Acórdão do Tribunal de Justiça da União Europeia
Processo C-394/23

Edição provisória

CONCLUSÕES DO ADVOGADO‑GERAL

MACIEJ SZPUNAR

apresentadas em 11 de julho de 2024 (1)

Processo C‑394/23

Association Mousse

contra

Commission nationale de l’informatique et des libertés (CNIL)

SNCF Connect

[pedido de decisão prejudicial apresentado pelo Conseil d’État (Conselho de Estado, em formação jurisdicional, França)]

«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 6.°, n.° 1 — Princípio da licitude do tratamento — Artigo 5.°, n.° 1, alínea c) — Princípio da minimização dos dados — Género — Aquisição em linha de uma prestação de serviços de transporte — Artigo 21.° — Direito de oposição»

I. Introdução

1. O Regulamento (UE) 2016/679 (2) (a seguir «RGPD») visa assegurar um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais. Para tal, impõe que os responsáveis pelo tratamento respeitem um certo número de princípios quando tratam dados pessoais, entre os quais o chamado princípio da «minimização dos dados» e o princípio da licitude do tratamento.

2. Estes dois princípios estão no cerne do presente processo, relativo a um litígio que opõe uma associação a uma autoridade de controlo nacional, a propósito do tratamento, por uma empresa de transportes, dos dados relativos ao género dos seus clientes com o objetivo de os utilizar na respetiva comunicação comercial, e que oferece assim ao Tribunal de Justiça a oportunidade de esclarecer o seu alcance.

II. Quadro jurídico

A. Direito da União

3. Os considerandos 4, 10, 39, 40, 44, 47, 69 e 75 do RGPD enunciam:

«(4) O tratamento dos dados pessoais deverá ser concebido para servir as pessoas. O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdade e os princípios reconhecidos na [Carta dos Direitos Fundamentais da União Europeia (a seguir “Carta”], consagrados nos Tratados, nomeadamente o respeito pela vida privada e familiar, pelo domicílio e pelas comunicações, a proteção dos dados pessoais, a liberdade de pensamento, de consciência e de religião, a liberdade de expressão e de informação, a liberdade de empresa, o direito à ação e a um tribunal imparcial, e a diversidade cultural, religiosa e linguística.

[...]

(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. [...]

[...]

(39) [...] Os dados pessoais deverão ser adequados, pertinentes e limitados ao necessário para os efeitos para os quais são tratados. [...] Os dados pessoais apenas deverão ser tratados se a finalidade do tratamento não puder ser atingida de forma razoável por outros meios. [...]

(40) Para que o tratamento seja lícito, os dados pessoais deverão ser tratados com base no consentimento da titular dos dados em causa ou noutro fundamento legítimo, previsto por lei, quer no presente regulamento quer noutro ato de direito da União ou de um Estado‑Membro referido no presente regulamento, incluindo a necessidade de serem cumpridas as obrigações legais a que o responsável pelo tratamento se encontre sujeito ou a necessidade de serem executados contratos em que o titular dos dados seja parte ou a fim de serem efetuadas as diligências pré‑contratuais que o titular dos dados solicitar.

[...]

(44) O tratamento deverá ser considerado lícito caso seja necessário no contexto de um contrato ou da intenção de celebrar um contrato.

[...]

(47) Os interesses legítimos dos responsáveis pelo tratamento, incluindo os dos responsáveis a quem os dados pessoais possam ser comunicados, ou de terceiros, podem constituir um fundamento jurídico para o tratamento, desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular, tomando em conta as expectativas razoáveis dos titulares dos dados baseadas na relação com o responsável. Poderá haver um interesse legítimo, por exemplo, quando existir uma relação relevante e apropriada entre o titular dos dados e o responsável pelo tratamento, em situações como aquela em que o titular dos dados é cliente […] do responsável pelo tratamento. De qualquer modo, a existência de um interesse legítimo requer uma avaliação cuidada, nomeadamente da questão de saber se o titular dos dados pode razoavelmente prever, no momento e no contexto em que os dados pessoais são recolhidos, que esses poderão vir a ser tratados com essa finalidade. [...] O tratamento de dados pessoais estritamente necessário aos objetivos de prevenção e controlo da fraude constitui igualmente um interesse legítimo do responsável pelo seu tratamento. Poderá considerar‑se de interesse legítimo o tratamento de dados pessoais efetuado para efeitos de comercialização direta.

[...]

(69) No caso de um tratamento de dados pessoais lícito realizado por ser necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento ou ainda por motivos de interesse legítimo do responsável pelo tratamento ou de terceiros, o titular não deverá deixar de ter o direito de se opor ao tratamento dos dados pessoais que digam respeito à sua situação específica. Deverá caber ao responsável pelo tratamento provar que os seus interesses legítimos imperiosos prevalecem sobre os interesses ou direitos e liberdades fundamentais do titular dos dados.

[...]

(75) O risco para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, poderá resultar de operações de tratamento de dados pessoais suscetíveis de causar danos físicos, materiais ou imateriais, em especial quando o tratamento possa dar origem à discriminação [...]»

4. Nos termos do seu artigo 2.°, n.° 1, o RGPD aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

5. O artigo 4.° do RGPD, sob a epígrafe «Definições», dispõe:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável […]

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo [...]

[...]

7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; [...]

[...]

11) “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e inequívoca, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

[...]»

6. O artigo 5.° do RGPD, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», prevê:

«1. Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

[...]

c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

d) Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora (“exatidão”);

[...]»

7. O artigo 6.° do RGPD, sob a epígrafe «Licitude do tratamento», dispõe, no seu n.° 1:

«O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

d) O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;

e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;

f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

[...]»

8. O artigo 13.° do RGPD, sob a epígrafe «Informações a facultar quando os dados pessoais são recolhidos junto do titular», prevê:

«1. Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:

[...]

d) Se o tratamento dos dados se basear no artigo 6.°, n.° 1, alínea f), os interesses legítimos do responsável pelo tratamento ou de um terceiro;

[...]»

9. O artigo 21.° do RGPD, sob a epígrafe «Direito de oposição», dispõe, no seu n.° 1:

«O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.°, n.° 1, alínea e) ou f), ou no artigo 6.°, n.° 4, incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.»

10. O artigo 25.° do RGPD, sob a epígrafe «Proteção de dados desde a conceção e por defeito», prevê, no seu n.° 2:

«O responsável pelo tratamento aplica medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica‑se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. [...]»

