–

Koninklijke Nederlandse Lawn Tennisbond ved advocaten E.W.S. Peperkamp, O.M. van Rikxoort og S.E.A. Vermeer-de Jongh,

–

Autoriteit Persoonsgegevens ved advocaten M.H.L. Hemmer og T.N. Sanders,

–

den nederlandske regering ved M.K. Bulterman og J.M. Hoogveld, som befuldmægtigede,

–

den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato E. De Bonis,

–

Europa-Kommissionen ved A. Bouchagiar og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 6, stk. 1, første afsnit, litra f), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem Koninklijke Nederlandse Lawn Tennisbond (det kongelige nederlandske tennisforbund, herefter »KNLTB«) og Autoriteit Persoonsgegevens (databeskyttelsesmyndighed, Nederlandene, herefter »AP«) vedrørende denne myndigheds afgørelse om at pålægge KNLTB en bøde for tilsidesættelse af databeskyttelsesforordningens regler.

3

1., 4., 10., 39. og 47. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

[...]

[...]

4

Denne forordnings artikel 1 med overskriften »Genstand og formål« bestemmer følgende i stk. 2:

»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«

5

Forordningens artikel 4 fastsætter følgende:

»I denne forordning forstås ved:

[...]

[...]

[...]«

6

Samme forordnings artikel 5 med overskriften »Principper for behandling af personoplysninger« bestemmer følgende:

»1.   Personoplysninger skal:

[...]

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

7

Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« har følgende ordlyd:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[...]

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

[...]«

8

Forordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« fastsætter følgende i stk. 1:

»Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

[...]

[...]«

9

Det fremgår af forelæggelsesafgørelsen, at KNLTB er et idrætsforbund, der er oprettet i foreningsform. Forbundets medlemmer er de tennisforeninger, der er optaget i forbundet, og medlemmerne af disse foreninger. Når en person bliver medlem af en tennisforening, der er optaget i KNLTB, bliver den pågældende nemlig også automatisk medlem af dette forbund. KNLTB samarbejder ifølge det af forbundet oplyste med sponsorer for at øge tennissportens udbredelse og synlighed og få flere medlemmer.

10

I 2018 videregav KNLTB personoplysninger om sine medlemmer til to af sine sponsorer, nemlig SportshopsDirect BV (herefter »TennisDirect«), et selskab, der sælger sportsprodukter, og Nederlandse Loterij Organisatie BV (herefter »NLO«), som er den største udbyder af hasardspil og kasinospil i Nederlandene. KNLTB modtog et vederlag fra sine sponsorer for at have videregivet de pågældende personoplysninger til dem.

11

Navnlig videregav KNLTB den 11. juni 2018 navne, adresser og bopælsoplysninger på forbundets medlemmer til TennisDirect til brug for postfremsendelse af en reklamefolder. Med henblik herpå videresendte TennisDirect for sin del disse oplysninger til posttjenesten PostNL, der skulle printe folderen.

12

Desuden videregav KNLTB den 29. juni 2018 ud over medlemmernes navne, adresser og bopælsoplysninger også deres fødselsdatoer, fastnettelefonnumre, mobiltelefonnumre og e-mailadresser samt navnene på de tennisklubber, som de var tilknyttet, til NLO. Denne videregivelse tog sigte på en telefonopkaldskampagne, i forbindelse med hvilken NLO overførte disse oplysninger til opkaldscentre, som den havde benyttet til dette formål.

13

Efter klager indgivet af visse medlemmer af KNLTB fandt AP, at dette forbund havde tilsidesat databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a) og f), sammenholdt med forordningens artikel 5, stk. 1, litra a), idet det havde videregivet personoplysninger om sine medlemmer uden deres samtykke og uden et lovligt grundlag for videregivelse af deres oplysninger. AP pålagde derfor ved afgørelse af 20. december 2019 KNLTB en bøde på 525000 EUR.

14

KNLTB anlagde sag til prøvelse af denne afgørelse ved rechtbank Amsterdam (retten i første instans i Amsterdam, Nederlandene), som er den forelæggende ret.

