CELEX:62022CJ0621: Hotărârea Curții (Camera a noua) din 4 octombrie 2024.#Koninklijke Nederlandse Lawn Tennisbond împotriva Autoriteit Persoonsgegevens.#Cerere de decizie preliminară formulată de Rechtbank Amsterdam.#Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 5 alineatul (1) litera (a) – Legalitatea prelucrării – Articolul 6 alineatul (1) primul paragraf litera (f) – Necesitatea prelucrării în scopul intereselor legitime urmărite de operator sau de o parte terță – Noțiunea de «interese legitime» – Interes comercial – Federație sportivă – Comunicare cu titlu oneros unor sponsori a datelor cu caracter personal ale membrilor unei federații sportive fără consimțământul acestor membri.#Cauza C-621/22.

Ediție provizorie

HOTĂRÂREA CURȚII (Camera a noua)

4 octombrie 2024(*)

„ Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 5 alineatul (1) litera (a) – Legalitatea prelucrării – Articolul 6 alineatul (1) primul paragraf litera (f) – Necesitatea prelucrării în scopul intereselor legitime urmărite de operator sau de o parte terță – Noțiunea de «interese legitime» – Interes comercial – Federație sportivă – Comunicare cu titlu oneros unor sponsori a datelor cu caracter personal ale membrilor unei federații sportive fără consimțământul acestor membri ”

În cauza C‑621/22,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de rechtbank Amsterdam (Tribunalul din Amsterdam, Țările de Jos), prin decizia din 22 septembrie 2022, primită de Curte la 29 septembrie 2022, în procedura

Koninklijke Nederlandse Lawn Tennisbond

împotriva

Autoriteit Persoonsgegevens,

CURTEA (Camera a noua),

compusă din doamna O. Spineanu‑Matei, președintă de cameră, domnul J.‑C. Bonichot și doamna L. S. Rossi (raportoare), judecători,

avocat general: doamna L. Medina,

grefier: domnul A. Calot Escobar,

având în vedere procedura scrisă,

luând în considerare observațiile prezentate:

– pentru Koninklijke Nederlandse Lawn Tennisbond, de E. W. S. Peperkamp, O. M. van Rikxoort și S. E. A. Vermeer‑de Jongh, advocaten;

– pentru Autoriteit Persoonsgegevens, de M. H. L. Hemmer și T. N. Sanders, advocaten;

– pentru guvernul neerlandez, de M. K. Bulterman și J. M. Hoogveld, în calitate de agenți;

– pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de E. De Bonis, avvocato dello Stato;

– pentru Comisia Europeană, de A. Bouchagiar și H. Kranenborg, în calitate de agenți,

având în vedere decizia de judecare a cauzei fără concluzii, luată după ascultarea avocatei generale,

pronunță prezenta

Hotărâre

1        Cererea de decizie preliminară privește interpretarea articolului 6 alineatul (1) primul paragraf litera (f) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

2        Această cerere a fost formulată în cadrul unui litigiu între Koninklijke Nederlandse Lawn Tennisbond (Asociația Regală de Tenis din Țările de Jos, denumită în continuare „KNLTB”), pe de o parte, și Autoriteit Persoonsgegevens (Autoritatea pentru Protecția Datelor, Țările de Jos) (denumită în continuare „AP”), pe de altă parte, în legătură cu decizia acesteia din urmă de a sancționa KNLTB cu o amendă pentru încălcarea normelor RGPD.

Cadrul juridic

RGPD

3        Considerentele (1), (4), (10), (39) și (47) ale RGPD au următorul cuprins:

„(1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene («carta») și articolul 16 alineatul (1) [TFUE] prevăd dreptul oricărei persoane la protecția datelor cu caracter personal care o privesc.

