Non si può invocare il legittimo interesse per scopi commerciali: quali impatti #adessonews

La sentenza della CGUE e la sua portata innovativa

Dunque, stop all’equazione interesse commerciale e legittimo interesse come base legale (art. 6 GDPR) che rende lecito il trattamento del dato personale.

A decretarlo, come dicevamo, è la CGUE la sentenza del 4 ottobre 2024 resa nella causa C-621/22, interessante nella sua portata innovativa.

La vicenda

Il caso ha visto coinvolte una federazione sportiva costituita in forma associativa e i suoi membri/associati nel campo del tennis.

Tale associazione sportiva nel giugno del 2018 vendeva alcuni dati personali (nominativi, indirizzi, dati anagrafici e di contatto) per finalità di marketing (campagna di chiamate telefoniche tramite call center) di taluni suoi membri a due sponsor, tra cui il più grande fornitore di giochi d’azzardo e di giochi da casinò nei Paesi Bassi.

Senza consenso (art. 6, par. 1, lett. a), e scrivono i giudici “senza fondamento legittimo per comunicare i loro dati” (art. 6, par. 1, lett. f).

Da qui, scaturiva una sanzione pecuniaria (ammenda) pari a 525mila euro.

Le questioni pregiudiziali

Le questioni pregiudiziali ruotano attorno alla nozione di interesse legittimo, e in particolare:

“1) In che modo l’espressione “legittimo interesse” [di cui all’articolo 6, paragrafo 1, primo comma, lettera f), del RGPD] debba essere interpretata

2) e detta espressione debba essere interpretata nel senso se si tratta soltanto di interessi appartenenti alla legge, costituenti legge o stabiliti per legge, oppure:

3) Se ogni interesse possa configurare un legittimo interesse, purché esso non sia contrario alla legge. Più in particolare: se un interesse strettamente commerciale e l’interesse come quello in oggetto, ossia la fornitura di dati personali dietro pagamento senza consenso dell’interessato, in talune circostanze possa essere considerato legittimo interesse. In caso affermativo, quali circostanze determinino se un interesse strettamente commerciale sia un legittimo interesse”.

Queste le questioni sollevate.

Il riscontro della CGUE

Vediamo ora cosa ha risposto la CGUE. Rinviando alla lettura integrale del testo della sentenza per capirne le argomentazioni, qui merita annotare il principio di diritto che ne è derivato, e cioè: “L’articolo 6, paragrafo 1, primo comma, lettera f), […] deve essere interpretato nel senso che: un trattamento di dati personali consistente nella comunicazione a titolo oneroso di dati personali dei membri di una federazione sportiva, al fine di soddisfare un interesse commerciale del titolare del trattamento, […] può essere considerato necessario ai fini del legittimo interesse perseguito da tale titolare, solo a condizione che tale trattamento sia strettamente necessario alla realizzazione del legittimo interesse in questione e che, alla luce di tutte le circostanze pertinenti, non prevalgano su tale legittimo interesse gli interessi o le libertà e i diritti fondamentali dei suddetti membri. Sebbene detta disposizione non esiga che un interesse siffatto sia determinato dalla legge, essa richiede che il legittimo interesse invocato sia lecito”.

Quindi non è tanto una questione di cd “criteri positivi” o meno, ma di finalità criterio che, ancora una volta, governa – tra gli altri – l’impianto della materia relativa alla protezione dei dati.

Cosa impariamo

La sentenza in commento è degna di nota, non solo perché rappresenta un caso citato anche nelle recentissime Linee guida dell’EDPB sul legittimo interesse, approvate lo scorso 9 ottobre 2024, cui si rinvia e approfondite qui, ma anche perché ancora una volta rimarcano un principio di fondo che da tempo si va predicando: il legittimo interesse è una base giuridica  residuale, invocabile quando altre non lo sono.

È una base legale debole, e solo apparentemente forte nella misura in cui il titolare del trattamento creda che l’invocazione della stessa sia più semplice di altre come, ad esempio, il consenso; ma la sentenza in parola ha invero dimostrato il contrario.