15

Det er ubestridt mellem parterne i hovedsagen, at KNLTB ikke havde fået samtykke fra sine individuelle medlemmer til at videregive deres personoplysninger til ovennævnte sponsorer, og at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), ikke kan påberåbes som grundlag for den pågældende behandling, men KNLTB har gjort gældende, at videregivelsen af disse oplysninger var baseret på en legitim interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f). Denne interesse består dels i at skabe en stærk forbindelse mellem dette forbund og dets medlemmer, dels i at kunne tilbyde en merværdi ved medlemmernes indmeldelse i form af rabatter og tilbud hos partnerne, der gør det muligt for medlemmerne at dyrke tennis til en overkommelig og tilgængelig pris.

16

AP er af den opfattelse, at legitime interesser som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), udelukkende er interesser, der er anerkendt og fastsat ved lov. Ifølge AP skal der være tale om interesser, som EU-lovgiver eller den nationale lovgiver anser for at være beskyttelsesværdige vurderet efter et »positivt kriterium«. Dette er imidlertid ikke tilfældet i den foreliggende sag.

17

KNLTB er af en anden opfattelse og har gjort gældende, at en legitim interesse ikke nødvendigvis skal følge af en grundlæggende rettighed eller et retligt princip, men at enhver interesse kan udgøre en legitim interesse, medmindre den er i strid med loven, idet en sådan interesse således skal vurderes efter et »negativt kriterium«.

18

Under sagen for den forelæggende ret har parterne udvekslet synspunkter om betydningen af begrebet »legitim interesse« i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), og navnlig om, hvorvidt en rent kommerciel interesse, der består i salg af personoplysninger om medlemmer af en tennisforening uden disses samtykke til sponsorer med henblik på direkte markedsføring, kan anses for at være en legitim interesse.

19

Rechtbank Amsterdam (retten i første instans i Amsterdam) er i tvivl om fortolkningen af begrebet »legitim interesse« som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), og den har derfor besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

20

Ved afgørelse af 3. maj 2023 udsatte Domstolens præsident behandlingen af den foreliggende sag, indtil der forelå en endelig afgørelse i sag C-252/21, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk).

21

I overensstemmelse med Domstolens præsidents afgørelse af 3. august 2023 gav Justitskontoret den forelæggende ret meddelelse om dom af 4. juli 2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk) (C-252/21, EU:C:2023:537), idet Justitskontoret opfordrede den forelæggende ret til at oplyse, om den, henset til denne dom, helt eller delvist ønskede at opretholde sin anmodning om præjudiciel afgørelse, og, såfremt den delvist trak anmodningen tilbage, til at angive grundene til opretholdelsen af en del af anmodningen.

22

Ved skrivelse indleveret til Domstolens Justitskontor den 14. februar 2024 har den forelæggende ret oplyst, at den opretholder sin anmodning om præjudiciel afgørelse.

23

Det fremgår af fast retspraksis, at det som led i den samarbejdsprocedure mellem de nationale retter og Domstolen, som er indført ved artikel 267 TEUF, tilkommer denne at give den nationale ret et hensigtsmæssigt svar, som sætter den i stand til at afgøre den tvist, der verserer for den. Ud fra dette synspunkt påhviler det Domstolen efter omstændighederne at omformulere de spørgsmål, den forelægges (dom af 20.6.2024, Greislzel, C-35/23, EU:C:2024:532, præmis 39 og den deri nævnte retspraksis).

24

I det foreliggende tilfælde vedrører de præjudicielle spørgsmål muligheden for med støtte i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), at begrunde et idrætsforbunds videregivelse mod vederlag af personoplysninger om sine medlemmer til sponsorer for dette forbund med henblik på salgsfremstød.

