ARRÊT DE LA COUR (neuvième chambre)
4 octobre 2024 ( *1 )
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement de données à caractère personnel – Règlement (UE) 2016/679 – Article 5, paragraphe 1, sous a) – Licéité du traitement – Article 6, paragraphe 1, premier alinéa, sous f) – Nécessité du traitement aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers – Notion d’“intérêts légitimes” – Intérêt commercial – Fédération sportive – Communication à titre onéreux des données à caractère
personnel des membres d’une fédération sportive à des sponsors sans le consentement de ces membres »
Dans l’affaire C‑621/22,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le rechtbank Amsterdam (tribunal d’Amsterdam, Pays-Bas), par décision du 22 septembre 2022, parvenue à la Cour le 29 septembre 2022, dans la procédure
Koninklijke Nederlandse Lawn Tennisbond
contre
Autoriteit Persoonsgegevens,
LA COUR (neuvième chambre),
composée de Mme O. Spineanu‑Matei, présidente de chambre, M. J.‑C. Bonichot et Mme L. S. Rossi (rapporteure), juges,
avocat général : Mme L. Medina,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
– pour le Koninklijke Nederlandse Lawn Tennisbond, par Mmes E. W. S. Peperkamp, O. M. van Rikxoort et S. E. A. Vermeer-de Jongh, advocaten,
– pour l’Autoriteit Persoonsgegevens, par MM. M. H. L. Hemmer et T. N. Sanders, advocaten,
– pour le gouvernement néerlandais, par Mme M. K. Bulterman et M. J. M. Hoogveld, en qualité d’agents,
– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. E. De Bonis, avvocato dello Stato,
– pour la Commission européenne, par MM. A. Bouchagiar et H. Kranenborg, en qualité d’agents,
vu la décision prise, l’avocate générale entendue, de juger l’affaire sans conclusions,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 6, paragraphe 1, premier alinéa, sous f), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant le Koninklijke Nederlandse Lawn Tennisbond (association royale de tennis des Pays-Bas, ci-après le « KNLTB ») à l’Autoriteit Persoonsgegevens (autorité chargée de la protection des données, Pays‑Bas) (ci-après l’« AP ») au sujet de la décision de cette dernière imposant une amende au KNLTB pour violation des règles du RGPD.
Le cadre juridique
Le RGPD
3 Les considérants 1, 4, 10, 39 et 47 du RGPD sont libellés comme suit :
« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la [c]harte des droits fondamentaux de l’Union européenne (ci-après [la] “Charte”) et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.
[...]
(4) Le traitement des données à caractère personnel devrait être conçu pour servir l’humanité. Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Le présent règlement respecte tous les droits fondamentaux et observe les libertés et les principes reconnus par la Charte, consacrés par les traités,
en particulier le respect de la vie privée et familiale, du domicile et des communications, la protection des données à caractère personnel, la liberté de pensée, de conscience et de religion, la liberté d’expression et d’information, la liberté d’entreprise, le droit à un recours effectif et à accéder à un tribunal impartial, et la diversité culturelle, religieuse et linguistique.
[...]
(10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union [européenne], le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes
physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. [...]
[...]
(39) Tout traitement de données à caractère personnel devrait être licite et loyal. Le fait que des données à caractère personnel concernant des personnes physiques sont collectées, utilisées, consultées ou traitées d’une autre manière et la mesure dans laquelle ces données sont ou seront traitées devraient être transparents à l’égard des personnes physiques concernées. [...]
[...]
(47) Les intérêts légitimes d’un responsable du traitement, y compris ceux d’un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d’un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. Un tel intérêt légitime
pourrait, par exemple, exister lorsqu’il existe une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement ou est à son service. En tout état de cause, l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre
de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée. Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur. [...] Le traitement de données à caractère personnel à des fins de
prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime. »
4 L’article 1er de ce règlement, intitulé « Objet et objectifs », dispose, à son paragraphe 2 :
« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »
5 L’article 4 dudit règlement prévoit :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité
physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la
limitation, l’effacement ou la destruction ;
[...]
7) “responsable du traitement”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit
d’un État membre ;
[...]
11) “consentement” de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ;
[...] »
6 Aux termes de l’article 5 du même règlement, intitulé « Principes relatifs au traitement des données à caractère personnel » :
« 1. Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; [...]
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...]
2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »
7 L’article 6 du RGPD, intitulé « Licéité du traitement », est libellé comme suit :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
[...]
