Wyrok z dnia 2024-10-04 sygn. C-621/22

Drukuj dokument lub zaznaczenie Kopiuj zaznaczony tekst bez formatowania

WYROK TRYBUNAŁU (dziewiąta izba)

z dnia 4 października 2024 r.

Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania ich danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 5 ust. 1 lit. a) – Zgodność przetwarzania z prawem – Artykuł 6 ust. 1 akapit pierwszy lit. f) – Niezbędność przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez osobę trzecią – Pojęcie „prawnie uzasadnionych interesów” – Interes komercyjny – Związek sportowy – Odpłatne ujawnianie sponsorom danych osobowych członków związku sportowego bez zgody tych członków

W sprawie C-621/22

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez rechtbank Amsterdam (sąd rejonowy w Amsterdamie, Niderlandy) postanowieniem z dnia 22 września 2022 r., które wpłynęło do Trybunału w dniu 29 września 2022 r., w postępowaniu:

Koninklijke Nederlandse Lawn Tennisbond

przeciwko

Autoriteit Persoonsgegevens,

TRYBUNAŁ (dziewiąta izba),

w składzie: O. Spineanu-Matei, prezes izby, J.-C. Bonichot i L.S. Rossi (sprawozdawczyni), sędziowie,

rzecznik generalny: L. Medina,

sekretarz: A. Calot Escobar,

uwzględniając pisemny etap postępowania,

rozważywszy uwagi, które przedstawili:

–        w imieniu Koninklijke Nederlandse Lawn Tennisbond – E.W.S. Peperkamp, O.M. van Rikxoort i S.E.A. Vermeer-de Jongh, advocaten,

–        w imieniu Autoriteit Persoonsgegevens – M.H.L. Hemmer i T.N. Sanders, advocaten,

–        w imieniu rządu niderlandzkiego – M.K. Bulterman i J.M. Hoogveld, w charakterze pełnomocników,

–        w imieniu rządu włoskiego – G. Palmieri, w charakterze pełnomocnika, którą wspierali E. De Bonis, avvocato dello Stato,

–        w imieniu Komisji Europejskiej – A. Bouchagiar i H. Kranenborg, w charakterze pełnomocników,

podjąwszy, po wysłuchaniu rzecznika generalnego, decyzję o rozstrzygnięciu sprawy bez opinii,

wydaje następujący

Wyrok

1        Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 6 ust. 1 akapit pierwszy lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).

2        Wniosek ten został złożony w ramach sporu pomiędzy Koninklijke Nederlandse Lawn Tennisbond (królewskim niderlandzkim związkiem tenisa, zwanym dalej „KNLTB”) a Autoriteit Persoonsgegevens (organem ds. ochrony danych, Niderlandy, zwanym dalej „AP”) w przedmiocie decyzji tego organu nakładającej na KNLTB grzywnę za naruszenie przepisów RODO.

 Ramy prawne

 RODO

3        Motywy 1, 4, 10, 39 i 47 RODO mają następujące brzmienie:

„(1)      Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Artykuł 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej »[Kartą]«) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.

[…]

(4)      Przetwarzanie danych osobowych należy zorganizować w taki sposób, aby służyło ludzkości. Prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. Niniejsze rozporządzenie nie narusza praw podstawowych, wolności i zasad uznanych w [Karcie] – zapisanych w traktatach – w szczególności prawa do poszanowania życia prywatnego i rodzinnego, domu oraz komunikowania się, ochrony danych osobowych, wolności myśli, sumienia i religii, wolności wypowiedzi i informacji, wolności prowadzenia działalności gospodarczej, prawa do skutecznego środka prawnego i dostępu do bezstronnego sądu oraz różnorodności kulturowej, religijnej i językowej.

[…]

(10)      Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii [Europejskiej], należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych […].

[…]

(39)      Wszelkie przetwarzanie danych osobowych powinno być zgodne z prawem i rzetelne. Dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane […].

[…]

(47)      Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania […]. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego”.

4        Artykuł 1 tego rozporządzenia, zatytułowany „Przedmiot i cele”, stanowi w ust. 2:

„Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”.

5        Artykuł 4 wspomnianego rozporządzenia przewiduje:

„Na użytek niniejszego rozporządzenia:

1)      »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;

2)      »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

[…]

7)      »administrator« oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;

[…]

11)      »zgoda« osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;

[…]”.