[…]

(4) Prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor. Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute în cartă astfel cum sunt consacrate în tratate, în special respectarea vieții private și de familie, a reședinței și a comunicațiilor, a protecției datelor cu caracter personal, a libertății de gândire, de conștiință și de religie, a libertății de exprimare și de informare, a libertății de a desfășura o activitate comercială, dreptul la o cale de atac eficientă și la un proces echitabil, precum și diversitatea culturală, religioasă și lingvistică.

[…]

(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. […]

[…]

(39) Orice prelucrare de date cu caracter personal ar trebui să fie legală și echitabilă. Ar trebui să fie transparent pentru persoanele fizice că sunt colectate, utilizate, consultate sau prelucrate în alt mod datele cu caracter personal care le privesc și în ce măsură datele cu caracter personal sunt sau vor fi prelucrate. […]

[…]

(47) Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul. Acest interes legitim ar putea exista, de exemplu, atunci când există o relație relevantă și adecvată între persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client al operatorului sau se află în serviciul acestuia. În orice caz, existența unui interes legitim ar necesita o evaluare atentă, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. Interesele și drepturile fundamentale ale persoanei vizate ar putea prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o prelucrare ulterioară. […] Prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim.”

4        Articolul 1 din acest regulament, intitulat „Obiect și obiective”, prevede la alineatul (2) următoarele:

„Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal.”

5        Articolul 4 din regulamentul menționat prevede următoarele:

„În sensul prezentului regulament:

1. «date cu caracter personal» înseamnă orice informații privind o persoană fizică identificată sau identificabilă («persoana vizată»); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;

2. «prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

[…]

7. «operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;

[…]

11. «consimțământ» al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;

[…]”

6        Potrivit articolului 5 din acest regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal”:

„(1) Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);

(b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri; […]

(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);

[…]

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

7        Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, are următorul cuprins:

„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

(a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;

[…]

(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.

[…]”

8        Articolul 13 din regulamentul menționat, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede la alineatul (1) următoarele:

„În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

[…]

(c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;

(d) în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță;

[…]”

Litigiul principal și întrebările preliminare

9        Din decizia de trimitere reiese că KNLTB este o federație sportivă constituită sub forma unei asociații. Membrii săi sunt asociațiile de tenis care sunt afiliate la ea, precum și membrii acestora. Astfel, în cazul în care o persoană devine membră a unei asociații de tenis afiliate la KNLTB, ea devine de asemenea în mod automat membră a acesteia din urmă. KNLTB cooperează cu sponsori pentru a crește, după cum afirmă, difuzarea și vizibilitatea tenisului, precum și afilierea membrilor săi.

10      În cursul anului 2018, KNLTB a comunicat date cu caracter personal ale membrilor săi către doi dintre sponsorii săi, și anume SportshopsDirect BV (denumită în continuare „TennisDirect”), o societate care vinde produse sportive, și Nederlandse Loterij Organisatie BV (denumită în continuare „NLO”), cel mai mare furnizor de jocuri de noroc și de jocuri de cazinou din Țările de Jos. KNLTB a primit o remunerație din partea sponsorilor săi pentru că le‑a comunicat datele cu caracter personal în cauză.

11      În special, la 11 iunie 2018, KNLTB a comunicat societății TennisDirect numele, adresele și domiciliile membrilor săi în vederea trimiterii prin poștă a unui pliant care conținea promoții. În acest scop, TennisDirect a transmis, la rândul său, aceste date serviciului poștal PostNL în vederea tipăririi pliantului respectiv.

12      În plus, la 29 iunie 2018, KNLTB a comunicat societății NLO, pe lângă numele, adresele și domiciliile membrilor săi, datele de naștere, numerele de telefon fixe, numerele de telefon mobile și adresele electronice ale acestora din urmă, precum și numele cluburilor de tenis la care erau afiliați acești membri. Această comunicare avea ca scop o campanie de apeluri telefonice, în contextul căreia NLO a transmis datele respective unor call centere la care a recurs în acest sens.