B. Direito francês

11. O artigo 8.° da loi n.° 78‑17 relative à l’informatique, aux fichiers et aux libertés (Lei n.° 78‑17 relativa à Informática, aos Ficheiros e às Liberdades) (3), de 6 de janeiro de 1978, dispõe:

«A Commission nationale de l’informatique et des libertés [Comissão Nacional da Informática e das Liberdades (CNIL)] é uma autoridade administrativa independente. É a autoridade nacional de controlo, na aceção e para efeitos de aplicação do [RGPD]. Desempenha as seguintes funções:

[...]

2.° Assegura que os tratamentos de dados pessoais são efetuados em conformidade com as disposições da presente lei e com as outras disposições relativas à proteção dos dados pessoais previstas nos textos legislativos e regulamentares, no direito da União Europeia e nos compromissos internacionais da França.

Para o efeito:

[...]

d) Trata as reclamações, petições e queixas apresentadas por uma pessoa interessada ou por um organismo, organização ou associação, examina ou investiga o seu objeto, na medida do necessário, e informa a pessoa que apresentou a queixa do andamento e dos resultados da investigação num prazo razoável, nomeadamente se for necessária uma investigação complementar ou a coordenação com outra autoridade de controlo; [...]»

III. Factos no processo principal, tramitação processual no Tribunal de Justiça e questões prejudiciais

12. A SNCF Connect é uma sociedade que comercializa títulos de transporte ferroviário, tais como bilhetes de comboio, passes e cartões de desconto no seu sítio Internet e em aplicações. Quando compram esses títulos de transporte, os clientes desta sociedade são obrigados a indicar o respetivo género, selecionando a rubrica «Senhor» ou «Senhora».

13. Considerando que as condições em que era recolhido e registado o género dos clientes no momento da compra de títulos de transporte não eram conformes com as exigências do RGPD, a recorrente no processo principal, a association Mousse (a seguir «Mousse»), apresentou na CNIL uma queixa contra a SNCF Connect. Em apoio desta queixa, a Mousse alegou que a recolha dos dados em causa não era conforme com o princípio da licitude, consagrado no artigo 5.°, n.° 1, alínea a), deste regulamento, pois não se baseava em nenhum dos fundamentos previstos no artigo 6.°, n.° 1, do referido regulamento. Além disso, tal recolha violava o princípio da minimização dos dados e o princípio da exatidão, enunciados, respetivamente, no artigo 5.°, n.° 1, alíneas c), e d), do mesmo regulamento, bem como as obrigações de transparência e de informação decorrentes, nomeadamente, do seu artigo 13.° Neste contexto, a Mousse sustentou que a SNCF Connect não deveria recolher estes dados ou, no mínimo, deveria oferecer aos seus clientes possibilidades adicionais, como as menções «Neutro» ou «Outro».

14. Por Decisão de 23 de março de 2021, a CNIL arquivou a queixa que lhe foi apresentada, considerando que os factos imputados à SNCF Connect não constituíam incumprimentos das disposições referidas do RGPD. A CNIL concluiu que o tratamento de dados era lícito, nos termos do artigo 6.°, n.° 1, alínea b), deste regulamento, por ser necessário para a execução do contrato de prestação de serviços de transporte. Além disso, a CNIL salientou que, atendendo às suas finalidades, esse tratamento estava em conformidade com o princípio da minimização dos dados, uma vez que o facto de se dirigirem aos clientes utilizando o respetivo género era prática corrente em matéria de comunicações civis, comerciais e administrativas.

15. Em 21 de maio de 2021, a Mousse interpôs recurso de anulação da Decisão de 23 de março de 2021 da CNIL no Conseil d’État (Conselho de Estado, em formação jurisdicional, França). Na sua petição, a Mousse alega, nomeadamente, que a obrigação de optar pela menção «Senhor» ou «Senhora» no momento da compra em linha não respeita o princípio da licitude nem o princípio da minimização dos dados, enunciados, respetivamente, no artigo 5.°, n.° 1, alíneas a) e c), do RGPD, uma vez que tal menção não é necessária para a execução do contrato, nem para efeitos de interesses legítimos da SNCF Connect. A circunstância de a referida menção ser utilizada na correspondência comercial não pode ser suficiente para tornar necessária a recolha destes dados. Por último, tal obrigação é suscetível de violar o direito de viajar sem comunicar o seu género, o direito ao respeito pela vida privada e a liberdade de definir livremente a sua expressão de género. No que respeita, nomeadamente, aos nacionais de países que admitem o «género neutro», esta menção não corresponde à realidade e pode, portanto, revelar‑se contrária ao princípio da exatidão, enunciado no artigo 5.°, n.° 1, alínea d), deste regulamento, ao mesmo tempo que viola a sua liberdade de circulação, garantida pelo direito da União.

16. A CNIL conclui pedindo que seja negado provimento ao recurso e alega que o tratamento dos dados relativos ao género pode também ser qualificado de «necessário» para efeitos dos interesses legítimos prosseguidos pela SNCF Connect, na aceção do artigo 6.°, n.° 1, alínea f), do RGPD, e que os titulares dos dados podem — em função da sua situação particular — invocar o direito de oposição garantido pelo artigo 21.° deste regulamento.

17. O órgão jurisdicional de reenvio interroga‑se, por um lado, sobre a questão de saber se, para apreciar se os dados recolhidos são adequados, pertinentes e limitados ao que é necessário, bem como se o seu tratamento é necessário, é possível ter em conta as práticas habitualmente aceites em matéria de comunicações civis, comerciais e administrativas, de modo que a recolha de dados relativos ao género dos clientes, limitada às menções «Senhor» e «Senhora», possa ser considerada «lícita e conforme» ao princípio da minimização dos dados. Por outro, esse órgão jurisdicional interroga‑se sobre a questão de saber se, para avaliar a necessidade da recolha obrigatória e do tratamento subsequente dos dados relativos ao género dos clientes, e quando alguns clientes não se sentem identificados com nenhum dos dois géneros, se deve ter em conta o facto de que, após terem fornecido esses dados ao responsável pelo tratamento a fim de beneficiar do serviço oferecido, esses clientes podem exercer o seu direito de oposição à utilização desses dados, devido à sua situação particular, na aceção do artigo 21.° do RGPD.

