Mousse tegen Commission nationale de l'informatique et des libertés (CNIL) en SNCF Connect

• 1.

  Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 5, lid 1, onder c), artikel 6, lid 1, eerste alinea, onder b) en f), en artikel 21 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).

• 2.

  Dit verzoek is ingediend in het kader van een geding tussen Mousse, een vereniging, en de Commission nationale de l’informatique et des libertés (nationale commissie voor informatica en vrijheden; hierna: „CNIL”) (Frankrijk) over de afwijzing door de CNIL van het door Mousse ingediende bezwaar betreffende de verwerking door de vennootschap SNCF Connect van de gegevens met betrekking tot de aanspreektitel van haar klanten bij de onlineverkoop van vervoerbewijzen.

   AVG

 Unierecht

• 3.

  De overwegingen 1, 4, 10, 47 en 75 AVG luiden:

  „(1)      De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het ‚Handvest’) en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.

  [...]

  (4)      De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.

  [...]

  (10)      Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]

  [...]

  (47)      De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is [...] van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. [...] De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.

  [...]

  (75)      Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, [...].”

• 4.

  Artikel 1 („Onderwerp en doelstellingen”) van deze verordening bepaalt in lid 2:

  „Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.”

• 5.

  Artikel 2, lid 1, van deze verordening luidt als volgt:

  „Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.”

• 6.

  In artikel 4 („Definities”) van diezelfde verordening is bepaald:

  „Voor de toepassing van deze verordening wordt verstaan onder:

  1)      ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon [...];

  2)      ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen [en] vastleggen [...] van gegevens;

  [...]

  7)      ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; [...]

  [...]

  11)      ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt;

  [...]”

• 7.

  Artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) AVG luidt als volgt:

  „1.      Persoonsgegevens moeten:

  a)      worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);

  [...]

  c)      toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);

  [...]”

• 8.

  Artikel 6 („Rechtmatigheid van de verwerking”) van deze verordening bepaalt in lid 1:

  „De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

  a)      de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

  b)      de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;

  c)      de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

  d)      de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;

  e)      de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

  f)      de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

  [...]”

• 9.

  Artikel 13 („Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”) AVG bepaalt:

  „1.      Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:

  [...]

  c)      de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;

  d)      de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;

  [...]”

• 10.

  In artikel 21 („Recht van bezwaar”) van diezelfde verordening is in lid 1 het volgende bepaald:

  „De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.”

   Richtlijn 2004/113

• 11.

  Volgens artikel 1 heeft richtlijn 2004/113/EG van de Raad van 13 december 2004 houdende toepassing van het beginsel van gelijke behandeling van mannen en vrouwen bij de toegang tot en het aanbod van goederen en diensten (PB 2004, L 373, blz. 37) tot doel een kader te creëren voor de bestrijding van discriminatie op grond van geslacht bij de toegang tot en het aanbod van goederen en diensten, zodat in de lidstaten het beginsel van gelijke behandeling van mannen en vrouwen toegepast kan worden.

 Frans recht

• 12.

  Artikel 8 van loi no 78‑17 relative à l’informatique, aux fichiers et aux libertés (wet nr. 78‑17 betreffende informatica, bestanden en vrijheden) van 6 januari 1978 (JORF van 7 januari 1978, blz. 227) bepaalt:

  „I A. De [CNIL] is een onafhankelijke administratieve autoriteit.

  I. Zij is de nationale toezichthoudende autoriteit als bedoeld in en met het oog op de tenuitvoerlegging van de [AVG]. Zij is belast met de volgende taken:

  [...]

  2°      Zij ziet erop toe dat de verwerking van persoonsgegevens wordt uitgevoerd overeenkomstig de bepalingen van de onderhavige wet en andere bepalingen met betrekking tot de bescherming van persoonsgegevens zoals vastgesteld in de wet- en regelgeving, het recht van de [...] Unie en de internationale verplichtingen van [de Franse Republiek].

  In die hoedanigheid:

  [...]

  d)      behandelt zij klachten, verzoeken en bezwaren van betrokkenen, of van instanties, organisaties of verenigingen, onderzoekt zij de inhoud van de klacht in de mate waarin dat nodig is en stelt zij de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is”.

 Hoofdgeding en prejudiciële vragen

• 13.

  SNCF Connect verkoopt op haar website en via onlineapplicaties vervoerbewijzen voor de trein, zoals treinkaartjes, abonnementen en kortingskaarten. De klanten van deze onderneming zijn verplicht om bij de aankoop van deze vervoerbewijzen op deze website of onlineapplicaties hun aanspreektitel op te geven door de vermelding „De heer” of „Mevrouw” aan te vinken.

• 14.

