Corte di giustizia dell'Unione Europea
Nona Sezione
Sentenza 4 ottobre 2024

«Rinvio pregiudiziale - Protezione delle persone fisiche con riguardo al trattamento dei dati personali - Regolamento (UE) 2016/679 - Articolo 5, paragrafo 1, lettera a) - Liceità del trattamento - Articolo 6, paragrafo 1, primo comma, lettera f) - Necessità del trattamento per il perseguimento del legittimo interesse del titolare del trattamento o di terzi - Nozione di "legittimo interesse" - Interesse commerciale - Federazione sportiva - Comunicazione agli sponsor a titolo oneroso dei dati personali dei membri di una federazione sportiva senza il consenso di questi ultimi».

Nella causa C-621/22, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dal rechtbank Amsterdam (Tribunale di Amsterdam, Paesi Bassi), con decisione del 22 settembre 2022, pervenuta in cancelleria il 29 settembre 2022, nel procedimento Koninklijke Nederlandse Lawn Tennisbond contro Autoriteit Persoonsgegevens.

[...]

1. La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 6, paragrafo 1, primo comma, lettera f), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).

2. Tale domanda è stata presentata nell'ambito di una controversia tra il Koninklijke Nederlandse Lawn Tennisbond (associazione reale di tennis dei Paesi Bassi; in prosieguo: il «KNLTB») e l'Autoriteit Persoonsgegevens (autorità per la protezione dei dati, Paesi Bassi) (in prosieguo: l'«AP») in merito alla decisione di quest'ultima che infligge un'ammenda al KNLTB per violazione delle norme del RGPD.

Contesto normativo

Il RGPD

3. I considerando 1, 4, 10, 39 e 47 del RGPD sono del seguente tenore:

«(1) La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L'articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell'Unione europea ([in prosieguo: la] "Carta") e l'articolo 16, paragrafo 1, [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.

(...)

(4) Il trattamento dei dati personali dovrebbe essere al servizio dell'uomo. Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta, sanciti dai trattati, in particolare il rispetto della vita privata e familiare, del domicilio e delle comunicazioni, la protezione dei dati personali, la libertà di pensiero, di coscienza e di religione, la libertà di espressione e d'informazione, la libertà d'impresa, il diritto a un ricorso effettivo e a un giudice imparziale, nonché la diversità culturale, religiosa e linguistica.

(...)

(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all'interno dell'Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un'applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l'Unione. (...)

(...)

(39) Qualsiasi trattamento di dati personali dovrebbe essere lecito e corretto. Dovrebbero essere trasparenti per le persone fisiche le modalità con cui sono raccolti, utilizzati, consultati o altrimenti trattati dati personali che l[e] riguardano nonché la misura in cui i dati personali sono o saranno trattati. (...)

(...)

(47) I legittimi interessi di un titolare del trattamento, compresi quelli di un titolare del trattamento a cui i dati personali possono essere comunicati, o di terzi possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato, tenuto conto delle ragionevoli aspettative nutrite dall'interessato in base alla sua relazione con il titolare del trattamento. Ad esempio, potrebbero sussistere tali legittimi interessi quando esista una relazione pertinente e appropriata tra l'interessato e il titolare del trattamento, ad esempio quando l'interessato è un cliente o è alle dipendenze del titolare del trattamento. In ogni caso, l'esistenza di legittimi interessi richiede un'attenta valutazione anche in merito all'eventualità che l'interessato, al momento e nell'ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine. Gli interessi e i diritti fondamentali dell'interessato potrebbero in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati personali. (...) Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto».

4. L'articolo 1 di detto regolamento, intitolato «Oggetto e finalità», al paragrafo 2, così dispone:

«Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali».

5. L'articolo 4 di detto regolamento prevede quanto segue:

«Ai fini del presente regolamento s'intende per:

1) "dato personale" qualsiasi informazione riguardante una persona fisica identificata o identificabile ("interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

2) "trattamento" qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;

(...)

7) "titolare del trattamento" la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri;

(...)

11) "consenso dell'interessato" qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento;

(...)».

