62022CJ0621

TEISINGUMO TEISMO (devintoji kolegija) SPRENDIMAS

2024 m. spalio 4 d. ( *1 )

„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679–5 straipsnio 1 dalies a punktas – Tvarkymo teisėtumas – 6 straipsnio 1 dalies pirmos pastraipos f punktas – Būtinybė tvarkyti duomenis, siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų – Sąvoka „teisėtas interesas“ – Komerciniai interesai – Sporto federacija – Sporto federacijos narių asmens duomenų perdavimas už atlygį rėmėjams be šių narių sutikimo“

Byloje C‑621/22

dėl rechtbank Amsterdam (Amsterdamo apylinkės teismas, Nyderlandai) 2022 m. rugsėjo 22 d. nutartimi, kurią Teisingumo Teismas gavo 2022 m. rugsėjo 29 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

Koninklijke Nederlandse Lawn Tennisbond

prieš

Autoriteit Persoonsgegevens

TEISINGUMO TEISMAS (devintoji kolegija),

kurį sudaro kolegijos pirmininkė O. Spineanu-Matei, teisėjai J.-C. Bonichot ir L. S. Rossi (pranešėja),

generalinė advokatė L. Medina,

kancleris A. Calot Escobar,

atsižvelgęs į rašytinę proceso dalį,

išnagrinėjęs pastabas, pateiktas:

–	Koninklijke Nederlandse Lawn Tennisbond, atstovaujamos advocaten E. W. S. Peperkamp, O. M. van Rikxoort ir S. E. A. Vermeer-de Jongh,

–	Autoriteit Persoonsgegevens, atstovaujamos advocaten M. H. L. Hemmer ir T. N. Sanders,

–	Nyderlandų vyriausybės, atstovaujamos M. K. Bulterman ir J. M. Hoogveld,

–	Italijos vyriausybės, atstovaujamos G. Palmieri, padedamos avvocato dello Stato E. De Bonis,

–	Europos Komisijos, atstovaujamos A. Bouchagiar ir H. Kranenborg,

atsižvelgęs į sprendimą, priimtą susipažinus su generalinės advokatės nuomone, nagrinėti bylą be išvados,

priima šį

Sprendimą

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR) 6 straipsnio 1 dalies pirmos pastraipos f punkto išaiškinimo.

2	Šis prašymas pateiktas nagrinėjant Koninklijke Nederlandse Lawn Tennisbond (Nyderlandų karališkoji teniso asociacija, toliau – KNLTB) ir Autoriteit Persoonsgegevens (Duomenų apsaugos institucija, toliau – AP) ginčą dėl pastarosios sprendimo skirti KNLTB baudą už BDAR taisyklių pažeidimą.

Teisinis pagrindas

BDAR

BDAR 1, 4, 10, 39 ir 47 konstatuojamosiose dalys suformuluotos taip:

„(1)	fizinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 1 dalyje ir [SESV] 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą;

<…>

(4)

asmens duomenys turėtų būti tvarkomi taip, kad tai pasitarnautų žmonijai. Teisė į asmens duomenų apsaugą nėra absoliuti; ji turi būti vertinama atsižvelgiant į jos visuomeninę paskirtį ir derėti su kitomis pagrindinėmis teisėmis, remiantis proporcingumo principu. Šiuo reglamentu paisoma visų Chartijoje pripažintų ir Sutartyse įtvirtintų pagrindinių teisių ir laisvių bei principų, visų pirma teisės į privatų ir šeimos gyvenimą, būsto neliečiamybę ir komunikacijos slaptumą, teisės į asmens duomenų apsaugą, minties, sąžinės ir religijos laisvės, saviraiškos ir informacijos laisvės, laisvės užsiimti verslu, teisės į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą ir kultūrų, religijų ir kalbų įvairovės;

<…>

(10)

siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo [Europos] Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. <…>

<…>

(39)

bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Taikant skaidrumo principą, fiziniams asmenims turėtų būti aišku, kaip su jais susiję asmens duomenys yra renkami, naudojami, su jais susipažįstama arba jie yra kitaip tvarkomi, taip pat kokiu mastu tie asmens duomenys yra ar bus tvarkomi. <…>