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.
[...] »
8 L’article 13 de ce règlement, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », prévoit, à son paragraphe 1 :
« Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :
[...]
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
[...] »
Le litige au principal et les questions préjudicielles
9 Il ressort de la décision de renvoi que le KNLTB est une fédération sportive constituée sous la forme d’une association. Ses membres sont les associations de tennis qui y sont affiliées ainsi que les membres de celles-ci. En effet, lorsqu’une personne devient membre d’une association de tennis affiliée au KNLTB, elle devient également automatiquement membre de ce dernier. Le KNLTB coopère avec des sponsors afin, selon ce qu’il affirme, d’accroître la diffusion et la visibilité du tennis ainsi que
l’affiliation de ses membres.
10 Au cours de l’année 2018, le KNLTB a communiqué des données à caractère personnel de ses membres à deux de ses sponsors, à savoir SportshopsDirect BV (ci-après « TennisDirect »), une société qui vend des produits sportifs, et Nederlandse Loterij Organisatie BV (ci-après la « NLO »), le plus grand fournisseur de jeux de hasard et de jeux de casino aux Pays-Bas. Le KNLTB a reçu une rémunération de ses sponsors pour leur avoir communiqué les données à caractère personnel en question.
11 En particulier, le 11 juin 2018, le KNLTB a communiqué à TennisDirect les noms, les adresses et les domiciles de ses membres aux fins de l’envoi postal d’un dépliant contenant des promotions. Pour ce faire, TennisDirect a, à son tour, transmis ces données au service postal PostNL en vue de l’impression de ce dépliant.
12 En outre, le 29 juin 2018, le KNLTB a communiqué à la NLO, outre les noms, les adresses et les domiciles de ses membres, les dates de naissance, les numéros de téléphones fixes, les numéros de téléphones portables et les adresses électroniques de ces derniers ainsi que les noms des clubs de tennis auxquels ces membres étaient affiliés. Cette communication avait pour but une campagne d’appels téléphoniques, dans le contexte de laquelle la NLO a transmis ces données à des centres d’appel auxquels
elle avait eu recours à cet effet.
13 À la suite de plaintes déposées par certains membres du KNLTB, l’AP a considéré que ce dernier avait violé l’article 6, paragraphe 1, premier alinéa, sous a) et f), du RGPD, lu en combinaison avec l’article 5, paragraphe 1, sous a), de ce règlement au motif qu’il avait communiqué les données à caractère personnel de ses membres, sans leur consentement et sans fondement légitime pour communiquer leurs données. Par conséquent, par décision du 20 décembre 2019, l’AP a imposé au KNLTB une amende de
525000 euros.
14 Le KNLTB a introduit un recours contre cette décision devant le rechtbank Amsterdam (tribunal d’Amsterdam, Pays-Bas), qui est la juridiction de renvoi.
15 S’il est constant entre les parties au principal que le KNLTB n’avait pas obtenu le consentement de ses membres individuels pour communiquer leurs données à caractère personnel aux sponsors susmentionnés et que l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD ne peut pas être invoqué en tant que fondement du traitement concerné, le KNLTB a prétendu que la communication de ces données était fondée sur un intérêt légitime, au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du
RGPD. Cet intérêt consisterait, d’une part, dans le fait de créer un lien fort entre cette association et ses membres et, d’autre part, à pouvoir offrir une valeur ajoutée à l’adhésion de ceux-ci sous la forme de réductions et d’offres chez des partenaires permettant à ces membres de pratiquer le tennis à un prix abordable et accessible.
16 L’AP considère que les intérêts légitimes, au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, sont uniquement des intérêts consacrés et déterminés par une loi. Selon l’AP, il doit s’agir d’intérêts considérés comme dignes de protection par le législateur de l’Union ou par le législateur national, devant être appréciés selon un « critère positif ». Or, tel ne serait pas le cas en l’occurrence.
17 D’un avis différent, le KNLTB fait valoir qu’un intérêt légitime ne doit pas nécessairement découler d’un droit fondamental ou d’un principe juridique, mais que tout intérêt peut constituer un intérêt légitime, à moins qu’il ne soit contraire à la loi, un tel intérêt devant être ainsi apprécié selon un « critère négatif ».