6. Ai sensi dell'articolo 5 del medesimo regolamento, rubricato «Principi applicabili al trattamento di dati personali»:

«1. I dati personali sono:

a) trattati in modo lecito, corretto e trasparente nei confronti dell'interessato ("liceità, correttezza e trasparenza");

b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (...)

c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati ("minimizzazione dei dati");

(...)

2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo ("responsabilizzazione")».

7. L'articolo 6 del RGPD, intitolato «Liceità del trattamento», è così formulato:

«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;

(...)

f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore;

La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti.

(...)».

8. L'articolo 13 dello stesso regolamento, intitolato «Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato», al paragrafo 1, dispone quanto segue:

«In caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:

(...)

c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;

d) qualora il trattamento si basi sull'articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;

(...)».

Procedimento principale e questioni pregiudiziali

9. Dalla decisione di rinvio risulta che il KNLTB è una federazione sportiva costituita in forma di associazione. I suoi membri sono le associazioni di tennis ad esso affiliate nonché i loro membri. Quando una persona diventa membro di un'associazione di tennis affiliata al KNLTB, essa diventa, infatti, automaticamente anche membro di quest'ultimo. Il KNLTB collabora con alcuni sponsor al fine, secondo le sue affermazioni, di aumentare la diffusione e la visibilità del tennis nonché l'affiliazione dei suoi membri.

10. Nel corso del 2018 il KNLTB ha comunicato taluni dati personali dei suoi membri a due dei suoi sponsor, vale a dire la SportshopsDirect BV (in prosieguo: la «TennisDirect»), una società che vende prodotti sportivi, e la Nederlandse Loterij Organisatie BV (in prosieguo: la «NLO»), il più grande fornitore di giochi d'azzardo e di giochi da casinò nei Paesi Bassi. Il KNLTB ha ricevuto dai suoi sponsor una remunerazione per aver comunicato loro i dati personali in questione.

11. In particolare, l'11 giugno 2018 il KNLTB ha comunicato a TennisDirect i nomi, gli indirizzi e i domicili dei suoi soci ai fini dell'invio di un volantino contenente promozioni. TennisDirect ha a sua volta trasmesso questi dati al servizio postale PostNL per la stampa di tale volantino.

12. Il 29 giugno 2018 il KNLTB ha, inoltre, comunicato alla NLO, oltre ai nomi, agli indirizzi e ai domicili dei suoi membri, le date di nascita, i numeri di telefono fisso, i numeri di telefono cellulare e gli indirizzi di posta elettronica dei membri, nonché i nomi dei club di tennis ai quali tali membri erano iscritti. Tale comunicazione aveva come scopo una campagna di chiamate telefoniche, nell'ambito della quale la NLO ha trasmesso tali dati a call center dei quali si era a tal fine avvalsa.

13. A seguito di denunce presentate da taluni membri del KNLTB, l'AP ha ritenuto che quest'ultimo avesse violato l'articolo 6, paragrafo 1, primo comma, lettere a) e f), del RGPD, in combinato disposto con l'articolo 5, paragrafo 1, lettera a), di tale regolamento, in quanto aveva comunicato i dati personali dei suoi membri, senza il loro consenso e senza fondamento legittimo per comunicare i loro dati. Di conseguenza, con decisione 20 dicembre 2019, l'AP ha inflitto al KNLTB un'ammenda di EUR 525 000.

14. Il KNLTB ha proposto ricorso avverso tale decisione dinanzi al rechtbank Amsterdam (Tribunale di Amsterdam, Paesi Bassi), che è il giudice del rinvio.

15. Pur se è pacifico tra le parti nel procedimento principale che il KNLTB non aveva ottenuto il consenso dei suoi singoli membri per comunicare i loro dati personali ai summenzionati sponsor e che l'articolo 6, paragrafo 1, primo comma, lettera a), del RGPD non può essere invocato quale fondamento del trattamento di cui trattasi, il KNLTB ha sostenuto che la comunicazione di tali dati era fondata su un legittimo interesse, ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD. Tale interesse consisterebbe, da un lato, nel creare un forte legame tra tale associazione e i suoi membri e, dall'altro, nel poter offrire un valore aggiunto all'adesione dei suoi membri sotto forma di riduzioni e di offerte presso partner che consentano a tali membri di praticare il tennis ad un prezzo abbordabile e accessibile.

