C-621/22
ECLI:EU:C:2024:858
- Súd
- Súdny dvor Európskej únie
- IČS
- 62022CJ0621
- Zdroj
- eur-lex.europa.eu ↗
62022CJ0621
ROZSUDOK
SÚDNEHO DVORA (deviata komora)
zo 4. októbra 2024 ( *1 )
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 5 ods. 1 písm. a) – Zákonnosť spracúvania – Článok 6 ods. 1 prvý pododsek písm. f) – Nevyhnutnosť spracúvania na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana – Pojem ‚oprávnené záujmy‘ – Obchodný záujem – Športový zväz – Odplatné poskytnutie osobných údajov členov športového zväzu sponzorom bez súhlasu týchto členov“
Vo veci C‑621/22,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím rechtbank Amsterdam (súd v Amsterdame, Holandsko) z 22. septembra 2022 a doručený Súdnemu dvoru 29. septembra 2022, ktorý súvisí s konaním:
Koninklijke Nederlandse Lawn Tennisbond
proti
Autoriteit Persoonsgegevens,
SÚDNY DVOR (deviata komora),
v zložení: predsedníčka deviatej komory O. Spineanu‑Matei, sudcovia J.‑C. Bonichot a L. S. Rossi (spravodajkyňa),
generálny advokát: L. Medina,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
–
Koninklijke Nederlandse Lawn Tennisbond, v zastúpení E. W. S. Peperkamp, O. M. van Rikxoort a S. E. A. Vermeer‑de Jongh, advocaten,
–
Autoriteit Persoonsgegevens, v zastúpení M. H. L. Hemmer a T. N. Sanders, advocaten,
–
holandská vláda, v zastúpení M. K. Bulterman a J. M. Hoogveld, splnomocnení zástupcovia,
–
talianska vláda, v zastúpení G. Palmieri, splnomocnená zástupkyňa, za právnej pomoci E. De Bonis, avvocato dello Stato,
–
Európska komisia, v zastúpení: A. Bouchagiar a H. Kranenborg, splnomocnení zástupcovia,
so zreteľom na rozhodnutie prijaté po vypočutí generálnej advokátky, že vec bude prejednaná bez jej návrhov,
vyhlásil tento
Rozsudok
1
Návrh na začatie prejudiciálneho konania sa týka výkladu článku 6 ods. 1 prvého pododseku písm. f) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „nariadenie GDPR“).
2
Tento návrh bol podaný v rámci sporu medzi Koninklijke Nederlandse Lawn Tennisbond (Holandské kráľovské tenisové združenie, ďalej len „KNLTB“) a Autoriteit Persoonsgegevens (Úrad na ochranu osobných údajov, Holandsko) (ďalej len „AP“) vo veci rozhodnutia tohto úradu, ktorým sa KNLTB uložila pokuta za porušenie ustanovení nariadenia GDPR.
Právny rámec
Nariadenie GDPR
3
Odôvodnenia 1, 4, 10, 39 a 47 nariadenia GDPR znejú:
„(1)
Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len ‚Charta‘) a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
…
(4)
Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.
…
(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …
…
(39)
Každé spracúvanie osobných údajov by malo byť zákonné a spravodlivé. Pre fyzické osoby by malo byť transparentné, že sa získavajú, používajú, konzultujú alebo inak spracúvajú osobné údaje, ktoré sa ich týkajú, ako aj to, v akom rozsahu sa tieto osobné údaje spracúvajú alebo budú spracúvať. …
…
(47)
Oprávnené záujmy prevádzkovateľa vrátane prevádzkovateľa, ktorému môžu byť tieto osobné údaje poskytnuté, alebo tretej strany môžu poskytnúť právny základ pre spracúvanie, ak nad nimi neprevažujú záujmy alebo základné práva a slobody dotknutej osoby, pričom sa zohľadnia primerané [dôvodné – neoficiálny preklad ] očakávania dotknutých osôb na základe ich vzťahu k prevádzkovateľovi. Takýto oprávnený záujem by mohol existovať napríklad vtedy, keby medzi dotknutou osobou a prevádzkovateľom existoval relevantný a primeraný vzťah, napríklad keby bola dotknutá osoba voči prevádzkovateľovi v postavení klienta alebo v jeho službách. Existencia oprávneného záujmu by si v každom prípade vyžadovala dôkladné posúdenie vrátane posúdenia toho, či dotknutá osoba môže v danom čase a kontexte získavania osobných údajov primerane [dôvodne – neoficiálny preklad ] očakávať, že sa spracúvanie na tento účel môže uskutočniť. Záujmy a základné práva dotknutej osoby by mohli prevážiť nad záujmami prevádzkovateľa údajov najmä vtedy, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby primerane [dôvodne – neoficiálny preklad ] neočakávajú ďalšie spracúvanie. … Spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem [za spracúvanie vykonávané z dôvodu oprávneného záujmu – neoficiálny preklad ].“
4
Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:
„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“
5
Článok 4 uvedeného nariadenia stanovuje:
„Na účely tohto nariadenia:
1.
‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
2.
‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
7.
‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;
…
11.
‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;
…“
6
Podľa článku 5 daného nariadenia, nazvaného „Zásady spracúvania osobných údajov“:
„1. Osobné údaje musia byť:
a)
spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
b)
získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi; …
c)
primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
…
2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
7
Článok 6 nariadenia GDPR, nazvaný „Zákonnosť spracúvania“, znie:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a)
dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…
f)
spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.
Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.
…“
8
Článok 13 tohto nariadenia, nazvaný „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 stanovuje:
„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
…
c)
účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;
d)
ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;
…“
Spor vo veci samej a prejudiciálne otázky
9
Z rozhodnutia vnútroštátneho súdu vyplýva, že KNLTB je športovým zväzom založeným vo forme združenia. Jeho členmi sú k nemu pridružené tenisové združenia, ako aj členovia týchto pridružených združení. Ak sa totiž osoba stane členom tenisového združenia, ktoré patrí do KNLTB, automaticky sa stáva aj členom KNLTB. KNLTB spolupracuje so sponzormi s cieľom zvýšiť, ako tvrdí, šírenie a viditeľnosť tenisu, ako aj počet jeho členov.
10
V roku 2018 KNLTB poskytol osobné údaje svojich členov dvom svojim sponzorom, konkrétne spoločnosti SportshopsDirect BV (ďalej len „TennisDirect“), spoločnosti, ktorá predáva športové produkty, a Nederlandse Loterij Organisatie BV (ďalej len „NLO“), najväčšiemu prevádzkovateľovi hazardných hier a kasínových hier v Holandsku. KNLTB dostal od svojich sponzorov za poskytnutie predmetných osobných údajov odmenu.
11
Konkrétne KNLTB 11. júna 2018 poskytol TennisDirect mená, adresy a bydliská svojich členov na účely zaslania letáku obsahujúceho reklamné zľavy poštou. Na tento účel TennisDirect odovzdala tieto údaje poštovej službe PostNL na účely vytlačenia tohto letáku.
12
KNLTB navyše 29. júna 2018 poskytol NLO okrem mien, adries a bydlísk svojich členov dátumy narodenia, telefónne čísla na pevnú linku, čísla mobilných telefónov a e‑mailové adresy svojich členov, ako aj mená tenisových klubov, do ktorých títo členovia patrili. Cieľom tohto poskytnutia bola reklamná telefonická kampaň, v súvislosti s ktorou NLO odovzdala tieto údaje telefonickým centrám, ktoré na tento účel využívala.
13
V nadväznosti na sťažnosti podané niektorými členmi KNLTB sa AP domnieval, že KNLTB porušil článok 6 ods. 1 prvý pododsek písm. a) a f) nariadenia GDPR v spojení s článkom 5 ods. 1 písm. a) tohto nariadenia z dôvodu, že osobné údaje svojich členov poskytol bez ich súhlasu a bez oprávneného základu na poskytnutie ich údajov. V dôsledku toho rozhodnutím z 20. decembra 2019 AP uložil KNLTB pokutu vo výške 525000 eur.
14
KNLTB podal proti tomuto rozhodnutiu žalobu na rechtbank Amsterdam (súd v Amsterdame, Holandsko), ktorý je vnútroštátnym súdom predkladajúcim návrh na začatie prejudiciálneho konania.