18 Au cours de la procédure devant la juridiction de renvoi, des échanges ont eu lieu entre les parties à cette procédure sur la signification de la notion d’« intérêt légitime » figurant à l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, et notamment sur le point de savoir si un intérêt purement commercial, consistant en la vente des données à caractère personnel des membres d’une association de tennis, sans le consentement de ces derniers, à des sponsors à des fins de prospection
directe, peut être considéré comme un intérêt légitime.
19 Dans ces conditions, nourrissant des doutes au sujet de l’interprétation de la notion d’« intérêts légitimes », au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, le rechtbank Amsterdam (tribunal d’Amsterdam) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
«1) Quelle interprétation [la juridiction de renvoi doit-elle] donner à la notion d’“intérêt légitime” [au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD] ?
2) Cette notion doit-elle être interprétée dans le sens dans lequel la défenderesse l’interprète ? S’agit-il exclusivement d’intérêts consacrés et déterminés par une loi ? ou
3) Tout intérêt peut-il être un intérêt légitime, pourvu qu’il ne soit pas contraire à la loi ? Plus particulièrement, un intérêt purement commercial et l’intérêt en cause en l’espèce, à savoir la communication à titre onéreux de données à caractère personnel sans le consentement de la personne concernée, doivent-ils être considérés comme un intérêt légitime dans certaines circonstances ? Dans l’affirmative, quelles sont les circonstances qui déterminent si un intérêt purement commercial est un
intérêt légitime ? »
La procédure devant la Cour
20 Par décision du 3 mai 2023, le président de la Cour a suspendu la présente procédure dans l’attente de la décision mettant fin à l’instance dans l’affaire C‑252/21, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social).
21 Conformément à la décision du président de la Cour du 3 août 2023, le greffe a notifié à la juridiction de renvoi l’arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C‑252/21, EU:C:2023:537), en l’invitant à lui indiquer si, compte tenu de cet arrêt, elle souhaitait maintenir sa demande de décision préjudicielle, en tout ou en partie, et, en cas de retrait partiel de cette demande, d’exposer les raisons du maintien d’une partie de celle-ci.
22 Par courrier parvenu au greffe de la Cour le 14 février 2024, cette juridiction a indiqué qu’elle maintenait sa demande de décision préjudicielle.
Sur les questions préjudicielles
23 Selon une jurisprudence constante, dans le cadre de la procédure de coopération entre les juridictions nationales et la Cour instituée à l’article 267 TFUE, il appartient à celle-ci de donner au juge national une réponse utile qui lui permette de trancher le litige dont il est saisi. Dans cette optique, il incombe, le cas échéant, à la Cour de reformuler les questions qui lui sont soumises (arrêt du 20 juin 2024, Greislzel, C‑35/23, EU:C:2024:532, point 39 et jurisprudence citée).
24 En l’occurrence, les questions préjudicielles portent sur la possibilité de justifier, sur le fondement de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, la communication, en échange d’une rémunération, par une association sportive des données à caractère personnel de ses membres à des sponsors de cette association en vue d’actions promotionnelles.
25 Il s’ensuit que, par ses questions préjudicielles, auxquelles il convient de répondre conjointement, la juridiction de renvoi demande, en substance, si l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD doit être interprété en ce sens qu’un traitement de données à caractère personnel consistant en la communication à titre onéreux de données à caractère personnel des membres d’une fédération sportive, en vue de satisfaire à un intérêt commercial du responsable du traitement, peut être
considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par ce responsable ou par un tiers, au sens de cette disposition, et si celle-ci exige qu’un tel intérêt soit déterminé par la loi.
26 Afin de répondre à ces questions, il importe, à titre liminaire, de rappeler que l’objectif poursuivi par le RGPD, tel qu’il ressort de l’article 1er ainsi que des considérants 1 et 10 de celui-ci, consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16,
paragraphe 1, TFUE (arrêt du 7 mars 2024, IAB Europe, C‑604/22, EU:C:2024:214, point 53 et jurisprudence citée).
27 Conformément à cet objectif, tout traitement de données à caractère personnel doit, notamment, être conforme aux principes relatifs au traitement de telles données énoncés à l’article 5 de ce règlement et satisfaire aux conditions de licéité énumérées à l’article 6 dudit règlement [voir, en ce sens, arrêts du 6 octobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 208, ainsi que du 11 juillet 2024, Meta Platforms Ireland (Action représentative), C‑757/22,
EU:C:2024:598, point 49].
