Behandling af personoplysninger: Idrætsforbunds videregivelse af medlemsdata til sponsorer

Koninklijke Nederlandse Lawn Tennisbond (KNLTB) blev pålagt en bøde af den nederlandske databeskyttelsesmyndighed (AP) for at have videregivet personoplysninger om sine medlemmer til sponsorer uden deres samtykke. KNLTB anførte, at videregivelsen var baseret på en legitim interesse.

Sagen drejer sig om fortolkningen af artikel 6, stk. 1, litra f), i databeskyttelsesforordningen, der omhandler lovlig behandling af personoplysninger, når behandlingen er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse.

KNLTB argumenterede for, at de havde en legitim interesse i at videregive oplysningerne til sponsorer for at øge tennissportens udbredelse og tilbyde medlemmerne rabatter og tilbud. AP mente derimod, at legitime interesser udelukkende er interesser, der er anerkendt og fastsat ved lov.

Domstolen skulle tage stilling til, om en kommerciel interesse, der består i salg af personoplysninger uden samtykke, kan anses for at være en legitim interesse.

Domstolen bemærker, at databeskyttelsesforordningen har til formål at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig retten til privatliv i forbindelse med behandlingen af personoplysninger. Enhver behandling af personoplysninger skal overholde principperne i forordningens artikel 5 og opfylde betingelserne for lovlighed i artikel 6.

Afgørelse

Domstolen fastslår, at artikel 6, stk. 1, første afsnit, litra f), i databeskyttelsesforordningen skal fortolkes således, at en behandling af personoplysninger, der består i videregivelse mod vederlag af personoplysninger om medlemmerne af et idrætsforbund med henblik på at tilgodese en kommerciel interesse for den dataansvarlige, kun kan anses for at være nødvendig for, at denne dataansvarlige kan forfølge en legitim interesse som omhandlet i denne bestemmelse, såfremt denne behandling er strengt nødvendig for at virkeliggøre den omhandlede legitime interesse, og såfremt disse medlemmers interesser eller grundlæggende rettigheder og frihedsrettigheder, henset til samtlige relevante omstændigheder, ikke går forud for denne legitime interesse. Selvom bestemmelsen ikke forudsætter, at en sådan interesse er fastsat ved lov, kræver den, at den angivelige legitime interesse er lovlig.

Domstolen understreger, at det er den nationale domstols opgave at vurdere, om disse betingelser er opfyldt i den konkrete sag.

Retlige Principper

• Legitim Interesse: Begrebet "legitim interesse" i databeskyttelsesforordningens artikel 6, stk. 1, litra f, kan omfatte kommercielle interesser, men det kræver en afvejning af den dataansvarliges interesser over for de registreredes rettigheder og frihedsrettigheder.
• Nødvendighed: Behandlingen af personoplysninger skal være strengt nødvendig for at realisere den legitime interesse. Mindre indgribende midler skal overvejes.
• Dataminimering: Princippet om dataminimering (artikel 5, stk. 1, litra c) skal overholdes, således at personoplysninger er tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt.
• Afvejning af Interesser: En afvejning af interesser skal foretages, hvor den registreredes rimelige forventninger og behandlingens indvirkning tages i betragtning.
• Gennemsigtighed: Den dataansvarlige skal informere de registrerede om formålene med behandlingen og retsgrundlaget herfor (artikel 13, stk. 1).
• Grundlæggende Rettigheder: Retten til privatlivets fred og beskyttelse af personoplysninger (artikel 7 og 8 i EU-chartret) skal respekteres.