18. Nestas circunstâncias, o Conseil d’État (Conselho de Estado, em formação jurisdicional) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Para apreciar se os dados recolhidos são adequados, pertinentes e limitados ao que é necessário na aceção do artigo 5.°, n.° 1, alínea c), do RGPD, e se o seu tratamento é necessário na aceção do artigo 6.°, n.° 1, alíneas b) e f), do RGPD, é possível ter em conta as práticas habitualmente aceites em matéria de comunicações civis, comerciais e administrativas, de modo que a recolha de dados relativos à forma de tratamento dos clientes, limitada às menções “Senhor” e “Senhora”, pode ser considerada necessária, sem que o princípio da minimização dos dados o impeça?

2) Para apreciar a necessidade da recolha obrigatória e do tratamento de dados relativos à forma de tratamento dos clientes, quando alguns clientes não se sentem identificados com nenhuma das duas formas de tratamento e […] a recolha desse dado não é pertinente no seu caso, deve ter‑se em conta o facto de que, após terem fornecido esse dado ao responsável pelo tratamento a fim de beneficiar do serviço oferecido, esses clientes podem exercer o seu direito de oposição à utilização e conservação desse dado, invocando a sua situação particular, em aplicação do artigo 21.° do RGPD?»

19. A Mousse, a SNCF Connect, o Governo Francês, e a Comissão Europeia apresentaram observações escritas. As mesmas partes participaram na audiência realizada em 29 de abril de 2024.

IV. Análise

A. Quanto à primeira questão prejudicial

20. Com a sua primeira questão prejudicial, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 5.°, n.° 1, alínea c), e o artigo 6.°, n.° 1, alíneas b) e f), do RGPD devem ser interpretados no sentido de que o tratamento de dados pessoais relativos género dos clientes de uma empresa de transportes deve ser considerado necessário para a execução de um contrato ou de diligências pré‑contratuais, ou necessário para efeitos dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por um terceiro, quando esse tratamento vise permitir uma comunicação comercial personalizada, assegurando o respeito pelas práticas habitualmente aceites em matéria de comunicação comercial.

21. Antes de mais, devo fazer duas observações preliminares a este respeito.

22. Por um lado, saliento que as partes estão de acordo e que não há dúvida de que os dados relativos ao género dos clientes de uma empresa de transportes constituem dados pessoais, na aceção do artigo 4.°, ponto 1, do RGPD e que, além disso, a sua recolha e registo pela SNCF Connect devem ser considerados um tratamento, na aceção do artigo 4.°, ponto 2, deste regulamento, pelo que devem ser examinados à luz das disposições do referido regulamento.

23. Por outro lado, a SNCF Connect e o Governo Francês defendem a ideia de que uma resposta negativa à primeira questão prejudicial levaria à aplicação do RGPD num contexto que lhe é alheio, visto que, ao adotar este regulamento, o legislador não pretendeu regular as práticas em matéria de comunicação ou a questão do género. Embora admita, à semelhança do advogado‑geral M. Bobek, que as regras em matéria de proteção da vida privada, por vezes, se «aplicam a circunstâncias algo surpreendentes» (4), parece‑me, no entanto, que a presente situação não faz parte destas. O facto de estarem em causa os dados relativos à identidade de género e de transparecerem, assim, os debates existentes nas ordens jurídicas nacionais quanto à questão da binariedade do género não pode levar a ocultar o facto de, no caso em apreço, estar efetivamente em causa o tratamento automático de dados pessoais dos seus clientes por uma sociedade de transporte, o qual não só está objetivamente abrangido pelo âmbito de aplicação do RGPD, mas constitui efetivamente uma operação de tratamento de dados que o legislador da União tinha por objetivo regulamentar (5).

24. Iniciarei, portanto, a minha análise da primeira questão prejudicial com observações gerais no que respeita à condição relativa à licitude do tratamento de dados, à qual estão sujeitos, nos termos do RGPD, os responsáveis pelo tratamento, antes de determinar se, à luz dos princípios expostos, esta condição deve ser considerada preenchida no que respeita ao tratamento de dados relativos ao género dos clientes de uma empresa de transportes com o objetivo de comunicar com esses clientes recorrendo a práticas habitualmente aceites em matéria de comunicação comercial.

1. Quanto à licitude do tratamento de dados pessoais

25. O artigo 5.° do RGPD estabelece vários princípios relativos ao tratamento de dados pessoais. Em particular, esta disposição prevê que esses dados são «[o]bjeto de um tratamento lícito» (6) e são «[a]dequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados» (7). Por outras palavras, todo o tratamento de dados deve responder, nomeadamente, ao princípio da licitude e ao princípio da minimização dos dados.

26. O artigo 6.° do RGPD especifica o âmbito do princípio da licitude do tratamento de dados. Na medida em que permite uma restrição ao direito à proteção dos dados pessoais (8), o artigo 6.°, n.° 1, deste regulamento preenche os requisitos enunciados no artigo 52.°, n.° 1, da Carta: a restrição em causa é prevista por lei e respeita o conteúdo essencial desse direito. Além disso, essa restrição é necessária e corresponde a um objetivo de interesse geral reconhecido pela União ou às necessidades de proteção dos direitos e liberdades de terceiros (9).

27. O legislador também previu seis razões pelas quais o tratamento de dados é lícito, explicitando os objetivos de interesse geral e os direitos e liberdades que necessitam de uma proteção suscetíveis de justificar uma limitação ao direito à proteção dos dados pessoais. O artigo 6.°, n.° 1, primeiro parágrafo, do RGPD prevê assim «uma lista exaustiva e taxativa dos casos em que um tratamento de dados pessoais pode ser considerado lícito» (10).

28. O artigo 6.°, n.° 1, do RGPD não estabelece uma hierarquia rigorosa (11) entre os motivos pelos quais o tratamento de dados deve ser considerado lícito. O Tribunal de Justiça especificou, assim, na sua jurisprudência, as relações entre estes últimos.

29. Por um lado, recordou que, nos termos do artigo 6.°, n.° 1, alínea a), do RGPD, «o tratamento de dados pessoais é lícito se e na medida em que o titular dos dados tiver dado o seu consentimento para uma ou mais finalidades específicas». O Tribunal de Justiça acrescentou que, «[n]ão tendo esse consentimento sido prestado, [...] esse tratamento é, não obstante, justificado quando cumpre um dos requisitos de necessidade mencionados no artigo 6.°, n.° 1, [...] alíneas b) a f), deste regulamento» (12). Além disso, o Tribunal de Justiça declarou que, «as justificações [em causa], na medida em que permitem tornar lícito um tratamento de dados pessoais efetuado sem o consentimento do titular dos dados, devem ser objeto de uma interpretação restritiva» (13). Os motivos de tratamento de dados pessoais previstos no artigo 6.°, n.° 1, do referido regulamento são, portanto, equivalentes e nenhum deve ser considerado subsidiário em relação a outro.

