¿Puede una
asociación comunicar a cambio de una remuneración datos personales de sus
asociados sin su consentimiento a entidades que pretenden enviarles publicidad?
¿Qué requisitos debe cumplir para ello? En síntesis, estas son las cuestiones
que aborda la reciente sentencia del Tribunal de Justicia en el asunto Koninklijke
Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857. La respuesta depende del alcance como eventual fundamento
de ese tratamiento de datos personales de la base de licitud prevista en el
artículo 6.1.f) RGPD, por lo que la nueva sentencia complementa la
significativa jurisprudencia del Tribunal de Justicia sobre ese precepto. Precisamente,
esa jurisprudencia, como no podía ser de otra manera, constituye también la
base del Dictamen adoptado hace unos días por el Comité Europeo de Protección
de Datos (EDPB) sobre el tratamiento de datos personales con base en el interés
legítimo, que incorpora ejemplos y ciertos desarrollos adicionales (“Guidelines 1/2024 on processing of personal data based on
Article 6(1)(f) GDPR”). Cabe
recordar que el artículo 6.1.f) RGPD considera lícito el tratamiento de datos personales
cuando es necesario para la satisfacción de intereses legítimos perseguidos por
el responsable del tratamiento (o por un tercero) sobre los que no prevalezcan
los intereses o los derechos y libertades fundamentales del interesado, es
decir, en este caso de los miembros de la federación deportiva cuyos datos esa
entidad comunica a dos de sus patrocinadores a cambio de un precio.
Es conocido que,
conforme a la jurisprudencia del Tribunal de Justicia, para que el tratamiento
de datos personales -en este caso, la comunicación a título oneroso por la
federación de los datos de sus miembros a terceros que pretenden enviarles
publicidad- pueda resultar lícito con base en el artículo 6.1.f) RGPD deben
cumplirse tres requisitos cumulativos. En concreto, esos requisitos son: el
responsable (o algún tercero) debe perseguir un interés legítimo; el tratamiento
debe resultar necesario para la satisfacción de tal interés; y los derechos y
libertades del interesado en la protección de datos no deben prevalecer en el
caso concreto sobre el interés legítimo en cuestión (apdo. 37 de la nueva sentencia
con ulteriores referencias).
Con respecto al primero
de esos requisitos, el interés invocado en este caso por la federación
deportiva responsable del tratamiento de lo datos personales de sus miembros es
su interés comercial en poder comunicar a título oneroso tales datos personales
a dos de sus patrocinadores, con el fin de que éstos pudieran enviar mensajes
publicitarios y de promociones a los miembros de la federación. Uno de esos
patrocinadores destinatarios de los datos es una empresa que vende productos
deportivos, la otra es un proveedor de juegos de azar. Habida cuenta de que el
considerando 47 del RGPD admite específicamente que el tratamiento de datos
personales con fines de mercadotecnia directa puede considerarse realizado por
interés legítimo, al tiempo que el Tribunal de Justicia tiene establecido que una
amplia gama de intereses es, en principio, susceptible de ser considerada
legítima, siempre que se trate de intereses lícitos, la sentencia concluye que el
mencionado interés comercial de la federación puede constituir un interés legítimo
a los efectos del artículo 6.1.f) RGPD.
Mas problemático
resulta el cumplimiento del segundo de los requisitos exigidos por el artículo
6.1.f) por parte de la federación en cuestión. Es conocido que la exigencia de
que el tratamiento de datos personales sea necesario para la satisfacción del
interés legítimo perseguido, requiere la comprobación de que tal interés no puede
alcanzarse razonablemente de manera tan eficaz por otros medios que supongan
una injerencia menor, en particular, en el derecho de los interesados a la
protección de sus datos personales. A este respecto, reviste gran importancia práctica
que el Tribunal de Justicia establece que en situaciones de este tipo existe
normalmente una vía que permite una persecución eficaz del interés legítimo
invocado por el responsable del tratamiento con un menoscabo menor del derecho
a la protección de los interesados. En concreto, pone de relieve que la
federación en cuestión tiene la posibilidad de, con carácter previo, a la comunicación
remunerada de los datos personales de sus miembros a sus patrocinadores, informar
a sus miembros y preguntarles si desean que sus datos se transmitan a tales
terceros con fines de publicidad o de marketing (apdos. 51 a 53 de la sentencia).
