La communication à titre onéreux de données à caractère personnel des membres d’une fédération sportive, en vue de satisfaire à un intérêt commercial du responsable du traitement, doit respecter certaines conditions pour être considérée comme étant nécessaire aux fins des intérêts légitimes poursuivis par ce responsable.
Dans cette affaire, une fédération sportive avait communiqué à titre onéreux un ensemble de données relatives à ses membres à deux partenaires commerciaux, à des fins de publicité ou de marketing, notamment en vue de l’envoi de messages publicitaires et de promotions aux membres. L’un d’entre eux agissait dans le secteur de la vente de matériel de sport et l’autre, dans celui des jeux de hasard et de casino.
La CJUE devait alors déterminer si cette communication de données était licite et donc, nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers au sens de l’article 6, §1, f) du RGPD. En outre, la Cour devait apprécier si un tel intérêt devait obligatoirement être déterminé par la loi.
Dans un arrêt du 4 octobre, elle répond à la seconde question par la négative, en s’appuyant sur le considérant 47 du RGPD, qui n’exige pas que l’intérêt soit visé par la loi pour être légitime.
Pour répondre à la première interrogation, elle procède classiquement en raisonnant en trois temps :
- Le responsable du traitement ou un tiers poursuit-il un intérêt légitime ?
- Le traitement des données mis en œuvre, ici la communication, est-il nécessaire pour réaliser l’intérêt légitime poursuivi ?
- Les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données prévalent-ils sur l’intérêt légitime du responsable du traitement ou d’un tiers ?
Tout d’abord, la Cour décide que l’intérêt commercial du responsable du traitement, consistant en la promotion et en la vente d’espaces publicitaires à des fins de marketing, peut être considéré comme un intérêt légitime dès lors qu’il n’est pas contraire à la loi et que le responsable de traitement respecte l’ensemble des autres obligations qui lui incombent en vertu du RGPD.
Puis, les juges estiment que des moyens moins attentatoires aux droits et libertés fondamentaux des membres de la fédération auraient pu être mis en œuvre. Pour la Cour, il aurait été possible « d’informer au préalable ses membres et de demander à ceux-ci s’ils souhaitent que leurs données soient transmises à ces tiers à des fins de publicité ou de marketing » (point 51). En ce sens, la communication opérée n’apparaît donc pas nécessaire pour atteindre l’intérêt commercial poursuivi.
Enfin, la CJUE s’attache à vérifier si les membres pouvaient raisonnablement s’attendre, au moment de la collecte de leurs données afin de devenir membres d’une association sportive, à ce que celles-ci soient divulguées à titre onéreux à des tiers, à des fins de publicité et de marketing. Tout en renvoyant à la juridiction nationale le soin de procéder aux vérifications nécessaires, elle exprime son scepticisme quant à la communication des données à un fournisseur de jeux de hasard et de casino, en notant notamment que les activités de promotion et de marketing, bien que légitimes, sont ici « exercées dans un contexte qui, ne semble pas être caractérisé par une relation pertinente et appropriée entre les personnes concernées et le responsable du traitement » (point 56).
La Cour conclut en jugeant que la communication à titre onéreux de données à caractère personnel des membres d’une fédération sportive, en vue de satisfaire à un intérêt commercial du responsable du traitement, ne peut être considérée comme étant nécessaire aux fins des intérêts légitimes poursuivis par ce responsable qu’à plusieurs conditions. Le traitement doit être strictement nécessaire à la réalisation de l’intérêt légitime en cause, il doit être licite et les intérêts ou les libertés et les droits fondamentaux des membres ne doivent pas prévaloir sur cet intérêt légitime.
