Un jugement rendu par le tribunal de première instance d'Amsterdam le 21 septembre 2022, invite la Cour de Justice de l'Union Européenne à préciser la notion d'intérêt légitime.
Les faits
Une association sportive a fourni des données personnelles de ses membres à certains de ses sponsors.
En l'espèce il s'agit notamment de données d'identifications, la date de naissance, le numéro de téléphone...
La fourniture de données consistait à des fins d'envoi postal et de télémarketing.
Toutefois, si l'association avait basé sa collecte des données sur le système de l'opt-in entre 2007 et 2017, le système de collecte a été modifié à l'opt-out à compter de l'été 2018.
Une enquête a été ouverte par le défendeur, puis une demande en première instance est déposée se fondant sur le défaut de consentement des membres et le défaut de base légale.
L'intérêt de ce jugement réside dans l'interprétation des parties à la notion d'intérêt légitime qui mène le tribunal à se tourner vers la Cour de justice de l'Union européenne.
La différence d'interprétation de l'intérêt légitime
L'interprétation selon le défendeur
Tout d'abord, le défendeur distingue que d'une part, les conditions cumulatives pour baser son traitement sur l'intérêt légitime ne sont pas remplis, selon la jurisprudence constante de la Cour de justice de l'Union Européenne.
Pour rappel, ces conditions cumulatives sont :
- une représentation d'un intérêt légitime du responsable du traitement,
- le traitement doit être nécessaire à cet intérêt légitime,
- et l'intérêt légitime du responsable du traitement doit l'emporter sur les intérêts ou les libertés et droits fondamentaux de la personne dont les données à caractère personnel sont traitées
D'autre part, selon le défendeur, l'intérêt légitime suppose qu'il doit exister un intérêt légitime et donc concret, c'est à dire «appartenant à la loi, étant loi, prévu par une loi». Soit un test positif.
Pour étayer son interprétation, le défendeur se réfère à la Charte de l'Union européenne (la Charte) et à la Convention européenne des droits de l'homme (la CEDH).
La Charte, en son article 8, inclut le droit à la protection des données à caractère personnel, ainsi, selon l'interprétation du défendeur, la restriction à ce droit doit être prévu par la loi conformément à l'article 52 de la Charte.
De même, le défendeur indique que "la collecte et le traitement des données d'une personne à des fins de revente sans le consentement de la personne concernée constituent, selon le défendeur, une violation de l'article 8 de la Convention européenne des droits de l'homme (CEDH)".
L'interprétation selon le demandeur
A l'inverse, l'avis du demandeur serait que l'intérêt légitime ne doit pas être fondé sur un principe juridique ou un droit fondamental.
Le demandeur se fonde sur le Règlement Général sur la Protection des données (RGPD).
Selon le RGPD, "des intérêts de nature différente (qui ne sont pas des droits fondamentaux et/ou des principes juridiques) peuvent être qualifiés d'intérêt légitime.
A titre d'exemple, il se fonde notamment sur le considérant 47 du RGPD, dans lequel la « prospection directe » est considérée comme un intérêt légitime.
Et le tribunal ?
Le tribunal se réfère à l'article 6, paragraphe 1, point f du RGPD : "Le traitement n'est licite que si et dans la mesure où il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou un tiers, sauf si les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent la protection des données à caractère personnel l'emportent sur ces intérêts, notamment lorsque la personne concernée est un enfant."
Le tribunal s'interroge sur le point de savoir si le demandeur a un intérêt légitime dans le traitement des données personnelles de ses membres ne peut être résolue sans aucun doute raisonnable.
En l'espèce, il n'y a pas eu de preuve d'un acte éclairé et la réponse à cette question ne peut être trouvée sur la base d'une jurisprudence constante de la Cour de justice de l'Union européenne dans des affaires comparables.
De plus, l'article précité du RGPD ne donne aucune réponse définitive sur la définition et la portée du terme "intérêt légitime"
Pareillement, le tribunal indique que "la disposition n'a pas été formulée de façon si claire qu'on puisse dire qu'il ne peut y avoir aucun doute raisonnable quant à son interprétation ou à son champ d'application."
Toutefois, le RGPD indique lorsqu'un traitement doit trouver sa base juridique dans une disposition du droit d'un état membre ou de l'union européenne. Par exemple pour les données à caractère personnel donc le traitement est interdit, article 9 paragraphe 1 du RGPD.
En contradiction, il est évoque qu'il "ne semble pas conforme au degré élevé de protection que le RGPD vise à offrir si le souhait de gagner de l'argent avec les données personnelles d'autrui sans le consentement de la personne concernée est considéré comme un intérêt légitime."
Ainsi, le tribunal adresse à la Cour de justice les questions suivantes :
- Comment le tribunal doit-il interpréter le terme "intérêt légitime" ?
- Faut-il interpréter ce terme comme le défendeur l'interprète ?Sont-ils exclusivement licites, étant loi, des intérêts établis dans une loi ?
- Tout intérêt peut-il être un intérêt légitime, à condition que cet intérêt ne soit pas en conflit avec la loi ? Plus précisément : un intérêt purement commercial et l'intérêt, comme ici en cause, la fourniture de données à caractère personnel contre paiement sans le consentement de la personne concernée, doit-il être considéré comme un intérêt légitime dans certaines circonstances ? Dans l'affirmative, quelles circonstances déterminent si un intérêt purement commercial est un intérêt légitime ?
Affaire à suivre...
RGPD : comment évaluer les intérêts légitimes dans un traitement ? notre checklist🗒️