ROZSUDEK SOUDNÍHO DVORA (devátého senátu)

4. října 2024 ( *1 )

„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 5 odst. 1 písm. a) – Zákonnost zpracování – Článek 6 odst. 1 první pododstavec písm. f) – Nezbytnost zpracování pro účely oprávněných zájmů správce nebo třetí strany – Pojem ‚oprávněné zájmy‘ – Finanční zájem – Sportovní svaz – Předávání osobních údajů členů sportovního svazu bez jejich souhlasu sponzorům za úplatu“

Ve věci C‑621/22,

jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím rechtbank Amsterdam (soud v Amsterodamu, Nizozemsko) ze dne 22. září 2022, došlým Soudnímu dvoru dne 29. září 2022, v řízení

Koninklijke Nederlandse Lawn Tennisbond

proti

Autoriteit Persoonsgegevens,

SOUDNÍ DVŮR (devátý senát),

ve složení: O. Spineanu-Matei, předsedkyně senátu, J.-C. Bonichot a L. S. Rossi (zpravodajka), soudci,

generální advokátka: L. Medina,

za soudní kancelář: A. Calot Escobar, vedoucí,

s přihlédnutím k písemné části řízení,

s ohledem na vyjádření, která předložili:

–	za Koninklijke Nederlandse Lawn Tennisbond: E. W. S. Peperkamp, O. M. van Rikxoort a S. E. A. Vermeer-de Jongh, advocaten,

–	za Autoriteit Persoonsgegevens: M. H. L. Hemmer a T. N. Sanders, advocaten,

–	za nizozemskou vládu: M. K. Bulterman a J. M. Hoogveld, jako zmocněnci,

–	za italskou vládu: G. Palmieri, jako zmocněnkyně, ve spolupráci s: E. De Bonis, avvocato dello Stato,

–	za Evropskou komisi: A. Bouchagiar a H. Kranenborg, jako zmocněnci,

s přihlédnutím k rozhodnutí, přijatému po vyslechnutí generální advokátky, rozhodnout věc bez stanoviska,

vydává tento

Rozsudek

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 6 odst. 1 prvního pododstavce písm. f) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „nařízení GDPR“).

Tato žádost byla předložena v rámci sporu mezi Koninklijke Nederlandse Lawn Tennisbond (nizozemský královský tenisový svaz, dále jen „KNLTB“) a Autoriteit Persoonsgegevens (úřad pro ochranu údajů, Nizozemsko) (dále jen „AP“) ve věci rozhodnutí AP, kterým byla KNLTB uložena pokuta za porušení pravidel GDPR.

Právní rámec

GDPR

Body 1, 4, 10, 39 a 47 odůvodnění GDPR znějí takto:

„(1)	Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen ‚Listina‘) a čl. 16 odst. 1 [SFEU] přiznávají každému právo na ochranu osobních údajů, které se jej týkají.

[…]

(4)

Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochranu osobních údajů, svobodu myšlení, svědomí a náboženského vyznání, svobodu projevu a informací, svobodu podnikání, právo na účinnou právní ochranu a spravedlivý proces, jakož i kulturní, náboženskou a jazykovou rozmanitost.

[…]

(10)

S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci [Evropské u]nie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. […]

[…]

(39)

Jakékoliv zpracování osobních údajů by mělo být prováděno zákonným a spravedlivým způsobem. Pro fyzické osoby by mělo být transparentní, že osobní údaje, které se jich týkají, jsou shromažďovány, používány, konzultovány nebo jinak zpracovávány, jakož i v jakém rozsahu tyto osobní údaje jsou či budou zpracovány. […]

[…]

(47)

Oprávněné zájmy správce, včetně správce, jemuž mohou být osobní údaje poskytnuty, nebo třetí strany se mohou stát právním základem zpracování za předpokladu, že nepřevažují zájmy nebo základní práva a svobody subjektu údajů, a to při zohlednění přiměřeného očekávání subjektu údajů na základě jeho vztahu se správcem. Tento oprávněný zájem by mohl být dán například v situaci, kdy existuje relevantní a odpovídající vztah mezi subjektem údajů a správcem, například pokud je subjekt údajů zákazníkem správce nebo mu naopak poskytuje služby. Existenci oprávněného zájmu je v každém případě třeba pečlivě posoudit, včetně toho, zda subjekt údajů může v okamžiku a v kontextu shromažďování osobních údajů důvodně očekávat, že ke zpracování pro tento účel může dojít. Zájmy a základní práva subjektu údajů by mohly převážit nad zájmy správce údajů zejména tehdy, jestliže ke zpracování osobních údajů dochází za okolností, kdy subjekt údajů jejich další zpracování důvodně neočekává. […] Zpracování osobních údajů pro účely přímého marketingu lze považovat za zpracování prováděné z důvodu oprávněného zájmu.“