15
Hoci je medzi účastníkmi konania vo veci samej nesporné, že KNLTB nezískal súhlas svojich individuálnych členov na poskytnutie ich osobných údajov uvedeným sponzorom a že na článok 6 ods. 1 prvý pododsek písm. a) nariadenia GDPR sa nemožno odvolávať ako na základ dotknutého spracúvania, KNLTB uviedol, že poskytnutie týchto údajov bolo založené na oprávnenom záujme v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR. Tento záujem spočíva na jednej strane vo vytvorení silnej väzby medzi týmto združením a jeho členmi a na druhej strane v možnosti ponúknuť jeho členom pridanú hodnotu vo forme zliav a ponúk partnerov, čo týmto členom umožní hrať tenis za prijateľnú a dostupnú cenu.
16
AP sa domnieva, že oprávnené záujmy v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR sú výlučne záujmy zakotvené a stanovené zákonom. Podľa AP musí ísť o záujmy, ktoré normotvorca Únie alebo vnútroštátny zákonodarca považujú za hodné ochrany, pričom ich treba posúdiť z hľadiska „kladného kritéria“. O taký prípad však v prejednávanej veci nejde.
17
KNLTB, ktorý má odlišný názor, tvrdí, že oprávnený záujem nemusí nevyhnutne vyplývať zo základného práva alebo z právnej zásady, ale že akýkoľvek záujem môže predstavovať oprávnený záujem, pokiaľ nie je v rozpore so zákonom, pričom takýto záujem sa musí posudzovať z hľadiska „negatívneho kritéria“.
18
V priebehu konania pred vnútroštátnym súdom došlo k výmene korešpondencie medzi účastníkmi tohto konania o význame pojmu „oprávnený záujem“ uvedenom v článku 6 ods. 1 prvom pododseku písm. f) nariadenia GDPR, a najmä o tom, či čisto obchodný záujem spočívajúci v predaji osobných údajov členov tenisového združenia bez súhlasu týchto členov sponzorom na účely priameho marketingu možno považovať za oprávnený záujem.
19
Za týchto podmienok rechtbank Amsterdam (súd v Amsterdame), ktorý má pochybnosti o výklade pojmu „oprávnené záujmy“ v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR, rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Ako má [vnútroštátny súd] vykladať pojem ‚oprávnený záujem‘ [v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR]?
2.
Má sa tento pojem vykladať tak, ako ho vykladá žalovaný? Zahŕňa výlučne záujmy zakotvené v zákone, zákonné záujmy a v zákone stanovené záujmy? Alebo
3.
Môže byť každý záujem oprávneným záujmom, pokiaľ nie je v rozpore so zákonom? Konkrétnejšie: majú sa čisto komerčný záujem a záujem prejednávaný vo veci samej, a to odplatné poskytnutie osobných údajov bez súhlasu dotknutej osoby, za určitých okolností klasifikovať ako oprávnený záujem? V prípade kladnej odpovede, ktoré okolnosti určujú, či je čisto komerčný záujem oprávneným záujmom?“
Konanie pred Súdnym dvorom
20
Rozhodnutím z 3. mája 2023 predseda Súdneho dvora prerušil toto konanie až do prijatia konečného rozhodnutia vo veci C‑252/21, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete).
21
V súlade s rozhodnutím predsedu Súdneho dvora z 3. augusta 2023 kancelária doručila vnútroštátnemu súdu rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) ( C–252/21 , EU:C:2023:537 ), pričom ho vyzvala, aby jej oznámil, či vzhľadom na tento rozsudok trvá na svojom návrhu na začatie prejudiciálneho konania v celom rozsahu alebo čiastočne, a aby v prípade čiastočného späťvzatia tohto návrhu uviedol dôvody zachovania jeho časti.
22
Listom doručeným do kancelárie Súdneho dvora 14. februára 2024 tento súd uviedol, že trvá na svojom návrhu na začatie prejudiciálneho konania.
O prejudiciálnych otázkach
23
Podľa ustálenej judikatúry v rámci konania na základe spolupráce medzi vnútroštátnymi súdmi a Súdnym dvorom, zavedeného článkom 267 ZFEÚ, prináleží Súdnemu dvoru poskytnúť vnútroštátnemu súdu užitočnú odpoveď, ktorá mu umožní rozhodnúť spor, ktorý prejednáva. Z tohto hľadiska Súdnemu dvoru prináleží, aby v prípade potreby preformuloval otázky, ktoré sú mu položené (rozsudok z 20. júna 2024, Greislzel, C‑35/23 , EU:C:2024:532 , bod 39 a citovaná judikatúra).