13      În urma unor plângeri depuse de anumiți membri ai KNLTB, AP a considerat că aceasta din urmă încălcase articolul 6 alineatul (1) primul paragraf literele (a) și (f) din RGPD coroborat cu articolul 5 alineatul (1) litera (a) din acest regulament prin comunicarea datelor cu caracter personal ale membrilor săi fără consimțământul acestora și fără un temei legitim pentru comunicarea datelor lor. În consecință, prin decizia din 20 decembrie 2019, AP a sancționat KNLTB cu o amendă de 525 000 de euro.

14      KNLTB a introdus o acțiune împotriva acestei decizii la rechtbank Amsterdam (Tribunalul din Amsterdam, Țările de Jos), care este instanța de trimitere.

15      Deși părțile din litigiul principal nu contestă că KNLTB nu obținuse consimțământul membrilor săi individuali pentru a comunica datele lor cu caracter personal sponsorilor menționați mai sus și că articolul 6 alineatul (1) primul paragraf litera (a) din RGPD nu poate fi invocat ca temei al prelucrării în cauză, KNLTB a susținut că comunicarea acestor date se întemeia pe un interes legitim, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD. Acest interes ar consta, pe de o parte, în crearea unei legături puternice între această asociație și membrii săi și, pe de altă parte, în posibilitatea de a oferi o valoare adăugată adeziunii acestora sub formă de reduceri și de oferte la parteneri, care să le permită acestor membri să practice tenisul la un preț mic și accesibil.

16      AP consideră că interesele legitime, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, sunt numai interesele consacrate și determinate printr‑o lege. Potrivit AP, trebuie să fie vorba despre interese considerate demne de a fi protejate de legiuitorul Uniunii sau de legiuitorul național, care trebuie apreciate potrivit unui „criteriu pozitiv”. Or, situația ar fi diferită în speță.

17      KNLTB are o opinie diferită și susține că un interes legitim nu trebuie să decurgă în mod necesar dintr‑un drept fundamental sau dintr‑un principiu juridic și că orice interes poate constitui un interes legitim, cu excepția cazului în care este contrar legii, un astfel de interes trebuind astfel să fie apreciat potrivit unui „criteriu negativ”.

18      În cursul procedurii în fața instanței de trimitere, între părțile din această procedură au avut loc schimburi de informații cu privire la semnificația noțiunii de „interes legitim” care figurează la articolul 6 alineatul (1) primul paragraf litera (f) din RGPD și în special cu privire la aspectul dacă un interes pur comercial, care constă în vânzarea datelor cu caracter personal ale membrilor unei asociații de tenis, fără consimțământul acestora din urmă, unor sponsori în scopuri de marketing direct poate fi considerat un interes legitim.

19      În aceste condiții, având îndoieli cu privire la interpretarea noțiunii de „interese legitime”, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, rechtbank Amsterdam (Tribunalul din Amsterdam) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) Cum trebuie să interpreteze [instanța de trimitere] noțiunea «interes legitim» [în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD]?

2) Această noțiune trebuie interpretată în modul în care o interpretează pârâta? Este vorba exclusiv de interese consacrate și determinate de o lege? sau

3) Orice interes poate fi un interes legitim, cu condiția ca acel interes să nu contravină legii? Mai precis, un interes pur comercial și interesul în discuție în cauză, și anume comunicarea cu titlu oneros de date cu caracter personal fără consimțământul persoanei vizate, trebuie considerate ca fiind un interes legitim în anumite împrejurări? În caz afirmativ, care sunt împrejurările care determină dacă un interes pur comercial este un interes legitim?”

Procedura în fața Curții

20      Prin Decizia din 3 mai 2023, președintele Curții a suspendat prezenta procedură în așteptarea deciziei prin care se finalizează judecata în cauza C‑252/21, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale).

21      În conformitate cu decizia președintelui Curții din 3 august 2023, grefa a notificat instanței de trimitere Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C‑252/21, EU:C:2023:537), invitând‑o să îi indice dacă, ținând seama de acea hotărâre, dorea să își mențină cererea de decizie preliminară, în tot sau în parte, și, în cazul unei retrageri parțiale a acestei cereri, să expună motivele menținerii unei părți a acesteia.

