Par un arrêt rendu sur question préjudicielle, la Cour de justice de l’Union européenne précise les contours de la notion d’« intérêt légitime » comme base de licéité d’un traitement de données à caractère personnel. En l’espèce, une fédération sportive nationale avait communiqué à titre onéreux les données personnelles de ses membres à des sociétés partenaires à des fins de prospection commerciale. Cette transmission incluait des informations telles que les noms, adresses, dates de naissance et coordonnées téléphoniques, et visait notamment à permettre des promotions pour des produits sportifs ainsi que pour des jeux de hasard. Saisie de plaintes, l’autorité de protection des données nationale a infligé une amende à la fédération, estimant que ce traitement de données n’était pas licite. L’autorité considérait que la notion d’intérêt légitime, prévue à l’article 6, paragraphe 1, alinéa 1, sous f), du règlement général sur la protection des données (RGPD), ne pouvait viser qu’un intérêt expressément reconnu par un texte de loi. La fédération a contesté cette sanction devant une juridiction nationale, en l’occurrence le tribunal d’Amsterdam, soutenant au contraire que tout intérêt qui n’est pas contraire à la loi peut être qualifié de légitime. Face à cette divergence d’interprétation, la juridiction néerlandaise a saisi la Cour de justice de plusieurs questions préjudicielles. Il s’agissait donc de déterminer si un intérêt purement commercial, tel que la monétisation de données personnelles, peut constituer un « intérêt légitime » au sens du RGPD et, le cas échéant, dans quelles conditions ce traitement peut être jugé licite en l’absence de consentement des personnes concernées. La Cour répond que si un intérêt commercial peut en principe être qualifié de légitime, le traitement qui en découle doit satisfaire à des conditions strictes de nécessité et de proportionnalité. La Cour encadre ainsi la licéité d’un tel traitement en rappelant d’une part les conditions tenant à sa finalité (I), pour ensuite insister sur la prééminence des droits de la personne concernée dans la mise en balance des intérêts (II).
La Cour de justice apporte une clarification importante sur les conditions cumulatives prévues par l’article 6, paragraphe 1, sous f), du RGPD. Elle définit d’abord le périmètre de la notion d’intérêt légitime (A) avant de rappeler l’exigence de stricte nécessité du traitement mis en œuvre pour le poursuivre (B).
La Cour tranche en premier lieu la question de la nature de l’intérêt pouvant être qualifié de « légitime ». Elle écarte l’interprétation restrictive défendue par l’autorité de contrôle, selon laquelle seuls les intérêts prévus par une disposition légale pourraient être invoqués. La Cour affirme au contraire qu’« un large éventail d’intérêts est, en principe, susceptible d’être considéré comme étant légitime ». Cette position est cohérente avec le considérant 47 du RGPD, qui mentionne d’ailleurs explicitement « les fins de prospection » comme un exemple d’intérêt légitime potentiel pour un responsable du traitement.
Un intérêt de nature purement commerciale peut donc servir de fondement à un traitement de données. Toutefois, la Cour pose une limite essentielle : si cet intérêt n’a pas à être « consacré et déterminé par une loi », il doit impérativement être « licite ». Cette précision, bien que paraissant évidente, garantit que des activités contraires à l’ordre juridique ne sauraient trouver une base de licéité dans la poursuite d’un prétendu intérêt légitime. Ainsi, la communication de données à des fins commerciales n’est pas illégitime par nature, mais sa validité dépend du respect de l’ensemble des autres obligations imposées par le règlement et le droit national.
Après avoir validé la possibilité d’invoquer un intérêt commercial, la Cour examine la deuxième condition cumulative : la nécessité du traitement pour la réalisation de cet intérêt. Elle rappelle que cette condition impose de vérifier si l’objectif « ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées ». L’appréciation de cette nécessité doit se faire en lien avec le principe de minimisation des données, consacré à l’article 5, paragraphe 1, sous c), du RGPD.
Dans le cas d’espèce, la Cour suggère une alternative évidente et moins intrusive. Elle indique en effet qu’« il serait notamment possible, pour une fédération sportive telle que le knltb, voulant communiquer à titre onéreux les données à caractère personnel de ses membres à des tiers, d’informer au préalable ses membres et de demander à ceux-ci s’ils souhaitent que leurs données soient transmises à ces tiers ». En d’autres termes, le recours au consentement, bien que constituant une base juridique distincte, apparaît ici comme un moyen plus respectueux des droits des personnes pour atteindre la même finalité. Cette approche élève considérablement le seuil de la nécessité et limite de fait la portée de l’intérêt légitime lorsque le consentement est une alternative viable et efficace.
Au-delà de l’analyse des deux premières conditions, la Cour de justice accorde une place déterminante à la troisième, relative à la mise en balance des intérêts en présence. Elle fait de l’attente raisonnable de la personne concernée un critère central de cette pondération (A), ce qui conduit à un résultat largement défavorable à la simple monétisation commerciale des données (B).
La troisième condition de l’article 6, paragraphe 1, sous f), exige que les « intérêts ou les libertés et les droits fondamentaux de la personne concernée » ne prévalent pas sur l’intérêt légitime poursuivi. La Cour souligne que cette mise en balance dépend des circonstances concrètes de chaque espèce. Elle offre cependant une grille de lecture claire en s’appuyant sur le considérant 47 du RGPD, qui invite à une vigilance particulière « lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un tel traitement ».
La Cour invite ainsi la juridiction de renvoi à s’interroger sur le point de savoir si les membres de la fédération « pouvaient raisonnablement s’attendre, au moment de la collecte de leurs données à caractère personnel afin de devenir membres d’une association de tennis, à ce que celles-ci soient divulguées à titre onéreux à des tiers ». La réponse semble s’imposer par la négative. L’adhésion à une association sportive s’inscrit dans un contexte social et de loisir, très éloigné d’une logique de marchandisation des données personnelles. En faisant de l’attente légitime un pivot de l’analyse, la Cour renforce la protection des individus contre les traitements de données imprévisibles et non conformes à la finalité initiale de la collecte.
En appliquant ce critère aux faits de l’espèce, la Cour oriente très nettement la solution du litige au principal. La pondération des intérêts apparaît défavorable au responsable du traitement. D’une part, l’intérêt poursuivi est purement commercial. D’autre part, les droits fondamentaux des personnes à la protection de leurs données et au respect de leur vie privée sont directement affectés par une communication à des tiers.
La Cour va plus loin en relevant la nature particulière de l’un des destinataires des données, un « fournisseur de jeux de hasard et de jeux de casino ». Elle note que de telles activités, bien que légales, peuvent avoir des « effets néfastes sur les membres des associations de tennis concernés dans la mesure où ces activités sont susceptibles d’exposer ces membres aux risques liés au développement de la ludopathie ». Cette prise en compte des conséquences potentielles pour les personnes concernées illustre une approche concrète et protectrice. La solution suggère qu’un intérêt commercial, surtout lorsqu’il implique la transmission de données à des secteurs sensibles, pèsera rarement plus lourd dans la balance que le droit fondamental des individus à maîtriser leurs informations personnelles.