  Aangezien Mousse van mening was dat de voorwaarden voor het verzamelen en vastleggen van gegevens betreffende de aanspreektitel van deze klanten niet in overeenstemming waren met de vereisten van de AVG, heeft zij bij de CNIL een bezwaar ingediend tegen SNCF Connect. Ter ondersteuning van dat bezwaar heeft Mousse aangevoerd dat de verzameling van die gegevens in strijd was met het beginsel van rechtmatigheid, zoals vervat in artikel 5, lid 1, onder a), AVG, aangezien deze gegevensverzameling op geen van de in artikel 6, lid 1, AVG vastgelegde grondslagen berustte. Bovendien is een dergelijke gegevensverzameling in strijd met het in artikel 5, lid 1, onder c), AVG bedoelde beginsel van minimale gegevensverwerking en met name met de uit artikel 13 AVG voortvloeiende transparantie- en informatieverplichtingen.

• 15.

  Bij besluit van 23 maart 2021 heeft de CNIL vastgesteld dat de aan SNCF Connect verweten feiten genoemde bepalingen van de AVG niet schonden en dat de procedure voor het onderzoek van dat bezwaar moest worden beëindigd. Ter ondersteuning van dit besluit heeft de CNIL vastgesteld dat de in het hoofdgeding aan de orde zijnde gegevensverwerking rechtmatig was op grond van artikel 6, lid 1, eerste alinea, onder b), AVG omdat deze verwerking noodzakelijk was voor de uitvoering van de betrokken overeenkomst tot verlening van vervoersdiensten. Voorts heeft de CNIL opgemerkt dat die verwerking, gelet op de doeleinden ervan, in overeenstemming was met het beginsel van minimale gegevensverwerking, aangezien het in commerciële, burgerlijke en administratieve communicatie gangbaar was de aanspreektitel van klanten te gebruiken wanneer zij op een gepersonaliseerde manier worden aangesproken.

• 16.

  Op 21 mei 2021 heeft Mousse bij de Conseil d’État (hoogste bestuursrechter, Frankrijk), de verwijzende rechter, beroep ingesteld tot nietigverklaring van dit besluit van de CNIL. In haar verzoekschrift heeft Mousse met name aangevoerd dat de verplichting om bij een onlineaankoop de vermelding „De heer” of „Mevrouw” aan te vinken niet beantwoordt aan het beginsel van rechtmatigheid, noch aan het beginsel van minimale gegevensverwerking, zoals vervat in respectievelijk artikel 5, lid 1, onder a), en artikel 5, lid 1, onder c), AVG, aangezien die vermelding niet noodzakelijk is voor de uitvoering van een overeenkomst tot verlening van vervoersdiensten en evenmin voor de behartiging van de gerechtvaardigde belangen van SNCF Connect. Het feit dat dergelijke vermeldingen in commerciële communicatie worden gebruikt, volstaat niet om een dergelijke verplichting als noodzakelijk te beschouwen. Tot slot kan een dergelijke verplichting inbreuk maken op het recht om te reizen zonder zijn aanspreektitel kenbaar te maken, op het recht op eerbiediging van het privéleven alsmede op de vrijheid om zijn genderuitdrukking vrij te bepalen en kan het een risico op discriminatie inhouden. Wat betreft onderdanen van landen waarvan de burgerlijke staat „non-binair” wordt erkend, stemt deze vermelding niet overeen met de werkelijkheid en kan zij met name afbreuk doen aan hun door het Unierecht gewaarborgde vrijheid van verkeer.

• 17.

  De CNIL vordert verwerping van dit beroep en betoogt dat de verwerking van de gegevens met betrekking tot de aanspreektitel ook als noodzakelijk kan worden aangemerkt voor de behartiging van de gerechtvaardigde belangen van SNCF Connect krachtens artikel 6, lid 1, eerste alinea, onder f), AVG en dat de betrokkenen – vanwege hun specifieke situatie – het door artikel 21 AVG gewaarborgde recht van bezwaar kunnen uitoefenen.

• 18.

  In deze context vraagt de verwijzende rechter zich met name af of bij de beoordeling of de verwerking van de in het hoofdgeding aan de orde zijnde gegevens noodzakelijk is, rekening kan worden gehouden met de gangbare praktijk in commerciële, civiele en administratieve communicatie, zodat het verzamelen van gegevens betreffende de aanspreektitel van klanten, beperkt tot de vermelding „De heer” of „Mevrouw”, rechtmatig is en voldoet aan het beginsel van minimale gegevensverwerking. Deze rechter wenst voorts te vernemen of er – bij de beoordeling of die verplichte verzameling en de daaropvolgende verwerking van de gegevens met betrekking tot de aanspreektitel van de klanten noodzakelijk is, terwijl sommige van die klanten van mening zijn dat geen van beide aanspreektitels op hen van toepassing is – rekening moet worden gehouden met het feit dat die klanten, nadat zij die gegevens aan de verwerkingsverantwoordelijke hebben verstrekt teneinde van de betrokken dienst gebruik te kunnen maken, vanwege hun specifieke situatie hun recht van bezwaar in de zin van artikel 21 AVG kunnen uitoefenen tegen het gebruik van die gegevens.