24
V prejednávanej veci sa prejudiciálne otázky týkajú možnosti odôvodniť na základe článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR poskytnutie osobných údajov členov športového združenia sponzorom tohto združenia na reklamné účely za odmenu týmto športovým združením.
25
Z toho vyplýva, že svojimi prejudiciálnymi otázkami, na ktoré treba odpovedať spoločne, sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 1 prvý pododsek písm. f) nariadenia GDPR vykladať v tom zmysle, že spracúvanie osobných údajov, ktoré spočíva v odplatnom poskytnutí osobných údajov členov športového zväzu s cieľom uspokojiť obchodný záujem prevádzkovateľa, možno považovať za nevyhnutné na účely oprávnených záujmov sledovaných týmto prevádzkovateľom alebo treťou osobou v zmysle tohto ustanovenia a či toto ustanovenie vyžaduje, aby bol takýto záujem stanovený zákonom.
26
S cieľom odpovedať na tieto otázky treba na úvod pripomenúť, že cieľ sledovaný nariadením GDPR, ktorý vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ (rozsudok zo 7. marca 2024, IAB Europe, C‑604/22 , EU:C:2024:214 , bod 53 a citovaná judikatúra).
27
V súlade s týmto cieľom musí byť každé spracúvanie osobných údajov najmä v súlade so zásadami týkajúcimi sa spracúvania takýchto údajov uvedenými v článku 5 tohto nariadenia a musí spĺňať podmienky zákonnosti vymenované v článku 6 toho istého nariadenia [pozri v tomto zmysle rozsudky zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 208 , ako aj z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22 , EU:C:2024:598 , bod 49 ].
28
V tejto súvislosti treba zdôrazniť, že podľa článku 5 ods. 1 písm. a) nariadenia GDPR musia byť osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe.
29
Konkrétne, pokiaľ ide o podmienky zákonnosti spracúvania, ako rozhodol Súdny dvor, článok 6 ods. 1 prvý pododsek nariadenia GDPR stanovuje taxatívny a obmedzený zoznam prípadov, v ktorých možno spracúvanie osobných údajov považovať za zákonné. Na to, aby sa teda spracúvanie mohlo považovať za zákonné, musí sa naň vzťahovať jeden z prípadov stanovených v tomto ustanovení [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 90 ].
30
Podľa článku 6 ods. 1 prvého pododseku písm. a) nariadenia GDPR je spracúvanie osobných údajov zákonné iba vtedy a iba v rozsahu, v akom s ním dotknutá osoba súhlasila na jeden alebo viacero konkrétnych účelov. V prípade neexistencie takéhoto súhlasu alebo v prípade, že tento súhlas nebol daný slobodne, konkrétne, informovane a jednoznačne v zmysle článku 4 bodu 11 tohto nariadenia, je takéto spracúvanie napriek tomu odôvodnené, ak spĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) uvedeného nariadenia.
31
V tejto súvislosti sa odôvodnenia uvedené v poslednom uvedenom ustanovení, pokiaľ umožňujú zákonnosť spracúvania osobných údajov vykonávaného bez súhlasu dotknutej osoby, musia vykladať reštriktívne [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 93 a citovaná judikatúra].
32
Súdny dvor okrem toho rozhodol, že ak možno konštatovať, že spracúvanie osobných údajov je nevyhnutné vzhľadom na niektorý z dôvodov stanovených v článku 6 ods. 1 prvom pododseku písm. b) až f) nariadenia GDPR, nie je potrebné určiť, či sa na toto spracúvanie vzťahuje aj niektorý iný z týchto dôvodov [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 94 , ako aj citovaná judikatúra].
33
Súdny dvor zároveň rozhodol, že v súlade s článkom 5 nariadenia GDPR je na prevádzkovateľovi, aby preukázal, že tieto údaje sa získavajú najmä na konkrétne určené, výslovne uvedené a legitímne účely a že sa vo vzťahu k dotknutej osobe spracúvajú zákonným spôsobom, spravodlivo a transparentne. Okrem toho v súlade s článkom 13 ods. 1 písm. c) tohto nariadenia platí, že ak sa osobné údaje získavajú od dotknutej osoby, je prevádzkovateľ povinný informovať dotknutú osobu o účeloch spracúvania, na ktoré sú tieto údaje určené, ako aj o právnom základe tohto spracúvania [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 95 ].