16. L'AP ritiene che il legittimo interesse, ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, sia unicamente un interesse sancito e determinato da una legge. Secondo l'AP, deve trattarsi di un interesse considerato meritevole di tutela dal legislatore dell'Unione o dal legislatore nazionale, che deve essere valutato secondo un «criterio positivo». Tuttavia, ciò non ricorrerebbe nella fattispecie.

17. Di parere diverso, il KNLTB sostiene che un legittimo interesse non deve necessariamente derivare da un diritto fondamentale o da un principio giuridico, ma che qualsiasi interesse può costituire un legittimo interesse, salvo che esso sia contrario alla legge, e che tale interesse deve essere quindi valutato secondo un «criterio negativo».

18. Nel corso del procedimento dinanzi al giudice del rinvio, hanno avuto luogo scambi tra le parti di tale procedimento sul significato della nozione di «legittimo interesse» di cui all'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, e segnatamente sulla questione se un interesse puramente commerciale, consistente nella vendita agli sponsor dei dati personali dei membri di un'associazione di tennis, senza il consenso di questi ultimi, a fini di commercializzazione diretta, possa essere considerato un legittimo interesse.

19. In tali circostanze, nutrendo dubbi quanto all'interpretazione della nozione di «legittimo interesse», ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, il rechtbank Amsterdam (Tribunale di Amsterdam) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1) In che modo l'espressione "legittimo interesse" [di cui all'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD] debba essere interpretata dal [giudice del rinvio].

2) Se detta espressione debba essere interpretata nel senso ad essa attribuito dalla convenuta. Se si tratti soltanto di interessi appartenenti alla legge, costituenti legge o stabiliti per legge, oppure:

3) Se ogni interesse possa configurare un legittimo interesse, purché esso non sia contrario alla legge. Più in particolare: se un interesse strettamente commerciale e l'interesse come quello in oggetto, ossia la fornitura di dati personali dietro pagamento senza consenso dell'interessato, in talune circostanze possa essere considerato legittimo interesse. In caso affermativo, quali circostanze determinino se un interesse strettamente commerciale sia un legittimo interesse».

Procedimento dinanzi alla Corte

20. Con decisione del 3 maggio 2023, il presidente della Corte ha sospeso il presente procedimento in attesa della decisione conclusiva del procedimento nella causa C-252/21, Meta Platforms e a. (Condizioni generali di utilizzo di un social network).

21. Conformemente alla decisione del presidente della Corte del 3 agosto 2023, la cancelleria ha notificato al giudice del rinvio la sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network) (C-252/21, EU:C:2023:537), invitandolo a indicarle se, alla luce di tale sentenza, intendesse mantenere la sua domanda di pronuncia pregiudiziale, in tutto o in parte, e, in caso di revoca parziale di tale domanda, esporre le ragioni del mantenimento di una parte di quest'ultima.

22. Con lettera pervenuta alla cancelleria della Corte il 14 febbraio 2024, tale giudice ha comunicato di mantenere la sua domanda di pronuncia pregiudiziale.

Sulle questioni pregiudiziali

23. Secondo una giurisprudenza costante, nell'ambito della procedura di cooperazione tra i giudici nazionali e la Corte istituita all'articolo 267 TFUE, spetta a quest'ultima fornire al giudice nazionale una risposta utile che gli consenta di dirimere la controversia di cui è adito. In tale prospettiva, spetta alla Corte, se necessario, riformulare le questioni che le sono sottoposte (sentenza del 20 giugno 2024, Greislzel, C-35/23, EU:C:2024:532, punto 39 e giurisprudenza ivi citata).

24. Nel caso di specie, le questioni pregiudiziali vertono sulla possibilità di giustificare, sulla base dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, la comunicazione da parte di un'associazione sportiva, dietro corrispettivo, dei dati personali dei suoi membri a sponsor di tale associazione in vista di azioni promozionali.