<…>

(47)

teisėti duomenų valdytojo, įskaitant duomenų valdytoją, kuriam gali būti atskleisti asmens duomenys, arba trečiosios šalies interesai gali būti teisiniu duomenų tvarkymo pagrindu, jeigu duomenų subjekto interesai arba pagrindinės teisės ir laisvės nėra viršesni, atsižvelgiant į pagrįstus duomenų subjektų lūkesčius jų santykių su duomenų valdytoju pagrindu. Toks teisėtas interesas galėtų būti, pavyzdžiui, kai egzistuoja susijęs ir atitinkamas santykis tarp duomenų subjekto ir duomenų valdytojo, pavyzdžiui, kai duomenų subjektas yra duomenų valdytojo klientas arba dirba duomenų valdytojo tarnyboje. Bet kuriuo atveju reikėtų atidžiai įvertinti, ar esama teisėto intereso, be kita ko, siekiant nustatyti, ar duomenų subjektas gali tuo metu, kai renkami asmens duomenys, arba asmens duomenų rinkimo kontekste tikėtis, kad duomenys gali būti tvarkomi tuo tikslu. Duomenų subjekto interesai ir pagrindinės teisės gali visų pirma būti viršesni už duomenų valdytojo interesus, kai asmens duomenys tvarkomi tokiomis aplinkybėmis, kuriomis duomenų subjektai pagrįstai nesitiki tolesnio tvarkymo. <…> Asmens duomenų tvarkymas tiesioginės rinkodaros tikslais gali būti vertinamas kaip atliekamas vadovaujantis teisėtu interesu.“

4	Šio reglamento 1 straipsnio „Dalykas ir tikslai“ 2 dalyje nustatyta: „Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.“

Minėto reglamento 4 straipsnyje numatyta:

„Šiame reglamente:

asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius;

duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;

<…>

duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti Sąjungos arba valstybės narės teisės, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos arba valstybės narės teise;

<…>

11)	duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys;

<…>“

To paties reglamento 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ nustatyta:

„1. Asmens duomenys turi būti:

a)	duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);

b)	renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; <…>

c)	adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);

<…>

2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

BDAR 6 straipsnyje „Tvarkymo teisėtumas“ nurodyta:

„1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:

a)	duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;

<…>

f)	tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.

Šios pastraipos f punktas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka vykdydamos savo užduotis.

<…>“

BDAR 13 straipsnio „Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“ 1 dalyje numatyta:

„Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:

<…>

c)	duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą;

d)	kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus duomenų valdytojo arba trečiosios šalies interesus;

<…>“

Pagrindinė byla ir prejudiciniai klausimai

Iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad KNLTB yra sporto federacija, įsteigta kaip asociacija. Jos nariai yra jai priklausančios teniso asociacijos ir jų nariai. Kai asmuo tampa KNLTB priklausančios teniso asociacijos nariu, jis automatiškai tampa ir KNLTB nariu. KNLTB bendradarbiauja su rėmėjais, kad padidintų teniso bei savo narių narystės sklaidą ir žinomumą.

2018 m. KNLTB perdavė savo narių asmens duomenis dviem savo rėmėjams, t. y. SportshopsDirect BV (toliau – TennisDirect), sporto produktus parduodančiai bendrovei, ir Nederlandse Loterij Organisatie BV (toliau – NLO), didžiausiai azartinių lošimų ir kazino lošimų organizatorei Nyderlanduose. KNLTB iš rėmėjų gavo atlygį už tai, kad jiems perdavė nagrinėjamus asmens duomenis.

11	Konkrečiai kalbant, 2018 m. birželio 11 d. KNLTB atskleidė TennisDirect savo narių pavardes, adresus ir gyvenamąsias vietas, kad ši galėtų išsiųsti reklaminį lankstinuką. Šiuo tikslu TennisDirect savo ruožtu perdavė šiuos duomenis pašto paslaugų teikėjai PostNL, kad būtų atspausdinti lankstinukai.