6        Zgodnie z art. 5 tego rozporządzenia, zatytułowanym „Zasady dotyczące przetwarzania danych osobowych”:

„1.      Dane osobowe muszą być:

a)      przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);

b)      zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami […];

c)      adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);

[…].

2.      Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.

7        Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, ma następujące brzmienie:

„1.      Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

a)      osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

[…]

f)      przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

[…]”.

8        Artykuł 13 RODO, zatytułowany „Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą”, przewiduje w ust. 1:

„Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, podczas pozyskiwania danych osobowych administrator podaje jej wszystkie następujące informacje:

[…]

c)      cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;

d)      jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;

[…]”.

 Postępowanie główne i pytania prejudycjalne

9        Z postanowienia odsyłającego wynika, że KNLTB jest związkiem sportowym utworzonym w formie stowarzyszenia. Jego członkami są stowarzyszenia tenisowe, które są w nim zrzeszone, oraz ich członkowie. W przypadku gdy dana osoba zostaje członkiem stowarzyszenia tenisowego zrzeszonego w KNLTB, staje się ona również automatycznie członkiem tego związku. KNLTB współpracuje ze sponsorami w celu – jak twierdzi – upowszechniania tenisa i zwiększenia jego widoczności oraz liczebności swoich członków.

10      W 2018 r. KNLTB ujawniło dane osobowe swoich członków dwóm ze swoich sponsorów, a mianowicie SportshopsDirect BV (zwanej dalej „TennisDirect”), spółce zajmującej się sprzedażą artykułów sportowych, oraz Nederlandse Loterij Organisatie BV (zwanej dalej „NLO”), największemu dostawcy gier hazardowych i gier rozgrywanych w kasynach w Niderlandach. KNLTB otrzymał wynagrodzenie od swoich sponsorów za ujawnienie im rozpatrywanych danych osobowych.

11      W szczególności w dniu 11 czerwca 2018 r. KNLTB ujawnił TennisDirect nazwiska, adresy oraz miejsca zamieszkania swoich członków dla celów wysłania drogą pocztową ulotki zawierającej promocje. TennisDirect przekazała z kolei te dane serwisowi pocztowemu PostNL w celu wydrukowania tej ulotki.

12      Ponadto w dniu 29 czerwca 2018 r. KNLTB ujawnił NLO, poza nazwiskami, adresami i miejscami zamieszkania swoich członków, daty urodzenia, numery telefonów stacjonarnych, numery telefonów komórkowych i adresy poczty elektronicznej tych członków, a także nazwy klubów tenisowych, w których członkowie ci byli zrzeszeni. Ujawnienie tych danych miało na celu przeprowadzenie kampanii telefonicznej, w kontekście której NLO przekazał te dane centrom obsługi telefonicznej wykorzystywanym przez nią w tym zamyśle.

13      W następstwie skarg złożonych przez pewnych członków KNLTB AP uznał, że KNLTB naruszył art. 6 ust. 1 akapit pierwszy lit. a) i f) RODO w związku z art. 5 ust. 1 lit. a) tego rozporządzenia ze względu na ujawnienie danych osobowych jego członków bez ich zgody i bez uzasadnionej podstawy dla ujawnienia ich danych. W konsekwencji decyzją z dnia 20 grudnia 2019 r. AP nałożył na KNLTB grzywnę w wysokości 525 000 EUR.

14      KNLTB wniósł skargę na tę decyzję do rechtbank Amsterdam (sądu rejonowego w Amsterdamie, Niderlandy), który jest sądem odsyłającym.

15      O ile strony w postępowaniu głównym są zgodne co do tego, że KNLTB nie uzyskał zgody swoich indywidualnych członków na ujawnienie ich danych osobowych wspomnianym sponsorom oraz że na art. 6 ust. 1 akapit pierwszy lit. a) RODO nie można powoływać się jako na podstawę danego przetwarzania, o tyle KNLTB twierdziło, że ujawnienie tych danych opiera się na prawnie uzasadnionym interesie w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO. Interes ten ma polegać, po pierwsze, na stworzeniu silnej więzi między tym stowarzyszeniem a jego członkami, a po drugie, na możliwości zaoferowania wartości dodanej w odniesieniu do przynależności jego członków w postaci obniżek i ofert u partnerów umożliwiających tym członkom uprawianie tenisa po przystępnej i dostępnej cenie.