34
V prejednávanej veci zo spisu, ktorý má Súdny dvor k dispozícii, vyplýva, že členovia KNLTB nesúhlasili v zmysle článku 6 ods. 1 prvého pododseku písm. a) nariadenia GDPR s tým, že KNLTB poskytlo za odplatu osobné údaje, ktoré sa ich týkajú, tretím osobám, najmä TennisDirect a NLO.
35
Za týchto podmienok treba na účely poskytnutia užitočnej odpovede vnútroštátnemu súdu overiť, či sa na ustanovenia článku 6 ods. 1 prvého pododseku písm. f) tohto nariadenia, ktorých sa konkrétne týka návrh na začatie prejudiciálneho konania, možno odvolávať na účely odôvodnenia sprístupnenia takýchto údajov týmto tretím osobám.
36
V tejto súvislosti treba pripomenúť, že v súlade s článkom 6 ods. 1 prvým pododsekom písm. f) nariadenia GDPR spracúvanie osobných údajov je zákonné, ak je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu týchto osobných údajov.
37
Ako teda Súdny dvor už rozhodol, toto ustanovenie stanovuje tri kumulatívne podmienky na to, aby spracúvanie osobných údajov bolo zákonné, a to po prvé sledovanie oprávneného záujmu prevádzkovateľom alebo treťou stranou, po druhé nevyhnutnosť spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu a po tretie podmienku, že neprevažujú záujmy alebo základné práva a slobody osoby dotknutej ochranou osobných údajov nad oprávneným záujmom prevádzkovateľa alebo tretej strany [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 106 , ako aj citovaná judikatúra].
38
Pokiaľ ide po prvé o podmienku týkajúcu sa sledovania „oprávneného záujmu“ pri neexistencii definície tohto pojmu v nariadení GDPR, treba zdôrazniť, ako Súdny dvor už rozhodol, že existuje široká škála záujmov, ktoré možno v zásade považovať za oprávnené [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 76 ].
39
Ako vyplýva aj z odôvodnenia 47 nariadenia GDPR, ktoré sa týka pojmu „oprávnený záujem“, normotvorca Únie nevyžadoval, aby bol záujem sledovaný prevádzkovateľom stanovený zákonom, aby bolo spracúvanie osobných údajov vykonávané týmto prevádzkovateľom oprávnené v zmysle článku 6 ods. 1 prvého pododseku písm. f) tohto nariadenia. Toto konštatovanie platí o to viac, že toto odôvodnenie uvádza ako príklad ciele marketingu vo všeobecnosti ako oprávnené záujmy, ktoré môže sledovať prevádzkovateľ.
40
Hoci sa však pojem „oprávnený záujem“ v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR neobmedzuje na záujmy zakotvené a stanovené zákonom, vyžaduje, aby bol údajný oprávnený záujem zákonný.
41
Okrem toho treba pripomenúť, že v súlade s článkom 13 ods. 1 písm. d) nariadenia GDPR prevádzkovateľovi prislúcha, aby pri získavaní osobných údajov od dotknutej osoby, ktoré sa týkajú tejto osoby, tejto dotknutej osobe oznámil sledované oprávnené záujmy, ak je toto spracúvanie založené na článku 6 ods. 1 prvom pododseku písm. f) tohto nariadenia [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 107 ].
42
Pokiaľ ide po druhé o podmienku týkajúcu sa nevyhnutnosti spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu, táto nevyhnutnosť ukladá vnútroštátnemu súdu povinnosť overiť, že sledovaný oprávnený záujem na spracúvaní údajov nemožno primeraným spôsobom rovnako účinne dosiahnuť inými prostriedkami, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb, najmä do práv na rešpektovanie súkromia a na ochranu osobných údajov zaručených článkami 7 a 8 Charty [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 77 , ako aj citovaná judikatúra].
43
V tejto súvislosti treba tiež pripomenúť, že podmienku týkajúcu sa nevyhnutnosti spracúvania treba preskúmať spoločne so zásadou „minimalizácie údajov“ zakotvenou v článku 5 ods. 1 písm. c) nariadenia GDPR, podľa ktorej musia byť osobné údaje „primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú“ [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 109 , ako aj citovaná judikatúra].