4	Článek 1 tohoto nařízení, nadepsaný „Předmět a cíle“ v odstavci 2 stanoví: „Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“

Článek 4 nařízení stanoví:

„Pro účely tohoto nařízení se rozumí:

‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;

‚zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;

[…]

‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;

[…]

11)	‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů;

[…]“

Článek 5 nařízení, nadepsaný „Zásady zpracování osobních údajů“, zní následovně:

„1. Osobní údaje musí být:

a)	ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem („zákonnost, korektnost a transparentnost“);

b)	shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; […]

c)	přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);

[…]

2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, zní takto:

„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

a)	subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;

[…]

f)	zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.

[…]“

Článek 13, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, v odstavci 1 stanoví:

„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

[…]

c)	účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;

d)	oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);

[…]“

Spor v původním řízení a předběžné otázky

Z předkládacího rozhodnutí vyplývá, že KNLTB je sportovním svazem založeným ve formě sdružení. Členy jsou v něm sdružené tenisové kluby, jakož i jejich členové. Pokud se totiž někdo stane členem tenisového klubu, který je členem KNLTB, stává se automaticky rovněž členem tohoto svazu. KNLTB spolupracuje se sponzory, dle svého tvrzení proto, aby podpořil šíření a zviditelňování tenisu, jakož i zvyšoval počet svých členů.

V roce 2018 KNLTB předal osobní údaje svých členů dvěma svým sponzorům, a sice SportshopsDirect BV (dále jen „TennisDirect“), společnosti, která prodává sportovní zboží, a společnosti Nederlandse Loterij Organisatie BV (dále jen „NLO“), která je největším poskytovatelem hazardních a kasinových her v Nizozemsku. KNLTB obdržel za poskytnutí těchto údajů od sponzorů odměnu.

11	Konkrétně došlo k tomu, že dne 11. června 2018 předal KNLTB společnosti TennisDirect jména a názvy, jakož i adresy svých členů pro účely zaslání akčního letáku. V této souvislosti TennisDirect následně předala údaje poštovní společnosti PostNL za účelem tisku tohoto letáku.

Mimo to KNLTB dne 29. června 2018 předal NLO mimo jmen, názvů a adres svých členů také jejich data narození, čísla pevných linek, čísla mobilních telefonů a e-mailové adresy, jakož i názvy tenisových klubů, jejichž členy členové svazu z řad fyzických osob byli. K tomuto předání došlo za účelem telefonické kampaně, v souvislosti s níž NLO předala tyto údaje call centrům, na která se za uvedeným účelem obrátila.

Na základě stížnosti některých členů KNLTB měl AP za to, že uvedený svaz tím, že předal osobní údaje svých členů bez jejich souhlasu a důvodu spočívajícího na legitimním základě, porušil čl. 6 odst. 1 první pododstavec písm. a) a f) GDPR ve spojení s jeho čl. 5 odst. 1 písm. a). Rozhodnutím ze dne 20. prosince 2019 proto AP uložil KNLTB pokutu ve výši 525000 eur.

14	KNLTB podal proti uvedenému rozhodnutí žalobu k rechtbank Amsterdam (soud v Amsterodamu, Nizozemsko), který je předkládajícím soudem.

Mezi účastníky původního řízení je sice nesporné, že KNLTB souhlas svých individuálních členů k předání jejich osobních údajů výše uvedeným sponzorům nezískal a že čl. 6 odst. 1 prvního pododstavce písm. a) GDPR se nelze jako základu pro dotčené zpracování dovolávat, KNLTB však tvrdil, že předání těchto údajů vycházelo z oprávněného zájmu ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR. Tento zájem spočíval na vytvoření silného pouta mezi tímto svazem a jeho členy a na možnosti nabídnout přidanou hodnotu jejich členství ve formě slev a nabídek partnerů, které by těmto členům umožňovaly pěstovat tenis za příznivou a dostupnou cenu.