16      AP uważa, że prawnie uzasadnionymi interesami w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO są wyłącznie interesy usankcjonowane i określone ustawowo. Zdaniem AP musi chodzić o interesy uznawane za zasługujące na ochronę przez prawodawcę Unii lub ustawodawcę krajowego, które należy oceniać według „kryterium pozytywnego”. Sytuacja taka nie występuje zaś w niniejszym przypadku.

17      KNLTB zajmuje odmienne stanowisko i podnosi, że prawnie uzasadniony interes nie musi koniecznie wynikać z prawa podstawowego lub zasady prawnej, lecz każdy interes może stanowić prawnie uzasadniony interes, chyba że jest sprzeczny z prawem, przy czym taki interes należy oceniać według „kryterium negatywnego”.

18      W toku postępowania przed sądem odsyłającym doszło do wymiany zdań między stronami tego postępowania na temat znaczenia pojęcia „prawnie uzasadnionego interesu” zawartego w art. 6 ust. 1 akapit pierwszy lit. f) RODO, a w szczególności na temat tego, czy interes czysto komercyjny, polegający na sprzedaży danych osobowych członków stowarzyszenia tenisowego bez ich zgody sponsorom do celów marketingu bezpośredniego, może zostać uznany za prawnie uzasadniony interes.

19      W tych okolicznościach, żywiąc wątpliwości co do wykładni pojęcia „prawnie uzasadnionych interesów” w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO, rechtbank Amsterdam (sąd rejonowy w Amsterdamie) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1)      Jak [sąd odsyłający] powinien interpretować pojęcie »prawnie uzasadnionego interesu« [w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO]?

2)      Czy pojęcie to należy interpretować w taki sposób, jak czyni to druga strona postępowania? Czy są to wyłącznie interesy usankcjonowane prawnie, będące prawem i ustanowione przepisami prawnymi? lub

3)      Czy każdy interes może być interesem prawnie uzasadnionym, o ile interes ten nie jest sprzeczny z prawem? Konkretniej rzecz ujmując: czy czysto komercyjny interes, czyli interes taki jak będący przedmiotem niniejszego postępowania, polegający na odpłatnym udostępnieniu danych osobowych bez zgody osoby, której te dane dotyczą, można uznać w pewnych okolicznościach za interes prawnie uzasadniony? Jeśli tak, to jakie okoliczności decydują o tym, czy interes czysto komercyjny, jest interesem prawnie uzasadnionym?”.

 Postępowanie przed Trybunałem

20      Decyzją z dnia 3 maja 2023 r. prezes Trybunału zawiesił niniejsze postępowanie do czasu wydania orzeczenia kończącego postępowanie w sprawie C‑252/21, Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej).

21      Zgodnie z decyzją prezesa Trybunału z dnia 3 sierpnia 2023 r. sekretariat doręczył sądowi odsyłającemu wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej) (C‑252/21, EU:C:2023:537), zwracając się do niego o wskazanie, czy w świetle tego wyroku zamierza podtrzymać w całości lub w części swój wniosek o wydanie orzeczenia w trybie prejudycjalnym, a w przypadku częściowego wycofania tego wniosku – o przedstawienie powodów podtrzymania części tego wniosku.

22      Pismem, które wpłynęło do sekretariatu Trybunału w dniu 14 lutego 2024 r., sąd ten wskazał, że podtrzymuje swój wniosek o wydanie orzeczenia w trybie prejudycjalnym.

 W przedmiocie pytań prejudycjalnych

23      Zgodnie z utrwalonym orzecznictwem w ramach ustanowionej w art. 267 TFUE procedury współpracy między sądami krajowymi a Trybunałem do tego ostatniego należy udzielenie sądowi krajowemu użytecznej odpowiedzi, która umożliwi mu rozstrzygnięcie zawisłego przed nim sporu. Z tego punktu widzenia do Trybunału należy, w stosownych przypadkach, przeformułowanie skierowanych do niego pytań (wyrok z dnia 20 czerwca 2024 r., Greislzel, C‑35/23, EU:C:2024:532,  pkt 39 i przytoczone tam orzecznictwo).