• 19.

  Tegen deze achtergrond heeft de Conseil d’État de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

  „1)      Mag er bij de beoordeling of de verzamelde gegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is in de zin van artikel 5, lid 1, onder c), AVG en of de verwerking ervan noodzakelijk is in de zin van artikel 6, lid 1, onder b) en f), AVG, rekening worden gehouden met algemeen gangbare praktijken in burgerlijke, commerciële en administratieve communicatie, zodat de verzameling van gegevens met betrekking tot de aanspreektitels van klanten, die beperkt blijft tot de vermeldingen „De heer” of „Mevrouw”, als noodzakelijk kan worden beschouwd, en het beginsel van minimale gegevensverwerking daaraan niet in de weg staat?

  2)      Dient er bij de beoordeling of de verplichte verzameling en verwerking van gegevens met betrekking tot de aanspreektitels van klanten noodzakelijk is, rekening mee te worden gehouden dat sommige klanten, aangezien zij van mening zijn dat geen van die beide aanspreektitels op hen van toepassing is en dat het verzamelen van dat gegeven in hun geval niet ter zake dienend is, na dat gegeven aan de verwerkingsverantwoordelijke te hebben verstrekt teneinde van de aangeboden dienst gebruik te kunnen maken, hun recht kunnen uitoefenen om op grond van artikel 21 AVG vanwege hun specifieke situatie bezwaar te maken tegen het gebruik en de bewaring ervan?”

 Eerste vraag

• 20.

  Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, eerste alinea, onder b) en f), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), ervan, aldus moet worden uitgelegd dat de verwerking van persoonsgegevens met betrekking tot de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, kan worden geacht noodzakelijk te zijn voor de uitvoering van een overeenkomst, in de zin van dit punt b), of voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, in de zin van dit punt f).

   Opmerkingen vooraf

• 21.

  Vooraf zij eraan herinnerd dat het doel van de AVG – zoals blijkt uit artikel 1 alsook uit de overwegingen 1 en 10 ervan – met name bestaat in het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen, in het bijzonder van hun in artikel 8, lid 1, van het Handvest en artikel 16, lid 1, VWEU erkende recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens [arrest van 4 oktober 2024, Schrems (Mededeling van gegevens aan het grote publiek), C‑446/21, EU:C:2024:834, punt 45 en aldaar aangehaalde rechtspraak].

• 22.

  Overeenkomstig dat doel moet elke verwerking van persoonsgegevens met name in overeenstemming zijn met de beginselen inzake de verwerking van dergelijke gegevens die zijn opgenomen in artikel 5 van deze verordening en moet zij voldoen aan de in artikel 6 van deze verordening opgesomde rechtmatigheidsvoorwaarden (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 27 en aldaar aangehaalde rechtspraak).

• 23.

  Artikel 5, lid 1, onder a), AVG bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is.

• 24.

  Overeenkomstig artikel 5, lid 1, onder c), van deze verordening, dat het beginsel van minimale gegevensverwerking formuleert, moeten deze gegevens tevens toereikend en ter zake dienend zijn en beperkt blijven tot hetgeen noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dat beginsel is een uitdrukking van het evenredigheidsbeginsel [zie in die zin arrest van 4 oktober 2024, Schrems (Mededeling van gegevens aan het grote publiek), C‑446/21, EU:C:2024:834, punten 49 en 50 en aldaar aangehaalde rechtspraak].

• 25.

  Wat de rechtmatigheidsvoorwaarden van de verwerking betreft, heeft het Hof geoordeeld dat artikel 6, lid 1, eerste alinea, AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden aangemerkt. Daarom kan alleen een verwerking die onder een van de in deze bepaling bedoelde gevallen valt als rechtmatig worden aangemerkt (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 29 en aldaar aangehaalde rechtspraak).

• 26.

  Volgens artikel 6, lid 1, eerste alinea, onder a), AVG is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden. Bij gebreke van een dergelijke toestemming of wanneer die toestemming niet vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven in de zin van artikel 4, punt 11, van deze verordening, kan de verwerking niettemin gerechtvaardigd zijn wanneer is voldaan aan een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), van die verordening genoemde voorwaarden met betrekking tot de noodzakelijkheid van de verwerking [zie in die zin arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punten 91 en 92].

• 27.

  In deze context moeten de in deze laatste bepaling bedoelde rechtvaardigingsgronden restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 31 en aldaar aangehaalde rechtspraak).

• 28.