AP má za to, že oprávněnými zájmy ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR jsou pouze zájmy zakotvené a definované zákonem. Podle AP se musí jednat o zájmy považované za hodné ochrany unijním normotvůrcem nebo vnitrostátním zákonodárcem, které musí být posuzovány na základě „pozitivního kritéria“. Přitom v projednávané věci tomu tak není.

17	KNLTB má opačný názor a tvrdí, že oprávněný zájem nemusí nutně vyplývat ze základního práva nebo právní zásady, ale že jím může být jakýkoliv zájem, pokud není v rozporu se zákonem, takže takový zájem musí být posuzován na základě „negativního kritéria“.

Během řízení před předkládajícím soudem došlo mezi jeho účastníky k výměně názorů na význam pojmu „oprávněný zájem“ uvedeného v čl. 6 odst. 1 prvním pododstavci písm. f) GDPR, a zejména na to, zda lze čistě finanční zájem, spočívající v prodeji osobních údajů členů tenisového svazu bez jejich souhlasu sponzorům pro účely přímého marketingu, považovat za oprávněný zájem.

Za těchto podmínek se rechtbank Amsterdam (soud v Amsterodamu) vzhledem k pochybnostem o výkladu pojmu „oprávněné zájmy“ ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

„1)	Jak má [předkládající soud] vykládat pojem ‚oprávněný zájem‘ [ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR]?

2)	Musí být tento pojem vykládán tak, jak ho vykládá žalovaný? Zahrnuje výlučně zájmy zakotvené a definované zákonem?

Nebo může být každý zájem oprávněným zájmem, pokud není v rozporu se zákonem? Konkrétně: je možné čistě finanční zájem, který je předmětem této věci a který vedl k poskytnutí osobních údajů za úplatu a bez souhlasu subjektů údajů, kvalifikovat za určitých okolností jako oprávněný zájem? Pokud ano, jaké okolnosti určují, zda čistě finanční zájem je oprávněným zájmem?“

Řízení před Soudním dvorem

20	Rozhodnutím ze dne 3. května 2023 přerušil předseda Soudního dvora toto řízení až do vydání konečného rozhodnutí ve věci C‑252/21, Meta Platforms a další (Všeobecné podmínky používání sociální sítě).

V souladu s rozhodnutím předsedy Soudního dvora ze dne 3. srpna 2023 oznámila soudní kancelář předkládajícímu soudu rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě) (C‑252/21, EU:C:2023:537), a vyzvala jej, aby jí sdělil, zda s ohledem na uvedený rozsudek trvá v celém nebo částečném rozsahu na své žádosti o rozhodnutí o předběžné otázce, a v případě částečného zpětvzetí této žádosti aby uvedl důvody pro zachování zbývající části.

22	Dopisem došlým kanceláři Soudního dvora dne 14. února 2024 dotčený soud uvedl, že na své žádosti o rozhodnutí o předběžné otázce trvá.

K předběžným otázkám

Podle ustálené judikatury platí, že v rámci postupu spolupráce mezi vnitrostátními soudy a Soudním dvorem zavedeného článkem 267 SFEU přísluší Soudnímu dvoru poskytnout vnitrostátnímu soudu užitečnou odpověď, která mu umožní rozhodnout spor, jenž mu byl předložen. Z tohoto hlediska Soudnímu dvoru přísluší, aby otázky, které jsou mu položeny, případně přeformuloval (rozsudek ze dne 20. června 2024, Greislzel, C‑35/23, EU:C:2024:532, bod 39 a citovaná judikatura).

24	V projednávaném případě se předběžné otázky týkají možnosti odůvodnit na základě čl. 6 odst. 1 prvního pododstavce písm. f) GDPR předání osobních údajů svých členů sportovním svazem za úplatu sponzorům pro účely marketingových akcí.

Z toho plyne, že podstatou předběžných otázek předkládajícího soudu, na které je třeba odpovědět společně, je, zda čl. 6 odst. 1 první pododstavec písm. f) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů, které spočívá v předání osobních údajů členů sportovního svazu za úplatu pro uspokojení finančního zájmu správce, může být považováno za nezbytné pro účely oprávněných zájmů tohoto správce nebo třetí strany ve smyslu uvedeného ustanovení, a zda vyžaduje, aby takový zájem byl určen zákonem.

K odpovědi na tuto otázku je třeba na úvod připomenout, že cíl sledovaný GDPR, tak jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, spočívá zejména v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů, zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU (rozsudek ze dne 7. března 2024, IAB Europe, C‑604/22, EU:C:2024:214, bod 53 a citovaná judikatura).