30. Por outro lado, o Tribunal de Justiça especificou o caráter não cumulativo das justificações previstas no artigo 6.°, n.° 1, do RGPD. Indicou assim que «quando seja possível constatar que um tratamento de dados pessoais é necessário à luz de uma das justificações previstas no artigo 6.°, n.° 1, [...] alíneas b) a f), do RGPD, não há que determinar se esse tratamento está igualmente abrangido por outra dessas justificações» (14). Por outras palavras, como eu já havia mencionado (15), o tratamento de dados pessoais é lícito quando é justificado por um único motivo, sem que um motivo seja considerado subsidiário de outro.

31. Todavia, o princípio da licitude especificado no artigo 6.°, n.° 1, do RGPD não pode ser analisado isoladamente. O Tribunal de Justiça declarou, assim, reiteradamente, que este requisito «deve ser examinado conjuntamente com o denominado princípio da “minimização dos dados” consagrado no artigo 5.°, n.° 1, alínea c), [deste regulamento]» (16). Este princípio é, de acordo com a jurisprudência do Tribunal de Justiça e como já referi (17), uma expressão do princípio da proporcionalidade (18) que exige, como sustenta o Governo Francês nas suas observações escritas, que os meios utilizados sejam aptos a realizar o objetivo prosseguido e não vão além do que é necessário para o alcançar (19).

32. Dito de outra forma, o princípio da minimização dos dados pressupõe que se verifique se os dados tratados são adequados para alcançar a finalidade prosseguida pelo seu tratamento — de acordo com os motivos enunciados no artigo 6.°, n.° 1, do RGPD — e que os dados tratados só o são se a finalidade do tratamento não puder ser razoavelmente alcançada por outros meios. O âmbito dos dados assim tratados, tanto de um ponto de vista quantitativo como substancial, não é mais amplo do que o necessário para alcançar essa finalidade (20).

33. A este respeito, farei uma observação suplementar. Saliento que o Tribunal de Justiça só interpretou o princípio da minimização dos dados em conjugação com o princípio da licitude do tratamento em situações em que o tratamento em causa se baseava num dos motivos previstos no artigo 6.°, n.° 1, alíneas b) a f), do RGPD. Por outras palavras, o Tribunal de Justiça não precisou claramente se o princípio da minimização dos dados se destina igualmente a ser aplicado quando o titular dos dados tenha dado o seu consentimento para o tratamento dos seus dados pessoais. É verdade que se pode defender a ideia de que, uma vez que a pessoa o consente, o responsável pelo tratamento pode proceder ao tratamento de todos os dados, sem que o princípio da minimização se oponha.

34. Todavia, tal interpretação não me parece compatível nem com o objetivo do RGPD de assegurar um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais, nem com a redação das disposições em causa.

35. Com efeito, saliento que o artigo 6.°, n.° 1, alínea a), do RGPD, prevê a licitude do tratamento na condição de o titular dos dados ter dado o seu «consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas» (21). A este respeito, sublinho que se entende por consentimento «uma manifestação de vontade, livre, específica, informada e inequívoca» (22). Dito de outra forma, não pode ser um consentimento geral para o tratamento de todos os dados. Além disso, a finalidade para a qual é consentido o tratamento dos dados deve ser comunicada ao titular dos dados. O artigo 5.°, n.° 1, alínea c), deste regulamento prevê que os dados tratados são «adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados» (23). Nestas circunstâncias, o princípio da minimização dos dados parece‑me aplicável mesmo na hipótese de os dados serem tratados com o consentimento do titular dos dados e implica verificar que os dados em questão são de facto limitados ao necessário para alcançar a finalidade específica do tratamento.

36. É à luz destas considerações que há que proceder ao exame do tratamento dos dados relativos ao género dos seus clientes pela SNCF Connect à luz do artigo 6.°, n.° 1, alíneas b) e f), do RGPD, sendo certo que o órgão jurisdicional de reenvio se refere exclusivamente a estas duas finalidades do tratamento.

2. Artigo 6.°, n.° 1, alínea b), do RGPD: necessidade do tratamento para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados

37. O artigo 6.°, n.° 1, primeiro parágrafo, alínea b), do RGPD, prevê que o tratamento de dados pessoais é lícito se for «necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados».

38. O Tribunal de Justiça precisou, no Acórdão Meta Platforms e o., o alcance desta disposição. O Tribunal de Justiça considerou, assim, que «para que um tratamento de dados pessoais seja considerado necessário para a execução de um contrato, na aceção desta disposição, deve ser objetivamente indispensável para realizar uma finalidade que faça parte integrante da prestação contratual destinada ao titular dos dados. O responsável pelo tratamento deve, assim, estar em condições de demonstrar de que forma o objeto principal do contrato não poderia ser alcançado sem o tratamento em causa» (24).

39. As partes estão de acordo em definir o objeto principal do contrato como o fornecimento de um título de transporte e, in fine, o transporte dos clientes por via ferroviária. Importa, portanto, verificar, por um lado, se os dados relativos ao género do cliente são tratados para realizar uma finalidade que faz parte integrante da prestação de transporte e, por outro, se esse tratamento é objetivamente indispensável para o fazer.

a) Identificação da finalidade do tratamento

40. A SNCF Connect e o Governo Francês alegam que a execução do contrato de transporte pressupõe a comunicação com o cliente, tanto no momento da reserva como durante e após a viagem em causa, e implica o conhecimento do género desse cliente para comunicar de forma personalizada com o cliente e segundo as práticas habitualmente aceites em matéria de comunicação comercial.

41. A SNCF Connect acrescenta que, para a execução do contrato de transporte, importa conhecer o sexo do titular dos dados para poder adaptar a prestação em casos especiais, como a assistência às pessoas com mobilidade reduzida ou o acesso a carruagens reservadas às mulheres nos comboios noturnos. A este respeito, saliento que esse objetivo não é estritamente objeto da primeira questão prejudicial tal como formulada pelo órgão jurisdicional de reenvio, que se refere expressamente à utilização de práticas habitualmente aceites em matéria de comunicação comercial. Todavia, uma vez que o órgão jurisdicional de reenvio interroga mais genericamente o Tribunal de Justiça sobre a recolha de dados relativos ao género à luz dos princípios da minimização dos dados e da licitude do tratamento, procederei, ainda assim, à análise de tal argumento.

