Quando esiste un interesse legittimo? La Corte di giustizia europea (CGUE) ha definito il termine "interesse legittimo" ai sensi dell'art. 6, par. 1, lett. f), del Codice civile. GDPR da interpretare. Nello specifico, si trattava di stabilire se un'associazione sportiva Dati personali dei suoi membri senza la loro espressa Consenso agli sponsor per scopi commerciali.
L'associazione trasmette i dati dei soci agli sponsor
Nel 2018, la Federazione reale olandese di tennis su erba (Koninklijke Nederlandse Lawn Tennisbond, KNLTB) ha comunicato Dati personali dei suoi membri a due sponsor:
- SportshopsDirect BV (TennisDirect), un'azienda che vende articoli sportivi.
La KNLTB ha fornito a TennisDirect i nomi, gli indirizzi e i luoghi di residenza dei propri soci per l'invio postale di una lettera promozionale. TennisDirect, a sua volta, ha trasmesso tali dati al corriere PostNL. - Nederlandse Loterij Organisatie BV (NLO), il principale operatore nel settore dei giochi d'azzardo e dei casinò nei Paesi Bassi.
Oltre ai nomi, agli indirizzi e ai luoghi di residenza dei propri soci, la KNLTB ha trasmesso alla NLO anche le loro date di nascita, i numeri di telefono fisso e cellulare, gli indirizzi e-mail e i nomi dei club di tennis a cui questi soci appartenevano. Lo scopo di questa Trasmissione è stata una campagna pubblicitaria telefonica in cui l'NLO ha trasmesso questi dati ai call center incaricati.
Per la messa a disposizione dei dati personali, la KNLTB ha ricevuto un compenso dagli sponsor.
A seguito di reclami da parte di alcuni membri del KNLTB, l'autorità olandese di vigilanza sulla protezione dei dati Autoriteit Persoonsgegevens (AP) ha riscontrato che il KNLTB ha violato l'art. 6(1)(a) e (f) in combinato disposto con l'art. 5(1)(a) del GDPR. GDPR perché ha trattato i dati personali dei suoi membri senza il loro consenso. Consenso e senza una base legale. L'AP ha quindi imposto una multa di 525.000 euro a KNLTB con una decisione del 20 dicembre 2019.
Il KNLTB ha presentato ricorso contro questa decisione al Rechtbank Amsterdam (Tribunale distrettuale di Amsterdam, Paesi Bassi).
L'interesse legittimo come base giuridica per la comunicazione dei dati
Secondo il KNLTB, il conferimento dei dati si basa su un interesse legittimo ai sensi dell'art. 6, comma 1, lettera f). GDPR. Questo interesse consiste, da un lato, nel creare uno stretto legame tra l'associazione e i suoi membri e, dall'altro, nel poter offrire ai membri un valore aggiunto per la loro iscrizione sotto forma di sconti e offerte da parte dei partner che consentono ai membri di giocare a tennis a un prezzo vantaggioso e accessibile.
L'AP ritiene invece che solo gli interessi che fanno parte della legge, che sono di natura giuridica e che sono definiti in una legge interessi legittimi ai sensi dell'art. 6, comma 1, lettera f). GDPR sono. Deve trattarsi di interessi considerati degni di tutela dal legislatore dell'Unione o dal legislatore nazionale e che devono essere valutati con riferimento a un "criterio positivo". Nel caso in esame, non si tratta di interessi di questo tipo.
Poiché il Tribunale distrettuale di Amsterdam ha espresso dubbi in merito all’interpretazione del termine „interessi legittimi" ai sensi dell'art. 6 par. 1 lett. f GDPR ha sospeso il procedimento e ha sottoposto alla CGUE le seguenti questioni pregiudiziali:
- Come ha definito il giudice del rinvio la nozione di "interesse legittimo" ai sensi dell'articolo 6, paragrafo 1, lettera f), primo comma, del regolamento n. 40/94? GDPR da stendere?
- Questo concetto va interpretato nel modo in cui lo interpreta la convenuta? Riguarda esclusivamente gli interessi che fanno parte della legge, che sono di natura giuridica e che sono definiti in una legge?
- Oppure qualsiasi interesse può essere considerato un interesse legittimo, purché non sia in contrasto con la legge? Più concretamente: un interesse puramente commerciale e l’interesse in questione, ovvero la fornitura di dati personali a titolo oneroso senza il consenso dell’interessato, possono essere qualificati, in determinate circostanze, come un interesse legittimo? In caso affermativo: quali circostanze determinano se un interesse puramente commerciale sia un interesse legittimo?