Be to, 2018 m. birželio 29 d. KNLTB atskleidė NLO ne tik savo narių pavardes, adresus ir gyvenamąsias vietas, bet ir gimimo datas, fiksuotojo ryšio telefonų numerius, mobiliųjų telefonų numerius ir elektroninio pašto adresus, taip pat teniso klubų, kuriems šie nariai priklausė, pavadinimus. Duomenys buvo atskleisti siekiant surengti telefono skambučių kampaniją, jai vykstant NLO perdavė šiuos duomenis skambučių centrams, į kuriuos ji šiuo tikslu kreipėsi.

Gavusi kai kurių KNLTB narių skundus AP nusprendė, kad KNLTB pažeidė BDAR 6 straipsnio 1 dalies pirmos pastraipos a ir f punktus, siejamus su šio reglamento 5 straipsnio 1 dalies a punktu, nes perdavė savo narių asmens duomenis be jų sutikimo ir nesant teisėto pagrindo atskleisti jų duomenis. Taigi 2019 m. gruodžio 20 d. sprendimu AP skyrė KNLTB 525000 EUR baudą.

14	KNLTB apskundė šį sprendimą rechtbank Amsterdam (Amsterdamo apylinkės teismas, Nyderlandai), kuris yra prašymą priimti prejudicinį sprendimą pateikęs teismas.

Nors pagrindinės bylos šalys neginčija, kad KNLTB negavo savo atskirų narių sutikimo atskleisti jų asmens duomenis minėtiems rėmėjams ir kad BDAR 6 straipsnio 1 dalies pirmos pastraipos a punktu negalima remtis kaip nagrinėjamo duomenų tvarkymo pagrindu, KNLTB nurodė, kad šių duomenų atskleidimas buvo pagrįstas teisėtu interesu, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą. Šis interesas apima glaudaus ryšio tarp šios asociacijos ir jos narių sukūrimą ir galimybę pasiūlyti savo nariams pridėtinę vertę, t. y. nuolaidas ir partnerių pasiūlymus, kurie leistų nariams žaisti tenisą už prieinamą kainą.

AP nurodo, kad teisėti interesai, kaip jie suprantami pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą, yra tik įstatyme įtvirtinti ir apibrėžti interesai. AP teigimu, tai turi būti interesai, kuriuos Sąjungos teisės aktų leidėjas arba nacionalinės teisės aktų leidėjas laiko vertais apsaugos ir kurie turi būti vertinami pagal „teigiamą kriterijų“. Tačiau šiuo atveju taip nėra.

17	Priešingai, KNLTB teigia, kad teisėtas interesas nebūtinai turi kilti iš pagrindinės teisės ar teisės principo, tačiau bet koks suinteresuotumas gali būti teisėtas interesas, nebent jis prieštarautų įstatymui, taigi toks interesas turi būti vertinamas pagal „neigiamą kriterijų“.

Vykstant procesui prašymą priimti prejudicinį sprendimą pateikusiame teisme, šio proceso šalys pasikeitė informacija dėl BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkte vartojamos sąvokos „teisėtas interesas“ reikšmės ir, be kita ko, dėl klausimo, ar išimtinai komercinis interesas parduoti teniso asociacijos narių asmens duomenis rėmėjams tiesioginės rinkodaros tikslais be jų sutikimo gali būti laikomas teisėtu interesu.

Šiomis aplinkybėmis abejodamas dėl sąvokos „teisėti interesai“, kaip ji suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą, aiškinimo rechtbank Amsterdam (Amsterdamo apylinkės teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

„1.	Kaip [prašymą priimti prejudicinį sprendimą pateikęs teismas] turi aiškinti sąvoką „teisėtas interesas“, [kaip ji suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą]?

2.	Ar šią sąvoką reikia aiškinti taip, kaip ją aiškina atsakovė? Ar ji apima tik įstatymui priskiriamus, įstatyminius ir įstatyme nustatytus interesus?

Ar teisėtas gali būti bet koks interesas, jeigu jis neprieštarauja įstatymui? Arba tiksliau: ar išimtinai komercinis interesas ir nagrinėjamasis interesas, t. y. asmens duomenų teikimas už atlygį be duomenų subjekto sutikimo, tam tikromis aplinkybėmis turi būti laikomas teisėtu interesu? Jeigu taip: kokios aplinkybės lemia, ar išimtinai komercinis interesas yra teisėtas interesas?“

Procesas Teisingumo Teisme

20	2023 m. gegužės 3 d. sprendimu Teisingumo Teismo pirmininkas sustabdė šios bylos nagrinėjimą, kol bus priimtas galutinis sprendimas byloje C‑252/21 Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos).

