TUTELA DEI DATI PERSONALI
Corte di Giustizia UE: i limiti del legittimo interesse quale base di legittimità del trattamento che persegue scopi marketing e di natura commerciale.
Un’associazione di club di tennis olandese ha comunicato i dati dei propri tesserati, senza il loro consenso, a terze parti esterne (taluni sponsor), tra cui una società che commercializza prodotti sportivi, nonché alla "Nederlandse Loterij Organisatie BV", la più grande società di giochi d’azzardo e di casinò games nei Paesi Bassi. Quest’ultima, ha versato all’associazione un corrispettivo per la messa a disposizione dei dati personali dei tesserati (nomi, indirizzi, date di nascita, recapiti telefonici di telefono fisso e cellulare, e-mail). Questi dati sono poi stati utilizzati per una campagna di chiamate promozionali da parte dei call center di cui si è avvalsa la società di giochi d’azzardo.
A seguito della sanzione comminata dal Garante olandese all’associazione sportiva, quest’ultima ha impugnato il provvedimento, sostenendo la liceità del trattamento sulla base del legittimo interesse ai sensi dell’articolo 6, comma 1, lettera (f) del GDPR.
I giudici si sono dunque rivolti alla Corte di Giustizia chiedendo in che modo l’espressione “legittimo interesse” di cui all’articolo 6, paragrafo 1, primo comma, lettera f), del GDPR debba essere interpretata, e in particolare se per “interesse legittimo” debba intendersi esclusivamente un interesse sancito e determinato da una legge, considerato meritevole di tutela dal legislatore dell’Unione o dal legislatore nazionale, oppure se il legittimo interesse non deve necessariamente derivare da un diritto fondamentale o da un principio giuridico, ma qualsiasi interesse può costituire un legittimo interesse, salvo che esso sia contrario alla legge, e che tale interesse deve essere quindi valutato secondo un «criterio negativo».
I giudici olandesi chiedono in particolare se un interesse strettamente commerciale e l’interesse come quello in oggetto, ossia la fornitura di dati personali dietro pagamento senza consenso dell’interessato, in talune circostanze possa essere considerato legittimo interesse. In caso affermativo, quali circostanze determinano se un interesse strettamente commerciale sia un legittimo interesse.
La Corte UE ha chiarito che un trattamento di dati personali consistente nella comunicazione a titolo oneroso di dati personali dei membri di una federazione sportiva, al fine di soddisfare un interesse commerciale del titolare del trattamento (cioè l’associazione che trasmette i dati), può essere considerato necessario ai fini del legittimo interesse perseguito da tale titolare solo a condizione che tale trattamento sia strettamente necessario alla realizzazione del legittimo interesse in questione e che, alla luce di tutte le circostanze pertinenti, non prevalgano su tale legittimo interesse gli interessi o le libertà e i diritti fondamentali dei suddetti membri. Sebbene detta disposizione non esiga che un interesse siffatto sia determinato dalla legge, essa richiede che il legittimo interesse invocato sia lecito. E inoltre, se è possibile chiedere agli interessati il consenso al trattamento e alla comunicazione dei loro dati a scopi marketing, ecco che l’interesse legittimo non è una base di legittimità del trattamento correttamente richiamabile e utilizzabile in casi del genere.
Infine, la sentenza sottolinea che il legittimo interesse non può fondare il trattamento dei dati degli interessati se vi è la comunicazione a una società di giochi d’azzardo, stante il rischio di esporre quelle persone (poi destinatarie di chiamate commerciali) al pericolo di sviluppare ludopatie.
A seguito della sanzione comminata dal Garante olandese all’associazione sportiva, quest’ultima ha impugnato il provvedimento, sostenendo la liceità del trattamento sulla base del legittimo interesse ai sensi dell’articolo 6, comma 1, lettera (f) del GDPR.
I giudici si sono dunque rivolti alla Corte di Giustizia chiedendo in che modo l’espressione “legittimo interesse” di cui all’articolo 6, paragrafo 1, primo comma, lettera f), del GDPR debba essere interpretata, e in particolare se per “interesse legittimo” debba intendersi esclusivamente un interesse sancito e determinato da una legge, considerato meritevole di tutela dal legislatore dell’Unione o dal legislatore nazionale, oppure se il legittimo interesse non deve necessariamente derivare da un diritto fondamentale o da un principio giuridico, ma qualsiasi interesse può costituire un legittimo interesse, salvo che esso sia contrario alla legge, e che tale interesse deve essere quindi valutato secondo un «criterio negativo».
I giudici olandesi chiedono in particolare se un interesse strettamente commerciale e l’interesse come quello in oggetto, ossia la fornitura di dati personali dietro pagamento senza consenso dell’interessato, in talune circostanze possa essere considerato legittimo interesse. In caso affermativo, quali circostanze determinano se un interesse strettamente commerciale sia un legittimo interesse.
La Corte UE ha chiarito che un trattamento di dati personali consistente nella comunicazione a titolo oneroso di dati personali dei membri di una federazione sportiva, al fine di soddisfare un interesse commerciale del titolare del trattamento (cioè l’associazione che trasmette i dati), può essere considerato necessario ai fini del legittimo interesse perseguito da tale titolare solo a condizione che tale trattamento sia strettamente necessario alla realizzazione del legittimo interesse in questione e che, alla luce di tutte le circostanze pertinenti, non prevalgano su tale legittimo interesse gli interessi o le libertà e i diritti fondamentali dei suddetti membri. Sebbene detta disposizione non esiga che un interesse siffatto sia determinato dalla legge, essa richiede che il legittimo interesse invocato sia lecito. E inoltre, se è possibile chiedere agli interessati il consenso al trattamento e alla comunicazione dei loro dati a scopi marketing, ecco che l’interesse legittimo non è una base di legittimità del trattamento correttamente richiamabile e utilizzabile in casi del genere.
Infine, la sentenza sottolinea che il legittimo interesse non può fondare il trattamento dei dati degli interessati se vi è la comunicazione a una società di giochi d’azzardo, stante il rischio di esporre quelle persone (poi destinatarie di chiamate commerciali) al pericolo di sviluppare ludopatie.
