzakelijk moet worden geacht voor de uitvoering van een overeenkomst of om vóór de sluiting van een overeenkomst maatregelen te nemen dan wel voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer deze verwerking tot doel heeft om gepersonaliseerde commerciële communicatie mogelijk te maken en daarbij de inachtneming van algemeen gangbare praktijken in commerciële communicatie wordt gewaarborgd.

21.

In dit verband wil ik om te beginnen twee inleidende opmerkingen maken.

22.

Ten eerste merk ik op dat partijen het met elkaar eens zijn en dat het geen twijfel lijdt dat de gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf persoonsgegevens vormen in de zin van artikel 4, punt 1, AVG en voorts dat het verzamelen en vastleggen ervan door SNCF Connect moet worden beschouwd als een verwerking in de zin van artikel 4, punt 2, van die verordening, zodat deze handelingen moeten worden onderzocht in het licht van de bepalingen van die verordening.

23.

Ten tweede betogen SNCF Connect en de Franse regering dat een ontkennend antwoord op de eerste prejudiciële vraag ertoe zou leiden dat de AVG wordt toegepast in een context die haar vreemd is, aangezien de wetgever met de vaststelling van deze verordening niet de bedoeling heeft gehad om de praktijken op het gebied van communicatie of de genderkwestie te regelen. Hoewel ik het zonder meer eens ben met advocaat-generaal Bobek dat de wetgeving inzake gegevensbescherming soms wordt ‘toegepast in nogal verrassende omstandigheden’4., valt de onderhavige situatie daar mijns inziens niet onder. Dat het gaat om gegevens over de burgerlijke identiteit en dat daarmee de aandacht wordt gevestigd op de discussies die thans in de nationale rechtsorden bestaan over de kwestie van de binaire gendercategorieën, mag niet het feit verhullen dat in casu duidelijk sprake is van een automatische verwerking van persoonsgegevens van klanten door een vervoersbedrijf, die niet alleen objectief gezien binnen de werkingssfeer van de AVG valt, maar ook een gegevensverwerking is die de Uniewetgever beoogde te regelen.5.

24.

Ik zal mijn analyse van de eerste prejudiciële vraag beginnen met algemene opmerkingen over de voorwaarde inzake de rechtmatigheid van de gegevensverwerking, die op grond van de AVG geldt voor de verwerkingsverantwoordelijken. Daarna zal ik in het licht van de uiteengezette beginselen nagaan of aan deze voorwaarde is voldaan wat betreft de verwerking van gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf die tot doel heeft om met die klanten te kunnen communiceren en waarbij een beroep wordt gedaan op algemeen gangbare praktijken in commerciële communicatie.

1. Rechtmatigheid van de verwerking van persoonsgegevens

25.

Artikel 5 AVG formuleert een aantal beginselen die van toepassing zijn op de verwerking van persoonsgegevens. In het bijzonder wordt hierin bepaald dat dergelijke gegevens ‘worden verwerkt op een wijze die […] rechtmatig […] is’6. en ‘toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt’7.. Met andere woorden, elke gegevensverwerking moet met name voldoen aan het beginsel van rechtmatigheid en aan het beginsel van minimale gegevensverwerking.

26.

Artikel 6 AVG preciseert de draagwijdte van het beginsel van rechtmatigheid van de gegevensverwerking. Voor zover artikel 6, lid 1, van die verordening een beperking inhoudt van het recht op bescherming van persoonsgegevens8., voldoet het aan de voorwaarden van artikel 52, lid 1, van het Handvest: de betrokken beperking is bij wet gesteld en eerbiedigt de wezenlijke inhoud van dat recht. Bovendien is deze beperking noodzakelijk en beantwoordt zij aan een door de Unie erkende doelstelling van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen9.

27.

Ook heeft de wetgever zes gronden vastgesteld waarop gegevensverwerking rechtmatig is. Deze vormen een uitwerking van de doelstellingen van algemeen belang en de te beschermen rechten en vrijheden die een beperking van het recht op bescherming van persoonsgegevens kunnen rechtvaardigen. Artikel 6, lid 1, AVG bevat aldus ‘een uitputtende en limitatieve lijst van gevallen waarin de verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn’.10.

28.

In artikel 6, lid 1, AVG is geen sprake van een strikte hiërarchie11. tussen de gronden waarop gegevensverwerking als rechtmatig moet worden beschouwd. Derhalve heeft het Hof in zijn rechtspraak de verhouding tussen die gronden vastgesteld.

29.

In de eerste plaats heeft het Hof in herinnering gebracht dat volgens artikel 6, lid 1, onder a), AVG ‘de verwerking van persoonsgegevens alleen rechtmatig [is] indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden’. Het Hof heeft daaraan toegevoegd dat ‘[b]ij gebreke van een dergelijke toestemming […] de verwerking niettemin gerechtvaardigd [is] wanneer is voldaan aan een van de in artikel 6, lid 1, […] onder b) tot en met f), van deze verordening genoemde voorwaarden waarbij er sprake is van noodzakelijkheid’.12. Bovendien heeft het Hof geoordeeld dat ‘de [betrokken] rechtvaardigingsgronden restrictief [moeten] worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven’.13. De in artikel 6, lid 1, AVG genoemde gronden voor verwerking van persoonsgegevens zijn dus gelijkwaardig en geen enkele moet worden beschouwd als ondergeschikt aan een andere.