24      W niniejszej sprawie pytania prejudycjalne dotyczą możliwości uzasadnienia, na podstawie art. 6 ust. 1 akapit pierwszy lit. f) RODO, ujawnienia w zamian za wynagrodzenie przez stowarzyszenie sportowe danych osobowych jego członków sponsorom tego stowarzyszenia dla celów prowadzenia działań promocyjnych.

25      Z powyższego wynika, że poprzez swoje pytania prejudycjalne, na które należy odpowiedzieć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 1 akapit pierwszy lit. f) RODO należy interpretować w ten sposób, że przetwarzanie danych osobowych polegające na odpłatnym ujawnieniu danych osobowych członków związku sportowego w zamiarze zaspokojenia interesu komercyjnego administratora danych można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez tego administratora lub przez osobę trzecią w rozumieniu tego przepisu, i czy wymaga on, aby interes taki był określony ustawą.

26      Aby odpowiedzieć na te pytania, należy przypomnieć na wstępie, że cel realizowany przez RODO, jak wynika z jego art. 1 oraz z jego motywów 1 i 10, polega w szczególności na zagwarantowaniu wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich prawa do życia prywatnego w zakresie przetwarzania danych osobowych, zapisanego w art. 8 ust. 1 Karty i w art. 16 ust. 1 TFUE (wyrok z dnia 7 marca 2024 r., IAB Europe, C‑604/22, EU:C:2024:214, pkt 53 i przytoczone tam orzecznictwo).

27      Zgodnie z tym celem wszelkie przetwarzanie danych osobowych musi w szczególności być zgodne z zasadami dotyczącymi przetwarzania takich danych określonymi w art. 5 tego rozporządzenia i spełniać warunki zgodności przetwarzania z prawem wymienione w art. 6 wspomnianego rozporządzenia [zob. podobnie wyroki: z dnia 6 października 2020 r., La Quadrature du Net i in., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 208; a także z dnia 11 lipca 2024 r., Meta Platforms Ireland (Powództwo przedstawicielskie), C‑757/22, EU:C:2024:598, pkt 49].

28      W tym względzie należy podkreślić, że zgodnie z art. 5 ust. 1 lit. a) RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

29      W szczególności, jak orzekł Trybunał, w art. 6 ust. 1 akapit pierwszy RODO został zawarty wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. Aby zatem można było uznać dane przetwarzanie za zgodne z prawem, musi ono stanowić jeden z przewidzianych w tym przepisie przypadków [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 90].

30      Zgodnie z brzmieniem art. 6 ust. 1 akapit pierwszy lit. a) RODO przetwarzanie danych osobowych jest zgodne z prawem, gdy – i w takim zakresie, w jakim ma to miejsce – osoba, której dane dotyczą, wyraziła na to zgodę w określonym celu lub określonych celach. W braku takiej zgody lub jeżeli zgoda ta nie została udzielona w sposób dobrowolny, konkretny, świadomy i jednoznaczny w rozumieniu art. 4 pkt 11 tego rozporządzenia, takie przetwarzanie jest jednak uzasadnione, w sytuacji gdy spełnia ono jeden z wymogów dotyczących niezbędności, o których mowa w art. 6 ust. 1 akapit pierwszy lit. b)–f) wspomnianego rozporządzenia.

31      W tym kontekście uzasadnienia przewidziane w tym ostatnim przepisie, ze względu na to, że pozwalają one na uznanie za zgodne z prawem przetwarzania danych osobowych dokonywanego w przypadku braku zgody osoby, której dane dotyczą, winny podlegać wykładni zawężającej [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 93 i przytoczone tam orzecznictwo].

32      Ponadto, jak już zostało to rozstrzygnięte przez Trybunał, jeżeli można stwierdzić, że przetwarzanie danych osobowych jest niezbędne w świetle jednego z przewidzianych w art. 6 ust. 1 akapit pierwszy lit. b)–f) RODO uzasadnień, nie ma potrzeby ustalania, czy przetwarzanie to wchodzi również w zakres innego z tych uzasadnień [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 94 i przytoczone tam orzecznictwo].