42. No que respeita à finalidade de comunicação com o cliente, entendo que deve ser considerada parte integrante do contrato de transporte. Com efeito, esse contrato pressupõe o fornecimento de um título de transporte e, portanto, de entrar em contacto com o cliente para o transmitir. A necessidade de comunicar com o cliente parece‑me, além disso, perdurar durante a realização do transporte para, nomeadamente, prevenir qualquer incidente com impacto na sua viagem e após o transporte, em especial em caso de contactos com o serviço de cliente sobre essa viagem.

43. A este respeito, devo precisar que o argumento formulado pelo Governo Francês segundo o qual a finalidade do tratamento é não só a comunicação com o cliente mas, mais precisamente, também a comunicação com o cliente segundo as práticas em matéria de comunicação comercial deve ser rejeitado. Por um lado, não me parece que uma finalidade assim definida faça parte integrante da prestação de um serviço de transporte: nada indica que esta não possa ser realizada na falta de comunicação segundo as práticas habitualmente aceites em matéria de comunicação comercial. Por outro, este argumento resulta de um raciocínio circular. A finalidade do tratamento de dados assim definida — comunicar segundo as práticas habitualmente aceites em matéria de comunicação comercial — confunde‑se, com efeito, com os meios utilizados para atingir essa finalidade — a utilização das práticas habitualmente aceites em matéria de comunicação comercial.

44. Quanto à adaptação da prestação de transporte a casos particulares como os evocados pela SNCF Connect, parece‑me também dificilmente contestável que faz parte integrante desta prestação, uma vez que visa precisamente assegurar a sua realização.

45. No entanto, ainda que as finalidades do tratamento em causa sejam efetivamente, na minha opinião, inerentes à prestação de um serviço de transporte e possam ser admitidas ao abrigo do artigo 6.°, n.° 1, alínea b), do RGPD, é ainda necessário que o tratamento de dados pessoais seja indispensável para a realização da finalidade invocada, de modo que o objeto principal do contrato não possa ser alcançado sem esse tratamento e não existam outras soluções exequíveis e menos intrusivas para realizar a mesma finalidade.

46. Ora, considero que o tratamento dos dados relativos ao género vai além do que é necessário para permitir a execução correta do contrato.

b) Necessidade do tratamento para alcançar as finalidades identificadas

47. Em primeiro lugar, no que respeita à finalidade da comunicação, a execução correta do contrato de transporte não pode depender da utilização do género na comunicação da sociedade de transportes com os seus clientes, ainda que o responsável pelo tratamento pretenda comunicar de forma personalizada com os seus clientes. Com efeito, uma sociedade de transportes pode facilmente comunicar de forma personalizada com os seus clientes sem utilizar o seu género.

48. Além disso, embora a SNCF Connect tenha sublinhado, na audiência, a necessidade de preservar uma imagem de marca utilizando fórmulas habitualmente aceites na comunicação comercial, outras fórmulas que demonstram consideração pelo cliente e que não dependem do género podem igualmente permitir atingir esse resultado.

49. Isto é tanto mais assim quanto, como sustenta a Mousse e sem prejuízo de verificações pelo órgão jurisdicional de reenvio, a SNCF Connect não recorre sistematicamente, na prática, às práticas habitualmente aceites em matéria de comunicação comercial que implicam o conhecimento do género dos clientes, mas utiliza outras formas mais gerais, como «Obrigada, boa viagem» ou ainda «Bom dia». A não utilização sistemática do género dos clientes na comunicação da SNCF Connect parece‑me indicar claramente não só a desnecessidade do tratamento desses dados para a execução do contrato em causa, mas também, à luz do princípio da minimização dos dados, o tratamento dos dados mais alargados do que o necessário.

50. Na mesma ordem de ideias, saliento que, questionada sobre este ponto na audiência, a SNCF Connect concordou que a transmissão deliberada de um género diferente do género real do titular dos dados não tem, na realidade, incidência na prestação do serviço de transporte. Nestas condições, há que considerar que o objeto principal do contrato pode igualmente ser alcançado sem o tratamento dos dados em causa.

51. Em segundo lugar, no que respeita à finalidade de adaptação da prestação de transporte, mais uma vez sou de opinião que o tratamento dos dados relativos ao género vai além do que é necessário para permitir a sua realização. Por um lado, os dados pessoais pertinentes para permitir essa adaptação não me parecem ser os dados relativos ao género, que, na opinião do Governo Francês, não constituem um elemento do registo civil das pessoas, mas os dados relativos ao sexo dos clientes, tal como figura no referido registo. Por outro lado, este mesmo objetivo poderia ser alcançado através da recolha e do tratamento desses dados não para a totalidade das encomendas de títulos de transporte, mas apenas para os casos particulares que o requeiram, como a encomenda de um título de transporte para viajar numa carruagem reservada às mulheres nos comboios noturnos ou um pedido de assistência para uma pessoa com mobilidade reduzida.

52. Nestas condições, considero que há que interpretar o artigo 6.°, n.° 1, alínea b), e o artigo 5.°, n.° 1, alínea c), do RGPD no sentido de que o tratamento sistemático dos dados relativos ao género não pode ser considerado necessário para a execução de um contrato no qual o titular dos dados é parte ou para diligências pré‑contratuais a pedido deste, quando esse tratamento vise permitir uma comunicação comercial personalizada assegurando o respeito pelas práticas habitualmente aceites em matéria de comunicação comercial ou assegurar uma adaptação da prestação de transporte em razão do sexo do titular dos dados.

3. Artigo 6.°, n.° 1, alínea f), do RGPD: necessidade do tratamento para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros

53. O artigo 6.°, n.° 1, alínea f), do RGPD, prevê que o tratamento de dados pessoais só é lícito se for «necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança».

54. De acordo com jurisprudência constante do Tribunal de Justiça, resulta desta disposição que devem estar preenchidos três requisitos cumulativos para que o tratamento dos dados pessoais a que se refere seja lícito. Primeiro, o responsável pelo tratamento ou um terceiro deve prosseguir um interesse legítimo. Segundo, o tratamento de dados pessoais é necessário para a realização do interesse legítimo. Terceiro, os interesses ou direitos e liberdades fundamentais da pessoa a que a proteção de dados diz respeito não prevalecem sobre o interesse legítimo do responsável pelo tratamento ou de um terceiro (25).

