Con sentenza emessa in data 4 ottobre 2024 nella causa C-621/22, la Corte di Giustizia dell’Unione Europea (“CGUE”) ha statuito su una domanda pregiudiziale presentata dal Tribunale di Amsterdam (Paesi Bassi), riguardante l’interpretazione dell’art. 6, par. 1, lett. f) del Regolamento Europeo 2016/679 in materia di protezione dei dati personali (“GDPR”), con riferimento al concetto di legittimo interesse del titolare del trattamento.
Il procedimento principale
Il rinvio pregiudiziale era stato effettuato nell’ambito di un contenzioso tra il Kininkljike Nederlandse Lawn Tennisbond (associazione reale di tennis dei Paesi Bassi, di seguito il“KNLTB”) e l’autorità per la protezione dei dati dei Paesi Bassi (la “DPA Olandese”), relativo ad una sanzione comminata da quest’ultima al KNLTB per violazione del GDPR.
Il caso trae origine dal fatto che il KNLTB aveva trasmesso dati personali di alcuni suoi membri, senza il consenso di questi ultimi, a due dei propri sponsor, vale a dire la Sportshops Direct BV (“TennisDirect”), società attiva nella vendita di prodotti sportivi, e la Nederlandse Loterij Organisatie BV (“NLO”), ossia il più grande fornitore di giochi d’azzardo e giochi da casinò dei Paesi Bassi.
La condivisione dei dati, che includevano nominativi, indirizzi, date di nascita, numeri di cellulare ed indirizzi di posta elettronica, era avvenuta dietro pagamento da parte degli sponsor per poter permettere a questi ultimi di condurre attività di marketing diretto nei confronti dei membri del KNTLB. In particolare, i dati erano stati condivisi con Tennis Direct per l’invio di un volantino promozionale, poi realizzato da una terza società, e con NLO per una campagna di chiamate telefoniche, nell’ambito della quale la NLO ha trasmesso i dati a call center terzi di cui si è avvalsa.
Riconosciuto pacificamente che non era stato ottenuto alcun consenso a tale condivisione dei dati, il KNTLB ha sostenuto avanti la DPA Olandese che la base giuridica di tale trattamento fosse rappresentata da un proprio legittimo interesse, consistente nel creare un forte legame tra tale associazione ed i suoi membri, nonché nel poter offrire un valore aggiunto all’adesione dei suoi membri sotto forma di riduzione ed offerte idonee a rendere più accessibile ed abbordabile praticare il tennis.
La DPA Olandese ha rigettato tale ricostruzione, sostenendo che il legittimo interesse ai sensi dell’Art. 6, par. 1, lett. f) del GDPR sia unicamente un interesse sancito e determinato da una legge, considerato meritevole di tutela dal legislatore dell’Unione o da quello nazionale. Conseguentemente, ha ritenuto illecito il trattamento di dati personali in questione per assenza di una idonea base giuridica e comminato una sanzione di Euro 525.000,00 nei confronti del KNLTB.
Quest’ultimo ha allora impugnato la decisione avanti il Tribunale di Amsterdam, asserendo che un legittimo interesse non deve necessariamente derivare da un diritto fondamentale o da un principio giuridico, ma che qualsiasi interesse può costituire un legittimo interesse, salvo che sia contrario alla legge.
Il Tribunale ha sospeso il procedimento al fine di richiedere alla CGUE di pronunciarsi sulle seguenti questioni pregiudiziali:
- In che modo l’espressione “legittimo interesse” debba essere interpretata (dal giudice del rinvio);
- Se tale nozione debba essere interpretata nel senso proposto dalla DPA Olandese, e quindi possa consistere soltanto in interessi previsti dalla legge, costituenti legge o stabiliti per legge, oppure
- Se ogni interesse possa costituire un legittimo interesse ai sensi del GDPR, purché non sia contrario alla legge; in particolare, se – e in tal caso, a quali condizioni – un interesse commerciale sulla base del quale vengono forniti a terzi dati personali dietro pagamento e senza consenso degli interessati.
La statuizione della CGUE
Alla luce della stretta connessione tra le questioni pregiudiziali sollevate dal Tribunale di Amsterdam, la CGUE ha ritenuto consono esaminarle congiuntamente.
Preliminarmente, la CGUE ha ritenuto opportuno richiamare che, per i trattamenti che non si basano sul consenso dell’interessato, l’applicabilità delle ulteriori basi giuridiche previste dal GDPR -Art. 6, par. 1, lett. da b) a f) – deve essere interpretata restrittivamente.
Entrando poi nel merito delle questioni concernenti il legittimo interesse, la Corte ha specificato che, in assenza di una definizione normativa specifica di tale nozione da parte del GDPR, essa può invero comprendere un’ampia gamma di interessi che possono essere considerati legittimi. Sotto questo profilo, l’interesse perseguito da un titolare non deve essere necessariamente previsto da una legge: lo stesso considerando 47 del regolamento chiarisce infatti che, a determinate condizioni, la conduzione di attività per finalità di marketing può rappresentare un legittimo interesse del titolare del trattamento.
Fatta questa premessa, la CGUE riepiloga successivamente i requisiti che devono essere soddisfatti affinché un trattamento possa trovare il proprio fondamento di liceità nel legittimo interesse del titolare:
- L’interesse, pur non dovendo essere determinato dalla legge, deve essere lecito, nel senso che non può essere contra legem (diritto dell’Unione o diritto nazionale).