Remdamasi 2023 m. rugpjūčio 3 d. Teisingumo Teismo pirmininko sprendimu kanceliarija prašymą priimti prejudicinį sprendimą pateikusiam teismui pranešė apie 2023 m. liepos 4 d. Sprendimą Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos) (C‑252/21, EU:C:2023:537) ir paprašė jo nurodyti, ar, atsižvelgiant į šį sprendimą, jis pageidauja atsiimti visą prašymą priimti prejudicinį sprendimą, ar jo dalį, ir, jei šis prašymas būtų atsiimtas iš dalies, nurodyti jo dalies palikimo galioti priežastis.

22	Raštu (jį Teisingumo Teismo kanceliarija gavo 2024 m. vasario 14 d.) tas teismas nurodė, kad neatsiima prašymo priimti prejudicinį sprendimą.

Dėl prejudicinių klausimų

Pagal suformuotą jurisprudenciją, nacionaliniams teismams ir Teisingumo Teismui bendradarbiaujant, kaip numatyta SESV 267 straipsnyje, pastarasis turi pateikti nacionaliniam teismui naudingą atsakymą, kuris leistų priimti sprendimą jo nagrinėjamoje byloje. Tokiu atveju Teisingumo Teismui gali tekti performuluoti jam pateiktus klausimus (2024 m. birželio 20 d. Sprendimo Greislzel, C‑35/23, EU:C:2024:532, 39 punktas ir jame nurodyta jurisprudencija).

24	Nagrinėjamu atveju prejudiciniai klausimai susiję su galimybe, remiantis BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktu, pateisinti sporto asociacijos atliekamą savo narių asmens duomenų atskleidimą už atlygį šios asociacijos rėmėjams reklamos tikslais.

Darytina išvada, kad prejudiciniais klausimais, į kuriuos reikia atsakyti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktas turi būti aiškinamas taip, kad asmens duomenų tvarkymas, kurį sudaro sporto federacijos narių asmens duomenų perdavimas už atlygį, norint patenkinti duomenų valdytojo komercinius interesus, gali būti laikomas būtinu, siekiant šio duomenų valdytojo ar trečiosios šalies teisėtų interesų, kaip tai suprantama pagal šią nuostatą, ir ar pagal šią nuostatą reikalaujama, kad toks interesas būtų nustatytas įstatymu.

Siekiant atsakyti į šiuos klausimus, visų pirma svarbu priminti, kad BDAR siekiamas tikslas, išplaukiantis iš jo 1 straipsnio ir 1 bei 10 konstatuojamųjų dalių, yra, be kita ko, užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių, visų pirma jų teisės į privatų gyvenimą tvarkant asmens duomenis, įtvirtintos Chartijos 8 straipsnio 1 dalyje ir SESV 16 straipsnio 1 dalyje, apsaugos lygį (2024 m. kovo 7 d. Sprendimo IAB Europe, C‑604/22, EU:C:2024:214, 53 punktas ir jame nurodyta jurisprudencija).

Atsižvelgiant į šį tikslą, bet koks asmens duomenų tvarkymas turi atitikti šio reglamento 5 straipsnyje nurodytus tokių duomenų tvarkymo principus ir tenkinti jo 6 straipsnyje išvardytas teisėtumo sąlygas (šiuo klausimu žr. 2020 m. spalio 6 d. Sprendimo La Quadrature du Net ir kt., C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 208 punktą ir 2024 m. liepos 11 d. Sprendimo Meta Platforms Ireland (Atstovaujamasis ieškinys), C‑757/22, EU:C:2024:598, 49 punktą).

28	Šiuo klausimu pažymėtina, kad pagal BDAR 5 straipsnio 1 dalies a punktą asmens duomenys duomenų subjekto atžvilgiu turi būti tvarkomi teisėtai, sąžiningai ir skaidriai.

