En la sentencia de 4 de octubre de 2024, Asunto C-621/22, el Tribunal de Justicia de la Unión Europea (“TJUE”) ha profundizado en su interpretación sobre las condiciones que deben darse para hacer uso del “interés legítimo” como base legal del tratamiento de los datos de carácter personal a la luz de lo dispuesto en el artículo 6.1.f) del Reglamento Europeo de Derechos Humanos (“RGPD”) y demás artículos concordantes.
HECHOS
- La Autoridad de Protección de Datos de Países Bajos (“AP”) impuso una multa a la Real Asociación de Tenis de los Países Bajos (la “Asociación”) por haber comunicado datos personales de sus asociados a sus patrocinadores, a título oneroso, con el objetivo de que los patrocinadores realizaran acciones de mercadotécnica directa. La Asociación alegó tener “interés legítimo” para ceder los datos, y lo fundamentó, por una parte, en crear un vínculo fuerte entre la Asociación y sus miembros y, por otra, ofrecerles reducciones y ofertas en los productos de sus patrocinadores que permitan a dichos miembros practicar el tenis a un precio asequible y accesible.
- La AP determinó que se habían comunicado los datos de los miembros de la Asociación sin su consentimiento y sin base legítima. La AP considera que los intereses legítimos, en los términos del artículo 6.1.f) del RGPD, son únicamente intereses consagrados y determinado por una ley. Por su parte, la Asociación señala que todo interés puede constituir un interés legítimo, salvo que sea contrario a la ley y, por tanto, no hay un numerus clausus de supuestos de interés legítimo.
- En vista de lo anterior, el Tribunal de Primera Instancia de Ámsterdam planteó al TJUE tres cuestiones prejudiciales con el objetivo de aclarar si la comunicación de datos personales, a cambio de una remuneración, por parte de la asociación deportiva con fines promocionales se amparaba en el interés legítimo.
Regulación del “interés legítimo”
El RGPD no contiene una definición de “interés legítimo”.El artículo 6.1.f) RGPD permite el tratamiento de datos personales si es necesario para cumplir con los intereses legítimos del responsable del tratamiento, siempre que esos intereses no se prioricen sobre los derechos y libertades fundamentales del titular de los datos.
El artículo 13.1.d) RGPD establece que, al cumplir con el deber de informar, el responsable del tratamiento que utilice el “interés legítimo” como base legal, deberá comunicar al interesado cuáles son esos intereses legítimos perseguidos por el responsable o por un tercero.
Con carácter general, tal y como se recoge en el considerando 47 RGPD, el interés legítimo puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable.
Conclusiones de la sentencia del TJUE
Como ya ha manifestado el TJUE en pronunciamientos previos, el artículo 6.1.f) del RGPD establece tres requisitos cumulativos para que el tratamiento de datos personales invocando el “interés legítimo” del responsable del tratamiento o de un tercero sea lícito:
- que el responsable del tratamiento o el tercero persigan un interés legítimo.
- que el tratamiento de los datos personales sea necesario para satisfacer ese interés legítimo y,
- que no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero los intereses o los derechos y libertades del interesado en la protección de datos personales.
Del análisis que realiza el TJUE sobre los requisitos que deben concurrir, se extraen las siguientes conclusiones:
- Interés legítimo: numerus apertus. La sentencia señala que no es necesario que la norma contenga expresamente todos los supuestos que pueden ser considerados como “interés legítimo”. Aunque el RGPD no define expresamente el concepto “interés legítimo”, del considerando 47 del RGPD se desprende que el legislador europeo no exige que dicho interés deba estar previsto expresamente en la norma. No obstante, sí se exige que el interés legítimo alegado sea lícito.
- Principio de necesidad. En relación con el segundo requisito, el TJUE señala que será necesario comprobar si el tratamiento no puede alcanzarse razonablemente de manera eficaz por otros medios menos atentatorios.
- Ponderación. Por último, en relación con el tercer requisito se indica que será necesario realizar una ponderación de derechos del interesado con los intereses en conflicto, por lo que dependerá de las circunstancias particulares del caso concreto.
El TJUE concluye que el tratamiento de datos personales, incluyendo su venta a un tercero para fines comerciales, puede estar justificado por un interés legítimo. Esto es válido siempre que no existan métodos menos invasivos, se consideren todas las circunstancias relevantes del caso concreto y los derechos y libertades del interesado no prevalezcan sobre dicho interés legítimo. Además, de conformidad con el RGPD si bien no se requiere que el interés legítimo alegado venga determinado por la ley, sí se exige que el interés legítimo alegado sea lícito.
La sentencia del TJUE brinda criterios interpretativos para los responsables del tratamiento en España en su día a día, a efectos de poder orientar la ponderación que debe realizar entre su interés legítimo y los derechos de los interesados, sin perjuicio de las particularidades de cada caso en concreto deban tenerse en consideración.