55. No que respeita ao primeiro requisito, relativo à prossecução de um interesse legítimo, o Tribunal de Justiça sublinhou, no Acórdão Meta Platforms e o., que «em conformidade com o artigo 13.°, n.° 1, alínea d), do RGPD, incumbe ao responsável pelo tratamento, no momento em que os dados pessoais relativos a um titular dos dados são recolhidos junto desse titular, indicar‑lhe os interesses legítimos prosseguidos, se esse tratamento se basear no artigo 6.°, n.° 1, [...] alínea f), deste regulamento» (26). O Tribunal de Justiça declarou, nesse mesmo acórdão, que esta última disposição deve ser interpretada no sentido de que um tratamento de dados pessoais «só pode ser considerado necessário para efeitos dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por um terceiro, na aceção desta disposição, desde que o referido operador tenha indicado aos utilizadores cujos dados foram recolhidos um interesse legítimo prosseguido pelo seu tratamento» (27).

56. Por outras palavras, a sanção do incumprimento da obrigação de informação prevista no artigo 13.°, n.° 1, alínea d), do RGPD é a ilegalidade do tratamento dos dados pessoais em causa.

57. Ora, como alega a Comissão, e sem prejuízo de verificações pelo órgão jurisdicional de reenvio, parece‑me que a SNCF Connect não cumpriu esta obrigação.

58. Como sublinha a Comissão, a SNCF Connect menciona, na sua «carta de confidencialidade» disponível no seu sítio Internet, a base legal do tratamento dos dados relativos ao género como sendo «o interesse legítimo». Formularei duas observações a este respeito. Por um lado, a simples referência ao interesse legítimo, sem que seja especificado qual é precisamente esse interesse legítimo, não pode satisfazer a obrigação de informação enunciada no artigo 13.°, n.° 1, alínea d), do RGPD, que impõe ao responsável pelo tratamento que indique o interesse legítimo prosseguido. Por outro lado, e em todo o caso, a referência a um interesse legítimo de forma geral numa «carta de confidencialidade», disponível, é certo, no sítio Internet do responsável pelo tratamento, mas que o cliente deve voluntariamente procurar, também não é conforme com o artigo 13.°, n.° 1, alínea d), deste regulamento. Com efeito, esta disposição impõe que se informe o titular dos dados do interesse legítimo prosseguido aquando da recolha dos dados, o que pressupõe, na minha opinião, que essa informação seja levada diretamente ao conhecimento do cliente quando este fornece os dados em causa que lhe dizem respeito.

59. Além disso, interrogada na audiência, sobre a obrigação de informação, a SNCF Connect não conseguiu indicar que o interesse legítimo prosseguido pelo tratamento é efetivamente comunicado aos seus clientes aquando da recolha dos dados relativos ao género.

60. Por conseguinte, o primeiro requisito do artigo 6.°, n.° 1, alínea f), do RGPD, relativo à existência de um interesse legítimo, interpretado à luz da obrigação de comunicação desse interesse prevista no artigo 13.°, n.° 1, alínea d), deste regulamento, não está preenchido. Por conseguinte, o tratamento dos dados relativos ao género nessa situação não pode ser considerado lícito na aceção desta disposição, não sendo necessário examinar se os outros dois requisitos previstos no artigo 6.°, n.° 1, alínea f), do referido regulamento estão preenchidos.

a) Conclusão sobre a interpretação do artigo 6.°, n.° 1, alínea f), do RGPD

61. Resulta do exposto que, no meu entender, o artigo 6.°, n.° 1, alínea f), e o artigo 5.°, n.° 1, alínea c), do RGPD devem ser interpretados no sentido de que o tratamento dos dados relativos ao género dos clientes de uma sociedade de transportes não pode ser considerado necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, na aceção desta disposição, quando essa sociedade não tenha indicado aos utilizadores junto dos quais os dados foram recolhidos um interesse legítimo prosseguido pelo seu tratamento.

b) Observações adicionais

62. Por uma questão de exaustividade, e para o caso de o Tribunal de Justiça chegar à conclusão de que o interesse legítimo em causa foi comunicado em conformidade com o artigo 13.°, n.° 1, alínea d), do RGPD, prosseguirei, ainda assim, a análise dos requisitos que devem ser preenchidos para que um tratamento de dados pessoais seja considerado lícito com base no artigo 6.°, n.° 1, alínea f), deste regulamento.

63. No respeitante, em primeiro lugar, ao requisito relativo à existência de um interesse legítimo, a SNCF Connect e o Governo Francês alegam que o interesse legítimo prosseguido é a comunicação com o cliente.

64. Saliento que o Tribunal de Justiça declarou, no que respeita ao conceito de «interesse legítimo», que, «na falta de definição deste conceito pelo RGPD, importa sublinhar, [...] que um amplo leque de interesses é, em princípio, suscetível de ser considerado legítimo» (28).

65. A este propósito, recordo que a SNCF Connect é uma empresa que propõe a venda em linha de títulos de transporte ferroviário. Como já referi (29), este serviço pressupõe o contacto com o cliente, pelo menos para lhe transmitir o título de transporte. Parece‑me, pois, que a finalidade da comunicação com o cliente pode constituir um interesse legítimo para esta empresa, na aceção do artigo 6.°, n.° 1, alínea f), do RGPD, pelo que o primeiro requisito, relativo à existência desse interesse legítimo, deve, na minha opinião, ser considerado preenchido.

66. No que respeita, em segundo lugar, ao requisito relativo à necessidade do tratamento dos dados pessoais para a realização do interesse legítimo, não me parece que esteja preenchido. Como demonstrei no âmbito da minha análise do artigo 6.°, n.° 1, alínea b), do RGPD, o tratamento de dados relativos ao género vai além do que é necessário para permitir alcançar a finalidade de comunicação com o cliente, uma vez que esta comunicação pode ser efetuada sem utilizar esses dados (30).

67. No que respeita, em terceiro e último lugar, ao requisito de que os interesses ou direitos e liberdades fundamentais do titular dos dados não prevaleçam sobre o interesse legítimo do responsável pelo tratamento ou de um terceiro, o Tribunal de Justiça já declarou que «este implica uma ponderação dos direitos e dos interesses opostos em causa que depende, em princípio, das circunstâncias concretas do caso específico e que, por conseguinte, cabe ao órgão jurisdicional de reenvio efetuar essa ponderação tendo em conta essas circunstâncias específicas» (31). No entanto, formularei algumas observações com vista a orientar este último na sua apreciação.