30.

In de tweede plaats heeft het Hof aangegeven dat de rechtvaardigingsgronden van artikel 6, lid 1, AVG niet cumulatief zijn. Zo heeft het Hof verklaard dat ‘wanneer kan worden vastgesteld dat een verwerking van persoonsgegevens noodzakelijk is in het licht van een van de rechtvaardigingsgronden van artikel 6, lid 1, […] onder b) tot en met f), AVG, niet [hoeft] te worden nagegaan of die verwerking ook onder een andere van die rechtvaardigingsgronden valt’.14. Met andere woorden, zoals ik al eerder heb opgemerkt15., de verwerking van persoonsgegevens is rechtmatig wanneer die wordt gerechtvaardigd door een enkele grond, zonder dat een rechtvaardigingsgrond kan worden beschouwd als ondergeschikt aan een andere.

31.

Het in artikel 6, lid 1, AVG uitgewerkte beginsel van rechtmatigheid kan echter niet als zodanig worden onderzocht. Zo is het vaste rechtspraak van het Hof dat deze voorwaarde ‘moet worden onderzocht in samenhang met het zogenoemde beginsel van ‘minimale gegevensverwerking’ van artikel 5, lid 1, onder c), [van die verordening]’.16. Dit beginsel geeft, volgens de rechtspraak van het Hof en zoals ik al eerder heb aangegeven17., uitdrukking aan het evenredigheidsbeginsel18. dat vereist — zoals de Franse regering betoogt in haar schriftelijke opmerkingen — dat de gebruikte middelen passend zijn om de nagestreefde doelstelling te bereiken en niet verder gaan dan daarvoor noodzakelijk is19..

32.

Met andere woorden, het beginsel van minimale gegevensverwerking veronderstelt dat wordt nagegaan of de verwerkte gegevens passend zijn om het doel te bereiken dat met de verwerking ervan wordt beoogd — volgens de in artikel 6, lid 1, AVG genoemde gronden — en dat de verwerkte gegevens alleen passend zijn wanneer het doel van de verwerking niet redelijkerwijs kan worden bereikt met andere middelen. De aldus verwerkte gegevens zijn, zowel kwalitatief als inhoudelijk gezien, niet uitgebreider dan noodzakelijk is om dit doel te verwezenlijken.20.

33.

In dit verband wil ik een aanvullende opmerking maken. Het Hof heeft het beginsel van minimale gegevensverwerking alleen in samenhang met het beginsel van rechtmatigheid van de verwerking uitgelegd in situaties waarin de betrokken verwerking gebaseerd was op een van de gronden van artikel 6, lid 1, onder b) tot en met f), AVG. Anders gezegd, het Hof heeft niet duidelijk aangegeven of het beginsel van minimale gegevensverwerking ook moet worden toegepast wanneer de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. Gesteld zou kunnen worden dat, in geval van toestemming van de betrokkene, de verwerkingsverantwoordelijke alle gegevens mag verwerken zonder dat het beginsel van minimale gegevensverwerking zich daartegen verzet.

34.

Een dergelijke uitlegging lijkt mij echter niet verenigbaar met de doelstelling van de AVG om natuurlijke personen een hoog beschermingsniveau te garanderen in verband met de verwerking van hun persoonsgegevens, en evenmin met de tekst van de betrokken bepalingen.

35.

Ik merk op dat artikel 6, lid 1, onder a), AVG bepaalt dat de verwerking rechtmatig is indien de betrokkene ‘toestemming [heeft] gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden’.21. In dit verband wijs ik erop dat onder toestemming ‘elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting’ moet worden verstaan.22. Met andere woorden, er kan geen sprake zijn van een algemene toestemming voor de verwerking van alle gegevens. Bovendien moet het doel van de gegevensverwerking waarvoor toestemming is gegeven aan de betrokkene zijn medegedeeld. Artikel 5, lid 1, onder c), van die verordening bepaalt dat de verwerkte gegevens ‘toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt’.23. In die omstandigheden is het beginsel van minimale gegevensverwerking mijns inziens van toepassing zelfs indien de verwerking van die gegevens heeft plaatsgevonden met toestemming van de betrokkene, en moet derhalve worden nagegaan of de betrokken gegevens inderdaad beperkt zijn tot wat noodzakelijk is om het specifieke doel van de verwerking te bereiken.

36.

Tegen de achtergrond van deze overwegingen moet de door SNCF Connect verrichte verwerking van gegevens met betrekking tot de aanspreektitel van haar klanten worden onderzocht in het licht van artikel 6, lid 1, onder b) en f), AVG, waarbij moet worden opgemerkt dat de verwijzende rechter uitsluitend verwijst naar deze twee doeleinden van de verwerking.

