Sul tema, si è pronunciata la Corte di Giustizia, nella causa C-621/22, decisa con sentenza del 4.10.2024, nell’ambito della controversia tra un’associazione di tennis dei Paesi Bassi e l’Autorità nazionale per la protezione dei dati(di seguito anche “Autorità”): la Corte, in particolare, è stata chiamata ad esaminare la decisione dell'Autorità, che ha inflitto una sanzione all’associazione per violazione delle disposizioni sul legittimo interesse contenute nel Regolamento Generale sulla protezione dei dati 2016/679 (di seguito anche “GDPR”).
Il caso
L’associazione di tennis “Koninklijke Nederlandse Lawn Tennisbond” (“KNLTB”) collabora regolarmente con società che le forniscono sponsor per aumentare la diffusione e la visibilità dello sport del tennis e fidelizzare i propri membri. Nel 2018, in esecuzione del contratto con gli sponsor, l’associazione ha trasferito i dati personali dei propri membri (nomi, indirizzi, date di nascita e numeri di telefono) ricevendo in corrispettivo una somma di denaro. I dati comunicati agli sponsor sono stati poi, da questi ultimi, condivisi con società di call center per l’avvio di campagne promozionali telefoniche.
A seguito di alcuni reclami presentati dai membri dell’associazione, l’Autorità ha riscontrato la violazione dell’articolo 6, paragrafo 1, lettere a) e f) e dell’articolo 5, paragrafo 1, lettera a) del GDPR, in quanto l’associazione aveva comunicato i dati senza il consenso degli interessati ed in assenza di fondamento giuridico. Per questi motivi, l’Autorità infliggeva la sanzione di 525 mila euro.
Contro tale decisione, l’associazione ha presentato ricorso al Tribunale di Amsterdam, sostenendo che, sebbene non fosse stato ottenuto un consenso esplicito, la comunicazione dei dati fosse giustificata dal legittimo interesse, articolato, da un lato, nella volontà di creare un legame tra l’associazione e i suoi membri e, dall’altro, nell’offrire riduzioni di prezzo ed offerte presso partner per praticare il tennis a costi accessibili.
Diversamente, l’Autorità ha affermato che il legittimo interesse sia quello sancito e predeterminato dalla legge: per la precisione, un interesse ritenuto meritevole di tutela dal legislatore dell’Unione o dal legislatore nazionale.
Il Tribunale di Amsterdam ha, dunque rimesso la questione alla Corte di Giustizia, la quale è stata chiamata a definire: i) in che modo vada interpretata l’espressione “interesse legittimo”; ii) se tale espressione comprenda solo interessi sanciti dalla legge; iii) se ogni interesse possa figurare come legittimo qualora non sia contrario alla legge e se un interesse strettamente commerciale – come quello della comunicazione di dati personali dietro pagamento senza consenso dell’interessato – possa essere considerato “legittimo interesse”, al ricorrere di determinate circostanze.
La Corte, esaminando l’art. 6, paragrafo 1, lettera f), ha stabilito che, per invocare il legittimo interesse, debbano ricorrere congiuntamente tre condizioni: i) il perseguimento di un legittimo interesse del titolare del trattamento o di terzi; ii) la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse; iii) la condizione che gli interessi o i diritti e libertà fondamentali dell’interessato non prevalgano sul legittimo interesse del titolare del trattamento e che, di conseguenza, la finalità perseguita dal titolare del trattamento non possa essere raggiunta in modo altrettanto efficaci con altri mezzi meno pregiudizievoli per gli interessati.
Con particolare riferimento al requisito sub ii), la Corte ha precisato che tale principio debba essere coordinato con quello di “minimizzazione” dei dati, di talché il trattamento potrà essere considerato lecito solo qualora riguardi i dati strettamente necessari al raggiungimento della finalità.
A tanto si aggiunga quanto statuito dal Considerando 47 del GDPR, che a) non richiede che l’interesse legittimo sia previsto dalla legge; b) precisa che l’interesse del titolare possa prevalere sui diritti e sulle libertà degli interessati, tenuto conto delle ragionevoli aspettative di questi ultimi, anche in considerazione della relazione con il titolare.
Il ragionamento condotto dalla Corte – unitamente alla dissertazione su alcuni dei principi cardine del GDPR – sono stati ripresi dalle recenti linee guida sul legittimo interesse, emanate dall’ “European Data Protection Board” (“EDPB”), sottoposte a consultazione pubblica fino al 20 novembre 2024. L’EDPB concentra la propria attenzione sulla facoltà di invocare la base giuridica del legittimo interesse al ricorrere delle condizioni elencate dalla Corte, previa conduzione di un “balancing test”, volto a verificare che gli interessi legittimi perseguiti dal titolare del trattamento non prevalgano sugli interessi o le libertà e i diritti fondamentali dell’interessato e che non vi siano mezzi alternativi meno intrusivi per perseguire la specifica finalità.
La Corte ha, dunque, concluso che, nel contesto del bilanciamento, spetta al giudice del rinvio verificare se il diritto alla vita privata dei membri di associazioni di tennis con riguardo al trattamento dei dati personali che li riguardano, possa prevalere sull’interesse commerciale di una federazione nazionale di tennis. Da questo punto di vista, si dovrebbe attribuire particolare rilevanza alla questione se tali soci potessero ragionevolmente attendersi, al momento della raccolta dei loro dati personali, che tali dati sarebbero stati divulgati a titolo oneroso a terzi, per scopi pubblicitari e di marketing. L’invocazione del legittimo interesse è lecita solo se il trattamento sia strettamente necessario alla realizzazione del legittimo interesse in questione e non prevalgano su tale legittimo interesse gli interessi o le libertà e i diritti fondamentali degli interessati.
Avv. Rossella Bucca e Dott.ssa Alice Dal Bello