Requisiti per la liceità del trattamento ai sensi dell’articolo 6, paragrafo 1, lettera f) del RGPD
Secondo la Corte di giustizia europea, la Elaborazione dati personali ai sensi dell'art. 6 par. 1 lett. f GDPR lecito a tre condizioni:
- Dal Elaborazione Il titolare del trattamento o un terzo deve avere un interesse legittimo.
L'interesse di un titolare del trattamento non deve necessariamente essere disciplinato dalla legge. Secondo la Corte di giustizia dell'Unione europea, in questo ambito può essere considerato legittimo, in linea di principio, un ampio spettro di interessi, tra cui anche quelli economici. Tuttavia, l'interesse legittimo invocato deve essere conforme alla legge. - Il Elaborazione dei dati personali deve essere necessario per la realizzazione del legittimo interesse.
Il prerequisito del Necessità Il trattamento dei dati va di pari passo con il principio della „Minimizzazione dei dati", come previsto dall'art. 5, comma 1, lettera c). GDPR e richiede che Dati personali "adeguata e pertinente allo scopo e limitata a quanto necessario per le finalità della Elaborazione necessario".
A tal proposito, la Corte di giustizia dell’Unione europea scrive nella sua sentenza: „Per quanto riguarda il requisito della Necessità questo Elaborazione la realizzazione dell'interesse in questione e, in particolare, l'esistenza di mezzi altrettanto adeguati e meno invasivi dei diritti e delle libertà fondamentali degli interessati, si deve ritenere che una federazione sportiva come la KNLTB, che Dati personali dei propri membri a terzi a pagamento, in particolare sarebbe possibile informare preventivamente i propri membri e chiedere loro se desiderano che i loro dati siano trasmessi a terzi per scopi pubblicitari o di marketing. Terza parte essere trasmessi. Questa soluzione consentirebbe di informare i membri interessati secondo il principio del Minimizzazione dei dati “mantenere il controllo sulla divulgazione dei propri dati personali, limitando così tale divulgazione a quanto effettivamente necessario e rilevante ai fini per cui tali dati vengono trasmessi e trattati.»
- Gli interessi o i diritti e le libertà fondamentali della persona i cui dati devono essere protetti non devono prevalere sull’interesse legittimo del titolare del trattamento o di un terzo.
La Corte di giustizia europea ha stabilito che i membri del KNLTB non potevano ragionevolmente aspettarsi che i loro dati personali venissero divulgati senza il loro consenso. Consenso su Terza parte essere trasmessi. La Corte ha criticato in particolare il trasferimento dei dati all'NLO, un fornitore di servizi di gioco d'azzardo, in quanto ciò potrebbe mettere i membri in situazioni inaspettate, come possibili misure pubblicitarie nel settore del gioco d'azzardo, che potrebbero avere effetti potenzialmente dannosi.
Nella sua sentenza, la CGUE interpreta l'art. 6 par. 1 lett. f GDPR che "un Elaborazione dati personali, che consistono in Dati personali dei membri di un'organizzazione sportiva per perseguire l'interesse economico del responsabile del trattamento in cambio di un pagamento può essere considerato necessario ai fini della presente disposizione per salvaguardare gli interessi legittimi di tale responsabile del trattamento solo se il Elaborazione sia assolutamente necessario per la realizzazione dell'interesse legittimo in questione e a condizione che, alla luce di tutte le circostanze pertinenti, gli interessi o i diritti e le libertà fondamentali di tali membri non prevalgano sull'interesse legittimo. Sebbene questa disposizione non richieda che tale interesse sia determinato dalla legge, essa richiede che l'interesse legittimo fatto valere sia legittimo".
Suggerimento di lettura: L'EDSA pubblica le linee guida sul legittimo interesse
Interesse legittimo rilevante ai fini pratici
Questa sentenza ha un’importanza di vasta portata per la pratica del trattamento dei dati da parte delle associazioni sportive e di altre organizzazioni che regolarmente Dati personali dei suoi membri. Chiarisce che gli interessi economici da soli non sono una base sufficiente per l'adesione di un'associazione. Elaborazione dati personali senza Consenso degli interessati. In ogni caso, le organizzazioni devono soppesare attentamente gli interessi e garantire la salvaguardia dei diritti e delle libertà degli interessati.
L'ottenimento di un'esplicita Consenso delle persone interessate rimane quindi, in molti casi, la base giuridicamente più sicura per il Elaborazione dati personali, in particolare per scopi commerciali.
La sentenza sottolinea l'importanza della protezione dei dati e della tutela dei diritti fondamentali nell'ambito della Elaborazione dei dati personali e stabilisce chiari limiti all'utilizzo dei dati a fini commerciali.
Fonte: Sentenza della Corte di giustizia dell’Unione europea C‑621/22 del 4 ottobre 2024
German 
English 
Italian 
French