  Bovendien blijkt uit de rechtspraak van het Hof dat wanneer kan worden vastgesteld dat een verwerking van persoonsgegevens noodzakelijk is in het licht van een van de rechtvaardigingsgronden van artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG, niet hoeft te worden nagegaan of die verwerking ook onder een andere van die rechtvaardigingsgronden valt. In dat verband dient te worden verduidelijkt dat niet aan het noodzakelijkheidsvereiste met betrekking tot de aangenomen rechtvaardiging is voldaan wanneer de door deze gegevensverwerking beoogde doelstelling redelijkerwijs op een even doeltreffende wijze zou kunnen worden bereikt met andere middelen, die minder inbreuk maken op de grondrechten van de betrokken personen – met name op het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, die respectievelijk worden gewaarborgd door de artikelen 7 en 8 van het Handvest – en moeten afwijkingen en beperkingen van het beginsel van bescherming van persoonsgegevens binnen de grenzen van het strikt noodzakelijke blijven [zie in die zin arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 110 en aldaar aangehaalde rechtspraak, en 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 94].

• 29.

  Tot slot bepaalt artikel 13, lid 1, onder c), AVG dat wanneer bij de betrokkene persoonsgegevens worden verzameld, de verwerkingsverantwoordelijke hem informatie moet verstrekken over de rechtsgrondslag voor die verwerking (arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 33 en aldaar aangehaalde rechtspraak).

• 30.

  In casu moet worden opgemerkt dat niet wordt betwist dat de aanspreektitel, die overeenkomt met een mannelijke of vrouwelijke genderidentiteit, als „persoonsgegeven” kan worden aangemerkt wanneer die betrekking heeft op een geïdentificeerde persoon in de zin van artikel 4, punt 1, AVG, en dat dit gegeven het voorwerp is van een „verwerking” in de zin van artikel 4, punt 2, AVG, voor zover het door SNCF Connect wordt verzameld en vastgelegd in het kader van de onlineverkoop van vervoerbewijzen. Bijgevolg valt deze verwerking, die bovendien geautomatiseerd is, krachtens artikel 2, lid 1, AVG binnen de materiële werkingssfeer van deze verordening.

• 31.

  Voorts berust de door de verwijzende rechter gestelde vraag op twee premissen, te weten, ten eerste, dat de in het hoofdgeding aan de orde zijnde gegevensverwerking plaatsvindt zonder toestemming van de betrokkenen in de zin van artikel 4, punt 11, en artikel 6, lid 1, eerste alinea, onder a), AVG, en ten tweede, dat deze verwerking niet noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust in de zin van artikel 6, lid 1, eerste alinea, onder c), AVG. De gestelde vraag heeft dus uitsluitend betrekking op de mogelijkheid om zich in het kader van de in het hoofdgeding aan de orde zijnde gegevensverwerking te beroepen op de in de punten b) en f) van artikel 6, lid 1, eerste alinea, AVG bedoelde rechtvaardigingsgronden.

   Artikel 6, lid 1, eerste alinea, onder b), AVG

• 32.

  Artikel 6, lid 1, eerste alinea, onder b), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien zij „noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”.

• 33.

  Dienaangaande moet de verwerking van persoonsgegevens, om als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, objectief onontbeerlijk zijn om een doel te bereiken dat integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder deze verwerking niet zou kunnen worden bereikt (arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C‑17/22 en C‑18/22, EU:C:2024:738, punt 43 en aldaar aangehaalde rechtspraak).

• 34.

  Het feit dat een dergelijke verwerking in de overeenkomst is vermeld of louter nuttig is voor de uitvoering ervan, is in dit verband op zich irrelevant. Voor de toepassing van de in artikel 6, lid 1, eerste alinea, onder b), AVG bedoelde rechtvaardiging is namelijk doorslaggevend dat de verwerking van persoonsgegevens door de verwerkingsverantwoordelijke essentieel is voor de correcte uitvoering van de tussen hem en de betrokkene gesloten overeenkomst en dat er dus geen bruikbare, minder ingrijpende alternatieven bestaan (arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C‑17/22 en C‑18/22, EU:C:2024:738, punt 44 en aldaar aangehaalde rechtspraak).

• 35.

  In dit verband moet de toepasselijkheid van artikel 6, lid 1, eerste alinea, onder b), AVG in de context van een overeenkomst die bestaat in verschillende diensten of verschillende afzonderlijke elementen van dezelfde dienst die onafhankelijk van elkaar kunnen worden uitgevoerd, voor elk van deze diensten afzonderlijk worden beoordeeld [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 100].

• 36.

  In casu staat vast dat het hoofddoel van de in het hoofdgeding aan de orde zijnde overeenkomst erin bestaat klanten een spoorvervoersdienst aan te bieden. Volgens de verwijzende rechter heeft de in het hoofdgeding aan de orde zijnde gegevensverwerking tot doel om op gepersonaliseerde wijze met de klant te communiceren, met inachtneming van de algemene gangbare praktijken in commerciële communicatie.

• 37.