25

Det følger heraf, at den forelæggende ret med sine præjudicielle spørgsmål, der skal besvares samlet, nærmere bestemt ønsker oplyst, om databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), skal fortolkes således, at en behandling af personoplysninger, der består i videregivelse mod vederlag af personoplysninger om medlemmerne af et idrætsforbund med henblik på at tilgodese en kommerciel interesse for den dataansvarlige, kan anses for at være nødvendig for, at denne dataansvarlige eller en tredjemand kan forfølge en legitim interesse som omhandlet i denne bestemmelse, og om denne kræver, at en sådan interesse er fastsat ved lov.

26

Med henblik på besvarelsen af disse spørgsmål skal det indledningsvis bemærkes, at det formål, der forfølges med databeskyttelsesforordningen, som det fremgår af artikel 1 heri samt første og tiende betragtning hertil, bl.a. består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til privatliv i forbindelse med behandlingen af personoplysninger, som er fastsat i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF (dom af 7.3.2024, IAB Europe, C-604/22, EU:C:2024:214, præmis 53 og den deri nævnte retspraksis).

27

I overensstemmelse med dette formål skal enhver behandling af personoplysninger bl.a. overholde de principper vedrørende behandling af sådanne oplysninger, der er fastsat i denne forordnings artikel 5, og opfylde de betingelser for lovlighed, der er anført i forordningens artikel 6 (jf. i denne retning dom af 6.10.2020, La Quadrature du Net m.fl., C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 208, og af 11.7.2024, Meta Platforms Ireland (Gruppesøgsmål),C-757/22, EU:C:2024:598, præmis 49).

28

I denne henseende skal det fremhæves, at personoplysninger i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra a), skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede.

29

Navnlig fastsætter databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, således som Domstolen har fastslået, en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. For at kunne anses for at være lovlig skal behandlingen således være omfattet af et af de tilfælde, som er omhandlet i denne bestemmelse (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 90).

30

I medfør af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), er behandling af personoplysninger lovlig, såfremt og i det omfang den registrerede har givet samtykke til et eller flere specifikke formål. Når der ikke foreligger et sådant samtykke, eller når samtykket ikke er blevet givet frivilligt, specifikt, informeret og utvetydigt som omhandlet i denne forordnings artikel 4, nr. 11), er en sådan behandling alligevel begrundet, hvis den opfylder et af de krav om nødvendighed, der er nævnt i artikel 6, stk. 1, første afsnit, litra b)-f).

31

I denne henseende skal de begrundelser, der er fastsat i sidstnævnte bestemmelse, fortolkes indskrænkende, for så vidt som de giver mulighed for at gøre en behandling af personoplysninger, som foretages uden den registreredes samtykke, lovlig (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 93 og den deri nævnte retspraksis).

32

Som Domstolen har fastslået, er det, når det kan fastslås, at en behandling af personoplysninger er nødvendig i lyset af en af de begrundelser, der er fastsat i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b)-f), endvidere ikke nødvendigt at afgøre, om denne behandling ligeledes henhører under en anden af disse begrundelser (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 94 og den deri nævnte retspraksis).

33

Domstolen har ligeledes fastslået, at det følger af databeskyttelsesforordningens artikel 5, at det er den dataansvarlige, der skal bevise, at disse oplysninger bl.a. indsamles til udtrykkeligt angivne og legitime formål, og at de behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede. I henhold til denne forordnings artikel 13, stk. 1, litra c), påhviler det endvidere den dataansvarlige, når personoplysningerne indsamles fra den registrerede, at oplyse vedkommende om formålene med den behandling, som disse oplysninger skal bruges til, og retsgrundlaget for behandlingen (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 95).

34

I det foreliggende tilfælde fremgår det af sagsakterne for Domstolen, at medlemmerne af KNLTB ikke har givet samtykke som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), til, at KNLTB mod vederlag videregiver personoplysninger vedrørende dem til tredjemænd, bl.a. TennisDirect og NLO.

35

Under disse omstændigheder skal det med henblik på at give den forelæggende ret et hensigtsmæssigt svar undersøges, om bestemmelserne i denne forordnings artikel 6, stk. 1, første afsnit, litra f), der specifikt er omhandlet i anmodningen om præjudiciel afgørelse, kan påberåbes med henblik på at begrunde videregivelsen af sådanne oplysninger til disse tredjemænd.