25. Ne consegue che, con le sue questioni pregiudiziali, alle quali è opportuno rispondere congiuntamente, il giudice del rinvio chiede, in sostanza, se l'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD debba essere interpretato nel senso che un trattamento di dati personali consistente nella comunicazione a titolo oneroso di dati personali dei membri di una federazione sportiva, al fine di soddisfare un interesse commerciale del responsabile del trattamento, possa essere considerato necessario ai fini del legittimo interesse perseguito da tale responsabile o da un terzo, ai sensi di tale disposizione, e se quest'ultima esiga che un siffatto interesse sia determinato dalla legge.

26. Al fine di rispondere a tali questioni, occorre, in via preliminare, ricordare che l'obiettivo perseguito dal RGPD, quale risulta dall'articolo 1 nonché dai considerando 1 e 10 di quest'ultimo, consiste, in particolare, nel garantire un elevato livello di protezione delle libertà e dei diritti fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata con riguardo al trattamento dei dati personali, sancito dall'articolo 8, paragrafo 1, della Carta e dall'articolo 16, paragrafo 1, TFUE (sentenza del 7 marzo 2024, IAB Europe, C-604/22, EU:C:2024:214, punto 53 e giurisprudenza ivi citata).

27. Conformemente a tale obiettivo, qualsiasi trattamento di dati personali deve, in particolare, essere conforme ai principi applicabili al trattamento di tali dati enunciati all'articolo 5 del regolamento stesso e soddisfare le condizioni di liceità elencate all'articolo 6 di detto regolamento [v., in tal senso, sentenze del 6 ottobre 2020, La Quadrature du Net e a., C-511/18, C-512/18 e C-520/18, EU:C:2020:791, punto 208, nonché dell'11 luglio 2024, Meta Platforms Ireland (Azione rappresentativa), C-757/22, EU:C:2024:598, punto 49].

28. A tal riguardo, occorre sottolineare che, in forza dell'articolo 5, paragrafo 1, lettera a), del RGPD, i dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato.

29. In particolare, come dichiarato dalla Corte, l'articolo 6, paragrafo 1, primo comma, del RGPD prevede un elenco esaustivo e tassativo dei casi in cui un trattamento di dati personali può essere considerato lecito. Pertanto, per poter essere considerato lecito, un trattamento deve rientrare in uno dei casi previsti da tale disposizione [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 90].

30. Ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, il trattamento di dati personali è lecito se, e nella misura in cui, l'interessato vi ha acconsentito per una o più finalità specifiche. In mancanza di un consenso siffatto, o qualora tale consenso non sia stato espresso in modo libero, specifico, informato e inequivocabile, ai sensi dell'articolo 4, punto 11, di tale regolamento, un trattamento di questo tipo è nondimeno giustificato qualora soddisfi uno dei requisiti di necessità menzionati all'articolo 6, paragrafo 1, primo comma, lettere da b) ad f), di detto regolamento.

31. In tale contesto, nella misura in cui consentono di rendere lecito un trattamento di dati personali effettuato in assenza del consenso dell'interessato, le giustificazioni previste da quest'ultima disposizione devono essere interpretate restrittivamente [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 93 e giurisprudenza ivi citata].

32. Inoltre, la Corte ha considerato che, qualora si possa constatare che un trattamento di dati personali è necessario alla luce di una delle giustificazioni previste all'articolo 6, paragrafo 1, primo comma, lettere da b) a f), del RGPD, non occorre stabilire se tale trattamento rientri anche in un'altra di tali giustificazioni [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 94 e giurisprudenza ivi citata].

33. La Corte ha del pari dichiarato che, conformemente all'articolo 5 del RGPD, è al titolare del trattamento che incombe l'onere di dimostrare che tali dati sono segnatamente raccolti per finalità determinate, esplicite e legittime e che essi sono trattati in modo lecito, corretto e trasparente nei confronti dell'interessato. Inoltre, in forza dell'articolo 13, paragrafo 1, lettera c), di tale regolamento, in caso di raccolta presso l'interessato di dati personali che lo riguardano, il titolare del trattamento è tenuto ad informare l'interessato delle finalità del trattamento al quale sono destinati tali dati nonché della base giuridica di detto trattamento [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 95].