  Zoals de advocaat-generaal in punt 42 van zijn conclusie in wezen heeft opgemerkt, kan commerciële communicatie een doel vormen dat integrerend deel uitmaakt van de betrokken contractuele prestatie, aangezien het verlenen van een dergelijke spoorvervoersdienst in beginsel inhoudt dat met de klant wordt gecommuniceerd, met name om hem een vervoerbewijs elektronisch toe te zenden, hem in kennis te stellen over eventuele wijzigingen in de desbetreffende reis en uitwisselingen met de klantenservice mogelijk te maken. Bij deze communicatie kan het noodzakelijk zijn om gangbare praktijken in acht te nemen en met name beleefdheidsformules te hanteren, waarmee de betrokken onderneming respect toont voor haar klant en zodoende haar imago beschermt.

• 38.

  Een dergelijke communicatie lijkt echter niet noodzakelijkerwijs te hoeven worden gepersonaliseerd op basis van de genderidentiteit van de betrokken klant. Volgens de rechtspraak lijkt de personalisatie van de inhoud immers niet noodzakelijk om een klant diensten aan te bieden wanneer hem, in voorkomend geval, voor deze diensten een gelijkwaardig alternatief kan worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten [zie in die zin arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 102].

• 39.

  Wat de in het hoofdgeding aan de orde zijnde diensten betreft, is een personalisatie van de commerciële communicatie, die is gebaseerd op een veronderstelde genderidentiteit op basis van de aanspreektitel, noch objectief onontbeerlijk, noch essentieel voor de correcte uitvoering van de betrokken overeenkomst in de zin van de in de punten 33 en 34 van het onderhavige arrest in herinnering gebrachte rechtspraak.

• 40.

  Er lijkt namelijk een praktische en minder ingrijpende oplossing te bestaan, aangezien de betrokken onderneming in haar communicatie met klanten die hun aanspreektitel niet kenbaar wensen te maken, of in haar algemene communicatie, kan kiezen voor generieke, inclusieve beleefdheidsformules die geen verband houden met de veronderstelde genderidentiteit van de klanten. Zoals de advocaat-generaal in de punten 49 en 50 van zijn conclusie heeft opgemerkt, lijkt SNCF Connect overigens, onder voorbehoud van verificatie door de verwijzende rechter, reeds dergelijke formuleringen te gebruiken en lijkt de vermelding van een onjuiste aanspreektitel bovendien geen invloed te hebben op de verlening van de betrokken vervoersdiensten, hetgeen zou bevestigen dat de in het hoofdgeding aan de orde zijnde gegevensverwerking niet objectief onontbeerlijk is om het hoofddoel van de overeenkomst te verwezenlijken.

• 41.

  In deze context moet nog worden verduidelijkt dat SNCF Connect ter terechtzitting heeft betoogd dat met de in het hoofdgeding aan de orde zijnde gegevensverwerking een tweede doel werd nagestreefd, namelijk de vervoersdiensten aanpassen voor nachttreinen, met wagons die zijn voorbehouden aan personen met eenzelfde genderidentiteit, en bijstand verlenen aan passagiers met een handicap. Volgens SNCF Connect is het voor deze aangepaste vervoersdiensten noodzakelijk om de genderidentiteit van de betrokken klanten te kennen.

• 42.

  Dit tweede doel kan echter geen rechtvaardiging vormen voor de systematische en algemene gegevensverwerking met betrekking tot de aanspreektitel van alle klanten van de betrokken onderneming, met inbegrip van de klanten die overdag reizen of geen handicap hebben. Een dergelijke verwerking zou namelijk onevenredig zijn en derhalve in strijd zijn met het in punt 24 van het onderhavige arrest in herinnering gebrachte beginsel van minimale gegevensverwerking, aangezien die verwerking had kunnen worden beperkt tot de gegevens betreffende de genderidentiteit van alleen de klanten die met de nachttrein willen reizen of om persoonlijke assistentie verzoeken wegens een handicap.

• 43.

  Artikel 6, lid 1, eerste alinea, onder b), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), AVG, moet bijgevolg aldus worden uitgelegd dat de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, noch objectief onontbeerlijk noch essentieel is voor de correcte uitvoering van een overeenkomst en dus niet kan worden geacht noodzakelijk te zijn voor de uitvoering van die overeenkomst.

   Artikel 6, lid 1, eerste alinea, onder f), AVG

• 44.

  Artikel 6, lid 1, eerste alinea, onder f), AVG bepaalt dat de verwerking van persoonsgegevens rechtmatig is indien die „noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”.

• 45.

  Volgens vaste rechtspraak worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn. Ten eerste moet de verwerkingsverantwoordelijke of een derde een gerechtvaardigd belang behartigen; ten tweede moet de verwerking van persoonsgegevens noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang, en ten derde mogen de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde [arresten van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 106, en 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 37].

• 46.