28 À cet égard, il convient de souligner que, en vertu de l’article 5, paragraphe 1, sous a), du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée.
29 En particulier, ainsi que la Cour l’a jugé, l’article 6, paragraphe 1, premier alinéa, du RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Ainsi, pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus à cette disposition [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537,
point 90].
30 Aux termes de l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD, le traitement de données à caractère personnel est licite si, et dans la mesure où, la personne concernée y a consenti pour une ou plusieurs finalités spécifiques. En l’absence d’un tel consentement, ou lorsque ce consentement n’a pas été donné de manière libre, spécifique, éclairée et univoque, au sens de l’article 4, point 11, de ce règlement, un tel traitement est néanmoins justifié lorsqu’il répond à l’une des
exigences de nécessité mentionnées à l’article 6, paragraphe 1, premier alinéa, sous b) à f), dudit règlement.
31 Dans ce contexte, les justifications prévues à cette dernière disposition, en ce qu’elles permettent de rendre licite un traitement de données à caractère personnel effectué en l’absence du consentement de la personne concernée, doivent faire l’objet d’une interprétation restrictive [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 93 et jurisprudence citée].
32 En outre, ainsi que la Cour l’a jugé, lorsqu’il est possible de constater qu’un traitement de données à caractère personnel est nécessaire au regard de l’une des justifications prévues à l’article 6, paragraphe 1, premier alinéa, sous b) à f), du RGPD, il n’y a pas lieu de déterminer si ce traitement relève également d’une autre de ces justifications [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 94 ainsi que
jurisprudence citée].
33 La Cour a également jugé que, conformément à l’article 5 du RGPD, c’est sur le responsable du traitement que repose la charge de prouver que ces données sont notamment collectées pour des finalités déterminées, explicites et légitimes et qu’elles sont traitées de manière licite, loyale et transparente au regard de la personne concernée. En outre, conformément à l’article 13, paragraphe 1, sous c), de ce règlement, lorsque des données à caractère personnel sont collectées auprès de la personne
concernée, il incombe au responsable du traitement d’informer celle-ci des finalités du traitement auquel sont destinées ces données ainsi que de la base juridique de ce traitement [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 95].
34 En l’occurrence, il ressort du dossier dont dispose la Cour que les membres de KNLTB n’ont pas consenti, au sens de l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD, à ce que ce dernier communique à titre onéreux des données à caractère personnel les concernant à des tiers, notamment à TennisDirect et à la NLO.
35 Dans ces conditions, afin de fournir une réponse utile à la juridiction de renvoi, il importe de vérifier si les dispositions de l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement, visées spécifiquement par la demande de décision préjudicielle, peuvent être invoquées pour justifier la divulgation de telles données à ces tiers.
36 À cet égard, il y a lieu de rappeler que, conformément à l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, un traitement de données à caractère personnel est licite s’il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et les droits fondamentaux de la personne concernée qui exigent une protection de ces données à caractère personnel.
37 Ainsi que la Cour l’a déjà jugé, cette disposition prévoit trois conditions cumulatives pour qu’un traitement de données à caractère personnel soit licite, à savoir, premièrement, la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers, deuxièmement, la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi et, troisièmement, la condition que les intérêts ou les libertés et les droits fondamentaux de la personne
concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 106 ainsi que jurisprudence citée].
38 En ce qui concerne, premièrement, la condition relative à la poursuite d’un « intérêt légitime », il convient de souligner que, en l’absence de définition de cette notion par le RGPD, ainsi que la Cour l’a déjà jugé, un large éventail d’intérêts est, en principe, susceptible d’être considéré comme étant légitime [voir, en ce sens, arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 76].
39 Ainsi qu’il résulte également du considérant 47 du RGPD, lequel porte sur la notion d’« intérêt légitime », le législateur de l’Union n’a pas exigé que l’intérêt poursuivi par un responsable du traitement soit prévu par la loi afin que le traitement des données à caractère personnel auquel ce responsable procède soit légitime au sens de l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement. Cette constatation est d’autant plus vraie que ce considérant cite, à titre d’exemple, les
fins de prospection en général en tant qu’intérêts légitimes pouvant être poursuivis par un responsable de traitement.
40 Toutefois, si la notion d’« intérêt légitime », au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, n’est pas limitée aux intérêts consacrés et déterminés par une loi, elle exige que l’intérêt légitime allégué soit licite.