2. Artikel 6, lid 1, onder b), AVG: de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen

37.

Artikel 6, lid 1, onder b), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien deze ‘noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen’.

38.

Het Hof heeft in het arrest Meta Platforms e.a. de strekking van deze bepaling verduidelijkt. Zo heeft het Hof geoordeeld dat ‘[o]m als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, […] de verwerking van persoonsgegevens objectief onontbeerlijk [moet] zijn om een doel te bereiken dat een integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt’.24.

39.

Partijen zijn het erover eens dat het hoofddoel van de overeenkomst erin bestaat om vervoerbewijzen te verstrekken en in fine om klanten per spoor te vervoeren. Er dient dus te worden nagegaan of de gegevens met betrekking tot de aanspreektitel van de klant worden verwerkt om een doel te bereiken dat een integrerend deel uitmaakt van de vervoersdienst en voorts of die verwerking daarvoor objectief onontbeerlijk is.

a) Vaststelling van het doel van de verwerking

40.

SNCF Connect en de Franse regering voeren aan dat de uitvoering van de vervoersovereenkomst veronderstelt dat met de klant wordt gecommuniceerd, zowel bij de reservering als tijdens en na de betrokken reis, en met zich meebrengt dat de aanspreektitel van die klant bekend is zodat met de klant op gepersonaliseerde wijze kan worden gecommuniceerd volgens de algemeen gangbare praktijken in commerciële communicatie.

41.

SNCF Connect voegt hieraan toe dat het voor de uitvoering van de vervoersovereenkomst van belang is om het geslacht van de betrokkene te kennen om de prestatie in specifieke gevallen te kunnen aanpassen, zoals de bijstand aan personen met een beperkte mobiliteit of de toegang tot voor vrouwen gereserveerde wagons in de nachttrein. In dit verband merk ik op dat deze doelstelling strikt genomen geen deel uitmaakt van de eerste prejudiciële vraag zoals geformuleerd door de verwijzende rechter, waarin uitdrukkelijk wordt verwezen naar het gebruik van algemeen gangbare praktijken op het gebied van commerciële communicatie. Voor zover de verwijzende rechter het Hof echter in meer algemene zin bevraagt over het verzamelen van gegevens met betrekking tot aanspreektitels in het licht van de beginselen van minimale gegevensverwerking en van rechtmatigheid van de verwerking, zal ik dit argument toch onderzoeken.

42.

Wat het doel van de communicatie met de klant betreft, ben ik van mening dat dit moet worden beschouwd als een integrerend deel van de vervoersovereenkomst. Een dergelijke overeenkomst veronderstelt immers dat een vervoerbewijs wordt verstrekt en dat dus contact met de klant wordt opgenomen om hem dit bewijs te doen toekomen. De noodzaak om met de klant te communiceren blijft mijns inziens ook bestaan tijdens het vervoer zelf, teneinde de klant met name te informeren over voorvallen die van invloed zijn op zijn reis, en na afloop van de reis, in het bijzonder wanneer contact wordt opgenomen met de klantenservice over die reis.

43.

In dit verband dien ik erop te wijzen dat het argument van de Franse regering, dat het doel van de verwerking niet alleen de communicatie met de klant is maar meer in het bijzonder de communicatie met de klant volgens de praktijken in commerciële communicatie, moet worden afgewezen. Ten eerste maakt een aldus omschreven doel mijns inziens geen integrerend deel uit van de vervoersdienst: uit niets blijkt dat die dienst niet kan worden uitgevoerd wanneer communicatie volgens de algemeen gangbare praktijken in commerciële communicatie ontbreekt. Ten tweede bevat dit argument een cirkelredenering. Het aldus omschreven doel van de gegevensverwerking — communiceren volgens de algemeen gangbare praktijken in commerciële communicatie — valt immers samen met de middelen die worden gebruikt om dit doel te bereiken — het gebruik van algemeen gangbare praktijken in commerciële communicatie.

44.

Wat betreft de door SNCF Connect genoemde aanpassing van de vervoersdienst in specifieke gevallen, kan volgens mij ook moeilijk worden betwist dat deze een integrerend deel uitmaakt van die prestatie, aangezien die aanpassing juist bedoeld is om de uitvoering ervan te garanderen.

45.

Hoewel de doelstellingen van de betrokken verwerking naar mijn mening wel degelijk inherent zijn aan een vervoersdienst en kunnen worden erkend op grond van artikel 6, lid 1, onder b), AVG, is het echter ook nodig dat de verwerking van persoonsgegevens onontbeerlijk is voor de verwezenlijking van de genoemde doelstelling, zodat het hoofddoel van de overeenkomst niet kan worden bereikt zonder die verwerking en er geen andere uitvoerbare en minder ingrijpende oplossingen bestaan om hetzelfde doel te bereiken.

