La Corte di Giustizia dell’Unione Europea (CGUE) provvedendo sul caso Koninklijke Nederlandse Lawn Tennisbond v Autoriteit Persoonsgegevens (C-621/22) è intervenuta sulla corretta interpretazione del concetto di legittimo interesse come valida base giuridica del trattamento ex art. 6, par.1, lett. f del GDPR.

Nel 2019, l’Autorità olandese per la protezione dei dati (AP) ha multato la Royal Lawn Tennis Federation (KNLT) per 525.000 euro per aver fatto illegittimamente affidamento sul “legittimo interesse” (art. 6(1)f del GDPR) come base giuridica per la condivisione dei dati dei soci con due sponsor per uso promozionale. I dati personali forniti a queste organizzazioni comprendevano il nome, il sesso e l’indirizzo rispettivamente di 300.000 e 50.000 membri destinati ad essere ricontatti con iniziative pubblicitaria via telefono o posta. In linea con la posizione da essa espressa nel 2019 in documento sul legittimo interesse, la DPA olandese ha sostenuto che l’interesse esclusivamente commerciale del KNLT non può essere considerato un legittimo interesse ai sensi del GDPR. Il KNLT si è appellato al Tribunale distrettuale di Amsterdam, sostenendo che esiste un interesse legittimo a meno che tale interesse non sia contrario alla legge. Il DPA olandese non era d’accordo, sostenendo che, ai fini del GDPR, un interesse legittimo deve essere un interesse concreto, attinente alla legge, costituente legge e sancito da una legge. Il tribunale di Amsterdam ha rinviato la questione alla Corte di giustizia dell’Unione europea (CGUE) per le tre questioni seguenti:

  1. in che modo l’espressione “legittimo interesse” di cui all’articolo 6, par. 1, lett f) del GDPR debba essere interpretata;
  2. se detta espressione debba essere interpretata nel senso che si tratta soltanto di interessi appartenenti alla legge, costituenti legge o stabiliti per legge, oppure:
  3. se ogni interesse possa configurare un legittimo interesse, purché esso non sia contrario alla legge. Più in particolare: se un interesse strettamente commerciale e l’interesse come quello in oggetto, ossia la fornitura di dati personali dietro pagamento senza consenso dell’interessato, in talune circostanze possa essere considerato legittimo interesse. In caso affermativo, quali circostanze determinino se un interesse strettamente commerciale sia un legittimo interesse.

La CGUE ha ristretto le questioni poste dal giudice del rinvio e ha concluso che:

  • Il trattamento dei dati personali che consiste nella divulgazione, a titolo oneroso, dei dati personali dei membri di una federazione sportiva, al fine di soddisfare un interesse commerciale del titolare del trattamento, può essere considerato necessario ai fini dei legittimi interessi perseguiti da tale titolare;
  • Ciò è possibile solo se il trattamento è strettamente necessario ai fini del legittimo interesse in questione e se gli interessi o i diritti e le libertà fondamentali dei membri non prevalgono su tale legittimo interesse; e
  • Mentre l’art. 6, par.1, lett f) GDPR non richiede che tale interesse sia determinato dalla legge, lo stesso richiede che il presunto interesse legittimo sia lecito.

Nel giungere a questa conclusione, la CGUE ha ribadito la sua precedente posizione secondo cui “un’ampia gamma di interessi può, in linea di principio, essere considerata legittima”. Ha affermato che il GDPR non richiede che “l’interesse perseguito da un titolare del trattamento sia previsto dalla legge affinché il trattamento dei dati personali effettuato da tale titolare sia legittimo ai sensi” dell’art. 6, par.1, lett. f) del GDPR, in particolare perché “le finalità di marketing diretto in generale come interessi legittimi che possono essere perseguiti da un titolare del trattamento” sono nominate espressamente dal considerando 47 del GDPR.

Spetta ora al giudice del rinvio olandese – il tribunale distrettuale di Amsterdam – applicare, sulla base delle specificità del caso KNLTB, gli orientamenti interpretativi della CGUE per stabilire se l’associazione sportiva ha utilizzato correttamente la base giuridica in esame nel perseguire le finalità di guadagno che l’hanno mossa a cedere agli sponsor i dati personali degli iscritti .

Molto dipenderà dall’informativa resa agli interessati e, dunque, dal livello di aspettativa che essi potevano avere circa la possibilità che i loro dati potessero essere divulgati a terzi per fini commerciali, e – probabilmente –  in un test di bilanciamento gli interessi commerciali di KNLTB difficilmente potranno prevalere sui diritti degli interessati.

Resta il fatto che l’intervento dalla CGUE sulla portata di ciò che può essere considerato un “interesse legittimo” chiarisce che un’interesse meramente commerciale – ovviamente, purché lecito e purché rispettoso di tutti gli altri principi del GDPR – può ben considerarsi valida base giuridica ai sensi dell’art. 6, par. 1, lett f) del Regolamento, smentendo così la posizione restrittiva assunta finora dalla Data Protection Authority olandese (e non solo). Tenuto conto che il considerando 47 del GDPR già afferma che “Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto” sembrano ampliarsi i margini potenziali di data monetization quantomeno per quei titolari che già detengano i dati  degli interessati in virtù di un rapporto stretto (clienti, soci, iscritti, etc.).