44
Nakoniec, pokiaľ ide po tretie o podmienku, že záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany, Súdny dvor už rozhodol, že táto podmienka si vyžaduje zváženie protichodných práv a záujmov, ktoré v zásade závisí od konkrétnych okolností konkrétneho prípadu, a že v dôsledku toho prináleží vnútroštátnemu súdu, aby vykonal toto zváženie s prihliadnutím na tieto osobitné okolnosti [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 110 , ako aj citovaná judikatúra].
45
Okrem toho, ako vyplýva z odôvodnenia 47 nariadenia GDPR, záujmy a základné práva dotknutej osoby môžu prevážiť pred záujmom prevádzkovateľa najmä vtedy, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby dôvodne neočakávajú takéto spracúvanie [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 112 ].
46
Hoci v konečnom dôsledku prináleží vnútroštátnemu súdu, aby posúdil, či sú v súvislosti so spracúvaním osobných údajov, o ktoré ide vo veci samej, splnené tri podmienky pripomenuté v bode 37 tohto rozsudku, Súdny dvor, ktorý rozhoduje o návrhu na začatie prejudiciálneho konania, môže poskytnúť spresnenia, ktorých cieľom je viesť tento súd pri tomto určení [rozsudky zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 96 , ako aj zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 81 , ako aj citovaná judikatúra].
47
Pokiaľ ide v prejednávanej veci po prvé o podmienku týkajúcu sa sledovania oprávneného záujmu prevádzkovateľom alebo treťou osobou v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR, vnútroštátny súd odkazuje na obchodný záujem prevádzkovateľa, teda športového zväzu, akým je KNLTB, ktorý spočíva v odplatnom poskytnutí osobných údajov jeho členov tretím osobám, konkrétne v prejednávanej veci spoločnosti, ktorá predáva športové produkty, ako aj prevádzkovateľovi hazardných hier a kasínových hier v Holandsku, na účely reklamy alebo marketingu najmä s cieľom zasielať týmito spoločnosťami týmto členom reklamu a oznámenia o špeciálnych ponukách.
48
V tejto súvislosti Súdny dvor nevylúčil, že obchodný záujem prevádzkovateľa spočívajúci v podpore a predaji reklamného priestoru na marketingové účely možno považovať za oprávnený záujem v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR (pozri analogicky rozsudok z 13. mája 2014, Google Spain a Google, ( C‑131/12 , EU:C:2014:317 , bod 73 ).
49
Za týchto podmienok taký obchodný záujem prevádzkovateľa, aký je uvedený v bode 47 tohto rozsudku, môže predstavovať oprávnený záujem v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR, pokiaľ nie je v rozpore so zákonom. Vnútroštátnemu súdu však prináleží, aby v každom jednotlivom prípade posúdil existenciu takéhoto záujmu s prihliadnutím na uplatniteľný právny rámec a všetky okolnosti veci.
50
V prípade posúdenia takéhoto oprávneného záujmu ako zákonného, na to, aby sledovanie tohto záujmu mohlo umožniť spracúvanie osobných údajov podľa článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR, je ešte potrebné, aby prevádzkovateľ dodržal všetky ostatné povinnosti, ktoré mu vyplývajú z tohto nariadenia.
51
Po druhé, pokiaľ ide o podmienku týkajúcu sa nevyhnutnosti takéhoto spracúvania na dosiahnutie uvedeného záujmu a najmä existencie prostriedkov, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb a sú rovnako primerané, treba konštatovať, že by bolo najmä možné, aby športový zväz, akým je KNLTB, ktorý chce odplatne poskytnúť osobné údaje svojich členov tretím osobám, vopred informoval svojich členov a opýtal sa ich, či si želajú, aby boli ich údaje poskytnuté týmto tretím stranám na reklamné alebo marketingové účely.
52
Toto riešenie by umožnilo dotknutým členom v súlade so zásadou minimalizácie údajov uvedenou v bode 43 tohto rozsudku zachovať kontrolu nad zverejnením svojich osobných údajov a obmedziť tak ich sprístupnenie na to, čo je skutočne nevyhnutné a relevantné vzhľadom na účely, na ktoré sa uvedené údaje poskytujú a spracúvajú (pozri analogicky rozsudok z 12. septembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22 , EU:C:2024:738 , bod 60 ).