22      Prin scrisoarea primită la grefa Curții la 14 februarie 2024, această instanță a arătat că își menține cererea de decizie preliminară.

Cu privire la întrebările preliminare

23      Potrivit unei jurisprudențe constante, în cadrul procedurii de cooperare dintre instanțele naționale și Curte instituite la articolul 267 TFUE, este de competența acesteia din urmă să ofere instanței naționale un răspuns util, care să îi permită să soluționeze litigiul cu care este sesizată. Din această perspectivă, Curtea trebuie, dacă este cazul, să reformuleze întrebările care îi sunt adresate (Hotărârea din 20 iunie 2024, Greislzel, C‑35/23, EU:C:2024:532, punctul 39 și jurisprudența citată).

24      În speță, întrebările preliminare privesc posibilitatea de a justifica, în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, comunicarea, în schimbul unei remunerații, de către o asociație sportivă a datelor cu caracter personal ale membrilor săi unor sponsori ai acestei asociații în vederea unor acțiuni promoționale.

25      Rezultă că, prin intermediul întrebărilor preliminare, la care trebuie să se răspundă împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) primul paragraf litera (f) din RGPD trebuie interpretat în sensul că o prelucrare de date cu caracter personal care constă în comunicarea cu titlu oneros a datelor cu caracter personal ale membrilor unei federații sportive în vederea satisfacerii unui interes comercial al operatorului poate fi considerată necesară în scopul intereselor legitime urmărite de acest operator sau de un terț, în sensul acestei dispoziții, și dacă aceasta impune ca un astfel de interes să fie determinat de lege.

26      Pentru a răspunde la aceste întrebări, trebuie amintit, cu titlu introductiv, că obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, constă printre altele în asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE [Hotărârea din 7 martie 2024, IAB Europe, C‑604/22, EU:C:2024:214, punctul 53 și jurisprudența citată].

27      În conformitate cu acest obiectiv, orice prelucrare a datelor cu caracter personal trebuie printre altele să fie conformă cu principiile referitoare la prelucrarea unor astfel de date prevăzute la articolul 5 din acest regulament și să îndeplinească condițiile de legalitate enumerate la articolul 6 din regulamentul menționat [a se vedea în acest sens Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții, C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 208, precum și Hotărârea din 11 iulie 2024, Meta Platforms Ireland (Acțiune în reprezentare), C‑757/22, EU:C:2024:598, punctul 49].

28      În această privință, trebuie subliniat că, potrivit articolului 5 alineatul (1) litera (a) din RGPD, datele cu caracter personal trebuie să fie prelucrate în mod legal, echitabil și transparent față de persoana vizată.

29      În special, după cum a statuat Curtea, articolul 6 alineatul (1) primul paragraf din RGPD prevede o listă exhaustivă și limitativă de cazuri în care prelucrarea de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, o prelucrare trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 90].

30      Potrivit articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, prelucrarea datelor cu caracter personal este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru unul sau mai multe scopuri specifice. În lipsa unui astfel de consimțământ sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, în sensul articolului 4 punctul 11 din acest regulament, o astfel de prelucrare este totuși justificată atunci când îndeplinește una dintre cerințele de necesitate menționate la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din regulamentul menționat.

31      În acest context, justificările prevăzute de această din urmă dispoziție, în măsura în care permit ca prelucrarea datelor cu caracter personal efectuată în lipsa consimțământului persoanei vizate să fie legală, trebuie să facă obiectul unei interpretări restrictive [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 93 și jurisprudența citată).

32      În plus, după cum a statuat Curtea, atunci când este posibil să se constate că prelucrarea de date cu caracter personal este necesară în raport cu una dintre justificările prevăzute la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din RGPD, nu este necesar să se stabilească dacă această prelucrare intră de asemenea sub incidența unei alte justificări [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 94, precum și jurisprudența citată].