33      Trybunał orzekł także, że zgodnie z art. 5 RODO to na administratorze spoczywa ciężar udowodnienia, że dane te są w szczególności zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz że są one przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą. Ponadto zgodnie z art. 13 ust. 1 lit. c) tego rozporządzenia w przypadku gdy dane osobowe są pozyskiwane od osoby, której dotyczą, to na administratorze danych spoczywa obowiązek poinformowania jej o celach przetwarzania, do którego dane są przeznaczone, oraz o podstawie prawnej tego przetwarzania [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 95].

34      W niniejszym przypadku z akt sprawy, którymi dysponuje Trybunał, wynika, że członkowie KNLTB nie wyrazili zgody, w rozumieniu art. 6 ust. 1 akapit pierwszy lit. a) RODO, na odpłatne ujawnienie przez KNLTB dotyczących ich danych osobowych osobom trzecim, w szczególności TennisDirect i NLO.

35      W tych okolicznościach w celu udzielenia sądowi odsyłającemu użytecznej odpowiedzi należy sprawdzić, czy na przepisy art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia, do których konkretnie odnosi się wniosek o wydanie orzeczenia w trybie prejudycjalnym, można powołać się w celu uzasadnienia ujawnienia takich danych tym osobom trzecim.

36      W tym względzie należy przypomnieć, że na mocy art. 6 ust. 1 akapit pierwszy lit. f) RODO przetwarzanie danych osobowych jest zgodne z prawem w zakresie, w jakim jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez osobę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony tych danych osobowych.

37      Jak orzekł już bowiem Trybunał, w przepisie tym określono trzy kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze, realizację prawnie uzasadnionych interesów przez administratora danych lub osobę trzecią, po drugie, konieczność przetwarzania danych osobowych dla potrzeb wynikających z tych prawnie uzasadnionych interesów, oraz po trzecie, przesłankę, aby interesy lub podstawowe prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa przed prawnie uzasadnionymi interesami administratora lub osoby trzeciej [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 106 i przytoczone tam orzecznictwo].

38      Co się tyczy, po pierwsze, przesłanki związanej z realizacją „prawnie uzasadnionego interesu”, należy podkreślić, że w braku definicji tego pojęcia w RODO, jak orzekł już Trybunał, za zgodny z prawem można co do zasady uznać szeroki wachlarz interesów [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 76].

39      Jak wynika również z motywu 47 RODO, który dotyczy pojęcia „prawnie uzasadnionego interesu”, prawodawca Unii nie wymagał, by interes realizowany przez administratora danych był przewidziany ustawą po to, aby przetwarzanie danych osobowych przez tego administratora było prawnie uzasadnione w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia. Stwierdzenie to jest tym bardziej prawdziwe, że w ramach prawnie uzasadnionych interesów, które mogą być realizowane przez administratora danych, motyw ten przytacza tytułem przykładu cele marketingu bezpośredniego w ogólności.

40      Jednakże, o ile pojęcie „prawnie uzasadnionego interesu” w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO nie ogranicza się do interesów usankcjonowanych i określonych ustawowo, o tyle wymaga ono, aby podnoszony prawnie uzasadniony interes był zgodny z prawem.

41      Ponadto należy przypomnieć, że zgodnie z art. 13 ust. 1 lit. d) RODO administrator podczas pozyskiwania danych osobowych od osoby, której dane dotyczą, winien poinformować ją, jeżeli to przetwarzanie odbywa się na podstawie art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia, o realizowanych prawnie uzasadnionych interesach [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 107].

42      Jeżeli chodzi, po drugie, o przesłankę, zgodnie z którą przetwarzanie danych osobowych musi być niezbędne do realizacji prawnie uzasadnionego interesu, wiąże się ona ze spoczywającym na sądzie odsyłającym obowiązkiem zweryfikowania, czy tego prawnie uzasadnionego interesu w przetwarzaniu danych nie można, racjonalnie rzecz biorąc, zrealizować w równie skuteczny sposób za pomocą innych środków, w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których te dane dotyczą, w szczególności zagwarantowane w art. 7 i 8 Karty prawa do poszanowania życia prywatnego i do ochrony danych osobowych [wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 77 i przytoczone tam orzecznictwo].

43      W tym kontekście należy również przypomnieć, że przesłankę, zgodnie z którą przetwarzanie musi być niezbędne, należy badać łącznie z zasadą tzw. minimalizacji danych, ustanowioną w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe muszą być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane” [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 109 i przytoczone tam orzecznictwo].