Konkrečiai Teisingumo Teismas yra nusprendęs, kad BDAR 6 straipsnio 1 dalies pirmoje pastraipoje numatytas išsamus ir baigtinis atvejų, kai asmens duomenų tvarkymas gali būti laikomas teisėtu, sąrašas. Taigi tam, kad duomenų tvarkymas galėtų būti laikomas teisėtu, jis turi patekti į kurį nors iš šioje nuostatoje numatytų atvejų (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 90 punktas).

Pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos a punktą asmens duomenų tvarkymas yra teisėtas, jeigu ir tiek, kiek duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu arba keliais konkrečiais tikslais. Nesant tokio sutikimo arba kai šis sutikimas nebuvo duotas laisva valia, konkrečiai, informuotai ir nedviprasmiškai, kaip tai suprantama pagal šio reglamento 4 straipsnio 11 punktą, toks duomenų tvarkymas vis dėlto yra pateisinamas, jeigu atitinka vieną iš to reglamento 6 straipsnio 1 dalies pirmos pastraipos b–f punktuose nurodytų būtinumo reikalavimų.

Esant tokiai situacijai, pastarojoje nuostatoje numatyti pagrindai, kiek jie leidžia teisėtai tvarkyti asmens duomenis, nesant duomenų subjekto sutikimo, turi būti aiškinami siaurai (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 93 punktas ir jame nurodyta jurisprudencija).

Be to, kaip yra nusprendęs Teisingumo Teismas, kai galima konstatuoti, kad asmens duomenų tvarkymas yra būtinas dėl vieno iš BDAR 6 straipsnio 1 dalies pirmos pastraipos b–f punktuose numatytų pagrindų, nereikia nustatyti, ar toks tvarkymas taip pat susijęs su kitu iš šių pagrindų (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 94 punktas ir jame nurodyta jurisprudencija).

Teisingumo Teismas taip pat yra nusprendęs, kad pagal BDAR 5 straipsnį duomenų valdytojui tenka pareiga įrodyti, kad šie duomenys, be kita ko, renkami nustatytais, aiškiai apibrėžtais ir teisėtais tikslais ir kad duomenų subjekto atžvilgiu jie tvarkomi teisėtai, sąžiningai ir skaidriai. Be to, pagal šio reglamento 13 straipsnio 1 dalies c punktą, kai asmens duomenys renkami iš duomenų subjekto, duomenų valdytojas turi jį informuoti apie duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti šiuos duomenis, ir nurodyti tokio tvarkymo teisinį pagrindą (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 95 punktas).

Nagrinėjamu atveju iš Teisingumo Teismo turimos bylos medžiagos matyti, kad KNLTB nariai nedavė sutikimo, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos a punktą, kad KNLTB už atlygį perduotų su jais susijusius asmens duomenis tretiesiems asmenims, be kita ko, TennisDirect ir NLO.

Šiomis aplinkybėmis, siekiant pateikti naudingą atsakymą prašymą priimti prejudicinį sprendimą pateikusiam teismui, reikia patikrinti, ar prašyme priimti prejudicinį sprendimą konkrečiai nurodytomis šio reglamento 6 straipsnio 1 dalies pirmos pastraipos f punkto nuostatomis galima remtis, norint pateisinti galimą tokių duomenų atskleidimą šiems tretiesiems asmenims.

Šiuo klausimu reikia priminti, kad BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkte numatyta, kad duomenų tvarkymas yra teisėtas, jeigu tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni.

Taigi Teisingumo Teismas jau yra nusprendęs, kad šioje nuostatoje numatytos trys kumuliacinės asmens duomenų tvarkymo teisėtumo sąlygos: pirma, tvarkyti asmens duomenis reikia dėl teisėtų interesų, kurių siekia duomenų valdytojas arba trečiasis asmuo, antra, asmens duomenis tvarkyti būtina siekiant įgyvendinti nustatytą teisėtą interesą ir, trečia, asmens, kurio duomenys turi būti apsaugoti, interesai ar laisvės bei pagrindinės teisės nėra viršesni už duomenų valdytojo ar trečiojo asmens teisėtą interesą (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 106 punktas ir jame nurodyta jurisprudencija).