34. Nel caso di specie, dal fascicolo di cui dispone la Corte risulta che i membri del KNLTB non hanno acconsentito, ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, a che il KNLTB comunichi a terzi a titolo oneroso dati personali che li riguardano, in particolare a TennisDirect e alla NLO.

35. In tali circostanze, al fine di fornire una risposta utile al giudice del rinvio, occorre verificare se le disposizioni dell'articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento, specificamente menzionate dalla domanda di pronuncia pregiudiziale, possano essere invocate per giustificare la divulgazione di tali dati a detti terzi.

36. A tal riguardo, occorre ricordare che, conformemente all'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, un trattamento di dati personali è lecito se necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali.

37. Come già giudicato dalla Corte, detta disposizione prevede tre condizioni cumulative affinché i trattamenti di dati personali da essa considerati siano leciti, vale a dire, in primo luogo, il perseguimento di un legittimo interesse del titolare del trattamento o di terzi, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, la condizione che gli interessi o i diritti e le libertà fondamentali dell'interessato dalla tutela dei dati non prevalgano sul legittimo interesse del responsabile del titolare del trattamento o di un terzo [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 106 e giurisprudenza citata].

38. Per quanto riguarda, in primo luogo, la condizione relativa al perseguimento di un «legittimo interesse», occorre sottolineare che, come già dichiarato dalla Corte, in assenza di definizione di tale nozione da parte del RGPD, un'ampia gamma di interessi può, in linea di principio, essere considerata legittima [v., in tal senso, sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C-26/22 e C-64/22, EU:C:2023:958, punto 76].

39. Come risulta altresì dal considerando 47 del RGPD, il quale riguarda la nozione di «legittimo interesse», il legislatore dell'Unione non ha richiesto che l'interesse perseguito da un titolare del trattamento sia previsto dalla legge affinché il trattamento dei dati personali effettuato da tale titolare sia legittimo ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento. Tale constatazione è tanto più vera in quanto tale considerando cita, a titolo di esempio, le finalità di marketing in generale quale legittimo interesse che può essere perseguito da un responsabile del trattamento.

40. Tuttavia, sebbene la nozione di «legittimo interesse», ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, non sia limitata agli interessi sanciti e determinati da una legge, essa esige che il legittimo interesse invocato sia lecito.

41. Occorre, inoltre, ricordare che, ai sensi dell'articolo 13, paragrafo 1, lettera d), del RGPD, incombe al titolare del trattamento, all'atto della raccolta presso l'interessato di dati personali che lo riguardano, indicare a quest'ultimo il legittimo interesse perseguito, qualora tale trattamento si basi sull'articolo 6, paragrafo 1, primo comma, lettera f), di tale regolamento [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 107].

42. Per quanto riguarda, in secondo luogo, la condizione relativa alla necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito, essa impone al giudice del rinvio di verificare che il legittimo interesse al trattamento dei dati perseguito non possa ragionevolmente essere raggiunto in modo altrettanto efficace con altri mezzi meno pregiudizievoli per i diritti fondamentali degli interessati, in particolare per i diritti al rispetto della vita privata e alla protezione dei dati personali garantiti agli articoli 7 e 8 della Carta [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C-26/22 e C-64/22, EU:C:2023:958, punto 77 e giurisprudenza ivi citata].

43. In tale contesto, occorre altresì ricordare che la condizione attinente alla necessità del trattamento deve essere esaminata unitamente al principio cosiddetto della «minimizzazione dei dati» sancito all'articolo 5, paragrafo 1, lettera c), del RGPD, secondo il quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 109 e giurisprudenza ivi citata].

