La nozione positiva o negativa di interesse legittimo al vaglio della Corte di giustizia UE

Interesse legittimo: una questione controversa

La vicenda controversa portata all'attenzione della CGUE è la seguente. Una federazione sportiva olandese, la Koninklijke Nederlandse Lawn Tennisbond (da qui in avanti “KNLT”), che riunisce varie associazioni tennistiche, utilizzava i dati personali degli iscritti di queste ultime non solo per le attività federative ma anche per monetizzazione, cedendoli dietro corrispettivo a terzi. Il trattamento era costruito sulla base giuridica dell'interesse legittimo, ai sensi dell'art. 6, par. 1, lett. f) GDPR, in assenza dunque di manifestazione positiva di volontà degli interessati (consenso). I terzi a loro volta utilizzavano le informazioni per inviare pubblicità agli iscritti.

Dagli elementi disponibili, pare evincersi inoltre che gli interessati non fossero consapevoli della cessione, leggiamo infatti dal documento di sintesi della domanda di pronuncia pregiudiziale che il suddetto interesse non era “previamente conoscibile”; se ne inferisce che la suddetta pratica commerciale non fosse menzionata in informativa. La questione giuridica non si presenta cioè “in purezza” all'esame giurisprudenziale, ma in collegamento con altri istituti, come quello del rispetto di obblighi di trasparenza.

La Corte di giustizia è investita della vicenda ai sensi dell'art. 267 TFUE. Giudice del rinvio è il Tribunale di Amsterdam (Rechtbank Amsterdam), dinanzi al quale KNLT ha impugnato una sanzione pecuniaria per € 525.000 comminata dalla Autoriteit Persoonsgegevens, ossia l'Autorità di controllo omologa, per l'Olanda, del Garante per la protezione dei dati personali in Italia.

Il procedimento si trova in una fase preliminare, non sono ancora disponibili le conclusioni dell'avvocato generale, ma appaiono possibili alcune valutazioni giuridiche sulla base del materiale consultabile.

Punto in diritto sottoposto all'attenzione della Corte di Giustizia è se un interesse strettamente commerciale, nella specie la cessione dietro corrispettivo a terzi di dati personali senza consenso dell'interessato, in talune circostanze possa essere validamente qualificato come “legittimo”, e, in tal caso, quali siano le suddette circostanze.

Il Giudice dell'Unione è chiamato più esattamente a stabilire se sia ammissibile una nozione esclusivamente “positiva” di interesse legittimo, ossia se rilevino solo gli interessi riconosciuti esplicitamente per legge, come sostenuto dall'Autorità di controllo olandese, o se sia configurabile anche una nozione “negativa”, vale a dire se possa essere considerato legittimo qualsiasi interesse purché non contrario alla legge. Nel primo caso le ipotesi applicative sarebbero limitate, nel secondo non determinabili.

Dal momento che il legittimo interesse è, tra le basi giuridiche tassative di cui all'art. 6 GDPR, la più “business oriented” e quella più direttamente connessa con le scelte in materia di libertà imprenditoriale, sono evidenti le conseguenze che possono derivare, per ogni settore economico, dalla decisione che assumerà la Corte.

Sussistono peraltro indicazioni testuali nel GDPR che orientano verso la ravvisabilità di un interesse legittimo nell'ambito quantomeno dell'attività di marketing. KNLT richiama in proposito il considerando 47 GDPR, secondo il quale “può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto”, nella specie marketing diretto di terzi. In verità, come si osserverà appresso, l'ammissibilità dell'interesse costituisce solo il primo passaggio di un test di liceità strutturato in tre fasi, solo al termine del quale si può considerare tale base giuridica correttamente richiamata.

I precedenti della Corte

La CGUE non si è finora espressa su una questione del tutto sovrapponibile all'attuale, tuttavia ha affrontato in più occasioni tematiche relative alla base giuridica in esame (es. Breyer, CGUE, sent. 19 ottobre 2016, C‑582/14) e, in particolare, ha enunciato le condizioni nelle quali è ravvisabile un interesse legittimo. Si è venuta in tal modo consolidando una massima, costruita sull'art. 7, par. 1, lett. f) direttiva 46/1995, ma applicabile senza difficoltà anche alla corrispondente disposizione del GDPR, stanti le evidenti simmetrie, che di seguito si riporta.