68. Assim, o Tribunal de Justiça declarou que, «[n]o âmbito desta ponderação dos direitos e interesses opostos em causa, ou seja, os do responsável pelo tratamento, por um lado, e os do titular dos dados, por outro, importa ter em conta, [...] designadamente, as expetativas razoáveis do titular dos dados, o alcance do tratamento em causa e o impacto deste sobre essa pessoa» (32).

69. Além disso, resulta do considerando 47 do RGPD que «a existência de um interesse legítimo requer uma avaliação cuidada, nomeadamente da questão de saber se o titular dos dados pode razoavelmente prever, no momento e no contexto em que os dados pessoais são recolhidos, que esses poderão vir a ser tratados com essa finalidade».

70. A este respeito, não vejo em que medida o cliente de uma empresa de transporte poderia razoavelmente prever que os seus dados relativos ao género fossem tratados por esta, com o objetivo de comunicar no âmbito da prestação de aquisição de um título de transporte.

71. Em todo o caso, não creio que a mera existência de previsões razoáveis seja suficiente para assegurar que o interesse legítimo do responsável pelo tratamento prevaleça sobre os interesses ou direitos e liberdades fundamentais do titular dos dados. Embora tal elemento seja seguramente pertinente no âmbito da ponderação a efetuar, não pode, em contrapartida, conduzir sistematicamente à conclusão de que o interesse legítimo do responsável pelo tratamento prevalece, em especial quando o tratamento dos dados pessoais em causa é suscetível de violar um direito ou uma liberdade fundamental do titular dos dados, conforme garantidos pela Carta.

72. Ora, como sustenta a Mousse, parece‑me que é o que acontece no presente caso. Com efeito, esta associação alega a existência de um risco de discriminação em razão do género devido ao tratamento dos dados relativos ao género, em especial no que respeita a pessoas transgénero ou pessoas com nacionalidade de um Estado que admite o género neutro.

73. Nestas condições, e sem prejuízo das verificações do órgão jurisdicional de reenvio, considero que o interesse legítimo de comunicação com o cliente não pode prevalecer sobre os interesses ou os direitos e liberdades fundamentais do titular dos dados.

B. Quanto à segunda questão prejudicial

74. Com a sua segunda questão prejudicial, o órgão jurisdicional de reenvio procura saber, em substância, se o artigo 6.°, n.° 1, alínea f), do RGPD deve ser interpretado no sentido de que, para apreciar a necessidade de um tratamento de dados pessoais na aceção desta disposição, há que ter em conta a eventual existência de um direito de oposição do titular dos dados, ao abrigo do artigo 21.°, n.° 1, deste regulamento.

75. O artigo 21.°, n.°1, do RGPD prevê que o titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.°, n.° 1, alínea e) ou f), ou no artigo 6.°, n.° 4, incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.

76. Segundo jurisprudência constante, para a interpretação de uma disposição do direito da União, deve ter‑se em conta não só os seus termos mas também o seu contexto e os objetivos prosseguidos pela regulamentação em que se integra (33).

77. No que respeita aos termos do artigo 21.°, n.° 1, do RGPD, saliento que o legislador da União sublinha que o direito de oposição diz respeito ao tratamento de dados pessoais baseado, nomeadamente, no artigo 6.°, n.° 1, alínea f), deste regulamento. Por outras palavras, como alegam a Mousse e a Comissão, o direito de oposição pressupõe a existência de um tratamento lícito, com base, nomeadamente, no interesse legítimo do responsável pelo tratamento. Este direito só se destina, portanto, a ser exercido depois de o tratamento lícito ter ocorrido, a fim de o fazer cessar.

78. Na minha opinião, este facto é confirmado pela segunda parte do artigo 21.°, n.°1, do RGPD, que prevê que, em caso de oposição do titular dos dados ao abrigo desta disposição, o responsável pelo tratamento cessa o tratamento dos dados em causa (34). No meu entender, esta formulação implica claramente que o tratamento dos dados em questão é lícito nas condições previstas no artigo 6.°, n.°1, alínea f) do regulamento, mas que, uma vez apresentada a oposição, cessa o tratamento desses dados.

79. Por outras palavras, o artigo 21.°, n.° 1, do RGPD só é aplicável uma vez estabelecida a licitude do tratamento.

80. Por conseguinte, resulta dos termos do artigo 21.°, n.° 1, do RGPD que a existência de um direito de oposição não é de modo nenhum pertinente para a apreciação da necessidade desse tratamento ao abrigo do artigo 6.°, n.° 1, alínea f), deste regulamento, uma vez que a aplicação do artigo 21.°, n.° 1, do referido regulamento pressupõe que os requisitos do artigo 6.°, n.° 1, alínea f), do mesmo regulamento já estejam preenchidos.

81. Tal interpretação literal do artigo 21.°, n.° 1, do RGPD é, além disso, confirmada pela sua análise à luz do contexto e dos objetivos deste regulamento.

82. No que respeita à interpretação contextual desta disposição, saliento que os motivos que podem fundamentar o tratamento de dados pessoais estão enunciados no artigo 6.° do RGPD, que visa o princípio da licitude, no capítulo II deste regulamento, relativo aos princípios que regem o tratamento de dados. O artigo 21.° do referido regulamento, por seu turno, faz parte do capítulo III, relativo aos direitos do titular dos dados. Além disso, como já sublinhei, os fundamentos previstos no artigo 6.° do mesmo regulamento são, de acordo com a jurisprudência constante, exaustivos (35). Nestas circunstâncias, as duas disposições em causa cumprem duas funções diferentes e não se pode considerar que o artigo 21.° do RGPD possa ser tido em conta para examinar a licitude do tratamento, que é regido unicamente pelo artigo 6.° deste regulamento.

83. No que respeita à interpretação teleológica do artigo 6.°, n.° 1, alínea f), e do artigo 21.° do RGPD, a tomada em consideração da existência de um direito de oposição para apreciar a licitude de um tratamento de dados ao abrigo do artigo 6.° deste regulamento equivaleria a admitir a licitude de um tratamento de dados unicamente devido à possibilidade de o titular dos dados se poder posteriormente opor a esse tratamento. Tal conduziria, portanto, a alargar os motivos de licitude dos tratamentos além dos casos previstos no artigo 6.° do referido regulamento e a fazer depender o nível de proteção dos titulares dos dados da sua diligência para se oporem ao tratamento dos seus dados pessoais, sem que esse tratamento pudesse ser considerado lícito. Tal interpretação parece‑me, assim, suscetível de prejudicar o objetivo de assegurar um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais.