53
Konanie, akým je konanie opísané v predchádzajúcom bode tohto rozsudku, by mohlo zahŕňať menší zásah do práva na ochranu dôvernosti osobných údajov dotknutej osoby, pričom by prevádzkovateľovi umožnilo rovnako účinne sledovať oprávnený záujem, na ktorý sa odvoláva, čo však prináleží overiť vnútroštátnemu súdu (pozri analogicky rozsudok z 12. septembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22 , EU:C:2024:738 , bod 61 ).
54
Po tretie, pokiaľ ide o zváženie záujmov, ktoré prináleží vykonať vnútroštátnemu súdu vzhľadom osobitné okolnosti sporu vo veci samej, tento súd musí zohľadniť najmä dôvodné očakávania dotknutej osoby, ako aj rozsah predmetného spracúvania a jeho vplyv na túto osobu [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 116 ].
55
V rámci takéhoto zváženia prináleží vnútroštátnemu súdu, aby overil, či právo členov tenisových združení na súkromie v súvislosti so spracúvaním ich osobných údajov zakotveným v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ môže prevážiť nad obchodným záujmom vnútroštátneho tenisového zväzu. Z tohto hľadiska, ako vyplýva z odôvodnenia 47 nariadenia GDPR, treba priznať osobitný význam otázke, či títo členovia v čase zhromažďovania svojich osobných údajov na to, aby sa stali členmi tenisového združenia, mohli dôvodne očakávať, že tieto údaje budú odplatne sprístupnené tretím osobám, v tomto prípade sponzorom KNLTB, na reklamné a marketingové účely.
56
Okrem toho vnútroštátny súd bude musieť zohľadniť okolnosť, že predmetné údaje sa poskytujú najmä prevádzkovateľovi hazardných hier a kasínových hier, akým je NLO, ktorého reklamné a marketingové činnosti, hoci sú zákonné, sa vykonávajú v kontexte, ktorý sa na rozdiel od toho, čo vyplýva z odôvodnenia 47 nariadenia GDPR, nezdá byť charakterizovaný relevantným a vhodným vzťahom medzi dotknutými osobami a prevádzkovateľom. Navyše za určitých okolností by spracúvanie takýchto údajov mohlo mať nepriaznivé účinky na členov dotknutých tenisových združení, keďže tieto činnosti môžu týchto členov vystaviť rizikám spojeným s rozvojom závislosti na gamblingu.
57
Vzhľadom na vyššie uvedené treba na prejudiciálne otázky odpovedať tak, že článok 6 ods. 1 prvý pododsek písm. f) nariadenia GDPR sa má vykladať v tom zmysle, že spracúvanie osobných údajov, ktoré spočíva v odplatnom poskytnutí osobných údajov členov športového zväzu s cieľom uspokojiť obchodný záujem prevádzkovateľa, možno považovať za nevyhnutné na účely oprávnených záujmov sledovaných týmto prevádzkovateľom v zmysle tohto ustanovenia len pod podmienkou, že toto spracúvanie je striktne nevyhnutné na dosiahnutie dotknutého oprávneného záujmu a že vzhľadom na všetky relevantné okolnosti záujmy alebo základné práva a slobody týchto členov neprevažujú nad týmto oprávneným záujmom. Hoci sa v tomto ustanovení nevyžaduje, aby bol takýto záujem určený zákonom, vyžaduje, aby bol uvádzaný oprávnený záujem zákonný.
O trovách
58
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (deviata komora) rozhodol takto:
Článok 6 ods. 1 prvý pododsek písm. f) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
spracúvanie osobných údajov, ktoré spočíva v odplatnom poskytnutí osobných údajov členov športového zväzu s cieľom uspokojiť obchodný záujem prevádzkovateľa, možno považovať za nevyhnutné na účely oprávnených záujmov sledovaných týmto prevádzkovateľom v zmysle tohto ustanovenia len pod podmienkou, že toto spracúvanie je striktne nevyhnutné na dosiahnutie dotknutého oprávneného záujmu a že vzhľadom na všetky relevantné okolnosti záujmy alebo základné práva a slobody týchto členov neprevažujú nad týmto oprávneným záujmom. Hoci sa v tomto ustanovení nevyžaduje, aby bol takýto záujem stanovený zákonom, vyžaduje, aby bol uvádzaný oprávnený záujem zákonný.
Podpisy
( *1 ) Jazyk konania: holandčina.