El TJUE resuelve esta duda en su sentencia del pasado 4 de octubre, en el asunto C621/22. El punto de partida es una resolución de la autoridad de protección de datos de Países Bajos por la que sancionó a una federación de asociaciones de tenis por comunicar los datos de sus asociados a dos patrocinadores (una empresa que vende productos deportivos y un proveedor de juegos de azar) considerando la autoridad de control que existe infracción del RGPD dado que no se contaba con el consentimiento de los asociados ni con ninguna otra base de legitimación para dicha comunicación de datos.
En particular, la autoridad de control holandesa se pronunció sobre el interés legítimo invocado por la asociación sancionada, afirmando que el interés legítimo recogido en el art.6.1.f) RGPD deber responder a un criterio positivo y, por tanto, debe estar regulado en alguna ley nacional o amparado por el derecho de la UE, no siendo el caso del interés comercial alegado por la asociación.
Ante dicha resolución, la asociación sancionada recurrió a un Tribunal de Primera Instancia de Amsterdam que presentó cuestión prejudicial ante el TJUE para aclarar si (i) el interés legítimo debe estar amparado por alguna ley y, en su caso (ii) si el interés comercial, consistente en la venta de datos de los miembros de la asociación a dos patrocinadores con fines de mercadotecnia directa, puede ser considerado interés legítimo.
El TJUE ha resuelto enmendando a la autoridad de control de Países Bajos, indicando que no es necesario que el interés perseguido por un responsable del tratamiento esté previsto por la ley para que el tratamiento de los datos personales que realiza dicho responsable sea legítimo y, por lo tanto, el interés comercial puede ser considerado un interés legítimo. Ahora bien, sí exige que el interés legítimo alegado sea lícito.
Asimismo, el TJUE entiende que un tratamiento de datos personales consistente en la comunicación a título oneroso de datos personales de los miembros de una federación deportiva, con el fin de satisfacer un interés comercial del responsable del tratamiento, solo puede considerarse necesario para la satisfacción de los intereses legítimos perseguidos por dicho responsable, si ese tratamiento es estrictamente necesario para la consecución del interés legítimo en cuestión y, habida cuenta del conjunto de circunstancias pertinentes, los intereses o las libertades y los derechos fundamentales de esos miembros no prevalecen sobre tal interés legítimo, algo que tendrá que ponderar el órgano jurisdiccional.