41 En outre, il y a lieu de rappeler que, conformément à l’article 13, paragraphe 1, sous d), du RGPD, il incombe au responsable du traitement, au moment où des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, de lui indiquer les intérêts légitimes poursuivis lorsque ce traitement est fondé sur l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation
d’un réseau social), C‑252/21, EU:C:2023:537, point 107].
42 En ce qui concerne, deuxièmement, la condition relative à la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi, celle-ci impose à la juridiction de renvoi de vérifier que l’intérêt légitime du traitement des données poursuivi ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie
privée et à la protection des données à caractère personnel garantis par les articles 7 et 8 de la Charte [arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 77 ainsi que jurisprudence citée].
43 Dans ce contexte, il y a également lieu de rappeler que la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe dit de la « minimisation des données » consacré à l’article 5, paragraphe 1, sous c), du RGPD, selon lequel les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales
d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 109 ainsi que jurisprudence citée].
44 Enfin, en ce qui concerne, troisièmement, la condition tenant à ce que les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers, la Cour a déjà jugé que celle-ci implique une pondération des droits et des intérêts opposés en cause qui dépend, en principe, des circonstances concrètes du cas particulier et que, par conséquent, il revient à la juridiction de renvoi
d’effectuer cette pondération en tenant compte de ces circonstances spécifiques [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 110 ainsi que jurisprudence citée].
45 En outre, le considérant 47 du RGPD indique que les intérêts et les droits fondamentaux de la personne concernée peuvent, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un tel traitement [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 112].
46 S’il appartient, en définitive, à la juridiction de renvoi d’apprécier si, s’agissant du traitement de données à caractère personnel en cause au principal, les trois conditions rappelées au point 37 du présent arrêt sont remplies, il est loisible à la Cour, statuant sur renvoi préjudiciel, d’apporter des précisions visant à guider cette juridiction dans cette détermination [arrêts du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21,
EU:C:2023:537, point 96, ainsi que du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 81 ainsi que jurisprudence citée].
47 En l’occurrence, s’agissant, premièrement, de la condition relative à la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers, au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, la juridiction de renvoi fait référence à l’intérêt commercial du responsable du traitement, à savoir une fédération sportive telle que le KNLTB, consistant en la communication à titre onéreux des données à caractère personnel de ses membres à des tiers, soit, en
l’occurrence, une société qui vend des produits sportifs ainsi qu’un fournisseur de jeux de hasard et de jeux de casino aux Pays-Bas, à des fins de publicité ou de marketing, en particulier, en vue de l’envoi de messages publicitaires et de promotions par ces derniers à ces membres.
48 À cet égard, la Cour n’a pas exclu qu’un intérêt commercial du responsable du traitement, consistant en la promotion et en la vente d’espaces publicitaires à des fins de marketing, puisse être considéré comme un intérêt légitime au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD (voir, par analogie, arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 73).
49 Dans ces conditions, un intérêt commercial du responsable du traitement, tel que celui évoqué au point 47 du présent arrêt, pourrait constituer un intérêt légitime, au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, pour autant qu’il ne soit pas contraire à la loi. Il appartient toutefois à la juridiction de renvoi d’apprécier, au cas par cas, l’existence d’un tel intérêt en tenant compte du cadre juridique applicable et de l’ensemble des circonstances de l’affaire.
50 Dans l’hypothèse où un tel intérêt serait considéré comme étant légitime, il y a encore lieu, pour que la poursuite de cet intérêt puisse permettre un traitement de données à caractère personnel, au titre de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, que le responsable de traitement respecte l’ensemble des autres obligations qui lui incombent en vertu de ce règlement.
51 Deuxièmement, s’agissant de la condition relative à la nécessité de ce traitement à la réalisation dudit intérêt et, notamment, de l’existence de moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées et tout aussi appropriés, il importe de constater qu’il serait notamment possible, pour une fédération sportive telle que le KNLTB, voulant communiquer à titre onéreux les données à caractère personnel de ses membres à des tiers, d’informer au préalable ses
membres et de demander à ceux-ci s’ils souhaitent que leurs données soient transmises à ces tiers à des fins de publicité ou de marketing.
52 Cette solution permettrait aux membres concernés, conformément au principe de la minimisation des données, évoqué au point 43 du présent arrêt, de conserver le contrôle sur la divulgation de leurs données à caractère personnel et de limiter ainsi la divulgation de celles-ci à ce qui est effectivement nécessaire et pertinent au regard des finalités pour lesquelles lesdites données sont transmises et traitées (voir, par analogie, arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et
Ökorenta Neue Energien Ökostabil IV, C‑17/22 et C‑18/22, EU:C:2024:738, point 60).