Kiek tai susiję, pirma, su „teisėto intereso“ turėjimo sąlyga, pažymėtina, kad ši sąvoka nėra apibrėžta BDAR, todėl, kaip jau yra nusprendęs Teisingumo Teismas, teisėtais iš principo gali būti laikomi įvairūs interesai (šiuo klausimu žr. 2023 m. gruodžio 7 d. Sprendimo SCHUFA Holding (Atleidimas nuo likusių skolų) (C‑26/22 ir C‑64/22, EU:C:2023:958, 76 punktą).

Kaip taip pat matyti iš BDAR 47 konstatuojamosios dalies, kuri susijusi su sąvoka „teisėtas interesas“, Sąjungos teisės aktų leidėjas nereikalavo, kad duomenų valdytojo interesas būtų numatytas įstatyme tam, kad duomenų valdytojo atliekamas asmens duomenų tvarkymas būtų teisėtas, kaip tai suprantama pagal šio reglamento 6 straipsnio 1 dalies pirmos pastraipos f punktą. Ši išvada juo labiau teisinga dėl to, kad šioje konstatuojamojoje dalyje kaip pavyzdžiai nurodyti tiesioginės rinkodaros tikslai apskritai kaip teisėti interesai, kurių gali siekti duomenų valdytojas.

40	Vis dėlto, nors sąvoka „teisėtas interesas“, kaip ji suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą, neapsiriboja įstatyme įtvirtintais ir apibrėžtais interesais, pagal ją reikalaujama, kad nurodytas interesas būtų teisėtas.

Be to, reikia priminti, kad pagal BDAR 13 straipsnio 1 dalies d punktą duomenų valdytojas, rinkdamas duomenų subjekto asmens duomenis iš šio asmens, turi nurodyti jam teisėtus interesus, kurių siekiama, kai toks tvarkymas grindžiamas šio reglamento 6 straipsnio 1 dalies pirmos pastraipos f punktu (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 107 punktas).

Antra, sąlyga, susijusi su būtinumu tvarkyti asmens duomenis siekiant įgyvendinti teisėtą interesą, reiškia, kad prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, ar siekiamas teisėtas duomenų tvarkymo tikslas gali būti tinkamai ir taip pat veiksmingai pasiektas kitomis priemonėmis, kurios mažiau ribotų duomenų subjektų pagrindines laisves ir teises, ypač teises į privatų gyvenimą ir į asmens duomenų apsaugą, garantuojamas Chartijos 7 ir 8 straipsniuose (2023 m. gruodžio 7 d. Sprendimo SCHUFA Holding (Atleidimas nuo skolos likučio), C‑26/22 ir C‑64/22, EU:C:2023:958, 77 punktas ir jame nurodyta jurisprudencija).

Šiomis aplinkybėmis taip pat primintina, kad su duomenų tvarkymo būtinumu susijusi sąlyga turi būti nagrinėjama kartu atsižvelgiant į vadinamąjį „duomenų kiekio mažinimo“ principą, įtvirtintą BDAR 5 straipsnio 1 dalies c punkte, pagal kurį asmens duomenys turi būti „adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi“ (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 109 punktas ir jame nurodyta jurisprudencija).

Galiausiai, trečia, dėl sąlygos, kad duomenų subjekto, kuriuo duomenys turi būti saugomi, interesai arba laisvės ir pagrindinės teisės neturi būti viršesni už teisėtą duomenų valdytojo ar trečiojo asmens interesą, Teisingumo Teismas jau yra nusprendęs, jog ji reiškia, kad reikia palyginti atitinkamas priepriešines teises ir interesus, kurie iš esmės priklauso nuo konkrečių konkretaus atvejo aplinkybių, taigi prašymą priimti prejudicinį sprendimą pateikęs teismas turi palyginti atitinkamas teises ir interesus, atsižvelgdamas į tokias specifines aplinkybes (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 110 punktas ir jame nurodyta jurisprudencija).

Be to, kaip matyti iš BDAR 47 konstatuojamosios dalies, duomenų subjekto interesai ir pagrindinės teisės gali būti viršesni už duomenų valdytojo interesus visų pirma tada, kai asmens duomenys tvarkomi tokiomis aplinkybėmis, kuriomis duomenų subjektai pagrįstai nesitiki tokio tvarkymo (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 112 punktas).