V souladu s tímto cílem musí být každé zpracování osobních údajů zejména v souladu se zásadami zpracování takových údajů uvedenými v článku 5 daného nařízení a musí splňovat podmínky zákonnosti zpracování vyjmenované v jeho článku 6 [v tomto smyslu viz rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 208, jakož i ze dne 11. července 2024, Meta Platforms Ireland (Zástupná žaloba), C‑757/22, EU:C:2024:598, bod 49].

28	V tomto ohledu je třeba zdůraznit, že podle čl. 5 odst. 1 písm. a) GDPR musí být osobní údaje ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem.

Zejména, jak již Soudní dvůr rozhodl, čl. 6 odst. 1 první pododstavec GDPR stanoví taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí jít o jeden z případů stanovených v tomto ustanovení [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 90].

Podle čl. 6 odst. 1 prvního pododstavce písm. a) GDPR je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu. Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 GDPR, je takové zpracování přesto odůvodněné, pokud splňuje některý z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) tohoto nařízení.

V této souvislosti, jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů, musí být odůvodnění stanovená v posledně uvedeném ustanovení vykládána restriktivně [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 93 a citovaná judikatura].

Soudní dvůr mimoto judikoval, že je-li možné konstatovat, že zpracování osobních údajů je nezbytné s ohledem na některý z důvodů stanovených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, není třeba zjišťovat, zda se na toto zpracování vztahuje i nějaký další z těchto důvodů [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 94, jakož i citovaná judikatura].

Soudní dvůr rovněž rozhodl, že v souladu s článkem 5 nařízení GDPR je na správci, aby prokázal, že tyto údaje jsou shromažďovány zejména pro určité, výslovně vyjádřené a legitimní účely a že jsou ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Mimoto podle čl. 13 odst. 1 písm. c) tohoto nařízení platí, že pokud se osobní údaje získávají od subjektu údajů, je správce povinen informovat ho o účelech zpracování, pro které jsou tyto údaje určeny, a o právním základu tohoto zpracování [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 95].

34	V projednávaném případě ze spisu, který má Soudní dvůr k dispozici, vyplývá, že jeho členové neudělili KNLTB souhlas ve smyslu čl. 6 odst. 1 prvního pododstavce písm. a) GDPR k tomu, aby za úplatu předal jejich osobní údaje třetím osobám, konkrétně pak společnostem TennisDirect a NLO.

Za těchto podmínek je za účelem poskytnutí užitečné odpovědi předkládajícímu soudu třeba ověřit, zda se lze ustanovení čl. 6 odst. 1 prvního pododstavce písm. f) uvedeného nařízení, jichž se žádost o rozhodnutí o předběžné otázce specificky týká, dovolávat k odůvodnění zpřístupnění takových údajů těmto třetím osobám.

V tomto ohledu je třeba připomenout, že podle čl. 6 odst. 1 prvního pododstavce písm. f) GDPR je zpracování osobních údajů zákonné, pokud je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu těchto osobních údajů.

Jak již Soudní dvůr judikoval, stanoví toto ustanovení tři kumulativní podmínky pro to, aby bylo zpracování osobních údajů zákonné, a to zaprvé sledování oprávněného zájmu správce nebo třetí strany, zadruhé nezbytnost zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu a zatřetí podmínku, aby před oprávněným zájmem správce nebo třetí strany neměly přednost zájmy nebo základní práva a svobody osoby, na kterou se vztahuje ochrana údajů [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 106, jakož i citovaná judikatura].

Pokud jde zaprvé o podmínku týkající se sledování „oprávněného zájmu“, je třeba zdůraznit, že jelikož GDPR tento pojem nedefinuje, jak již Soudní dvůr rozhodl, lze za oprávněný zájem v zásadě považovat širokou škálu zájmů [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 76].

Jak vyplývá rovněž z bodu 47 odůvodnění GDPR, který se týká pojmu „oprávněný zájem“, unijní normotvůrce k tomu, aby bylo zpracování osobních údajů prováděné správcem oprávněné ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) tohoto nařízení, nevyžadoval, aby byl zájem sledovaný správcem stanoven zákonem. Toto konstatování platí tím spíše, že daný bod odůvodnění uvádí jako příklad oprávněných zájmů, které může správce sledovat, obecně účely přímého marketingu.

40	Pojem „oprávněný zájem“ ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR se sice neomezuje na zájmy zakotvené a definované zákonem, avšak vyžaduje, aby tvrzený oprávněný zájem zákonný byl.