53 Une procédure telle que celle décrite au point précédent du présent arrêt pourrait comporter une ingérence moindre dans le droit à la protection de la confidentialité des données à caractère personnel de la personne concernée, tout en permettant au responsable du traitement de poursuivre, de manière aussi efficace, l’intérêt légitime qu’il invoque, ce qu’il appartient toutefois à la juridiction de renvoi de vérifier (voir, par analogie, arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio
et Ökorenta Neue Energien Ökostabil IV, C‑17/22 et C‑18/22, EU:C:2024:738, point 61).
54 Troisièmement, s’agissant de la pondération des intérêts qu’il incombe à la juridiction de renvoi d’effectuer au vu des circonstances spécifiques du litige au principal, cette juridiction doit tenir compte notamment des attentes raisonnables de la personne concernée ainsi que de l’étendue du traitement en cause et de l’impact de celui-ci sur cette personne [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 116].
55 Dans le cadre d’une telle pondération, il appartient à la juridiction de renvoi de vérifier si le droit des membres d’associations de tennis à la vie privée à l’égard du traitement des données à caractère personnel les concernant, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16, paragraphe 1, TFUE, peut prévaloir sur l’intérêt commercial d’une fédération nationale de tennis. Dans cette perspective, ainsi qu’il ressort du considérant 47 du RGPD, il convient d’accorder une
importance particulière à la question de savoir si ces membres pouvaient raisonnablement s’attendre, au moment de la collecte de leurs données à caractère personnel afin de devenir membres d’une association de tennis, à ce que celles-ci soient divulguées à titre onéreux à des tiers, en l’occurrence à des sponsors du KNLTB, à des fins de publicité et de marketing.
56 En outre, la juridiction de renvoi devra tenir compte de la circonstance que les données en question sont notamment transmises à un fournisseur de jeux de hasard et de jeux de casino, tel que la NLO, dont les activités de promotion et de marketing, bien que légitimes, sont exercées dans un contexte qui, contrairement à ce qui découle du considérant 47 du RGPD, ne semble pas être caractérisé par une relation pertinente et appropriée entre les personnes concernées et le responsable du traitement.
De plus, dans certaines circonstances, le traitement de telles données pourrait avoir des effets néfastes sur les membres des associations de tennis concernés dans la mesure où ces activités sont susceptibles d’exposer ces membres aux risques liés au développement de la ludopathie.
57 Compte tenu de ce qui précède, il convient de répondre aux questions préjudicielles que l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD doit être interprété en ce sens qu’un traitement de données à caractère personnel consistant en la communication à titre onéreux de données à caractère personnel des membres d’une fédération sportive, en vue de satisfaire à un intérêt commercial du responsable du traitement, ne peut être considéré comme étant nécessaire aux fins des intérêts légitimes
poursuivis par ce responsable, au sens de cette disposition, qu’à la condition que ce traitement soit strictement nécessaire à la réalisation de l’intérêt légitime en cause et que, au regard de l’ensemble des circonstances pertinentes, les intérêts ou les libertés et les droits fondamentaux de ces membres ne prévalent pas sur cet intérêt légitime. Si ladite disposition n’exige pas qu’un tel intérêt soit déterminé par la loi, elle requiert que l’intérêt légitime allégué soit licite.
Sur les dépens
58 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (neuvième chambre) dit pour droit :
L’article 6, paragraphe 1, premier alinéa, sous f), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
un traitement de données à caractère personnel consistant en la communication à titre onéreux de données à caractère personnel des membres d’une fédération sportive, en vue de satisfaire à un intérêt commercial du responsable du traitement, ne peut être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par ce responsable, au sens de cette disposition, qu’à la condition que ce traitement soit strictement nécessaire à la réalisation de l’intérêt légitime en cause et que, au
regard de l’ensemble des circonstances pertinentes, les intérêts ou les libertés et les droits fondamentaux de ces membres ne prévalent pas sur cet intérêt légitime. Si ladite disposition n’exige pas qu’un tel intérêt soit déterminé par la loi, elle requiert que l’intérêt légitime allégué soit licite.
Signatures
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( *1 ) Langue de procédure : le néerlandais.