Nors galiausiai prašymą priimti prejudicinį sprendimą pateikęs teismas turi įvertinti, ar, kiek tai susiję su pagrindinėje byloje nagrinėjamu asmens duomenų tvarkymu, šio sprendimo 37 punkte primintos trys sąlygos yra įvykdytos, priimdamas prejudicinį sprendimą Teisingumo Teismas gali pateikti paaiškinimų, kurie nacionaliniam teismui padėtų tai nustatyti (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 96 punktas ir 2023 m. gruodžio 7 d. Sprendimo SCHUFA Holding (Atleidimas nuo skolos likučio), C‑26/22 ir C‑64/22, EU:C:2023:958, 81 punktas ir jame nurodyta jurisprudencija).

Nagrinėjamu atveju, pirma, dėl sąlygos, susijusios su duomenų valdytojo ar trečiosios šalies teisėto intereso siekimu, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą, prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo duomenų valdytojo, t. y. sporto federacijos, kaip antai KNLTB, komercinį interesą, t. y. jo narių asmens duomenų perdavimą už atlygį tretiesiems asmenims – bendrovei, kuri parduoda sporto prekes, taip pat Nyderlandų azartinių lošimų ir kazino lošimų teikėjui reklamos ar rinkodaros tikslais, visų pirma siekiant išsiųsti nariams reklaminius pranešimus ir pasiūlymus.

Šiuo klausimu Teisingumo Teismas nėra atmetęs galimybės, kad duomenų valdytojo komercinis interesas reklamuoti ir parduoti reklamos vietas rinkodaros tikslais gali būti laikomas teisėtu interesu, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą (pagal analogiją žr. 2014 m. gegužės 13 d. Sprendimo Google Spain ir Google, C‑131/12, EU:C:2014:317, 73 punktą).

Šiomis aplinkybėmis duomenų valdytojo komercinis interesas, kaip antai nurodytas šio sprendimo 47 punkte, gali būti teisėtas interesas, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą, jeigu jis neprieštarauja įstatymui. Vis dėlto prašymą priimti prejudicinį sprendimą pateikęs teismas kiekvienu konkrečiu atveju turi įvertinti, ar toks interesas egzistuoja, atsižvelgdamas į taikytiną teisinį pagrindą ir visas bylos aplinkybes.

50	Jeigu toks interesas būtų laikomas teisėtu, tam, kad jo siekiant būtų galima tvarkyti asmens duomenis pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktą, duomenų valdytojas dar turėtų laikytis visų kitų pagal šį reglamentą jam nustatytų pareigų.

Antra, kalbant apie sąlygą, susijusią su tokio duomenų tvarkymo būtinumu siekiant šio intereso, visų pirma su tuo, ar yra lygiaverčių tinkamų priemonių, kurios mažiau pažeistų duomenų subjektų pagrindines teises ir laisves, svarbu pažymėti, kad tokia sporto federacija, kaip KNLTB, norėdama perduoti savo narių asmens duomenis trečiosioms šalims už atlygį, galėtų iš anksto informuoti savo narius ir paklausti jų, ar jie pageidauja, kad jų duomenys būtų perduoti šioms trečiosioms šalims reklamos ar rinkodaros tikslais.

Tai leistų atitinkamiems nariams, laikantis šio sprendimo 43 punkte nurodyto duomenų kiekio mažinimo principo, nuspręsti dėl jų asmens duomenų atskleidimo ir taip apriboti tokių duomenų atskleidimą tik tokiais atvejais, kurie iš tikrųjų būtini ir svarbūs, atsižvelgiant į minėtų duomenų perdavimo ir tvarkymo tikslus (pagal analogiją žr. 2024 m. rugsėjo 12 d. Sprendimo HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C‑17/22 ir C‑18/22, EU:C:2024:738, 60 punktą).

Pirmesniame šio sprendimo punkte aprašyta procedūra galėtų būti laikoma priemone, mažiau ribojančia duomenų subjekto teisę į jo asmens duomenų konfidencialumo apsaugą ir kartu leidžiančia duomenų valdytojui taip pat veiksmingai įgyvendinti jo nurodomą teisėtą interesą, tačiau tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas (pagal analogiją žr. 2024 m. rugsėjo 12 d. Sprendimo HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C‑17/22 ir C‑18/22, EU:C:2024:738, 61 punktą).

