Rechtbank Amsterdam (Rb. Amsterdam) har ställt preliminära frågor till EU-domstolen om omfattningen av ett berättigat intresse, i synnerhet om ett kommersiellt intresse kan vara ett berättigat intresse och under vilka omständigheter.
Av domen framgår att den personuppgiftsansvarige är en idrottsförening. För att “ge mer mening” åt sporten, dess vision och medlemmarnas medlemskap, arbetade den personuppgiftsansvarige med sponsorer. Den personuppgiftsansvarige försåg dessa sponsorer med uppgifter om sina medlemmar som till exempel namn och adress.
Vissa medlemmar klagade till den nederländska dataskyddsmyndigheten Autoriteit Persoonsgegevens (AP) över att de inte gett den personuppgiftsansvarige sitt uttryckliga samtycke till att förse sponsorerna med deras personuppgifter. AP undersökte ärendet och konstaterade att den personuppgiftsansvarige lämnat ut personuppgifterna utan samtycke eller annan rättslig grund, vilket strider mot artikel 5.1 (b) och artikel 6.1 jämförda med artikel 5.1 (a) i dataskyddsförordningen (GDPR). AP ålade den personuppgiftsansvarige därför böter på 525 000 euro.
Den personuppgiftsansvarige överklagade AP:s beslut till Rb. Amsterdam. Den personuppgiftsansvarige uppgav att det faktiskt fanns en rättslig grund för behandlingen och att detta var föreningens berättigade intresse enligt artikel 6.1 (f) GDPR. AP fortsatte att anse att den personuppgiftsansvarige inte hade något berättigat intresse och att behandlingen inte var nödvändig för att fullfölja ett sådant påstått intresse.
Parterna var oense om tolkningen och omfattningen av ett berättigat intresse i den mening som avses i artikel 6.1 (f) GPDR. Enligt AP följde det av den grammatiska tolkningen av detta begrepp att det måste finnas ett intresse som fastställs i en lag. Enligt den personuppgiftsansvarige var varje intresse berättigat om det inte var förbjudet enligt lag.
Rb. Amsterdam noterade att det fanns tre kumulativa villkor enligt fast rättspraxis från EU-domstolen för behandling på grundval av berättigat intresse: 1) den personuppgiftsansvariges strävan efter ett berättigat intresse, 2) behandlingen måste vara nödvändig, och 3) den personuppgiftsansvariges berättigade intresse måste väga tyngre än den registrerade eller de registrerades intressen eller grundläggande rättigheter och friheter.
Rb. Amsterdam ansåg att den inte utan rimligt tvivel kunde avgöra om den personuppgiftsansvarige hade ett berättigat intresse. Det fanns enligt Rb. Amsterdam ingen etablerad rättspraxis från EU-domstolen i frågan, och artikel 6.1 (f) GDPR är inte avgörande när det gäller definitionen och räckvidden av begreppet “berättigat intresse”. Rb. Amsterdam noterade att Rechtbank Midden-Nederland (Rb Midden-Nederland) redan uttalat sig i frågan i VoetbalTV-målet. Här ansåg Rb Midden-Nederland att inte bara juridiska, utan även alla typer av faktiska, ekonomiska och ideella intressen kunde kvalificera sig som ett legitimt intresse. Rb. Amsterdam konstaterade att detta verkade stödja den personuppgiftsansvariges ståndpunkt att alla intressen, även rent kommersiella intressen, kan vara ett berättigat intresse.
Rb. Amsterdam ansåg att önskan att tjäna pengar på personuppgifter utan samtycke (ett rent kommersiellt intresse) verkade oförenligt med den höga skyddsnivå som dataskyddsförordningen avser att garantera. I detta avseende ansåg Rb. Amsterdam att AP:s tolkning var godtagbar. Dataskyddsförordningen föreskriver dock tydligt när behandling måste finna sin rättsliga grund i lagen. Förbudet mot behandling av särskilda kategorier av personuppgifter i artikel 9.1 GDPR gäller till exempel inte om “den registrerade har gett sitt uttryckliga samtycke (…), utom i de fall då unionsrätten eller medlemsstaternas lagstiftning föreskriver att det förbud som avses i punkt 1 inte kan upphävas av den registrerade” enligt artikel 9.2 (a) GDPR. Dessutom är artikel 9.1 GPDR inte tillämplig om “behandlingen är nödvändig av skäl som rör ett väsentligt allmänintresse, på grundval av unionsrätten eller medlemsstaternas lagstiftning (…)”. Rb. Amsterdam ansåg således också att den tolkning som den registeransvarige anförde var godtagbar.
Rb. Amsterdam förklarade att den kände sig tvungen att ställa följande preliminära frågor till EU-domstolen:
- Hur ska Rb. Amsterdam tolka begreppet “berättigat intresse”?
- Ska begreppet tolkas i linje med den personuppgiftsansvariges tolkning? Är dessa intressen uteslutande fastställda i lag?
- Kan vilket intresse som helst vara ett berättigat intresse, förutsatt att detta intresse inte strider mot lagen? Kan ett rent kommersiellt intresse och ett intresse som i det aktuella fallet, nämligen tillhandahållande av personuppgifter mot betalning utan den registrerades samtycke, anses utgöra ett berättigat intresse? Om så är fallet, vilka omständigheter avgör om ett rent kommersiellt intresse är ett berättigat intresse?