46.

Ik ben van mening dat de verwerking van gegevens met betrekking tot de aanspreektitel verder gaat dan noodzakelijk is voor de correcte uitvoering van de overeenkomst.

b) Noodzaak van de verwerking om de vastgestelde doelen te bereiken

47.

Wat in de eerste plaats het doel bestaande in communicatie betreft, hangt de correcte uitvoering van de vervoersovereenkomst niet af van het gebruik van de aanspreektitel in de communicatie van het vervoersbedrijf met zijn klanten, ook al wil de verwerkingsverantwoordelijke op gepersonaliseerde wijze met zijn klanten communiceren. Een vervoersbedrijf kan immers gemakkelijk gepersonaliseerd communiceren met zijn klanten zonder gebruik te maken van hun aanspreektitel.

48.

Bovendien heeft SNCF Connect ter terechtzitting weliswaar gewezen op de noodzaak om een imago in stand te houden door het gebruik van algemeen gangbare formuleringen in commerciële communicatie, maar dit resultaat kan net zo goed worden bereikt met andere formuleringen die van respect jegens de klant getuigen en die niet afhangen van de aanspreektitel.

49.

Dit geldt des te meer omdat, zoals Mousse betoogt en onder voorbehoud van verificatie door de verwijzende rechter, SNCF Connect in de praktijk niet systematisch gebruikmaakt van de algemeen gangbare praktijken op het gebied van commerciële communicatie waarvoor het nodig is om de aanspreektitel van de klanten te kennen, maar ook andere meer algemene formuleringen gebruikt, zoals ‘Bedankt, goede reis’ of ‘Goedemorgen’. Het feit dat de aanspreektitel van klanten niet systematisch wordt gebruikt in de communicatie van SNCF Connect maakt volgens mij duidelijk dat niet alleen de noodzaak van de verwerking van die gegevens voor de uitvoering van de betrokken overeenkomst ontbreekt, maar ook dat, in het licht van het beginsel van minimale gegevensverwerking, de gegevensverwerking verder gaat dan noodzakelijk is.

50.

In het verlengde daarvan merk ik op dat SNCF Connect, waaraan ter terechtzitting vragen ter zake werden gesteld, het ermee eens is dat het bewust mededelen van een andere aanspreektitel dan de daadwerkelijke aanspreektitel van de betrokkene in wezen geen invloed heeft op de vervoersdienst. In deze omstandigheden moet worden vastgesteld dat het hoofddoel van de overeenkomst nog steeds kan worden bereikt zonder de verwerking van de betrokken gegevens.

51.

Wat in de tweede plaats het doel bestaande in de aanpassing van de vervoersdienst betreft, ben ik ook hier van mening dat de verwerking van de gegevens met betrekking tot de aanspreektitel verder gaat dan noodzakelijk is om die dienst te kunnen verrichten. Ten eerste zijn de persoonsgegevens die relevant zijn voor een dergelijke aanpassing volgens mij niet de gegevens met betrekking tot de aanspreektitel die, volgens de Franse regering, geen deel uitmaken van de burgerlijke staat van personen, maar de gegevens met betrekking tot het geslacht van de klanten, zoals dat in de burgerlijke staat van personen is opgenomen. Ten tweede kan dit doel worden bereikt door die gegevens niet voor alle bestellingen van vervoerbewijzen te verzamelen en te verwerken, maar alleen voor de specifieke gevallen waarin dat nodig is, zoals de bestelling van een vervoerbewijs om te reizen in een voor vrouwen gereserveerde wagon in de nachttrein of een verzoek om bijstand voor een persoon met beperkte mobiliteit.

52.

In die omstandigheden ben ik van mening de artikel 6, lid 1, onder b), AVG, en artikel 5, lid 1, onder c), ervan aldus moeten worden uitgelegd dat de systematische verwerking van gegevens met betrekking tot de aanspreektitel niet kan worden beschouwd als noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen, wanneer deze verwerking tot doel heeft om gepersonaliseerde commerciële communicatie mogelijk te maken waarbij de inachtneming van algemeen gangbare praktijken in commerciële communicatie wordt gewaarborgd, of om een vervoersdienst aan te passen vanwege het geslacht van de betrokkene.

3. Artikel 6, lid 1, onder f), AVG: de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde

53.

Artikel 6, lid 1, onder f), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien die ‘noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is’.

54.

Volgens vaste rechtspraak van het Hof worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerking van persoonsgegevens rechtmatig is. Ten eerste moet de verwerkingsverantwoordelijke of een derde een gerechtvaardigd belang nastreven. Ten tweede is de verwerking van persoonsgegevens noodzakelijk voor de behartiging van het gerechtvaardigde belang. Ten derde wegen de belangen of de grondrechten en fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.25.

55.