Trečia, dėl interesų palyginimo, kurį turi atlikti prašymą priimti prejudicinį sprendimą pateikęs teismas, remdamasis specifinėmis pagrindinės bylos aplinkybėmis, pažymėtina, kad tas teismas turi atsižvelgti, be kita ko, į pagrįstus duomenų subjekto lūkesčius, nagrinėjamo duomenų tvarkymo apimtį ir poveikį jam (2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 116 punktas).

Atlikdamas tokį palyginimą prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, ar Chartijos 8 straipsnio 1 dalyje ir SESV 16 straipsnio 1 dalyje įtvirtintos teniso asociacijų narių teisės į privatų gyvenimą, tvarkant jų asmens duomenis, gali būti viršesnės už nacionalinės teniso federacijos komercinius interesus. Atsižvelgiant į tai, kaip matyti iš BDAR 47 konstatuojamosios dalies, ypatingą dėmesį reikia skirti klausimui, ar šie nariai jų asmens duomenų rinkimo momentu tam, kad taptų teniso asociacijos nariais, galėjo pagrįstai tikėtis, kad jie bus už atlygį atskleisti tretiesiems asmenims, šiuo atveju KNLTB rėmėjams, reklamos ir rinkodaros tikslais.

Be to, prašymą priimti prejudicinį sprendimą pateikęs teismas turės atsižvelgti į tai, kad nagrinėjami duomenys, be kita ko, perduodami azartinių lošimų ir kazino lošimų teikėjui, kaip antai NLO, kurio reklamos ir rinkodaros veikla, nors ir teisėta, vykdoma tokiomis aplinkybėmis, kurios, priešingai, nei matyti iš BDAR 47 konstatuojamosios dalies, neatrodo atitinkančios reikšmingą ir tinkamą duomenų subjektų ir duomenų valdytojo ryšį. Be to, tam tikromis aplinkybėmis tokių duomenų tvarkymas gali turėti neigiamų pasekmių nagrinėjamų teniso asociacijų nariams, nes dėl tokios veiklos šiems nariams gali kilti azartinių lošimų priklausomybės išsivystymo rizika.

Atsižvelgiant į tai, kas išdėstyta, į prejudicinius klausimus reikia atsakyti, kad BDAR 6 straipsnio 1 dalies pirmos pastraipos f punktas turi būti aiškinamas taip: asmens duomenų tvarkymas, kurį sudaro sporto federacijos narių asmens duomenų perdavimas už atlygį, norint patenkinti duomenų valdytojo komercinius interesus, gali būti laikomas būtinu siekiant šio duomenų valdytojo teisėtų interesų, kaip tai suprantama pagal šią nuostatą, tik su sąlyga, kad toks tvarkymas yra griežtai būtinas atitinkamam teisėtam interesui įgyvendinti, ir jei, atsižvelgiant į visas svarbias aplinkybes, šių narių interesai arba laisvės ir pagrindinės teisės nėra viršesni už šį teisėtą interesą. Nors pagal minėtą nuostatą nereikalaujama, kad toks interesas būtų nustatytas įstatyme, joje reikalaujama, kad jis būtų teisėtas.

Dėl bylinėjimosi išlaidų

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti tas teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (devintoji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 6 straipsnio 1 dalies pirmos pastraipos f punktas

turi būti aiškinamas taip:

asmens duomenų tvarkymas, kurį sudaro sporto federacijos narių asmens duomenų perdavimas už atlygį, norint patenkinti duomenų valdytojo komercinius interesus, gali būti laikomas būtinu siekiant šio duomenų valdytojo teisėtų interesų, kaip tai suprantama pagal šią nuostatą, tik su sąlyga, kad toks tvarkymas yra griežtai būtinas atitinkamam teisėtam interesui įgyvendinti, ir jei, atsižvelgiant į visas svarbias aplinkybes, šių narių interesai arba laisvės ir pagrindinės teisės nėra viršesni už šį teisėtą interesą. Nors pagal minėtą nuostatą nereikalaujama, kad toks interesas būtų nustatytas įstatyme, joje reikalaujama, kad jis būtų teisėtas.

Parašai.

( *1 ) Proceso kalba: nyderlandų.