36

I denne henseende bemærkes, at en behandling af personoplysninger i henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), er lovlig, hvis den er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.

37

Som Domstolen allerede har fastslået, fastsætter denne bestemmelse tre kumulative betingelser for, at en behandling af personoplysninger er lovlig, nemlig for det første, at den dataansvarlige eller en tredjemand forfølger en legitim interesse, for det andet, at behandlingen af personoplysninger er nødvendig for at forfølge den legitime interesse, og for det tredje betingelsen om, at den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder ikke går forud for den dataansvarliges eller tredjemands legitime interesse (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 106 og den deri nævnte retspraksis).

38

Hvad for det første angår betingelsen om, at der forfølges en »legitim interesse«, skal det – i mangel af en definition af dette begreb i databeskyttelsesforordningen – fremhæves, at en bred vifte af interesser principielt kan anses for at være legitime, således som Domstolen allerede har fastslået (jf. i denne retning dom af 7.12.2023, SCHUFA Holding (Gældssanering),C-26/22 og C-64/22, EU:C:2023:958, præmis 76).

39

Som det ligeledes følger af 47. betragtning til databeskyttelsesforordningen, der vedrører begrebet »legitim interesse«, har EU-lovgiver ikke krævet, at den interesse, der forfølges af en dataansvarlig, skal være fastsat ved lov, for at den behandling af personoplysninger, som denne dataansvarlige foretager, er lovlig som omhandlet i forordningens artikel 6, stk. 1, første afsnit, litra f). Denne konstatering er så meget desto mere rigtig, som denne betragtning som et eksempel nævner direkte markedsføring generelt som en legitim interesse, der kan forfølges af en dataansvarlig.

40

Selv om begrebet »legitim interesse« som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), ikke er begrænset til de interesser, der er anerkendt og fastsat ved lov, kræver det dog, at den angivelige legitime interesse er lovlig.

41

Desuden bemærkes, at det følger af databeskyttelsesforordningens artikel 13, stk. 1, litra d), at det på det tidspunkt, hvor personoplysninger om en registreret indsamles hos denne, påhviler den dataansvarlige at oplyse den pågældende om de legitime interesser, som forfølges, hvis behandlingen er baseret på denne forordnings artikel 6, stk. 1, første afsnit, litra f) (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 107).

42

Hvad for det andet angår betingelsen om, at behandlingen af personoplysninger er nødvendig for at virkeliggøre den forfulgte legitime interesse, indebærer denne, at den forelæggende ret skal efterprøve, om den legitime interesse, som forfølges med behandlingen af personoplysninger, ikke med rimelighed kan beskyttes lige så effektivt ved andre midler, som er mindre indgribende i de registreredes grundlæggende friheder og rettigheder, navnlig retten til respekt for privatlivet og beskyttelse af personoplysninger som sikret ved chartrets artikel 7 og 8 (dom af 7.12.2023, SCHUFA Holding (Gældssanering),C-26/22 og C-64/22, EU:C:2023:958, præmis 77 og den deri nævnte retspraksis).

43

Det skal i denne henseende ligeledes bemærkes, at betingelsen om behandlingens nødvendighed skal undersøges sammen med princippet om såkaldt »dataminimering« i databeskyttelsesforordningens artikel 5, stk. 1, litra c), hvorefter personoplysningerne skal være »tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles« (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 109 og den deri nævnte retspraksis).

44

Hvad endelig angår betingelsen om, at de interesser eller grundlæggende rettigheder og frihedsrettigheder, som tilkommer den person, der er omfattet af beskyttelsen af oplysninger, ikke går forud for den legitime interesse, som forfølges af den dataansvarlige eller en tredjemand, har Domstolen allerede fastslået, at denne betingelse indebærer en afvejning af de pågældende modstående rettigheder og interesser, som principielt afhænger af de konkrete omstændigheder i det enkelte tilfælde, og at det følgelig tilkommer den forelæggende ret at foretage denne afvejning under hensyn til disse konkrete omstændigheder (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 110 og den deri nævnte retspraksis).

