El TJUE no descarta que l’interès comercial es pugui considerar com un interès legítim que empari el tractament de dades personals.
El Reglament General de Protecció de Dades (RGPD) reconeix l’interès legítim com una de les bases jurídiques pel tractament de dades personals. No obstant això, no ho defineix de manera exhaustiva i deixa un marge d’interpretació que ha estat objecte de debat i anàlisi.
En essència, l’interès legítim fa referència al benefici o avantatge que una organització o un tercer poden obtenir del tractament de dades personals, sempre que aquest benefici no vulneri els drets i llibertats de les persones interessades.
Els exemples comuns d’interès legítim inclouen la prevenció del frau, la protecció contra ciberatacs, la preservació de la seguretat en les instal·lacions o l’optimització dels serveis al client. Tot i que el concepte d’interès legítim pugui semblar flexible, la seva invocació no és automàtica ni senzilla perquè ha de superar una anàlisi dels interessos involucrats (d’una banda, els interessos del responsable del tractament i, de l’altra, els drets de les persones interessades).
Quan existeix un interès legítim?
Per determinar si un interès és legítim, aquest ha de ser lícit, real i actual. A més, el RGPDimposa l’obligació de realitzar una ponderació entre els interessos en joc que evidenciï(n) que l’interès legítim preval sobre els drets i llibertats de les persones interessades.
Així mateix, cal que el tractament de dades sigui necessari per aconseguir l’objectiu previst. Si es pot aconseguir el fi a través d’altres mitjans menys invasius per a la privacitat de les persones afectades, no s’ha d’aplicar l’interès legítim. Per tant, les dades objecte del tractament han d’estar directament relacionades amb la finalitat perseguida i ser proporcionals.
L’interès comercial: un cas particular
L’interès comercial, entès com la cerca d’un benefici econòmic o d’un avantatge competitiu, pot, en principi, ser considerat un interès legítim segons el RGPD, sempre i quan es compleixin els requisits exposats anteriorment. Així i tot, tant l’Agència Espanyola de Protecció de Dades (AEPD) com el Tribunal Suprem d’Espanya han mostrat reserves respecte a la prevalença dels interessos comercials quan aquests interessos entren en conflicte amb els drets fonamentals dels individus. En particular, l’AEPD ha assenyalat que, si bé l’obtenció d’un benefici econòmic a través d’una activitat empresarial pot ser considerat un interès legítim, aquest interès mai ha de prevaldre sobre el dret fonamental a la protecció de dades. Altres autoritats de protecció de dades han estat fins i tot més restrictives, com és el cas de l’Autoritat de Protecció de Dades dels Països Baixos.
No obstant això, altres autoritats de protecció de dades, com la Information Commissioner’s Office del Regne Unit, han adoptat un enfocament més flexible i permeten que es dugui a terme el tractament de dades personals amb finalitats comercials sobre la base de l’interès legítim sota determinades condicions.
Aquesta divergència de criteris ha generat una certa inseguretat jurídica i ha posat de manifest la necessitat d’una interpretació harmonitzada a nivell europeu. En aquest sentit, el Tribunal de Justícia de la Unió Europea (TJUE) va dictar una sentència el 4 d’octubre de 2024 que aporta claredat sobre la interpretació de l’interès legítim en l’àmbit del màrqueting.
El cas C-621/22
La Real Associació de Tennis dels Països Baixos (KNLTB) va ser sancionada per l’Autoritat de Protecció de Dades dels Països Baixos perquè va comunicar les dades personals dels seus membres a dos dels seus patrocinadors, una empresa de productes esportius i un proveïdor de jocs d’atzar i de jocs de casino, sense haver obtingut el consentiment previ de les persones afectades. Aquesta cessió de dades es va fer amb l’objectiu de dur a terme accions promocionals i a canvi d’una remuneració econòmica.
Davant aquesta sanció, la KNLTB va interposar un recurs on al·legava que la divulgació de les dades estava basada en un interès legítim, el qual consistia en crear un vincle estret entre aquesta associació i els seus membres i aportar-los valor afegit a través de descomptes i ofertes. El Tribunal de Primera Instància d’Amsterdam va decidir suspendre el procediment i plantejar una sèrie de qüestions prejudicials al TJUE per tal de determinar si la cessió de dades personals amb finalitats comercials a canvi d’una remuneració econòmica podia estar justificada com a interès legítim.
Decisió del TJUE
En essència, el TJUE ha aclarit que el fet que l’interès perseguit tingui un objectiu comercial no exclou que pugui ser considerat com a interès legítim, però, per això, és indispensable que aquest interès sigui lícit, és a dir, que no contravingui cap llei, i que es compleixin tots els altres requisits establerts en el RGPD. A més, recorda que l’interès legítim no necessita estar expressament establert en una llei, i es remet al RGPD on expressament es contempla la finalitat de màrqueting directe com a un interès legítim del responsable del tractament.
Respecte a la necessitat del tractament de dades personals per satisfer l’interès legítim al·legat, el TJUE subratlla la importància d’analitzar aquest aspecte tenint en compte el principi de minimització de dades. Aquest principi exigeix que les dades personals siguin adequades, pertinents i limitades a allò que sigui necessari per aconseguir els fins perseguits. En aquest cas, el TJUE qüestiona si l’interès legítim de l’associació es podria haver aconseguit de forma igualment eficaç a través d’altres mitjans menys intrusius per als drets i llibertats de les persones afectades. En particular, assenyala que l’associació podria haver informat i consultat els seus membres sobre aquest tractament de dades, la qual cosa hagués comportat una ingerència menor en els seus drets i llibertats.
Quant a la ponderació dels interessos, un punt clau de la sentència és l’anàlisi que fa de les expectatives raonables de les persones interessades. Aquest tribunal considera que és difícil que els membres d’un club esportiu esperin que les seves dades personals siguin comercialitzades amb finalitats publicitàries i de màrqueting quan n’entren a formar part, especialment d’un sector com el sector del joc. Aquestes activitats, encara que a priori són
