La Cour de justice de l’Union européenne a rendu, le 4 octobre 2024, une décision fondamentale relative à l’interprétation du règlement général sur la protection des données. Une fédération sportive avait communiqué, contre rémunération, les données personnelles de ses membres à des partenaires commerciaux à des fins de prospection publicitaire et de marketing. L’autorité nationale de protection des données avait sanctionné ce traitement, considérant que l’intérêt commercial ne pouvait constituer un intérêt légitime faute de base légale. Saisi du litige, le tribunal d’Amsterdam a interrogé la Cour sur la nécessité d’une consécration législative pour justifier une telle pratique par un organisme privé. La juridiction devait déterminer si la vente de données personnelles sans consentement pouvait être fondée sur le seul intérêt économique du responsable du traitement. Les juges répondent que l’intérêt légitime ne requiert pas de détermination législative mais doit demeurer licite et respecter une stricte nécessité lors de la mise en balance.
I. La consécration d’une interprétation souple de la notion d’intérêt légitime
A. L’absence d’exigence d’un fondement législatif exprès
La Cour de justice précise que la notion d’intérêt légitime ne fait l’objet d’aucune définition restrictive dans le texte du règlement général sur la protection des données. Elle affirme que « le législateur de l’Union n’a pas exigé que l’intérêt poursuivi par un responsable du traitement soit prévu par la loi » pour être valide. Cette interprétation permet d’inclure des objectifs privés variés dès lors que le but recherché demeure conforme au cadre juridique général et au droit positif. L’arrêt souligne qu’un « large éventail d’intérêts est, en principe, susceptible d’être considéré comme étant légitime » selon les circonstances spécifiques de chaque espèce. La licéité de l’intérêt remplace l’exigence d’une habilitation textuelle explicite, offrant une souplesse indispensable aux activités économiques des associations et des structures privées. L’intérêt allégué doit simplement ne pas être contraire à la loi pour permettre de justifier le traitement des données des adhérents concernés.
B. L’admission de la finalité commerciale comme intérêt licite
Le juge européen reconnaît explicitement que la promotion et la vente d’espaces publicitaires à des fins de marketing peuvent constituer un intérêt légitime pour un organisme. L’arrêt confirme que la poursuite d’un profit financier par la communication de données à des tiers n’est pas exclue par principe du champ des justifications possibles. La Cour indique qu’un intérêt commercial « pourrait constituer un intérêt légitime » pour autant que le responsable respecte l’intégralité des obligations imposées par la protection des libertés. Cette solution valide les modèles économiques fondés sur la valorisation des fichiers de membres, sous réserve que le traitement ne soit pas intrinsèquement abusif ou illégal. La reconnaissance de cette finalité lucrative impose néanmoins une vérification rigoureuse de la nécessité du traitement au regard des objectifs initialement annoncés par la fédération.
II. La mise en balance rigoureuse des intérêts par la juridiction nationale
A. La vérification de la nécessité stricte du traitement litigieux
L’admission d’un intérêt commercial ne dispense pas le responsable du traitement de démontrer que la transmission des données est strictement nécessaire à la réalisation du but. La Cour impose de vérifier si l’intérêt poursuivi ne peut raisonnablement être atteint par des moyens moins attentatoires aux droits et libertés fondamentaux des personnes physiques. Elle suggère qu’une fédération pourrait « informer au préalable ses membres et de demander à ceux-ci s’ils souhaitent que leurs données soient transmises » à des tiers. Cette approche privilégie le contrôle de l’individu sur ses propres informations et limite la diffusion à ce qui est effectivement pertinent au regard des finalités. Le traitement doit être « strictement nécessaire à la réalisation de l’intérêt légitime en cause » pour être considéré comme licite selon le principe de minimisation des données.
B. La protection des attentes raisonnables des personnes concernées
La licéité finale du traitement dépend d’une pondération entre l’intérêt économique du responsable et les attentes légitimes des membres dont les données font l’objet d’une cession. La Cour souligne que les droits des personnes prévalent souvent lorsque celles-ci « ne s’attendent raisonnablement pas à un tel traitement » au moment de la collecte. Un membre d’une association sportive ne peut pas nécessairement anticiper que ses coordonnées personnelles seront vendues à un fournisseur de jeux de hasard ou de casino. L’arrêt précise que de telles activités de marketing peuvent avoir des « effets néfastes » sur les individus, les exposant potentiellement à des risques sociaux ou psychologiques graves. Le juge national doit donc s’assurer que l’intérêt commercial du responsable ne porte pas une atteinte manifestement disproportionnée à la vie privée des adhérents.