- L’interesse deve essere esplicito e specifico: il titolare non può limitarsi ad utilizzare espressioni generiche, ma deve indicare espressamente in cosa l’interesse consista nel caso concreto.
- L’interesse non deve poter essere raggiunto in modo altrettanto efficace con altri mezzi meno pregiudizievoli per i diritti fondamentali degli interessati, in particolare per i diritti al rispetto della vita privata ed alla protezione dei dati personali di cui agli artt. 7 e 8 della Carta dei Diritti Fondamentali dell’Unione Europea (Carta di Nizza);
- Il titolare deve in ogni caso rispettare il principio di minimizzazione dei dati: deve, cioè, raccogliere ed utilizzare soltanto le tipologie di dati necessari al perseguimento dell’interesse e soltanto nella quantità occorrente a tale scopo;
- I diritti e le libertà fondamentali degli interessati coinvolti dal trattamento non devono prevalere sul legittimo interesse del titolare del trattamento. Sotto questo profilo, la CGUE evidenzia l’importanza del criterio dell’aspettativa dell’interessato, anche sulla base della tipologia di relazione intercorrente tra il titolare e gli interessati: i diritti e le libertà fondamentali degli interessati possono in particolare prevalere sugli interessi del titolare qualora gli interessati non possano ragionevolmente attendersi il trattamento previsto dal titolare.
Espressi tali principi, la CGUE rimette al giudice del rinvio la valutazione circa la sussistenza del legittimo interesse invocato da KNLTB nel procedimento principale, evidenziando in particolare la necessità di valutare se i membri dell’associazione potessero attendersi che i loro dati sarebbero stati divulgati a titolo oneroso agli sponsor per scopi pubblicitari e di marketing.
In questa prospettiva, la Corte osserva in particolare che la trasmissione di dati al fornitore di giochi d’azzardo e giochi da casinò NLO avviene in un contesto che non sembra essere caratterizzato da una relazione pertinente ed adeguata tra gli interessati e il titolare del trattamento, evidenziando inoltre che il trattamento di tali dati potrebbe esporre i membri di KNLTB allo sviluppo di ludopatia.
Il commento
La pronuncia in esame si pone in continuità con l’orientamento consolidato a livello dottrinale e giurisprudenziale in materia di legittimo interesse, nonché in linea con le Linee Guida 1/2024 recentemente pubblicate dal Garante Europeo per la Protezione dei Dati (“EDPB”) in materia di legittimo interesse (ora in fase di consultazione pubblica).
A parere di chi scrive, appare di particolare interesse evidenziare l’importanza attribuita alla valutazione della liceità dell’interesse perseguito dal titolare, ossia della sua non contrarietà a disposizioni espresse del diritto dell’Unione Europea o al diritto nazionale: si tratta del primo requisito affinché esso possa essere considerato legittimo, ossia conforme al diritto applicabile nell’interpretazione comunemente attribuibile allo stesso.
Ora, il fatto che l’interesse perseguita dal titolare non debba porsi in contrapposizione con la legge può apparire elementare in astratto, ma la valutazione in concreto della sua conformità è spesso trascurata. Per esempio, ipotizzando la conduzione in Italia di attività di marketing della stessa natura di quelle effettuate da NLO nel procedimento principale – definite “pur legittime” dalla CGUE – sulla base di un interesse legittimo del titolare, esso non si potrebbe considerare lecito, in quanto tali attività risulterebbero verosimilmente in violazione del divieto di pubblicità del gioco d’azzardo stabilito dall’art 9 del D.L. 87/2018 (c.d. “Decreto Dignità”).
Inoltre, giova sottolineare che la liceità dell’interesse non è sufficiente a renderlo legittimo: come evidenziato sia dalla sentenza, sia dalle Linee Guida dell’EDPB, è necessario che l’interesse venga espresso non già in modo vago, ma quanto più specificamente possibile. Solo in questo modo, come sottolineato anche da autorevole dottrina, sarà possibile verificarne la conformità ai principi normativi. L’EDPB aggiunge, inoltre, che per poter essere legittimo l’interesse deve essere concreto ed attuale, e non speculativo: se dei dati vengono raccolti per un interesse che, al momento della raccolta, è solamente ipotetico e potenziale, esso non può essere considerato legittimo in quanto non è reale e presente.
Per quanto concerne gli ulteriori requisiti di applicabilità del legittimo interesse enunciati dalla CGUE, appare poi significativo come essa, nel soffermarsi sulla valutazione relativa alla prevalenza tra l’interesse ed i loro diritti e libertà fondamentali, non si sia in questo caso limitata a sottolineare l’importanza del criterio delle ragionevoli aspettative degli interessati.
In questa pronuncia, la Corte si è infatti spinta a dare un giudizio di merito circa la relazione tra gli interessati ed il titolare del trattamento nel procedimento principale, che appare – pur in considerazione della remissione di ogni valutazione concreta al giudice del rinvio – con tutta evidenza idonea ad influenzarne le sorti.
La sentenza in commento è disponibile al link https://curia.europa.eu/juris/document/document.jsf?text=&docid=290688&pageIndex=0&doclang=IT&mode=lst&dir=&occ=first&part=1&cid=5778077