  Wat de eerste voorwaarde inzake de behartiging van een gerechtvaardigd belang betreft, moet worden verduidelijkt dat het volgens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6, lid 1, eerste alinea, onder f), van deze verordening, de betrokken persoon op het moment waarop persoonsgegevens bij hem worden verzameld, mee te delen welke gerechtvaardigde belangen worden behartigd. Bij gebreke van een definitie van het begrip „gerechtvaardigd belang” in de AVG, kan een breed scala aan belangen in beginsel als gerechtvaardigd worden beschouwd. In het bijzonder is deze bepaling ruimer dan een „tot de wet behorend, wet zijnd, in een wet vastgelegd” belang [zie in die zin arresten van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 107, en 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punten 38, 40 en 41 en aldaar aangehaalde rechtspraak].

• 47.

  Zoals blijkt uit overweging 47 AVG kan een dergelijk gerechtvaardigd belang bijvoorbeeld aanwezig zijn wanneer er sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is van de verwerkingsverantwoordelijke.

• 48.

  Wat de tweede voorwaarde betreft dat de verwerking van persoonsgegevens noodzakelijk is voor de behartiging van het gerechtvaardigde belang, staat het, gelet op de in punt 28 van het onderhavige arrest in herinnering gebrachte rechtspraak, aan de verwijzende rechter om na te gaan of het gerechtvaardigde belang dat met de gegevensverwerking wordt behartigd, redelijkerwijs niet even doeltreffend kan worden behartigd met andere middelen die de fundamentele vrijheden en rechten van de betrokkenen minder aantasten, aangezien een dergelijke verwerking moet worden verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dat gerechtvaardigde belang.

• 49.

  In dit verband zij er tevens aan herinnerd dat de voorwaarde inzake de noodzaak van de verwerking moet worden onderzocht in samenhang met het beginsel van minimale gegevensverwerking van artikel 5, lid 1, onder c), AVG, op grond waarvan persoonsgegevens toereikend moeten zijn, ter zake dienend en beperkt tot hetgeen noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C‑17/22 en C‑18/22, EU:C:2024:738, punt 52 en aldaar aangehaalde rechtspraak).

• 50.

  Wat ten slotte de derde voorwaarde betreft, volgens welke de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, heeft het Hof geoordeeld dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter in kwestie staat om bij deze afweging rekening te houden met die specifieke omstandigheden van de zaak. Zoals blijkt uit overweging 47 AVG kunnen de belangen en de grondrechten van de betrokkene met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet verwachten (zie in die zin arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C‑17/22 en C‑18/22, EU:C:2024:738, punten 53 en 54 en aldaar aangehaalde rechtspraak).

• 51.

  Hoewel het in casu uiteindelijk aan de verwijzende rechter staat om te beoordelen of met betrekking tot de in de hoofdgeding aan de orde zijnde verwerking van persoonsgegevens is voldaan aan de drie voorwaarden die in punt 45 van het onderhavige arrest in herinnering zijn gebracht, kan het Hof evenwel in zijn uitspraak op een verzoek om een prejudiciële beslissing preciseringen geven teneinde de verwijzende rechter te leiden bij die vaststelling (zie naar analogie arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C‑17/22 en C‑18/22, EU:C:2024:738, punt 55 en aldaar aangehaalde rechtspraak).

• 52.

  Wat de eerste voorwaarde betreft, die is genoemd in punt 46 van het onderhavige arrest, staat het aan de verwijzende rechter om na te gaan of SNCF Connect in het stadium van de in het hoofdgeding aan de orde zijnde gegevensverzameling haar klanten op een gerechtvaardigd belang had gewezen overeenkomstig artikel 13, lid 1, onder d), AVG. Zoals de advocaat-generaal in punt 58 van zijn conclusie heeft opgemerkt, vereist deze bepaling dat de betrokkenen er op het moment van die gegevensverzameling direct over worden geïnformeerd welk gerechtvaardigd belang daarmee wordt behartigd, omdat die gegevensverzameling anders niet gerechtvaardigd kan zijn op grond van artikel 6, lid 1, eerste alinea, onder f), van die verordening. Aan de hand van het dossier waarover het Hof beschikt, kan niet worden beoordeeld of in het hoofdgeding aan dit vereiste is voldaan.

• 53.

  In deze context moet worden gepreciseerd dat SNCF Connect in haar schriftelijke opmerkingen heeft verwezen naar een doel van direct marketing, waarvoor gepersonaliseerde communicatie en bijgevolg de verwerking van de in het hoofdgeding aan de orde zijnde gegevens noodzakelijk zou kunnen zijn.

• 54.

  Volgens overweging 47, laatste zin, AVG kan de verwerking van persoonsgegevens voor direct marketing worden beschouwd als een verwerking die beantwoordt aan een gerechtvaardigd belang. In het bijzonder kan de personalisatie van reclame in een dergelijke context gelijk worden gesteld aan direct marketing [zie naar analogie arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 115].

• 55.