Wat de eerste voorwaarde betreft, die ziet op de behartiging van een gerechtvaardigd belang, heeft het Hof er in het arrest Meta Platforms e.a. op gewezen dat ‘het volgens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6, lid 1, […] onder f), van deze verordening, de betrokken persoon op het moment waarop persoonsgegevens bij hem worden verzameld, mee te delen welke gerechtvaardigde belangen worden nagestreefd’.26. Het Hof heeft in ditzelfde arrest geoordeeld dat laatstgenoemde bepaling aldus moet worden uitgelegd dat een verwerking van persoonsgegevens ‘slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd’.27.

56.

Met andere woorden, de sanctie voor de niet-nakoming van de informatieplicht van artikel 13, lid 1, onder d), AVG is de onrechtmatigheid van de betrokken verwerking van persoonsgegevens.

57.

Zoals de Commissie aanvoert, en onder voorbehoud van verificatie door de verwijzende rechter, lijkt het mij dat SNCF Connect deze verplichting niet is nagekomen.

58.

Zoals de Commissie benadrukt, noemt SNCF Connect in haar ‘privacyverklaring’, die beschikbaar is op haar website, ‘het gerechtvaardigde belang’ als rechtsgrondslag voor de verwerking van de gegevens met betrekking tot de aanspreektitel. Ik wil in dit verband twee opmerkingen formuleren. Ten eerste kan met de enkele vermelding van ‘het gerechtvaardigde belang’, zonder dat wordt uitgelegd wat dit gerechtvaardigde belang precies inhoudt, niet worden voldaan aan de informatieplicht van artikel 13, lid 1, onder d), AVG, die vereist dat de verwerkingsverantwoordelijke aangeeft welk gerechtvaardigd belang wordt nagestreefd. Ten tweede, en in elk geval, is de algemene vermelding van een gerechtvaardigd belang in een ‘privacyverklaring’, die weliswaar beschikbaar is op de website van de verwerkingsverantwoordelijke maar die de klant zelf moet opzoeken, evenmin in overeenstemming met artikel 13, lid 1, onder d), van die verordening. Deze bepaling verplicht immers om de betrokkene te informeren over het nagestreefde gerechtvaardigde belang bij de verkrijging van de persoonsgegevens, hetgeen naar mijn mening veronderstelt dat die informatie direct aan de klant wordt medegedeeld wanneer deze de hem betreffende gegevens verstrekt.

59.

Bovendien was SNCF Connect, toen haar ter terechtzitting vragen werden gesteld over de informatieplicht, niet in staat om aan te geven dat het met de verwerking nagestreefde gerechtvaardigde belang daadwerkelijk aan haar klanten wordt medegedeeld op het moment waarop de gegevens met betrekking tot de aanspreektitel worden verzameld.

60.

Bijgevolg is niet voldaan aan de eerste voorwaarde van artikel 6, lid 1, onder f), AVG, die ziet op het bestaan van een gerechtvaardigd belang, zoals uitgelegd in het licht van de verplichting om dit belang mede te delen overeenkomstig artikel 13, lid 1, onder d), van die verordening. Derhalve kan de verwerking van gegevens met betrekking tot de aanspreektitel in een dergelijke situatie niet worden beschouwd als rechtmatig in de zin van die bepaling, zonder dat hoeft te worden onderzocht of aan de twee andere voorwaarden van artikel 6, lid 1, onder f), AVG is voldaan.

a) Conclusie over de uitlegging van artikel 6, lid 1, onder f), AVG

61.

Uit het voorgaande volgt mijns inziens dat artikel 6, lid 1, onder f), AVG, en artikel 5, lid 1, onder c), ervan aldus moeten worden uitgelegd dat de verwerking van gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf niet noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van die bepaling, voor zover deze onderneming de gebruikers bij wie de gegevens werden verzameld niet heeft medegedeeld welk gerechtvaardigd belang met de verwerking ervan werd nagestreefd.

b) Aanvullende opmerkingen

62.

Volledigheidshalve, voor het geval het Hof tot de slotsom komt dat het betrokken gerechtvaardigde belang wel overeenkomstig artikel 13, lid 1, onder d), AVG is medegedeeld, zal ik toch doorgaan met het onderzoek van de voorwaarden waaraan moet worden voldaan opdat een verwerking van persoonsgegevens als rechtmatig wordt beschouwd op grond van artikel 6, lid 1, onder f), van die verordening.

63.

Wat in de eerste plaats de voorwaarde inzake het bestaan van een gerechtvaardigd belang betreft, betogen SNCF Connect en de Franse regering dat het nagestreefde gerechtvaardigde belang de communicatie met de klant is.

64.

Ik merk op dat het Hof met betrekking tot het begrip ‘gerechtvaardigd belang’ heeft geoordeeld dat ‘er bij gebreke van een definitie van dit begrip in de AVG op [moet] worden gewezen […] dat een breed scala aan belangen in beginsel als gerechtvaardigd kan worden beschouwd’.28.

65.