33      Curtea a statuat de asemenea că, în conformitate cu articolul 5 din RGPD, operatorului îi revine sarcina de a dovedi că aceste date sunt printre altele colectate în scopuri determinate, explicite și legitime și că sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată. În plus, conform articolului 13 alineatul (1) litera (c) din acest regulament, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, revine operatorului sarcina de a o informa pe aceasta cu privire la scopurile în care sunt prelucrate datele respective, precum și cu privire la temeiul juridic al prelucrării menționate [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 95].

34      În speță, din dosarul de care dispune Curtea reiese că membrii KNLTB nu și‑au dat consimțământul, în sensul articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, ca aceasta din urmă să comunice cu titlu oneros date cu caracter personal care îi privesc unor terți, printre care TennisDirect și NLO.

35      În aceste condiții, pentru a oferi un răspuns util instanței de trimitere, trebuie să se verifice dacă dispozițiile articolului 6 alineatul (1) primul paragraf litera (f) din acest regulament, vizate în mod specific de cererea de decizie preliminară, pot fi invocate pentru a justifica divulgarea unor asemenea date acestor terți.

36      În această privință, trebuie amintit că, în conformitate cu articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, prelucrarea datelor cu caracter personal este legală dacă este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită o protecție a acestor date cu caracter personal.

37      Astfel, Curtea a statuat deja că, pentru ca o prelucrare de date cu caracter personal să fie legală, această dispoziție prevede trei condiții cumulative, și anume, în primul rând, urmărirea unui interes legitim de către operator sau de către un terț, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să prevaleze asupra interesului legitim al operatorului sau al unui terț [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 106, precum și jurisprudența citată].

38      În ceea ce privește, în primul rând, condiția referitoare la urmărirea unui „interes legitim”, trebuie să se sublinieze că, în lipsa unei definiții a acestei noțiuni în RGPD, astfel cum Curtea a statuat deja, o gamă largă de interese poate fi considerată în principiu legitimă [a se vedea în acest sens Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 76].

39      Astfel cum rezultă și din considerentul (47) al RGPD, care privește noțiunea de „interes legitim”, legiuitorul Uniunii nu a impus ca interesul urmărit de un operator să fie prevăzut de lege pentru ca prelucrarea datelor cu caracter personal efectuată de acest operator să fie legitimă în sensul articolului 6 alineatul (1) primul paragraf litera (f) din acest regulament. Această constatare este cu atât mai adevărată cu cât considerentul menționat citează, cu titlu de exemplu, scopul marketingului direct în general ca interes legitim care poate fi urmărit de un operator.

40      Cu toate acestea, deși noțiunea de „interes legitim”, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, nu este limitată la interesele consacrate și determinate printr‑o lege, aceasta impune ca interesul legitim invocat să fie licit.

41      În plus, trebuie amintit că, în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, operatorului îi revine sarcina ca, în momentul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la această persoană, să îi indice interesele legitime urmărite în cazul în care prelucrarea menționată se face în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din acest regulament [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 107].

42      În ceea ce privește, în al doilea rând, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, aceasta impune instanței de trimitere să verifice dacă interesul legitim urmărit prin prelucrarea datelor nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate prin articolele 7 și 8 din cartă [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 77, precum și jurisprudența citată].

43      În acest context, trebuie de asemenea amintit că această condiție privind necesitatea prelucrării trebuie examinată împreună cu principiul „reducerii la minimum a datelor” consacrat la articolul 5 alineatul (1) litera (c) din RGPD, potrivit căruia datele cu caracter personal trebuie să fie „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate” [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 109, precum și jurisprudența citată].