84. Por conseguinte, considero que há que responder à segunda questão prejudicial que o artigo 6.°, n.° 1, alínea f), do RGPD deve ser interpretado no sentido de que se opõe a que, para apreciar a necessidade de um tratamento de dados pessoais na aceção desta disposição, seja tida em conta a eventual existência de um direito de oposição do titular dos dados, nos termos do artigo 21.°, n.° 1, deste regulamento.

V. Conclusão

85. À luz de todas estas considerações, proponho que se responda às questões prejudiciais submetidas pelo Conseil d’État (Conselho de Estado, em formação jurisdicional, França) do seguinte modo:

O artigo 6.°, n.° 1, alínea d), e o artigo 5.°, n.° 1, alínea c), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

devem ser interpretados no sentido de que:

o tratamento sistemático dos dados relativos ao género não pode ser considerado necessário para a execução de um contrato no qual o titular dos dados é parte ou para diligências pré‑contratuais a pedido deste, quando esse tratamento vise permitir uma comunicação comercial personalizada assegurando o respeito pelas práticas habitualmente aceites em matéria de comunicação comercial ou assegurar uma adaptação da prestação de transporte em razão do sexo do titular dos dados.

O artigo 6.°, n.° 1, alínea f), e o artigo 5.°, n.° 1, alínea c), do Regulamento 2016/679

devem ser interpretados no sentido de que:

o tratamento dos dados relativos ao género dos clientes de uma sociedade de transportes não pode ser considerado necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, na aceção desta disposição, quando essa sociedade não tenha indicado aos utilizadores junto dos quais os dados foram recolhidos um interesse legítimo prosseguido pelo seu tratamento.

O artigo 6.°, n.° 1, alínea f), do Regulamento 2016/679

deve ser interpretado no sentido de que:

se opõe a que, para apreciar a necessidade de um tratamento de dados pessoais na aceção desta disposição, seja tida em conta a eventual existência de um direito de oposição do titular dos dados, nos termos do artigo 21.°, n.° 1, deste regulamento.

1 Língua original: francês.

2 Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, e retificações JO 2018, L 127, p. 2, e JO 2021, L 74, p. 35).

3 JORF de 7 de janeiro de 1978, p. 227, conforme alterado pela ordonnance no 2018‑1125 (Despacho n.° 2018‑1125), de 12 de dezembro de 2018 (JORF n.° 288, de 13 de dezembro de 2018).

4 Conclusões do advogado‑geral M. Bobek no processo Rīgas satiksme (C‑13/16, EU:C:2017:43, n.° 93).

5 Em contrapartida, no processo que deu origem ao Acórdão de 4 de maio de 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336), está em causa a questão da transmissão a uma pessoa singular dos dados pessoais necessários para a propositura de uma ação cível contra outra pessoa singular que alegadamente cometeu uma infração administrativa.

6 Artigo 5.°, n.° 1, alínea a), do RGPD.

7 Artigo 5.°, n.° 1, alínea c), do RGPD.

8 Conforme consagrado no artigo 8.°, n.° 1, da Carta e no artigo 16.°, n.° 1, TFUE.

9 Sobre a ligação entre o artigo 6.°, n.°1, do RGPD e o artigo 52.°, n.°1, da Carta, v. Kotschy, W., «Article 6. Lawfulness of Processing», The EU General Data Protection Regulation (GDPR), A Commentary, Kuner, C., Bygrave, L. A., e Docksey, C. (ed.), Oxford University Press, Oxford, 2020, p. 325 e 326.

10 Acórdãos de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.° 99), e de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (C‑252/21, a seguir «Acórdão Meta Platforms e o.», EU:C:2023:537, n.° 90).

11 V. Kotschy, W., «Article 6. Lawfulness of Processing», The EU General Data Protection Regulation (GDPR), A Commentary, ob. cit., p. 329.

12 Acórdão Meta Platforms e o. (n.os 91 e 92).

13 Acórdão Meta Platforms e o. (n.° 93).

14 Acórdão Meta Platforms e o. (n.° 94).

15 V. as minhas Conclusões no processo Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2020:1054, n.° 93).

16 Acórdãos Meta Platforms e o. (n.° 109), e de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente) (C‑26/22 e C‑64/22, EU:C:2023:958, n.° 78).

17 V., as minhas Conclusões no processo Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2020:1054, n.° 109).

18 Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.° 98). V. a este respeito também, Lubasz, D., em D. Lubasz (ed.), Ochrona danych osobowych, Wolters Kluwer, Varsóvia, 2020, n.° 202.

19 V., a título de exemplo, Acórdão de 9 de novembro de 2010, Volker und Markus Schecke e Eifert (C‑92/09 e C‑93/09, EU:C:2010:8, n.° 74 e jurisprudência referida).

20 V. Terwangne, C., «Article 5. Principles Relating to Processing of Personal Data», The EU General Data Protection Regulation (GDPR), A Commentary, ob. cit., p. 317.

21 O sublinhado é meu.

22 Artigo 4.°, ponto 11, do RGPD.

23 O sublinhado é meu.

24 Acórdão Meta Platforms e o. (n.° 98). O sublinhado é meu.

25 V. Acórdão de 17 de junho de 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, n.° 106), e Acórdão Meta Platforms e o. (n.°106).

26 Acórdão Meta Platforms e o. (n.° 107).

27 Acórdão Meta Platforms e o. (n.° 126 e dispositivo).

28 Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente) (C‑26/22 e C‑64/22, EU:C:2023:958, n.° 76).

29 V. n.° 42 das presentes conclusões.

30 V. n.os 47 e seguintes das presentes conclusões.

31 Acórdão Meta Platforms e o. (n.° 110).

32 Acórdão, Meta Platforms e o. (n.° 116).

33 Acórdãos de 11 de maio de 2017, Krijgsman (C‑302/16, EU:C:2017:359, n.° 24); de 29 de setembro de 2022, LOT (Indemnização imposta pela autoridade administrativa) (C‑597/20, EU:C:2022:735, n.° 21); e de 29 de fevereiro de 2024, Eventmedia Soluciones (C‑11/23, EU:C:2024:194, n.° 24).

34 V. versões em língua alemã («Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr [...]»), inglesa («The controller shall no longer process the personal data [...]»), ou polaca («Administratorowi nie wolno już przetwarzać tych danych osobowych [...]»). O sublinhado é meu.

35 V. n.° 27 das presentes conclusões. V., igualmente Acórdão Meta Platforms e o. (n.° 90).