L'assetto normativo, osserva la Corte, “prevede […] tre condizioni cumulative affinché un trattamento di dati personali sia lecito, vale a dire, in primo luogo, il perseguimento dell'interesse legittimo del [titolare] del trattamento oppure del o dei terzi cui vengono comunicati i dati; in secondo luogo, la necessità del trattamento dei dati personali per il perseguimento dell'interesse legittimo e, in terzo luogo, la condizione che non prevalgano i diritti e le libertà fondamentali della persona interessata dalla tutela dei dati”, CGUE, sent. 11 dicembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, § 40; Id., CGUE, sent. 29 luglio 2019, Fashion ID, C‑40/17, § 95; Id., CGUE, sent. 4 maggio 2017, Rīgas satiksme, C‑13/16, § 28.

La qualificabilità dell'interesse come “legittimo”, ossia il tema principale di cui si dibatte nel caso che ci occupa, riguarda dunque solo la prima delle citate condizioni cumulative. Giova notare che, secondo le conclusioni dell'avvocato generale Bobek nel citato caso Fashion ID, cfr. ivi § 121, la nozione di legittimo interesse “sembra essere alquanto elastica e di portata illimitata”, di talché “non esiste alcun tipo di interesse che sia di per sé escluso, purché, naturalmente sia esso stesso legittimo”, ne discende che si deve “concordare sul fatto che la commercializzazione e la pubblicità possono costituire, di per sé, un siffatto interesse legittimo”. Il passaggio riportato, formulato in un'opinione non vincolante ma autorevole, sembra confermare l'ammissibilità dell'accezione anche solo “negativa”. Diverso tema, ma altrettanto qualificante, è quello della effettività: l'interesse legittimo infatti, per rilevare in diritto, deve essere “concreto e attuale alla data del trattamento”, cfr. Asociaţia cit. § 44.

Rispetto alla seconda delle tre condizioni cumulative, la Corte (cfr. ult. sent. cit., §§ 46-48) rileva che “necessità” va intesa nel senso di “stretta necessità”, occorre cioè che l'interesse del titolare del trattamento “non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per le libertà e i diritti fondamentali delle persone interessate”. L'assunto va considerato unitamente al principio di minimizzazione del trattamento, riconosciuto dall'art. 5, par. 1, lett. c) GDPR.

Quanto alla terza condizione, la regola cioè di prevalenza, essa “impone di effettuare una ponderazione degli opposti diritti e interessi in gioco sulla base delle circostanze concrete dello specifico caso in questione, nell'ambito della quale si deve tener conto dell'importanza dei diritti della persona interessata risultanti dagli articoli 7 e 8 della Carta”, cfr. sent. ult. cit., § 52.

La questione dell'ammissibilità della nozione negativa di legittimo interesse, comunque verrà risolta, non appare perciò assorbente ai fini del corretto utilizzo della base giuridica in esame, è infatti necessaria la sussistenza delle altre due condizioni sopra enunciate: necessità e prevalenza sui concorrenti interessi, diritti e libertà fondamentali dell'interessato.

La posizione delle autorità di controllo

È utile osservare che le tre condizioni cumulative sinteticamente enunciate dalla CGUE trovano paralleli nella più ampia analisi sviluppata in passato dall'ex WP29 nell'opinione 6/2014. Il WP29, oggi “EDPB” o “Comitato”, è l'organismo che riunisce le Autorità di controllo della UE.

L'opinione citata costituisce tuttora, mutatis mutandis, testo di riferimento, cfr. ex multis le menzionate conclusioni dell'avv. Bobek (cfr. ivi nota 60).

Secondo tale documento di sintesi dei garanti europei, per definire un interesse “legittimo”, occorre che esso sia:

1. lecito, ossia conforme al diritto nazionale e unionale applicabile;
2. specifico, ossia definito in modo da consentire poi di eseguire il test comparativo di prevalenza;
3. concreto ed effettivo.

Ferme le condizioni (ii) e (iii), non sembra dunque possa escludersi un interesse “negativo”, vale a dire semplicemente non contrario alla normativa, ma per questo comunque “conforme” alla stessa, ancorché l'opinione citata non affronti in maniera conclusiva l'argomento. Conforta tale interpretazione, come già notato, l'ultimo periodo del considerando 47 GDPR.