44      În sfârșit, în ceea ce privește, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze asupra interesului legitim al operatorului sau al unui terț, Curtea a statuat deja că aceasta implică o ponderare a drepturilor și a intereselor opuse în cauză, care depinde în principiu de împrejurările concrete ale speței și că, în consecință, instanței de trimitere îi revine sarcina de a efectua această ponderare ținând seama de împrejurările specifice respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 110, precum și jurisprudența].

45      În plus, considerentul (47) al RGPD arată că interesele și drepturile fundamentale ale persoanei vizate pot prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în împrejurări în care persoanele vizate nu preconizează în mod rezonabil o asemenea prelucrare [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 112].

46      Deși, în definitiv, instanța de trimitere este cea căreia îi revine sarcina de a aprecia dacă, în privința prelucrării datelor cu caracter personal în discuție în litigiile principale, sunt îndeplinite cele trei condiții amintite la punctul 37 din prezenta hotărâre, Curtea, pronunțându‑se asupra trimiterii preliminare, poate oferi precizări destinate să orienteze instanța respectivă în această apreciere [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 96, precum și Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 81, precum și jurisprudența citată].

47      În speță, în ceea ce privește, în primul rând, condiția privind urmărirea unui interes legitim de către operator sau de către un terț, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, instanța de trimitere face referire la interesul comercial al operatorului, mai precis o federație sportivă precum KNLTB, care constă în comunicarea cu titlu oneros a datelor cu caracter personal ale membrilor săi unor terți, și anume, în speță, o societate care vinde produse sportive, precum și un furnizor de jocuri de noroc și de jocuri de cazinou în Țările de Jos, în scopuri publicitare sau de marketing, în special în vederea trimiterii unor mesaje publicitare și a unor oferte promoționale de către aceștia din urmă acestor membri.

48      În această privință, Curtea nu a exclus ca un interes comercial al operatorului, care constă în promovarea și în vânzarea de spații publicitare în scopuri de marketing, să poată fi considerat un interes legitim în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD (a se vedea prin analogie Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 73).

49      În aceste condiții, un interes comercial al operatorului, precum cel menționat la punctul 47 din prezenta hotărâre, ar putea constitui un interes legitim, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, cu condiția să nu fie contrar legii. Revine însă instanței de trimitere sarcina de a aprecia, de la caz la caz, existența unui astfel de interes, ținând seama de cadrul juridic aplicabil și de ansamblul împrejurărilor cauzei.

50      În ipoteza în care un astfel de interes ar fi considerat legitim, mai este necesar, pentru ca urmărirea acestui interes să poată permite o prelucrare de date cu caracter personal în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, ca operatorul să respecte toate celelalte obligații care îi revin în temeiul acestui regulament.

51      În al doilea rând, în ceea ce privește condiția referitoare la necesitatea acestei prelucrări pentru realizarea interesului menționat și în special existența unor mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate și care să fie la fel de adecvate, trebuie să se constate că ar fi posibil printre altele ca o federație sportivă precum KNLTB, care dorește să comunice cu titlu oneros datele cu caracter personal ale membrilor săi unor terți, să își informeze în prealabil membrii și să îi întrebe dacă doresc ca datele lor să fie transmise acestor terți în scopuri publicitare sau de marketing.

52      Această soluție ar permite membrilor în cauză, în conformitate cu principiul reducerii la minimum a datelor, evocat la punctul 43 din prezenta hotărâre, să păstreze controlul asupra divulgării datelor lor cu caracter personal și să limiteze astfel divulgarea acestora la ceea ce este efectiv necesar și pertinent în raport cu scopurile în care datele respective sunt transmise și prelucrate (a se vedea prin analogie Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C‑17/22 și C‑18/22, EU:C:2024:738, punctul 60).

53      O procedură precum cea descrisă la punctul anterior din prezenta hotărâre ar putea implica o ingerință mai redusă în dreptul la protecția confidențialității datelor cu caracter personal ale persoanei vizate, permițând în același timp operatorului să urmărească, într‑un mod la fel de eficient, interesul legitim pe care îl invocă, aspect a cărui verificare este însă de competența instanței de trimitere (a se vedea prin analogie Hotărârea din 12 septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV, C‑17/22 și C‑18/22, EU:C:2024:738, punctul 61).