44      Co się tyczy, po trzecie, przesłanki, zgodnie z którą interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie mają pierwszeństwa przed prawnie uzasadnionym interesem administratora danych lub osoby trzeciej, Trybunał orzekł już, że wiąże się ona z wyważeniem rozpatrywanych przeciwstawnych praw i interesów, co jest co do zasady uzależnione od konkretnych okoliczności danego przypadku, w związku z czym dokonanie tego wyważenia, z uwzględnieniem tych szczególnych okoliczności, należy do sądu odsyłającego [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 110 i przytoczone tam orzecznictwo].

45      Ponadto motyw 47 RODO wskazuje, że interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mogą, racjonalnie rzecz biorąc, spodziewać się takiego przetwarzania [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 112].

46      O ile ostatecznie to do sądu odsyłającego należy zatem ocena, czy przetwarzanie danych osobowych rozpatrywane w postępowaniu głównym spełnia trzy przypomniane w pkt 37 niniejszego wyroku przesłanki, o tyle Trybunał, orzekając w przedmiocie odesłania prejudycjalnego, może udzielić temu sądowi wskazówek stanowiących dla niego pomoc przy dokonywaniu tego ustalenia [wyroki: z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 96; a także z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 81 i przytoczone tam orzecznictwo].

47      W niniejszej sprawie, co się tyczy, po pierwsze, przesłanki dotyczącej realizacji prawnie uzasadnionego interesu przez administratora danych lub osobę trzecią w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO, sąd odsyłający odnosi się do interesu komercyjnego administratora danych, czyli związku sportowego takiego jak KNLTB, polegającego na odpłatnym ujawnianiu danych osobowych jego członków osobom trzecim, czyli w niniejszym przypadku spółce, która sprzedaje artykuły sportowe, oraz dostawcy gier hazardowych i gier rozgrywanych w kasynach w Niderlandach w celach reklamowych lub marketingowych, w szczególności w celu przesyłania przez nie tym członkom wiadomości reklamowych i promocyjnych.

48      W tym względzie Trybunał nie wykluczył, że interes komercyjny administratora danych polegający na promowaniu i sprzedaży powierzchni reklamowych w celach marketingowych można uznać za prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO (zob. analogicznie wyrok z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 73).

49      W tych okolicznościach interes komercyjny administratora, taki jak wskazany w pkt 47 niniejszego wyroku, może stanowić prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO, o ile nie jest sprzeczny z prawem. Do sądu odsyłającego należy jednak dokonanie oceny w konkretnym przypadku istnienia takiego interesu, z uwzględnieniem mających zastosowanie ram prawnych i wszystkich okoliczności sprawy.

50      Przy założeniu uznania takiego interesu za prawnie uzasadniony, aby realizacja tego interesu umożliwiała przetwarzanie danych osobowych na podstawie art. 6 ust. 1 akapit pierwszy lit. f) RODO, konieczne jest jeszcze wypełnienie przez administratora wszystkich innych obowiązków ciążących na nim na mocy tego rozporządzenia.

51      Po drugie, co się tyczy przesłanki dotyczącej niezbędności takiego przetwarzania dla realizacji wspomnianego interesu i w szczególności istnienia środków w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których dane dotyczą, a równie odpowiednich, należy stwierdzić, że związek sportowy taki jak KNLTB, pragnący odpłatnie ujawniać dane osobowe swoich członków osobom trzecim, mógłby poinformować z wyprzedzeniem swoich członków i zapytać ich, czy życzą sobie, aby ich dane zostały przekazane tym osobom trzecim w celach reklamowych lub marketingowych.

52      Rozwiązanie to pozwoliłoby zainteresowanym członkom, zgodnie z zasadą minimalizacji danych, przywołaną w pkt 43 niniejszego wyroku, na zachowanie kontroli nad ujawnieniem ich danych osobowych i na ograniczenie w ten sposób ich ujawnienia do tego, co jest rzeczywiście niezbędne i istotne w świetle celów, w jakich wspomniane dane są przekazywane i przetwarzane (zob. analogicznie wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 60).