44. Infine, per quanto riguarda, in terzo luogo, la condizione secondo cui gli interessi o i diritti e le libertà fondamentali dell'interessato non devono prevalere sul legittimo interesse del responsabile del trattamento o di terzi, la Corte ha già giudicato che ciò implica una ponderazione dei diritti e degli interessi contrapposti che dipende, in linea di principio, dalle circostanze del caso concreto e che, di conseguenza, spetta al giudice del rinvio effettuare tenendo conto di tali circostanze specifiche [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 110 e giurisprudenza ivi citata].

45. Inoltre, come risulta dal considerando 47 del RGPD, gli interessi e i diritti fondamentali dell'interessato possono in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un trattamento siffatto [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 112].

46. Anche se spetta al giudice del rinvio stabilire se, relativamente al trattamento di dati personali di cui trattasi nel procedimento principale, ricorrano le condizioni ricordate al punto 37 della presente sentenza, la Corte, pronunciandosi sul rinvio pregiudiziale, può fornirgli precisazioni dirette a guidare detto giudice in tale determinazione [sentenze del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 96, e del 7 dicembre 2023, SCHUFA Holding (Esdibitazione), C-26/22 e C-64/22, EU:C:2023:958, punto 81 e giurisprudenza ivi citata].

47. Nel caso di specie, per quanto riguarda, in primo luogo, la condizione relativa al perseguimento di un legittimo interesse da parte del titolare del trattamento o di un terzo, ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, il giudice del rinvio fa riferimento all'interesse commerciale del titolare del trattamento, ossia una federazione sportiva come il KNLTB, consistente nella comunicazione a titolo oneroso dei dati personali dei suoi membri a terzi, ossia, nella fattispecie, una società che vende prodotti sportivi e un fornitore di giochi d'azzardo e di giochi da casinò nei Paesi Bassi, a fini di pubblicità o di marketing, in particolare, al fine dell'invio di messaggi pubblicitari e promozioni da parte di detti terzi a tali membri.

48. A tal riguardo, la Corte non ha escluso che un interesse commerciale del titolare del trattamento, consistente nella promozione e nella vendita di spazi pubblicitari a fini di marketing, possa essere considerato un legittimo interesse ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD (v., per analogia, sentenza del 13 maggio 2014, Google Spain e Google, C-131/12, EU:C:2014:317, punto 93)

49. Pertanto, un interesse commerciale del titolare del trattamento, come quello menzionato al punto 47 della presente sentenza, potrebbe costituire un legittimo interesse, ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, purché non sia contrario alla legge. Spetta tuttavia al tribunale nazionale valutare, caso per caso, l'esistenza di un interesse del genere, tenendo conto del quadro giuridico applicabile e di tutte le circostanze del caso.

50. Nell'ipotesi in cui un interesse siffatto sia considerato legittimo, affinché il perseguimento di tale interesse possa consentire un trattamento di dati personali, ai sensi dell'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD, occorre inoltre che il titolare del trattamento rispetti tutti gli altri obblighi ad esso incombenti in forza di tale regolamento.

51. In secondo luogo, per quanto riguarda la condizione relativa alla necessità di tale trattamento per il conseguimento di detto interesse e, in particolare, l'esistenza di mezzi meno lesivi delle libertà e dei diritti fondamentali degli interessati e altrettanto adeguati, occorre constatare che sarebbe segnatamente possibile, per una federazione sportiva come il KNLTB, che intenda comunicare a titolo oneroso i dati personali dei suoi membri a terzi, informare previamente i suoi membri e chiedere a questi ultimi se desiderano che i loro dati siano trasmessi a tali terzi a fini di pubblicità o di marketing.

52. Tale soluzione consentirebbe ai membri considerati, conformemente al principio della minimizzazione dei dati, menzionato al punto 43 della presente sentenza, di conservare il controllo sulla divulgazione dei loro dati personali e di limitare così la divulgazione di tali dati a quanto è effettivamente necessario e pertinente rispetto alle finalità per le quali detti dati sono trasmessi e trattati (v., per analogia, sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punto 60).