45

Desuden er det i 47. betragtning til databeskyttelsesforordningen anført, at den registreredes interesser og grundlæggende rettigheder navnlig kan gå forud for den dataansvarliges interesser, når personoplysninger behandles under omstændigheder, hvor registrerede ikke med rimelighed forventer en sådan behandling (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 112).

46

Selv om det i sidste ende tilkommer den forelæggende ret at vurdere, om de tre betingelser, der er nævnt i denne doms præmis 3, er opfyldt med hensyn til den i hovedsagen omhandlede behandling af personoplysninger, kan Domstolen, når den træffer afgørelse i en præjudiciel sag, give nærmere oplysninger med henblik på at vejlede den forelæggende ret i dens afgørelse (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 96, og af 7.12.2023, SCHUFA Holding (Gældssanering),C-26/22 og C-64/22, EU:C:2023:958, præmis 81 og den deri nævnte retspraksis).

47

Hvad i det foreliggende tilfælde for det første angår betingelsen om, at den dataansvarlige eller en tredjemand forfølger en legitim interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), har den forelæggende ret henvist til den kommercielle interesse, som den dataansvarlige, nemlig et idrætsforbund som KNLBT, har i mod vederlag at videregive personoplysninger om sine medlemmer til tredjemænd, nemlig i det foreliggende tilfælde et selskab, der sælger sportsprodukter, og en udbyder af hasardspil og kasinospil i Nederlandene, til navnlig reklame- eller markedsføringsformål, med henblik på de sidstnævntes udsendelse af reklamer og salgsfremmende meddelelser til disse medlemmer.

48

I denne henseende har Domstolen ikke udelukket, at en kommerciel interesse, som den dataansvarlige har i reklame og salg af reklameplads til markedsføringsformål, kan anses for at være en legitim interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f) (jf. analogt dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 73).

49

Under disse omstændigheder kan en kommerciel interesse hos den dataansvarlige som den, der er nævnt i denne doms præmis 47, udgøre en legitim interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), for så vidt som den ikke er i strid med loven. Det tilkommer imidlertid den forelæggende ret i hvert enkelt tilfælde at vurdere, om en sådan interesse foreligger, under hensyntagen til den gældende retlige ramme og samtlige omstændigheder i sagen.

50

Såfremt en sådan interesse anses for at være legitim, skal den dataansvarlige, for at forfølgelsen af denne interesse kan gøre det muligt at foretage behandling af personoplysninger i henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), desuden overholde alle de øvrige forpligtelser, der påhviler denne i medfør af denne forordning.

51

Hvad for det andet angår betingelsen om, at denne behandling er nødvendig for at virkeliggøre den nævnte interesse, og navnlig eksistensen af midler, som er mindre indgribende i de registreredes grundlæggende rettigheder og frihedsrettigheder, og som er lige så egnede, skal det fastslås, at det bl.a. er muligt for et idrætsforbund som KNLTB, der ønsker at videregive personoplysninger om sine medlemmer til tredjemænd mod vederlag, forudgående at underrette sine medlemmer og spørge dem om, hvorvidt de ønsker, at deres oplysninger videregives til tredjemænd til reklame- eller markedsføringsformål.

52

Denne løsning gør det muligt for de pågældende medlemmer i overensstemmelse med princippet om dataminimering, der er nævnt i denne doms præmis 43, at bevare kontrollen med videregivelsen af deres personoplysninger og således begrænse videregivelsen heraf til, hvad der faktisk er nødvendigt og relevant for de formål, hvortil oplysningerne er blevet videregivet og behandlet (jf. analogt dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 60).