53      Postępowanie takie jak opisane w poprzednim punkcie niniejszego wyroku mogłoby wiązać się z mniejszą ingerencją w prawo do ochrony poufności danych osobowych osoby, której dane dotyczą, pozwalając jednocześnie administratorowi na realizację, w sposób równie efektywny, prawnie uzasadnionego interesu, na który się powołuje, czego sprawdzenie należy jednak do sądu odsyłającego (zob. analogicznie wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 61).

54      Po trzecie, co się tyczy wyważenia interesów, którego powinien dokonać sąd odsyłający w świetle szczególnych okoliczności sporu w postępowaniu głównym, sąd ten powinien wziąć pod uwagę w szczególności racjonalne oczekiwania osoby, której dane dotyczą, oraz zakres rozpatrywanego przetwarzania i jego wpływ na tę osobę [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 116].

55      W ramach takiego wyważenia do sądu odsyłającego należy sprawdzenie, czy prawa członków stowarzyszeń tenisowych do życia prywatnego w odniesieniu do przetwarzania dotyczących ich danych osobowych, ustanowione w art. 8 ust. 1 Karty i w art. 16 ust. 1 TFUE, mogą być nadrzędne wobec interesu komercyjnego krajowego związku tenisowego. W tej perspektywie, jak wynika z motywu 47 RODO, należy nadać szczególne znaczenie kwestii, czy w czasie gromadzenia ich danych osobowych dla potrzeb uzyskania członkostwa w stowarzyszeniu tenisowym członkowie ci mieli rozsądne przesłanki, by spodziewać się, że zostaną one odpłatnie ujawnione osobom trzecim, w niniejszym przypadku sponsorom KNLTB, do celów reklamowych i marketingowych.

56      Ponadto sąd odsyłający będzie musiał wziąć pod uwagę okoliczność, że rozpatrywane dane są przekazywane w szczególności dostawcy gier hazardowych i gier rozgrywanych w kasynach, takiemu jak NLO, którego działalność promocyjna i marketingowa, choć zgodna z prawem, jest prowadzona w kontekście, który wbrew temu, co wynika z motywu 47 RODO, nie wydaje się cechować istotnym i odpowiednim rodzajem powiązania między osobami, których dane dotyczą, a administratorem. Ponadto w pewnych okolicznościach przetwarzanie takich danych mogłoby mieć szkodliwy wpływ na członków zainteresowanych stowarzyszeń tenisowych, ponieważ działalność ta może narazić tych członków na ryzyko związane z uzależnieniem się od hazardu.

57      W świetle powyższych rozważań na pytania prejudycjalne należy odpowiedzieć, iż art. 6 ust. 1 akapit pierwszy lit. f) RODO należy interpretować w ten sposób, że przetwarzanie danych osobowych polegające na odpłatnym ujawnieniu danych osobowych członków związku sportowego w zamiarze zaspokojenia interesu komercyjnego administratora danych można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez tego administratora w rozumieniu tego przepisu jedynie pod warunkiem, że przetwarzanie to jest ściśle niezbędne do realizacji rozpatrywanego prawnie uzasadnionego interesu i że w świetle wszystkich istotnych okoliczności interesy lub podstawowe prawa i wolności tych członków nie mają nadrzędnego charakteru wobec tego prawnie uzasadnionego interesu. O ile przepis ten nie wymaga, by taki interes był określony ustawowo, o tyle wymaga on, aby podnoszony prawnie uzasadniony interes był zgodny z prawem.

 W przedmiocie kosztów

58      Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (dziewiąta izba) orzeka, co następuje:

Artykuł 6 ust. 1 akapit pierwszy lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

należy interpretować w ten sposób, że:

przetwarzanie danych osobowych polegające na odpłatnym ujawnieniu danych osobowych członków związku sportowego w zamiarze zaspokojenia interesu komercyjnego administratora danych można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez tego administratora w rozumieniu tego przepisu jedynie pod warunkiem, że przetwarzanie to jest ściśle niezbędne do realizacji rozpatrywanego prawnie uzasadnionego interesu i że w świetle wszystkich istotnych okoliczności interesy lub podstawowe prawa i wolności tych członków nie mają nadrzędnego charakteru wobec tego prawnie uzasadnionego interesu. O ile przepis ten nie wymaga, by taki interes był określony ustawowo, o tyle wymaga on, aby podnoszony prawnie uzasadniony interes był zgodny z prawem.

Podpisy