In dit verband breng ik in herinnering dat SNCF Connect een onderneming is die onlinevervoerbewijzen voor de trein verkoopt. Zoals ik reeds heb opgemerkt29., veronderstelt deze dienst dat contact wordt opgenomen met de klant, in elk geval om hem zijn vervoerbewijs te doen toekomen. Derhalve ben ik van mening dat de doelstelling om met de klant te communiceren voor deze onderneming een gerechtvaardigd belang kan vormen in de zin van artikel 6, lid 1, onder f), AVG, zodat aan de eerste voorwaarde, wat het bestaan van een dergelijk gerechtvaardigd belang betreft, mijns inziens is voldaan.

66.

Wat in de tweede plaats de voorwaarde inzake de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang betreft, hieraan is volgens mij niet voldaan. Zoals ik heb aangetoond in het kader van mijn analyse van artikel 6, lid 1, onder b), AVG, gaat de verwerking van de gegevens met betrekking tot de aanspreektitel verder dan noodzakelijk is om de doelstelling van communicatie met de klant te kunnen bereiken, aangezien die communicatie mogelijk is zonder gebruik te maken van die gegevens.30.

67.

Wat in de derde en laatste plaats de voorwaarde betreft dat de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, wijs ik erop dat het Hof heeft geoordeeld dat ‘deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter staat om bij deze afweging rekening te houden met die specifieke omstandigheden’.31. Ik zal echter nog een paar opmerkingen maken die de verwijzende rechter van nut kunnen zijn bij deze beoordeling.

68.

Zo heeft het Hof geoordeeld dat ‘[i]n het kader van deze afweging van de tegengestelde rechten en belangen in kwestie — namelijk die van de verwerkingsverantwoordelijke enerzijds en die van de betrokkene anderzijds — […] met name rekening [moet] worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de verwerking en de gevolgen ervan voor die persoon’.32.

69.

Bovendien blijkt uit overweging 47 AVG dat ‘een zorgvuldige beoordeling geboden [is] om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden’.

70.

In dit verband ontgaat het mij in hoeverre de klant van een vervoersbedrijf redelijkerwijs kon verwachten dat zijn gegevens met betrekking tot de aanspreektitel door dit bedrijf zouden worden verwerkt teneinde te communiceren in het kader van de aankoop van een vervoerbewijs.

71.

Hoe dan ook is volgens mij het enkele bestaan van redelijke verwachtingen onvoldoende om ervoor te zorgen dat het gerechtvaardigde belang van de verwerkingsverantwoordelijke zwaarder weegt dan de belangen of de grondrechten en fundamentele vrijheden van de betrokkene. Hoewel een dergelijk element zeker relevant is in het kader van de te maken afweging, kan het er echter niet stelselmatig toe leiden dat het gerechtvaardigde belang van de verwerkingsverantwoordelijke zwaarder weegt, in het bijzonder wanneer de verwerking van de betrokken persoonsgegevens inbreuk kan maken op een grondrecht of een fundamentele vrijheid van de betrokkene, zoals gewaarborgd door het Handvest.

72.

Zoals Mousse betoogt, lijkt dit mij in casu het geval. Deze vereniging voert namelijk aan dat er een risico bestaat op discriminatie op grond van geslacht vanwege de verwerking van de gegevens met betrekking tot de aanspreektitel, in het bijzonder ten aanzien van transgenders of personen met de nationaliteit van een land dat non-binariteit erkent.

73.

In deze omstandigheden, en onder voorbehoud van de verificaties door de verwijzende rechter, ben ik van mening dat het gerechtvaardigde belang bestaande in communicatie met de klant niet zwaarder weegt dan de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene.

B. Tweede prejudiciële vraag

74.

Met zijn tweede prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, onder f), AVG aldus moet worden uitgelegd dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening moet worden gehouden met het feit dat de betrokkene een recht van bezwaar kan uitoefenen krachtens artikel 21, lid 1, van die verordening.

75.

Artikel 21, lid 1, AVG bepaalt dat de betrokkene te allen tijde het recht heeft om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van die verordening, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

76.

Volgens vaste rechtspraak dient bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening te worden gehouden met de bewoordingen ervan, maar eveneens met de context ervan en met de doeleinden die worden nagestreefd met de regeling waarvan zij deel uitmaakt.33.

77.

Wat de bewoordingen van artikel 21, lid 1, AVG betreft, merk ik op dat de Uniewetgever aangeeft dat het recht van bezwaar betrekking heeft op de verwerking van persoonsgegevens op basis van met name artikel 6, lid 1, onder f), van die verordening. Met andere woorden, zoals Mousse en de Commissie betogen, veronderstelt het recht van bezwaar dat er sprake is van een rechtmatige verwerking op basis van met name het gerechtvaardigde belang van de verwerkingsverantwoordelijke. Dit recht kan dus pas worden uitgeoefend nadat een rechtmatige verwerking heeft plaatsgevonden teneinde die te doen beëindigen.

78.