53

En procedure som den, der er beskrevet i den foregående præmis, kan indebære et mindre indgreb i den registreredes ret til beskyttelse af fortroligheden af sine personoplysninger, som samtidig gør det muligt for den dataansvarlige lige så effektivt at forfølge den legitime interesse, som vedkommende påberåber sig, hvilket det imidlertid tilkommer den forelæggende ret at efterprøve (jf. analogt dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 61).

54

Hvad for det tredje angår den afvejning af interesser, som den forelæggende ret skal foretage i lyset af de konkrete omstændigheder i hovedsagen, skal denne ret tage hensyn til bl.a. den registreredes rimelige forventninger samt til omfanget af den pågældende behandling og behandlingens indvirkning på den registrerede (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 116).

55

I forbindelse med en sådan afvejning tilkommer det den forelæggende ret at efterprøve, om den ret til privatlivets fred, som medlemmerne af tennisforeninger har hvad angår behandling af personoplysninger om dem, som fastsat i chartrets artikel 8, stk. 1, og artikel 16, stk. 1, TEUF, kan gå forud for et nationalt tennisforbunds kommercielle interesse. I denne forbindelse bør der, således som det fremgår af 47. betragtning til databeskyttelsesforordningen, lægges særlig vægt på spørgsmålet om, hvorvidt disse medlemmer på tidspunktet for indsamlingen af deres personoplysninger, med henblik på at de kunne blive medlemmer af en tennisforening, med rimelighed kunne forvente, at oplysningerne ville blive videregivet til tredjemænd mod vederlag, i det foreliggende tilfælde til sponsorer for KNLTB, til reklame- og markedsføringsformål.

56

Den forelæggende ret skal desuden tage hensyn til, at de pågældende oplysninger bl.a. videregives til en udbyder af hasardspil og kasinospil, såsom NLO, hvis reklame- og markedsføringsaktiviteter, selv om de er lovlige, udøves i en sammenhæng, der – modsat hvad der følger af 47. betragtning til databeskyttelsesforordningen – ikke synes at være kendetegnet ved et relevant og passende forhold mellem de registrerede og den dataansvarlige. Desuden kan behandlingen af sådanne oplysninger under visse omstændigheder have skadelige virkninger for medlemmerne af de pågældende tennisforeninger, for så vidt som disse aktiviteter kan udsætte disse medlemmer for de risici, der er knyttet til udvikling af ludomani.

57

Henset til det ovenstående skal de præjudicielle spørgsmål besvares med, at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), skal fortolkes således, at en behandling af personoplysninger, der består i videregivelse mod vederlag af personoplysninger om medlemmerne af et idrætsforbund med henblik på at tilgodese en kommerciel interesse for den dataansvarlige, kun kan anses for at være nødvendig for, at denne dataansvarlige kan forfølge en legitim interesse som omhandlet i denne bestemmelse, såfremt denne behandling er strengt nødvendig for at virkeliggøre den omhandlede legitime interesse, og såfremt disse medlemmers interesser eller grundlæggende rettigheder og frihedsrettigheder, henset til samtlige relevante omstændigheder, ikke går forud for denne legitime interesse. Selv om den nævnte bestemmelse ikke forudsætter, at en sådan interesse er fastsat ved lov, kræver den, at den angivelige legitime interesse er lovlig.

58

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Niende Afdeling) for ret:

Artikel 6, stk. 1, første afsnit, litra f), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at

en behandling af personoplysninger, der består i videregivelse mod vederlag af personoplysninger om medlemmerne af et idrætsforbund med henblik på at tilgodese en kommerciel interesse for den dataansvarlige, kun kan anses for at være nødvendig for, at denne dataansvarlige kan forfølge en legitim interesse som omhandlet i denne bestemmelse, såfremt denne behandling er strengt nødvendig for at virkeliggøre den omhandlede legitime interesse, og såfremt disse medlemmers interesser eller grundlæggende rettigheder og frihedsrettigheder, henset til samtlige relevante omstændigheder, ikke går forud for denne legitime interesse. Selv om den nævnte bestemmelse ikke forudsætter, at en sådan interesse er fastsat ved lov, kræver den, at den angivelige legitime interesse er lovlig.