53. Una procedura quale quella descritta al punto precedente della presente sentenza potrebbe comportare una minore ingerenza nel diritto alla protezione della riservatezza dei dati personali dell'interessato, consentendo nel contempo al titolare del trattamento di perseguire, in modo altrettanto efficace, il legittimo interesse che esso invoca, circostanza che spetta tuttavia al giudice del rinvio verificare (v., per analogia, sentenza del 12 settembre 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C-17/22 e C-18/22, EU:C:2024:738, punto 61).

54. In terzo luogo, per quanto riguarda la ponderazione degli interessi che incombe al giudice del rinvio effettuare alla luce delle circostanze specifiche del caso di specie, tale giudice deve tener conto segnatamente delle ragionevoli aspettative dell'interessato nonché della portata del trattamento in questione e dell'impatto di quest'ultimo su tale interessato [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C-252/21, EU:C:2023:537, punto 116].

55. Nell'ambito di siffatta ponderazione, spetta al giudice del rinvio verificare se il diritto alla vita privata dei membri di associazioni di tennis con riguardo al trattamento dei dati personali che li riguardano, sancito all'articolo 8, paragrafo 1, della Carta e all'articolo 16, paragrafo 1, TFUE, possa prevalere sull'interesse commerciale di una federazione nazionale di tennis. Da questo punto di vista, come si evince dal considerando 47 del RGPD, si dovrebbe attribuire particolare importanza alla questione se tali soci potessero ragionevolmente attendersi, al momento della raccolta dei loro dati personali per diventare soci di un'associazione di tennis, che tali dati sarebbero stati divulgati a titolo oneroso a terzi, in questo caso agli sponsor del KNLTB, per scopi pubblicitari e di marketing.

56. Inoltre, il giudice del rinvio dovrà tener conto della circostanza che i dati in questione sono trasmessi, in particolare, a un fornitore di giochi d'azzardo e di giochi da casinò, come la NLO, le cui attività di promozione e di marketing, pur se legittime, sono esercitate in un contesto che, contrariamente a quanto risulta dal considerando 47 del RGPD, non sembra essere caratterizzato da una relazione pertinente e adeguata tra gli interessati e il titolare del trattamento. Inoltre, in talune circostanze, il trattamento di tali dati potrebbe avere effetti nefasti sui membri delle associazioni di tennis considerati in quanto tali attività possono esporre detti membri ai rischi connessi allo sviluppo della ludopatia.

57. Alla luce di quanto precede, occorre rispondere alle questioni pregiudiziali dichiarando che l'articolo 6, paragrafo 1, primo comma, lettera f), del RGPD deve essere interpretato nel senso che un trattamento di dati personali consistente nella comunicazione a titolo oneroso di dati personali dei membri di una federazione sportiva, al fine di soddisfare un interesse commerciale del titolare del trattamento, può essere considerato necessario ai fini del legittimo interesse perseguito da tale titolare, ai sensi di detta disposizione, solo a condizione che tale trattamento sia strettamente necessario alla realizzazione del legittimo interesse in questione e che, alla luce di tutte le circostanze pertinenti, non prevalgano su tale legittimo interesse gli interessi o le libertà e i diritti fondamentali dei suddetti membri. Sebbene detta disposizione non esiga che un interesse siffatto sia determinato dalla legge, essa richiede che il legittimo interesse invocato sia lecito.

Sulle spese

58. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

P.Q.M.
la Corte (Nona Sezione) dichiara:

L'articolo 6, paragrafo 1, primo comma, lettera f), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che un trattamento di dati personali consistente nella comunicazione a titolo oneroso di dati personali dei membri di una federazione sportiva, al fine di soddisfare un interesse commerciale del titolare del trattamento, può essere considerato necessario ai fini del legittimo interesse perseguito da tale titolare, ai sensi di detta disposizione, solo a condizione che tale trattamento sia strettamente necessario alla realizzazione del legittimo interesse in questione e che, alla luce di tutte le circostanze pertinenti, non prevalgano su tale legittimo interesse gli interessi o le libertà e i diritti fondamentali dei suddetti membri. Sebbene detta disposizione non esiga che un interesse siffatto sia determinato dalla legge, essa richiede che il legittimo interesse invocato sia lecito.