Mimoto je třeba připomenout, že v souladu 13 odst. 1 písm. d) GDPR je na správci, aby v okamžiku, kdy jsou osobní údaje týkající se subjektu údajů od tohoto subjektu získávány, mu sdělil sledované oprávněné zájmy, pokud je toto zpracování založeno na čl. 6 odst. 1 prvním pododstavci písm. f) tohoto nařízení [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 107].

Pokud jde zadruhé o podmínku týkající se nezbytnosti zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu, ta předkládajícímu soudu ukládá, aby ověřil, že sledovaného oprávněného zájmu na zpracování údajů nemůže být rozumně dosaženo stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv a svobod subjektů údajů, zejména pak práv na respektování soukromého života a na ochranu osobních údajů, které jsou zaručeny články 7 a 8 Listiny [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 77, jakož i citovaná judikatura].

V této souvislosti je třeba rovněž připomenout, že podmínka nezbytnosti zpracování údajů musí být posuzována společně se zásadou „minimalizace údajů“, zakotvenou v čl. 5 odst. 1 písm. c) GDPR, podle které musí být osobní údaje „přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány“ [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 109, jakož i citovaná judikatura].

A konečně, pokud jde zatřetí o podmínku, že zájmy nebo základní práva a svobody osoby, na kterou se vztahuje ochrana údajů, nemají přednost před oprávněným zájmem správce nebo třetí osoby, Soudní dvůr již rozhodl, že tato podmínka zahrnuje vyvážení protichůdných práv a zájmů, které v zásadě závisí na konkrétních okolnostech každého jednotlivého případu, a že je tedy na předkládajícím soudu, aby toto vyvážení provedl s přihlédnutím k těmto specifickým okolnostem [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 110 a citovaná judikatura].

Mimoto bod 47 odůvodnění GDPR uvádí, že zájmy a základní práva subjektu údajů mohou mít přednost před zájmy správce zejména tehdy, jestliže ke zpracování osobních údajů dochází za okolností, kdy subjekty údajů jejich další zpracování důvodně neočekávají [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 112].

V konečném důsledku je sice na předkládajícím soudu, aby posoudil, zda jsou v souvislosti se zpracováním osobních údajů dotčeným ve věci v původním řízení splněny všechny tři podmínky připomenuté v bodě 37 tohoto rozsudku, Soudní dvůr však při rozhodování o předběžné otázce může přijít s upřesněním, aby prvně uvedenému soudu poskytl vodítko k tomuto určení [rozsudky ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 96, jakož i ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 81 a citovaná judikatura].

Pokud jde v projednávané věci zaprvé o podmínku týkající se sledování oprávněného zájmu správcem nebo třetí osobou ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, předkládající soud odkazuje na finanční zájem správce, a sice sportovního svazu jako je KNLTB, spočívající v předání osobních údajů jeho členů za úplatu třetím osobám, tedy v projednávaném případě společnosti, která prodává sportovní zboží, a poskytovateli hazardních a kasinových her v Nizozemsku, pro reklamní nebo marketingové účely, zejména pak za účelem zasílání reklamních a propagačních sdělení těmto členům.

V tomto ohledu Soudní dvůr nevyloučil, že finanční zájem správce spočívající v podpoře prodeje a prodeji reklamního prostoru k marketingovým účelům může být považován za oprávněný zájem ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR (obdobně viz rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 73).

Za těchto podmínek by takový finanční zájem správce, jako je zájem uvedený v bodě 47 tohoto rozsudku, mohl představovat oprávněný zájem ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, pokud by nebyl v rozporu se zákonem. Je však na předkládajícím soudu, aby v každém jednotlivém případě posoudil existenci takového zájmu s přihlédnutím k použitelnému právnímu rámci a veškerým okolnostem věci.

V případě, že by byl takový zájem považován za oprávněný, bylo by k tomu, aby sledování tohoto zájmu mohlo umožnit zpracování osobních údajů na základě čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, ještě třeba, aby správce splnil všechny ostatní povinnosti, které pro něj z tohoto nařízení vyplývají.