  Wat de tweede voorwaarde betreft, die is genoemd in punt 48 van het onderhavige arrest, lijkt gepersonaliseerde commerciële communicatie, onder voorbehoud van verificatie door de verwijzende rechter, te kunnen worden beperkt tot de verwerking van de voor- en achternamen van klanten, aangezien hun aanspreektitel en/of genderidentiteit informatie is die in deze context niet strikt noodzakelijk is, met name in het licht van het beginsel van minimale gegevensverwerking.

• 56.

  In hun respectieve schriftelijke opmerkingen stellen SNCF Connect en de Franse regering dat bij de beoordeling of een verwerking van persoonsgegevens noodzakelijk is, rekening moet worden gehouden met de gangbare praktijken en sociale conventies van elke lidstaat, in het bijzonder met het oog op het behoud van de in overweging 4 AVG genoemde taalkundige en culturele verscheidenheid. Evenwel dient ten eerste te worden opgemerkt dat artikel 6, lid 1, eerste alinea, onder f), AVG niet bepaalt dat bij de beoordeling of een dergelijke verwerking noodzakelijk is, rekening moet worden gehouden met gangbare praktijken en sociale conventies, met dien verstande dat dit artikel restrictief moet worden uitgelegd, zoals in punt 27 van het onderhavige arrest in herinnering is gebracht.

• 57.

  Ten tweede doet het feit dat er geen gegevens met betrekking tot de aanspreektitel of de genderidentiteit van de betrokken klanten worden verwerkt, geen afbreuk aan deze verscheidenheid. Zoals blijkt uit punt 40 van het onderhavige arrest, staat het de verwerkingsverantwoordelijke immers vrij om deze gangbare praktijken en sociale conventies in acht te nemen door in zijn communicatie met klanten die hun aanspreektitel niet kenbaar wensen te maken, of in zijn algemene communicatie, te kiezen voor generieke, inclusieve beleefdheidsformules die geen verband houden met de genderidentiteit van die klanten, zodat het betoog van SNCF Connect en de Franse regering hoe dan ook niet kan slagen.

• 58.

  Wat betreft de derde voorwaarde, die is genoemd in punt 50 van het onderhavige arrest, en de afweging van de tegengestelde rechten en belangen in kwestie – namelijk die van de verwerkingsverantwoordelijke enerzijds en die van de betrokkene anderzijds – moet met name rekening worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de betrokken verwerking en de gevolgen ervan voor die persoon [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 116].

• 59.

  Zoals de advocaat-generaal in punt 70 van zijn conclusie in wezen heeft opgemerkt, wordt de klant van een vervoersonderneming, onder voorbehoud van verificatie door de verwijzende rechter, niet geacht te verwachten dat die onderneming in het kader van de aankoop van een vervoerbewijs gegevens betreffende zijn aanspreektitel of zijn genderidentiteit verwerkt. Dit zou met name het geval zijn indien die verwerking uitsluitend voor doeleinden van direct marketing werd verricht.

• 60.

  Het gerechtvaardigde belang in verband met direct marketing kan hoe dan ook niet prevaleren ingeval er een risico bestaat dat de fundamentele rechten en vrijheden van de betrokkene worden aangetast. Uit overweging 75 AVG volgt immers dat het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name waar de verwerking kan leiden tot discriminatie.

• 61.

  In dit verband staat het aan de verwijzende rechter om in het bijzonder na te gaan of er, zoals Mousse stelt, sprake is van een risico op discriminatie op grond van genderidentiteit, met name in het licht van richtlijn 2004/113, die toepassing geeft aan het beginsel van gelijke behandeling van mannen en vrouwen bij de toegang tot en het aanbod van goederen en diensten.

• 62.

  In dit opzicht moet worden verduidelijkt dat de werkingssfeer van deze richtlijn dan ook niet kan worden beperkt tot discriminaties die verband houden met het behoren tot het ene dan wel het andere geslacht. Gelet op haar doelstelling en op de aard van de rechten die zij beoogt te beschermen, dient die richtlijn ook toepassing te vinden bij discriminaties die berusten op de verandering van genderidentiteit van een persoon (zie naar analogie arrest van 27 april 2006, Richards, C‑423/04, EU:C:2006:256, punt 24 en aldaar aangehaalde rechtspraak).

• 63.

  Bijgevolg moet artikel 6, lid 1, eerste alinea, onder f), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), van deze verordening, aldus worden uitgelegd dat de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, niet kan worden geacht noodzakelijk te zijn voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer:

  –        bij het verzamelen van deze gegevens aan deze klanten niet kenbaar is gemaakt welk gerechtvaardigd belang daarmee wordt behartigd, of

  –        die verwerking niet wordt verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dit gerechtvaardigde belang, of

  –        gelet op alle relevante omstandigheden, de fundamentele vrijheden en rechten van die klanten zwaarder kunnen wegen dan dat gerechtvaardigde belang, met name wegens een risico op discriminatie op grond van genderidentiteit.