Dit wordt volgens mij bevestigd door het tweede deel van artikel 21, lid 1, AVG, dat bepaalt dat ingeval de betrokkene bezwaar maakt op grond van die bepaling, de verwerkingsverantwoordelijke de verwerking van de betrokken gegevens staakt.34. Een dergelijke formulering impliceert mijns inziens duidelijk dat de verwerking van de betrokken gegevens rechtmatig is overeenkomstig de voorwaarden van artikel 6, lid 1, onder f), AVG, maar dat die gegevens niet meer mogen worden verwerkt nadat bezwaar is gemaakt.

79.

Anders gezegd, artikel 21, lid 1, AVG kan pas een rol spelen nadat de rechtmatigheid van de verwerking is vastgesteld.

80.

Uit de bewoordingen van artikel 21, lid 1, AVG volgt dus dat het bestaan van een recht van bezwaar geenszins relevant is voor de beoordeling van de noodzaak van een dergelijke verwerking in de zin van artikel 6, lid 1, onder f), van die verordening, aangezien de toepassing van artikel 21, lid 1, AVG veronderstelt dat reeds aan de voorwaarden van artikel 6, lid 1, onder f), van die verordening is voldaan.

81.

Een dergelijke letterlijke uitlegging van artikel 21, lid 1, AVG wordt bovendien bevestigd bij onderzoek van die bepaling in het licht van de context en de doelstellingen van die verordening.

82.

Wat de contextuele uitlegging van die bepaling betreft, merk ik op dat de rechtvaardigingsgronden voor de verwerking van persoonsgegevens worden vermeld in artikel 6 AVG, dat betrekking heeft op het beginsel van rechtmatigheid en deel uitmaakt van hoofdstuk II van die verordening, betreffende de beginselen inzake verwerking van persoonsgegevens. Artikel 21 van die verordening daarentegen valt onder hoofdstuk III, dat de rechten van de betrokkene betreft. Bovendien, zoals ik reeds heb opgemerkt, is de opsomming van rechtvaardigingsgronden in artikel 6 van deze verordening volgens vaste rechtspraak uitputtend.35. In die omstandigheden vervullen de twee betrokken bepalingen twee verschillende functies en kan niet worden geoordeeld dat artikel 21 AVG in aanmerking kan worden genomen bij het onderzoek van de rechtmatigheid van de verwerking, die uitsluitend wordt geregeld in artikel 6 van die verordening.

83.

Wat de teleologische uitlegging van artikel 6, lid 1, onder f), en van artikel 21 AVG betreft, zou het in aanmerking nemen van het bestaan van een recht van bezwaar bij de beoordeling van de rechtmatigheid van een gegevensverwerking op grond van artikel 6 van die verordening, erop neerkomen dat wordt erkend dat een gegevensverwerking rechtmatig is om de enkele reden dat de betrokkene later bezwaar kan maken tegen die verwerking. Dit zou er dus toe leiden dat de rechtvaardigingsgronden voor de rechtmatigheid van verwerkingen worden uitgebreid tot andere dan de in artikel 6 van die verordening genoemde gevallen en dat het niveau van bescherming van de betrokkenen afhangt van hun voortvarendheid om bezwaar te maken tegen de verwerking van hun persoonsgegevens, omdat die verwerking anders kan worden aangemerkt als rechtmatig. Mijns inziens kan een dergelijke uitlegging derhalve afbreuk doen aan de doelstelling om natuurlijke personen een hoog beschermingsniveau te garanderen in verband met de verwerking van hun persoonsgegevens.

84.

Bijgevolg ben ik van mening dat op de tweede prejudiciële vraag moet worden geantwoord dat artikel 6, lid 1, onder f), AVG aldus moet worden uitgelegd dat het zich ertegen verzet dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening wordt gehouden met het feit dat de betrokkene een recht van bezwaar kan uitoefenen krachtens artikel 21, lid 1, van die verordening.

V. Conclusie

85.

Gelet op een en ander geef ik het Hof in overweging om de prejudiciële vragen van de Conseil d'État te beantwoorden als volgt:

‘Artikel 6, lid 1, onder b), en artikel 5, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moeten aldus worden uitgelegd dat

de systematische verwerking van gegevens met betrekking tot de aanspreektitel niet kan worden beschouwd als noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen, wanneer deze verwerking tot doel heeft om gepersonaliseerde commerciële communicatie mogelijk te maken waarbij de inachtneming van algemeen gangbare praktijken in commerciële communicatie wordt gewaarborgd, of om een vervoersdienst aan te passen vanwege het geslacht van de betrokkene.

Artikel 6, lid 1, onder f), en artikel 5, lid 1, onder c), van verordening 2016/679

moeten aldus worden uitgelegd dat

de verwerking van gegevens met betrekking tot de aanspreektitel van de klanten van een vervoersbedrijf niet noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van die bepaling, voor zover deze onderneming de gebruikers bij wie de gegevens werden verzameld niet heeft medegedeeld welk gerechtvaardigd belang met de verwerking ervan werd nagestreefd.