Este planteamiento
del Tribunal de Justicia parece privar en gran medida de aplicación práctica a
la condición de licitud prevista en el artículo 6.1.f) RGPD, en la medida en
que implique la obtención del consentimiento para ese ulterior tratamiento por
parte de los interesados, lo que supondría que la base de licitud del
tratamiento pudiera ser la del artículo 6.1.a) RGPD. No obstante, parece dejar
abierta la posibilidad de que haya situaciones en las que el informar a los
interesados y el preguntarles si desean que sus datos sean transmitidos a esos
terceros puedan tener lugar en circunstancias -por ejemplo, en las que concurra
el silencio o la mera inacción de los interesados- en las que, pese a no concurrir
los presupuestos exigidos al “consentimiento del interesado” en el artículo
4.11 RGPD (“manifestación de voluntad libre, específica, informada e inequívoca
por la que el interesado acepta, ya sea mediante una declaración o una clara
acción afirmativa, el tratamiento de datos personales que le conciernen”), sí pueda
considerarse cumplido este segundo requisito y acreditar la necesidad del
tratamiento en cuestión para la satisfacción del interés legitimo perseguido a
los efectos del artículo 6.1.f) sin que existan medios menos lesivos para ello,
al haber permitido a los interesados conservar el control sobre la divulgación
de sus datos personales.
Con respecto al tercero
de los requisitos cumulativos que la federación deportiva, en tanto que responsable,
debería cumplir para que esa comunicación de datos pueda estar basada en el
artículo 6.1.f) RGPD, el Tribunal de Justicia insiste en la trascendencia de la
previsión en el considerando 47 RGPD, según la cual normalmente los intereses y
derechos del interesado prevalecerán sobre lo del responsable cuando el tratamiento
en cuestión se produzca en circunstancias en las que no fuera razonablemente
previsible para el interesado que se produjera ese ulterior tratamiento (apdo.
55). Por consiguiente, las expectativas razonables de los interesados acerca de
si una comunicación de datos como la controvertida iba a tener lugar resultan
de gran relevancia al llevar a cabo esa ponderación, favoreciendo que prevalezca
la posición de los interesados cuando no fuera previsible para ellos que sus
datos personales fueran a ser objeto de ese ulterior tratamiento.
Este elemento debe vincularse, además, con la
circunstancia de que, conforme al artículo 13.1 RGPD cuando el responsable del
tratamiento obtiene los datos personales del interesado debe informarle, entre
otros extremos, de los fines del tratamiento a que se destinan los datos
personales y la base jurídica del tratamiento, así como de los intereses
legítimos perseguidos cuando el tratamiento se base en el artículo 6.1.f), y
también de los destinatarios o las categorías de destinatarios de los datos
personales. Además, en caso de que el tratamiento para otro fin distinto de
aquel para el que se recogieron los datos personales no esté basado en el
consentimiento del interesado, el responsable del tratamiento debe asegurarse
de que el tratamiento con ese otro fin es compatible con el fin para el cual se
recogieron inicialmente los datos personales, de conformidad con el artículo
6.4 RGPD.
Por último, como factor adicional a tomar en
consideración al realizar la ponderación entre el interés legítimo perseguido por
el responsable y los intereses y derechos del interesado en un supuesto como el
del litigio principal, el Tribunal de Justicia destaca las implicaciones de que
los datos personales se transmitan a un proveedor de juegos de azar (apdo. 56).
Por una parte, se trata de una actividad ajena a la relación existente entre la
federación deportiva que invoca su interés legítimo y sus asociados; por otra,
se trata de una actividad, la relativa a los juegos de azar, cuya promoción
puede generar particulares riesgos sobre los interesados. Se trata de
circunstancias que típicamente dificultan que pueda prevalecer el interés del
responsable como requiere el artículo 6.1.f) RGPD. Cuanto mayor sea el riesgo de
que el ulterior tratamiento de los datos personales afecte negativamente a la
posición de los interesados menos probable será que el interés legítimo invocado
por el responsable pueda prevalecer para fundar la licitud de ese tratamiento.