• 64.

  Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder b) en f), AVG, gelezen in samenhang met artikel 5, lid 1, onder c), van deze verordening, aldus moet worden uitgelegd dat

  –        de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, noch objectief onontbeerlijk noch essentieel is voor de correcte uitvoering van een overeenkomst en derhalve niet kan worden geacht noodzakelijk te zijn voor de uitvoering van die overeenkomst;

  –        de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, niet kan worden geacht noodzakelijk te zijn voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer:

  –        bij het verzamelen van deze gegevens aan deze klanten niet kenbaar is gemaakt welk gerechtvaardigd belang daarmee wordt behartigd, of

  –        die verwerking niet wordt verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dit gerechtvaardigde belang, of

  –        gelet op alle relevante omstandigheden, de fundamentele vrijheden en rechten van die klanten zwaarder kunnen wegen dan dat gerechtvaardigde belang, met name wegens een risico op discriminatie op grond van genderidentiteit.

 Tweede vraag

• 65.

  Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, eerste alinea, onder f), AVG aldus moet worden uitgelegd dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, rekening moet worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene krachtens artikel 21 van die verordening.

• 66.

  Artikel 21, lid 1, AVG bepaalt dat de betrokkene te allen tijde het recht heeft om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van punt e) of punt f), van artikel 6, lid 1, eerste alinea, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor een dergelijke verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

• 67.

  De toepasselijkheid van artikel 21 AVG en bijgevolg het eventuele bestaan van een recht van bezwaar veronderstellen dat er sprake is van een rechtmatige verwerking, die in casu is gebaseerd op artikel 6, lid 1, eerste alinea, onder f), van deze verordening. Om rechtmatig te zijn moet een dergelijke verwerking eerst voldoen aan de in punt 48 van dit arrest genoemde voorwaarde van strikte noodzakelijkheid.

• 68.

  Zoals de advocaat-generaal in de punten 80 en 82 van zijn conclusie heeft opgemerkt, volgt dus uit de bewoordingen en de opzet van de betrokken bepalingen dat het bestaan van een recht van bezwaar niet in aanmerking kan worden genomen bij de beoordeling van de rechtmatigheid en in het bijzonder van de noodzaak van de in het hoofdgeding aan de orde zijnde verwerking van persoonsgegevens.

• 69.

  Deze uitlegging wordt bevestigd door de doelstelling van de AVG, die – in het licht van overweging 10 – erin bestaat natuurlijke personen een hoog beschermingsniveau van de fundamentele rechten en vrijheden te bieden in verband met de verwerking van persoonsgegevens. Elke andere uitlegging zou namelijk tot gevolg hebben dat de vereisten van artikel 6, lid 1, eerste alinea, onder f), AVG worden afgezwakt door de gronden voor de rechtmatigheid van de betrokken verwerking uit te breiden, terwijl deze bepaling, gelet op de in punt 27 van het onderhavige arrest in herinnering gebrachte rechtspraak, restrictief moet worden uitgelegd.

• 70.

  Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder f), AVG aldus moet worden uitgelegd dat bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, geen rekening dient te worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene krachtens artikel 21 van die verordening.

 Kosten

• 71.

  Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

  Het Hof (Eerste kamer) verklaart voor recht:

  1)      Artikel 6, lid 1, eerste alinea, onder b) en f), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), gelezen in samenhang met artikel 5, lid 1, onder c), van deze verordening,

  moet aldus worden uitgelegd dat

  –        de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, noch objectief onontbeerlijk noch essentieel is voor de correcte uitvoering van een overeenkomst en derhalve niet kan worden geacht noodzakelijk te zijn voor de uitvoering van die overeenkomst;

  –        de verwerking van persoonsgegevens betreffende de aanspreektitel van de klanten van een vervoersonderneming, waarmee gepersonaliseerde commerciële communicatie op basis van hun genderidentiteit wordt beoogd, niet kan worden geacht noodzakelijk te zijn voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, wanneer:

  –        bij het verzamelen van deze gegevens aan deze klanten niet kenbaar is gemaakt welk gerechtvaardigd belang daarmee wordt behartigd, of

  –        die verwerking niet wordt verricht binnen de grenzen van hetgeen strikt noodzakelijk is voor de behartiging van dit gerechtvaardigde belang, of

  –        gelet op alle relevante omstandigheden, de fundamentele vrijheden en rechten van die klanten zwaarder kunnen wegen dan dat gerechtvaardigde belang, met name wegens een risico op discriminatie op grond van genderidentiteit.

  2)      Artikel 6, lid 1, eerste alinea, onder f), van verordening 2016/679

  moet aldus worden uitgelegd dat

  bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van die bepaling, geen rekening dient te worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene krachtens artikel 21 van die verordening.

  ondertekeningen

  *      Procestaal: Frans.