Selon l’autorité de protection des données néerlandaise, l’Autoriteit Persoonsgegevens (AP), ce traitement serait contraire aux dispositions de l’article 5(b) du RGPD, mais surtout à l’article 5(a), en liaison avec l’article 6, premier alinéa, traitant de la base légale pouvant déterminer la licéité d’un traitement de données à caractère personnel.
En 2019, l’AP a publié une recommandation relative à l’interprétation de la notion d’intérêt légitime, qui excluait notamment les intérêts commerciaux en tant qu’intérêt légitime.
Contexte de la décision
Comme dans de nombreux pays, la pratique d’un sport en club nécessite, aux Pays-Bas, l’adhésion à une association ou à une fédération associative. Pour le tennis, il s’agit de la KNLTB, qui recueille les données à caractère personnel des pratiquants lorsqu’ils s’inscrivent dans un club de tennis.
Jusque récemment, la KNLTB communiquait avec les pratiquants grâce à l’adresse e-mail fournie lors de leur inscription pour les informer du partage de leurs données à caractère personnel avec deux de ses sponsors. Cet e-mail d’information contenait une option d’opt-out au partage des données et le conseil des joueurs de tennis avait approuvé ce traitement au nom de tous les pratiquants en 2017.
La finalité du traitement était de fournir une valeur ajoutée aux joueurs et maintenir l’accessibilité du sport, notamment en envoyant des coupons de réduction utilisables pour acheter des équipements par exemple. La KNLTB considérait donc que ce traitement pouvait avoir comme base légale l’intérêt légitime qu’elle poursuivait.
Cependant, en 2018, plusieurs joueurs ont déposé plainte auprès de l’AP contre ce partage de données avec des partenaires à des fins de marketing, ce qui a incité l’AP à commencer une enquête. Cette enquête a abouti en décembre 2019 au prononcé d’une amende de 525 000 € à l’encontre de la KNLTB.
Motivation de la décision
Selon l’AP, la KNLTB ne pouvait pas se fonder sur l’intérêt légitime comme base légale au traitement opéré car cette base légale ne peut pas être utilisée lorsque l’intérêt poursuivi est uniquement de nature commerciale.
Pour évaluer le caractère légitime d’un intérêt, trois conditions doivent être prises en compte :
- L’intérêt en cause doit être légitime ;
- Le traitement doit être nécessaire pour l’intérêt poursuivi ;
- Les droits et libertés des personnes ne doivent pas prévaloir sur l’intérêt poursuivi.
En l’espèce, l’AP considère tout d’abord que pour être légitime, l’intérêt doit être basé sur une règle juridique applicable au responsable de traitement, ici la KNLTB. Ensuite, l’autorité souligne également que l’intérêt doit au moins répondre à un besoin impérieux de traiter les données des personnes concernées, ici les joueurs de tennis.
Ces deux conditions n’étant pas réunies, l’AP en conclut que l’intérêt poursuivi par la KNLTB n’était pas légitime car tout intérêt uniquement commercial ne peut pas être qualifié d’intérêt légitime.
Cependant, cette décision de l’AP a reçu de nombreuses critiques, notamment en raison de son interprétation stricte de la notion de légitimité, plus restreinte que l’interprétation majoritairement retenue au sein de l’Union européenne.
Critiques de la décision
Les critiques portent tout d’abord sur l’interprétation que fait l’AP de la notion de légitimité. En 2014, l’avis du G29 portant sur la notion d’intérêt légitime énonçait qu’un intérêt pouvait être légitime tant qu’il était acceptable au regard du droit. L’interprétation de l’AP tend davantage à rendre un intérêt légitime lorsqu’il a une base juridique établie, ce qui rend la notion de légitimité plus étroite.
Pourtant, que ce soit dans l’esprit du RGPD (considérant 47), dans les recommandations d’autorité nationales ou dans des décisions de justice rendues à l’échelle européenne, il est plutôt constant que l’intérêt commercial peut constituer un intérêt légitime au sens de la législation en matière de protection des données à caractère personnel.
Les critiques envers cette décision concernent également la procédure, car il semble qu’il aurait été préférable pour l’AP de frapper moins durement la KNLTB, d’autant plus qu’une ancienne recommandation de l’autorité, en ligne jusqu’en 2015, permettait aux associations sportives de transmettre les données à caractère personnel des pratiquants à des sponsors en se fondant sur l’intérêt légitime poursuivi lorsque le conseil représentant les pratiquants avait approuvé le traitement, comme c’était le cas du traitement concerné.
De plus, ce n’est qu’en 2019 que l’AP a publié sa recommandation excluant les intérêts commerciaux de la base légale d’intérêt légitime, alors que l’enquête portant sur le traitement opéré par la KNLTB a commencé dès 2018, à un moment où ce traitement pouvait donc apparaître comme bien fondé.
La sanction prononcée à l’encontre de la KNLTB semble être motivée par une volonté d’inciter les associations et fédérations sportives à modifier leurs pratiques en la matière, ce qui a été exprimé par le président de l’AP en décembre 2018.
Ce changement de doctrine peut-il justifier une telle sanction ? Si l’on s’en tient à l’avis du G29 sur la notion d’intérêt légitime, « ce qui peut être considéré comme un intérêt légitime peut changer au fil du temps, en fonction des progrès scientifiques et technologiques, et des évolutions de la société et des attitudes culturelles ».
Dès lors, bien que cette position ne concerne que l’autorité de protection des données néerlandaise et le droit de la protection des données aux Pays-Bas, il n’est pas exclu que d’autres autorités de protection européennes décident de suivre la même interprétation, ce qui fait naître un risque quant à l’utilisation de la base légale de l’intérêt légitime pour les traitements impliquant un partage de données à caractère personnel à des partenaires à des fins de marketing et de prospection commerciale.
Raphaël RAULT (avocat associé) - Raphaël EKWALLA-MATHIEU (juriste)