Il considerando comunque, giova evidenziarlo, di per sé non introduce, né potrebbe, deroghe alle regole ordinarie, e va inserito nel contesto normativo complessivo, incluse le leggi speciali, innanzitutto quindi la direttiva 2002/58.

Rispetto al requisito di necessità, secondo l'op. 6/2014 “occorre valutare se esistono altri mezzi meno invasivi per conseguire lo stesso obiettivo”, enunciazione sostanzialmente corrispondente alla formulazione più sopra riportata della Corte di giustizia e, del resto, conforme all'art. 52 CDFUE.

Quanto alla terza condizione, la valutazione di prevalenza, l'op. 6/2014 individua i seguenti macro-passaggi da sviluppare:

1. valutazione dell'interesse legittimo del titolare del trattamento;
2. impatto sugli interessati;
3. bilanciamento provvisorio;
4. garanzie supplementari applicate dal titolare per evitare qualsiasi indebito impatto sugli interessati.

La prossima pubblicazione di linee guida sul concetto di legittimo interesse da parte dell'EDPB sarà comunque l'occasione per ricalibrare, anche alla luce dell'esperienza applicativa frattanto maturata, gli approdi del 2014, affrontando altresì la tematica dell'interesse positivo o negativo. Sul punto, le autorità di controllo non potranno tuttavia che prendere atto delle valutazioni a cui giungerà la Corte di giustizia nel procedimento in esame.

In conclusione

Pare a chi scrive che la questione, pur rilevante, dell'interesse negativo o positivo, lungi dall'avere pregio autonomo, vada piuttosto ricondotta non solo al complessivo, e più ampio, test di liceità sopra descritto, ma altresì ai principi essenziali della normativa di settore.

In particolare, considerate le caratteristiche del caso di specie, andrebbe data applicazione al principio della limitazione di finalità, da sempre cardine della disciplina e attualmente enunciato all'art. 5, par. 1, lett. b) GDPR. Il principio vincola il trattamento alle ragioni della raccolta iniziale dei dati personali e pone un ostacolo generale al successivo trattamento per finalità diversa, quale è appunto la cessione a terzi per scopo di marketing di costoro. Tale regola generale di limitazione della finalità è superabile solo esperendo utilmente il test di compatibilità richiesto dall'art. 6, par. 4 GDPR, soluzione che nella specie non appare ragionevolmente percorribile. Il trattamento di dati personali per finalità di marketing diretto altrui è infatti del tutto distinto, anche logicamente, da quello inerente alle attività organizzative della federazione tennistica, per le quali i dati personali sono stati originariamente raccolti.

Come si anticipava, la questione del legittimo interesse non appare affrontata “in purezza” nella causa C-621/22. Invero, dalle informazioni disponibili sembrano emergere palesi indici di violazione normativa, venendo in considerazione un trattamento svolto all'insaputa degli interessati, con conseguente necessaria violazione dei principi di trasparenza e di correttezza, in particolare quelli espressi agli artt. 5.1.a) e 13 GDPR.

Tali inosservanze riverberano tanto sul requisito di liceità quanto, evidentemente, sulle “ragionevoli aspettative” che integrano la nozione di interesse legittimo secondo il considerando 47 GDPR. L'attenzione alle “ragionevoli aspettative”, tema strutturale affinché un interesse possa essere ritenuto legittimo, è evidenziata anche nell'op. 6/2014 citata e nelle conclusioni dell'avvocato generale Rantos nella causa Meta Platforms Inc. c. Bundeskartellamt, C‑252/21, § 62.

Riferimenti 

Luca Bolognini, Legittimo interesse del titolare o di terzi, in Bolognini-Pelino-Bistolfi (a cura di), Il Regolamento Privacy Europeo, Milano, 2016, p. 295 e ss.;

Gianmarco Cristofari – Federico Sartore, Il legittimo interesse, in Bolognini-Pelino (a cura di), Codice della disciplina privacy, Milano, 2019, p. 96;

Federica Resta, Legittimo interesse, in Riccio-Scorza-Belisario (a cura di), GDPR e normativa privacy, commentario, Milano, 2018, p. 74 e ss.