54      În al treilea rând, în ceea ce privește ponderarea intereselor pe care instanța de trimitere trebuie să o efectueze în lumina împrejurărilor specifice ale litigiului principal, această instanță trebuie să țină seama printre altele de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării în cauză și de impactul acesteia asupra persoanei respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 116].

55      În cadrul unei asemenea ponderări, instanței de trimitere îi revine sarcina de a verifica dacă dreptul membrilor asociațiilor de tenis la viață privată în ceea ce privește prelucrarea datelor cu caracter personal care îi privesc, consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE, poate prevala în raport cu interesul comercial al unei federații naționale de tenis. Din această perspectivă, astfel cum reiese din considerentul (47) al RGPD, trebuie acordată o importanță deosebită aspectului dacă acești membri se puteau aștepta în mod rezonabil, în momentul colectării datelor lor cu caracter personal pentru a deveni membri ai unei asociații de tenis, ca acestea să fie divulgate cu titlu oneros unor terți, în speță unor sponsori ai KNLTB, în scopuri publicitare și de marketing.

56      În plus, instanța de trimitere va trebui să țină seama de împrejurarea că datele în discuție sunt transmise printre alții unui furnizor de jocuri de noroc și de jocuri de cazinou, precum NLO, ale cărui activități de promovare și de marketing, deși legitime, sunt desfășurate într‑un context care, contrar a ceea ce rezultă din considerentul (47) al RGPD, nu pare să fie caracterizat printr‑o relație relevantă și adecvată între persoanele vizate și operator. În plus, în anumite împrejurări, prelucrarea unor astfel de date ar putea avea efecte nefaste asupra membrilor asociațiilor de tenis în cauză, în măsura în care aceste activități sunt susceptibile să îi expună pe acești membri riscurilor legate de dezvoltarea dependenței de jocurile de noroc.

57      Ținând seama de ceea ce precedă, trebuie să se răspundă la întrebările preliminare că articolul 6 alineatul (1) primul paragraf litera (f) din RGPD trebuie interpretat în sensul că o prelucrare de date cu caracter personal care constă în comunicarea cu titlu oneros a datelor cu caracter personal ale membrilor unei federații sportive, în vederea satisfacerii unui interes comercial al operatorului, nu poate fi considerată necesară în scopul intereselor legitime urmărite de acest operator, în sensul acestei dispoziții, decât cu condiția ca această prelucrare să fie strict necesară pentru realizarea interesului legitim în cauză și ca, având în vedere ansamblul împrejurărilor relevante, interesele sau libertățile și drepturile fundamentale ale acestor membri să nu prevaleze în raport cu acest interes legitim. Deși dispoziția menționată nu impune ca un astfel de interes să fie determinat de lege, aceasta impune ca interesul legitim invocat să fie licit.

Cu privire la cheltuielile de judecată

58      Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a noua) declară:

Articolul 6 alineatul (1) primul paragraf litera (f) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)

trebuie interpretat în sensul că

o prelucrare de date cu caracter personal care constă în comunicarea cu titlu oneros a datelor cu caracter personal ale membrilor unei federații sportive, în vederea îndeplinirii unui interes comercial al operatorului, nu poate fi considerată necesară în scopul intereselor legitime urmărite de acest operator, în sensul acestei dispoziții, decât cu condiția ca această prelucrare să fie strict necesară pentru realizarea interesului legitim în cauză și ca, având în vedere ansamblul împrejurărilor relevante, interesele sau libertățile și drepturile fundamentale ale acestor membri să nu prevaleze în raport cu acest interes legitim. Deși dispoziția menționată nu impune ca un astfel de interes să fie determinat de lege, aceasta impune ca interesul legitim invocat să fie licit.

Semnături

*      Limba de procedură: neerlandeza.