La Corte di giustizia europea interpreta il "legittimo interesse" ai sensi dell'art. 6 par. 1 lett. f GDPR

14 ottobre 2024

Categorie:

Protezione dei dati in Europa, GDPR

Quando esiste un interesse legittimo? La Corte di giustizia europea (CGUE) ha definito il termine "interesse legittimo" ai sensi dell'art. 6, par. 1, lett. f), del Codice civile. GDPR da interpretare. Nello specifico, si trattava di stabilire se un'associazione sportiva Dati personali dei suoi membri senza la loro espressa Consenso agli sponsor per scopi commerciali.

L'associazione trasmette i dati dei soci agli sponsor

Nel 2018, la Royal Dutch Lawn Tennis Association (Koninklijke Nederlandse Lawn Tennisbond, KNLTB) ha presentato Dati personali dei suoi membri a due sponsor:

SportshopsDirect BV (TennisDirect), un'azienda che vende articoli sportivi.
Il KNLTB ha fornito a TennisDirect i nomi, gli indirizzi e i luoghi di residenza dei suoi soci per l'invio di una lettera promozionale. TennisDirect ha a sua volta inviato questi dati al fornitore di servizi postali PostNL.
Nederlandse Loterij Organisatie BV (NLO), il più grande fornitore di giochi d'azzardo e di casinò dei Paesi Bassi.
Oltre ai nomi, agli indirizzi e ai luoghi di residenza dei soci, il KNLTB ha fornito all'NLO anche le date di nascita, i numeri di telefono fisso e mobile, gli indirizzi e-mail e i nomi dei circoli di tennis a cui appartengono i soci. Lo scopo di questo Trasmissione è stata una campagna pubblicitaria telefonica in cui l'NLO ha trasmesso questi dati ai call center incaricati.

Il KNLTB ha ricevuto un compenso dagli sponsor per la fornitura dei dati personali.

A seguito di reclami da parte di alcuni membri del KNLTB, l'autorità olandese di vigilanza sulla protezione dei dati Autoriteit Persoonsgegevens (AP) ha riscontrato che il KNLTB ha violato l'art. 6(1)(a) e (f) in combinato disposto con l'art. 5(1)(a) del GDPR. GDPR perché ha trattato i dati personali dei suoi membri senza il loro consenso. Consenso e senza una base legale. L'AP ha quindi imposto una multa di 525.000 euro a KNLTB con una decisione del 20 dicembre 2019.

Il KNLTB ha presentato ricorso contro questa decisione al Rechtbank Amsterdam (Tribunale distrettuale di Amsterdam, Paesi Bassi).

Interesse legittimo come base giuridica per la divulgazione dei dati

Secondo il KNLTB, il conferimento dei dati si basa su un interesse legittimo ai sensi dell'art. 6, comma 1, lettera f). GDPR. Questo interesse consiste, da un lato, nel creare uno stretto legame tra l'associazione e i suoi membri e, dall'altro, nel poter offrire ai membri un valore aggiunto per la loro iscrizione sotto forma di sconti e offerte da parte dei partner che consentono ai membri di giocare a tennis a un prezzo vantaggioso e accessibile.

L'AP, invece, è del parere che solo gli interessi che fanno parte del diritto, che sono previsti dalla legge e che sono stipulati in una legge interessi legittimi ai sensi dell'art. 6, comma 1, lettera f). GDPR sono. Deve trattarsi di interessi considerati degni di tutela dal legislatore dell'Unione o dal legislatore nazionale e che devono essere valutati con riferimento a un "criterio positivo". Nel caso in esame, non si tratta di interessi di questo tipo.

Poiché il Tribunale distrettuale di Amsterdam aveva dei dubbi sull'interpretazione del termine "interessi legittimi" ai sensi dell'art. 6 par. 1 lett. f GDPR ha sospeso il procedimento e ha sottoposto alla CGUE le seguenti questioni pregiudiziali:

Come ha definito il giudice del rinvio la nozione di "interesse legittimo" ai sensi dell'articolo 6, paragrafo 1, lettera f), primo comma, del regolamento n. 40/94? GDPR da stendere?
Tale termine deve essere interpretato come lo interpreta il convenuto? Copre solo gli interessi previsti dalla legge e stabiliti da uno statuto?
Oppure qualsiasi interesse può essere un interesse legittimo, purché non sia contrario alla legge? Più precisamente: Un interesse puramente commerciale e l'interesse in questione, vale a dire la fornitura di dati personali a pagamento senza il consenso della persona interessata, può essere classificato come un interesse legittimo in determinate circostanze? In caso affermativo, quali circostanze determinano se un interesse puramente commerciale è un interesse legittimo?

