Il legittimo interesse non costituisce base giuridica valida per trattamenti a scopi commerciali: questa la sentenza della Corte di Giustizia UE
La vicenda
Il caso origina in un campo di tennis. In particolare tutto inizia da una diatriba tra una federazione sportiva, costituita in forma associativa, e i suoi associati. Questa associazione, nel 2018, ha rivenduto alcuni dati personali dei suoi associati a soggetti terzi. In particolare ha rivenduto dati come nome e cognome, contatti, indirizzi fisici per finalità di marketing a due sponsor che li hanno poi utilizzati per campagne di chiamate telefoniche tramite call center.
I reclami da parte degli associati non si sono fatti attendere e la vicenda è finita nelle mani dell’autorità garante olandese, che ha condannato il titolare del trattamento dei dati ad una sanzione di 525.000 euro.
L’associazione sportiva, come ha permesso di ricostruire l’istruttoria, ha violato gli articoli 5 e 6 del GDPR avendo divulgato dati personali senza il consenso degli interessati e senza riuscire ad accreditare alcuna altra base legale valida.
Il titolare del trattamento ha presentato ricorso contro la decisione e l’ammenda stabilita dall’autorità garante olandese, sostenendo che la condivisione con terzi dei dati personali dei suoi membri era legittimata da interesse legittimo. In particolare ha dichiarato che l’interesse legittimo consisterebbe nel
“creare un legame stretto con gli interessati e nell’offrire loro sconti e offerte da parte di sponsor che consentono loro di giocare a tennis a un prezzo più accessibile”.
Un passo indietro: il legittimo interesse in breve
Il legittimo interesse consente al titolare del trattamento di trattare i dati personali senza il consenso dell’interessato, a condizione che tale trattamento sia necessario per perseguire un “legitimate interest” del titolare del trattamento o di terzi.
L’art 6 del GDPR entra a gamba tesa in questo quadro:
«Il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore».
A prima lettura sembra quindi che questa sia base giuridica che legittima un trattamento dei dati a fini di profilazione. Purché, ovviamente, il trattamento dei dati rispetti i diritti degli interessati e porti a pubblicità trasparente, veritiera e non manipolativa.
Per approfondire > Profilazione e legittimo interesse: quale equilibrio?
La sentenza della Corte di Giustizia UE chiude il caso olandese
Nel 2022 il tribunale distrettuale di Amsterdam, competente sul ricorso presentato dal titolare del trattamento dati dell’associazione sportiva, ha richiesto un parere preliminare alla Corte di Giustizia UE a causa di dubbi interpretativi proprio sull’art. 6 del GDPR.
La Corte UE fin da subito ha affermato, nella sua sentenza, che la base legale del legittimo interesse di cui all’art 6 vada interpretata necessariamente in modo restrittivo. Questo perché legittima il trattamento dei dati personali senza il consenso degli interessati, quindi in “direzione opposta” di quanto è previsto dal GDPR.
Detto ciò la Corte ha specificato che , in linea di principio, un’ampia gamma di interessi può essere considerata legittima. Non solo: il considerando 47 del GDPR esplicita il fatto che un interesse legitimo non deve essere fondato sulla legge. Qui è esplicitamente citato lo scopo di marketing come esempio di “legitimate interest” perseguibile dal titolare del trattamento. Insomma, un interesse legittimo non è limitato agli interessi determinati per legge. Quindi, dice la Corte di Giustizia UE, l’interesse deve essere valutato tenendo di conto sia del quadro normativo applicabile sia di tutte le altre circostanze del caso.
Necessità di un trattamento dati basato sul legittimo interesse
La Corte ha stabilito che il trattamento che abbia come base legale il legittimo interesse è necessario solo se il legittimo interesse perseguito non possa essere raggiunto con altri mezzi. Nel caso specifico, il titolare del trattamento avrebbe potuto informare in anticipo gli associati chiedendo loro il consenso alla trasmissione dei dati agli sponsor a fini di marketing. In questo caso il titolare avrebbe drasticamente limitato la divulgazione dei dati solo a quanto assolutamente necessario.
Bilanciamento tra tutela degli individui e legittimo interesse
Venendo al tema del bilanciamento tra la tutela degli individui e il legittimo interesse, la Corte ha dichiarato che la condivisione di dati con uno sponsor che si occupa di casinò e scommesse potrebbe avere effetti negativi sugli interessati (dipendenza da gioco d’azzardo).
Le Linee Guida dell’EDPB
Recentemente l’EDPB ha pubblicato specifiche linee guida sul legittimo interesse. Linee guida approvate lo scorso 8 ottobre 2024 e che citano apertamente questa sentenza.
L’EDPB, come la Corte di Giustizia UE, ha ribadito come il legittimo interesse sia una base giuridica da considerarsi “residuale”, ovvero invocabile quando non lo sono tutte le altre. Resta comunque una base legale molto debole.
Queste linee guida resteranno in consultazione fino al 20 Novembre 2024.