Artikel 6, lid 1, onder f), van verordening 2016/679

moet aldus worden uitgelegd dat

het zich ertegen verzet dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening wordt gehouden met het feit dat de betrokkene een recht van bezwaar kan uitoefenen krachtens artikel 21, lid 1, van die verordening.’

Toon alle voetnoten

Voetnoten

Voetnoten Conclusie 11‑07‑2024

Oorspronkelijke taal: Frans.

Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35).

JORF van 7 januari 1978, blz. 227, zoals gewijzigd bij beschikking nr. 2018-1125 van 12 december 2018 (JORF nr. 288 van 13 december 2018).

Conclusie van advocaat-generaal Bobek in de zaak Rīgas satiksme (C-13/16, EU:C:2017:43, punt 93).

De zaak die heeft geleid tot het arrest van 4 mei 2017, Rīgas satiksme (C-13/16, EU:C:2017:336), betrof daarentegen de overdracht aan een natuurlijke persoon van persoonsgegevens die noodzakelijk zijn om een civielrechtelijke procedure aanhangig te maken tegen een andere natuurlijke persoon die een administratieve overtreding zou hebben begaan.

Artikel 5, lid 1, onder a), AVG.

Artikel 5, lid 1, onder c), AVG.

Zoals neergelegd in artikel 8, lid 1, van het Handvest en in artikel 16, lid 1, VWEU.

Over het verband tussen artikel 6, lid 1, AVG en artikel 52, lid 1, van het Handvest, zie Kotschy, W., ‘Article 6. Lawfulness of Processing’, The EU General Data Protection Regulation (GDPR), A Commentary, Kuner, C., Bygrave, L. A., en Docksey, C. (red.), Oxford University Press, Oxford, 2020, blz. 325 en 326.

10.

Arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C-439/19, EU:C:2021:504, punt 99), en 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk) (C-252/21, EU:C:2023:537, punt 90; hierna: ‘arrest Meta Platforms e.a.’).

11.

Zie Kotschy, W., ‘Article 6. Lawfulness of Processing’, The EU General Data Protection Regulation (GDPR), A Commentary, op. cit., blz. 329.

12.

Arrest Meta Platforms e.a. (punten 91 en 92).

13.

Arrest Meta Platforms e.a. (punt 93).

14.

Arrest Meta Platforms e.a. (punt 94).

15.

Zie mijn conclusie in de zaak Latvijas Republikas Saeima (Strafpunten) (C-439/19, EU:C:2020:1054, punt 93).

16.

Arrest Meta Platforms e.a. (punt 109) en arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C-26/22 en C-64/22, EU:C:2023:958, punt 78).

17.

Zie mijn conclusie in de zaak Latvijas Republikas Saeima (Strafpunten) (C-439/19, EU:C:2020:1054, punt 109).

18.

Arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C-439/19, EU:C:2021:504, punt 98). Zie in dit verband ook, Lubasz, D., in Lubasz, D. (red.), Ochrona danych osobowych, Wolters Kluwer, Warschau, 2020, punt 202.

19.

Zie bijvoorbeeld arrest van 9 november 2010, Volker und Markus Schecke en Eifert (C-92/09 en C-93/09, EU:C:2010:662, punt 74 en aldaar aangehaalde rechtspraak).

20.

Zie de Terwangne, C., ‘Article 5. Principles Relating to Processing of Personal Data’, The EU General Data Protection Regulation (GDPR), A Commentary, op. cit., blz. 317.

21.

Cursivering van mij.

22.

Artikel 4, punt 11, AVG.

23.

Cursivering van mij.

24.

Arrest Meta Platforms e.a. (punt 98). Cursivering van mij.

25.

Zie arrest van 17 juni 2021, M.I.C.M. (C-597/19, EU:C:2021:492, punt 106), en arrest Meta Platforms e.a. (punt 106).

26.

Arrest Meta Platforms e.a. (punt 107).

27.

Arrest Meta Platforms e.a. (punt 126 en dictum).

28.

Arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C-26/22 en C-64/22, EU:C:2023:958, punt 76).

29.

Zie punt 42 van deze conclusie.

30.

Zie punten 47 e.v. van deze conclusie.

31.

Arrest Meta Platforms e.a. (punt 110).

32.

Arrest, Meta Platforms e.a. (punt 116).

33.

Arresten van 11 mei 2017, Krijgsman (C-302/16, EU:C:2017:359, punt 24); 29 september 2022, LOT (Compensatie gelast door administratieve autoriteit) (C-597/20, EU:C:2022:735, punt 21), en 29 februari 2024, Eventmedia Soluciones (C-11/23, EU:C:2024:194, punt 24).

34.

Zie de Duitse taalversie (‘Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr […]’), de Engelse taalversie (‘The controller shall no longer process the personal data […]’) of de Poolse taalversie (‘Administratorowi nie wolno juŻ przetwarzać tych danych osobowych […]’). Cursivering van mij.

35.

Zie punt 27 van deze conclusie. Zie ook arrest Meta Platforms e.a. (punt 90).