Requisiti per la legalità del Elaborazione ai sensi dell'art. 6 par. 1 lett. f GDPR

Secondo la Corte di giustizia europea, la Elaborazione dati personali ai sensi dell'art. 6 par. 1 lett. f GDPR lecito a tre condizioni:

Dal Elaborazione Il titolare del trattamento o un terzo deve avere un interesse legittimo.
L'interesse di un responsabile del trattamento non deve essere necessariamente regolato dalla legge. Secondo la Corte di giustizia europea, un ampio spettro di interessi può essere generalmente considerato legittimo. Questo include anche gli interessi economici. Tuttavia, l'interesse legittimo dichiarato deve essere legittimo.
Il Elaborazione dei dati personali deve essere necessario per la realizzazione del legittimo interesse.
Il prerequisito del Necessità del trattamento dei dati insieme al principio di "Minimizzazione dei dati", come previsto dall'art. 5, comma 1, lettera c). GDPR e richiede che Dati personali "adeguata e pertinente allo scopo e limitata a quanto necessario ai fini della Elaborazione necessario".
A questo proposito, la CGUE scrive nella sua sentenza: "Per quanto riguarda la condizione di Necessità questo Elaborazione la realizzazione dell'interesse in questione e, in particolare, l'esistenza di mezzi altrettanto adeguati e meno invasivi dei diritti e delle libertà fondamentali degli interessati, si deve ritenere che una federazione sportiva come la KNLTB, che Dati personali dei propri membri a terzi a pagamento, in particolare sarebbe possibile informare preventivamente i propri membri e chiedere loro se desiderano che i loro dati siano trasmessi a terzi per scopi pubblicitari o di marketing. Terza parte essere trasmessi. Questa soluzione consentirebbe di informare i membri interessati secondo il principio del Minimizzazione dei dati mantenere il controllo sulla divulgazione dei propri dati personali e quindi limitare la divulgazione di tali dati a quanto effettivamente necessario e pertinente ai fini per i quali tali dati vengono trasmessi ed elaborati."

Gli interessi o i diritti e le libertà fondamentali della persona i cui dati devono essere protetti non devono prevalere sull'interesse legittimo del responsabile del trattamento o di terzi.
La Corte di giustizia europea ha stabilito che i membri del KNLTB non potevano ragionevolmente aspettarsi che i loro dati personali venissero divulgati senza il loro consenso. Consenso su Terza parte essere trasmessi. La Corte ha criticato in particolare il trasferimento dei dati all'NLO, un fornitore di servizi di gioco d'azzardo, in quanto ciò potrebbe mettere i membri in situazioni inaspettate, come possibili misure pubblicitarie nel settore del gioco d'azzardo, che potrebbero avere effetti potenzialmente dannosi.

Nella sua sentenza, la CGUE interpreta l'art. 6 par. 1 lett. f GDPR che "un Elaborazione dati personali, che consistono in Dati personali dei membri di un'organizzazione sportiva per perseguire l'interesse economico del responsabile del trattamento in cambio di un pagamento può essere considerato necessario ai fini della presente disposizione per salvaguardare gli interessi legittimi di tale responsabile del trattamento solo se il Elaborazione sia assolutamente necessario per la realizzazione dell'interesse legittimo in questione e a condizione che, alla luce di tutte le circostanze pertinenti, gli interessi o i diritti e le libertà fondamentali di tali membri non prevalgano sull'interesse legittimo. Sebbene questa disposizione non richieda che tale interesse sia determinato dalla legge, essa richiede che l'interesse legittimo fatto valere sia legittimo".

Suggerimento di lettura: EDSA pubblicato Linee guida sul legittimo interesse

Interessi legittimi rilevanti per la pratica

Questa sentenza ha implicazioni di vasta portata per la pratica del trattamento dei dati da parte di club sportivi e altre organizzazioni che regolarmente Dati personali dei suoi membri. Chiarisce che gli interessi economici da soli non sono una base sufficiente per l'adesione di un'associazione. Elaborazione dati personali senza Consenso degli interessati. In ogni caso, le organizzazioni devono soppesare attentamente gli interessi e garantire la salvaguardia dei diritti e delle libertà degli interessati.

L'ottenimento di un'esplicita Consenso delle persone interessate rimane quindi, in molti casi, la base giuridicamente più sicura per il Elaborazione dati personali, in particolare per scopi commerciali.

La sentenza sottolinea l'importanza della protezione dei dati e della tutela dei diritti fondamentali nell'ambito della Elaborazione dei dati personali e stabilisce chiari limiti all'utilizzo dei dati a fini commerciali.

Fonte: Sentenza della Corte di giustizia europea C-621/22 del 4 ottobre 2024.

Tag:

Corte di giustizia europea

Condividi questo post :

Categorie più popolari

Iscrivetevi alla nostra newsletter sulla protezione dei dati per ricevere gli ultimi aggiornamenti, consigli e approfondimenti direttamente nella vostra casella di posta elettronica.