🎾Amateurs de la petite balle jaune et du RGPD, cette décision ne va pas vous laisser indifférents !
Dans une affaire impliquant la fédération sportive de tennis des Pays-Bas (association royale de tennis des Pays-Bas ou « KNLTB ») et l’autorité de contrôle néerlandaise, la Cour de justice de l’Union a tranché, le 4 octobre 2024, une question essentielle pour le monde économique. Pour certains, celle-ci est vue comme un soulagement, pour d’autres comme un affaiblissement des droits des individus.
Une transmission de données à des partenaires commerciaux
Le KNLTB, une fédération sportive néerlandaise, a partagé les données personnelles de ses membres avec deux de ses sponsors en 2018 : TennisDirect, un détaillant de produits sportifs, et Nederlandse Loterij Organisatie (NLO), un opérateur de jeux de hasard. Ce partage visait à des fins promotionnelles : TennisDirect a utilisé les noms et adresses des membres pour envoyer des dépliants publicitaires par voie postale, tandis que la NLO a collecté des données plus étendues, incluant des numéros de téléphone et des adresses électroniques, afin de mener une campagne d’appels.
Ce transfert de données a suscité des plaintes de membres, ce qui a conduit l'autorité néerlandaise de protection des données (AP) à infliger une amende de 525 000 euros au KNLTB. L'AP a estimé que le KNLTB avait violé le RGPD en partageant ces informations sans le consentement des membres et sans justification légale, en contravention avec les articles 6 et 5 du règlement.
Le KNLTB a contesté cette sanction devant le tribunal d'Amsterdam. Il considérait que le traitement était fondé sur son intérêt légitime qui consisterait, d’une part, dans le fait de créer un lien fort entre cette association et ses membres et, d’autre part, à pouvoir offrir une valeur ajoutée à l’adhésion de ceux-ci sous la forme de réductions et d’offres chez des partenaires permettant à ces membres de pratiquer le tennis à un prix abordable et accessible.
Tout intérêt peut être légitime ?
La première question est de savoir si la notion d’intérêt légitime doit être appréciée de manière positive ou de manière négative. Pour l’autorité de contrôle, les intérêts ne peuvent être légitimes que si c’est expressément prévu par la loi : c’est le critère positif. Pour la partie adverse, c’est l’inverse, tout intérêt peut être légitime tant qu’il n’entre pas en contradiction avec la loi : c’est le critère négatif.
La Cour statue en rappelant les termes du RGPD et notamment les conditions de licéité du traitement issues de l’article 6 mais également l’esprit du RGPD tel qu’il ressort de ses considérants (1 et 47 en particulier). Ainsi, elle rappelle clairement que le RGPD n’interdit pas que tout intérêt soit légitime et rende le traitement licite tant qu’il respecte trois conditions :
- Il doit exister des intérêts légitimes
- Qui sont nécessaires pour la réalisation du traitement et de ses objectifs, c’est-à-dire, qu’il n’y ait pas de moyens moins attentatoires aux droits et libertés fondamentaux des personnes,
- Ces intérêts ne doivent pas outrepasser les droits et libertés fondamentaux de la personne concernée.
C'est donc le critère négatif qui s'applique.
Cette question avait déjà été posée à la Cour dans un arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) et avait répondu de manière positive.
A cette première question, la Cour répond que les intérêts légitimes sont donc libres !
Et les intérêts commerciaux ?
La seconde question est de savoir si un intérêt purement commercial, consistant en la promotion et en la vente d’espaces publicitaires à des fins de marketing, peut être considéré comme légitime.
La Cour propose son analyse pour faire gagner du temps dans l’affaire. Elle indique que, oui, l’intérêt purement commercial peut être légitime. En effet, le considérant 47 du RGPD indique clairement que les actions de prospection peuvent consister en des intérêts légitimes.
Mais sur la condition de nécessité, la Cour va trouver une solution moins attentatoire aux libertés : informer au préalable ses membres et demander à ceux-ci s’ils souhaitent que leurs données soient transmises à ces tiers à des fins de publicité ou de marketing.
De plus, sur la troisième condition de l’atteinte aux droits et libertés, est ce que les membres de clubs de tennis pouvaient raisonnablement s’attendre, au moment de la collecte de leurs données à caractère personnel afin de devenir membres d’un club de tennis, à ce que celles-ci soient divulguées à titre onéreux à des tiers, en l’occurrence à des sponsors du KNLTB, à des fins de publicité et de marketing.
Elle souligne dans ce cas pratique la nécessité d’une analyse fine : transmettre les données de joueurs de tennis à une société de casino et de jeux de hasard ne semble pas être caractérisé par une relation pertinente et appropriée entre les joueurs et le responsable du traitement. Elle rappelle avec justesse que ces activités sont susceptibles d’exposer ces membres aux risques liés au développement de la ludopathie.
La cour néerlandaise devra encore trancher ce point.
Pourquoi les DPO doivent connaitre cette décision ?
La base de licéité des intérêts légitimes est fondamentale dans le RGPD car elle couvre une large partie des traitements effectués par les opérateurs économiques. Il est donc essentiel de s’assurer que les conditions d’application de cette base légale sont réunies.
Cette décision est intéressante car elle donne une position claire sur la notion d’intérêt purement commercial. Bien que la CJUE se soit prononcée plusieurs fois sur la notion d’intérêt légitime, elle n’a pas eu l’occasion de se prononcer clairement sur cette notion d’intérêt commercial pur. Ceci d’autant que l’autorité de contrôle avait pris une position de principe interdisant purement et simplement les traitements fondés sur un intérêt commercial pur considérant qu’il n’est pas légitime par nature.
La Cour remet les choses dans l’ordre mais n’adoube pas le comportement de l’association pour autant que les conditions d’application de cette base légale de licéité lui imposaient de maintenir un équilibre dans l’atteinte aux droits fondamentaux.
Ainsi, il n’est tout de même pas possible de transmettre des données librement sans respecter les conditions d’application de la base légale.
A ce titre, il est important de souligner que l’obligation d’information des personnes concernées prévoit de mentionner les intérêts légitimes en cause. Cela signifie que ces intérêts doivent être définis clairement et soient suffisamment explicites pour être compris par les personnes concernées.
L’autorité néerlandaise a réagi en prenant acte mais défendant son point de vue de placer toujours l’humain au cœur de son action (et on ne peut pas lui en vouloir).