Pokud jde zadruhé o podmínku týkající se nezbytnosti tohoto zpracování pro naplnění uvedeného zájmu, a zejména existence stejně vhodných prostředků, které by méně zasahovaly do svobod a základních práv subjektů údajů, je třeba konstatovat, že by bylo zejména možné, aby sportovní svaz, jakým je KNLTB, který chce za úplatu předat osobní údaje svých členů třetím osobám, tyto členy předem informoval a dotázal se jich, zda souhlasí, aby jejich údaje byly těmto třetím osobám pro účely reklamy nebo marketingu předány.

Toto řešení by dotyčným členům v souladu se zásadou minimalizace údajů připomenutou v bodě 43 tohoto rozsudku umožnilo zachovat si kontrolu nad zpřístupněním osobních údajů, a omezit ho na to, co je skutečně nezbytné a relevantní s ohledem na účely, pro které jsou uvedené údaje předávány a zpracovávány (obdobně viz rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 60).

Takový postup, jako je postup popsaný v předchozím bodě, by mohl vést k menším zásahům do práva subjektů údajů na ochranu důvěrnosti osobních údajů a zároveň by správci umožnil sledovat stejně účinně oprávněný zájem, kterého se dovolává, což však musí ověřit předkládající soud (obdobně viz rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 61).

Pokud jde zatřetí o vyvažování zájmů, které musí předkládající soud provést s ohledem na konkrétní okolnosti sporu v původním řízení, uvedený soud musí zohlednit zejména rozumná očekávání subjektu údajů, jakož i rozsah předmětného zpracování a jeho dopad na tento subjekt [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 116].

V rámci takového vyvažování předkládajícímu soudu přísluší, aby ověřil, zda právo členů tenisových klubů na soukromí v souvislosti se zpracováním jejich osobních údajů, které je zakotveno v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU, může mít přednost před finančním zájmem národního tenisového svazu. Jak vyplývá z bodu 47 odůvodnění GDPR, z tohoto hlediska je třeba přikládat zvláštní význam otázce, zda tito členové mohli v okamžiku shromažďování svých osobních údajů při žádosti o členství v tenisovém klubu rozumně očekávat, že tyto údaje budou za úplatu zpřístupněny třetím osobám, v projednávaném případě sponzorům KNLTB, pro účely reklamy a marketingu.

Mimoto bude muset předkládající soud zohlednit okolnost, že dotčené údaje jsou předávány mimo jiné provozovateli hazardních a kasinových her, tedy NLO, jehož propagační a marketingové akce jsou sice legitimní, avšak probíhají v kontextu, který se na rozdíl od toho, co vyplývá z bodu 47 odůvodnění GDPR, podle všeho nevyznačuje existencí relevantního a odpovídajícího vztahu mezi subjekty údajů a správcem. Za určitých okolností by navíc zpracování takových údajů mohlo mít na dotčené členy tenisových klubů neblahé dopady, jelikož uvedené akce mohou tyto členy vystavit rizikům spojeným s rozvojem hráčské závislosti.

S ohledem na výše uvedené je třeba na předběžné otázky odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. f) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů, které spočívá v předání osobních údajů členů sportovního svazu za úplatu pro uspokojení finančního zájmu správce, může být považováno za nezbytné pro účely oprávněných zájmů tohoto správce ve smyslu tohoto ustanovení pouze pod podmínkou, že je toto zpracování nezbytně nutné pro naplnění dotčeného oprávněného zájmu a že s ohledem na všechny relevantní okolnosti nemají zájmy nebo základní práva a svobody těchto členů před tímto oprávněným zájmem přednost. Uvedené ustanovení sice nepožaduje, aby byl takový zájem stanoven zákonem, avšak vyžaduje, aby byl tvrzený oprávněný zájem zákonný.

K nákladům řízení

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (devátý senát) rozhodl takto:

Článek 6 odst. 1 první pododstavec písm. f) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

musí být vykládán v tom smyslu, že

zpracování osobních údajů, které spočívá v předání osobních údajů členů sportovního svazu za úplatu pro uspokojení finančního zájmu správce, může být považováno za nezbytné pro účely oprávněných zájmů tohoto správce ve smyslu tohoto ustanovení pouze pod podmínkou, že je toto zpracování nezbytně nutné pro naplnění dotčeného oprávněného zájmu a že s ohledem na všechny relevantní okolnosti nemají zájmy nebo základní práva a svobody těchto členů před tímto oprávněným zájmem přednost. Uvedené ustanovení sice nepožaduje, aby byl takový zájem stanoven zákonem, avšak vyžaduje, aby tvrzený oprávněný zájem byl zákonný.

Podpisy

( *1 ) – Jednací jazyk: nizozemština.