CJEU: a commercial interest can be a legitimate interest

Dutch version will be followed by the English version

CJEU: a commercial interest can be a legitimate interest

On 4 October 2024, the Court of Justice of the European Union (CJEU) rendered its long-awaited decision on the interpretation of legitimate interest as a legal basis for data processing (Article 6(1)(f) GDPR). The CJEU confirms, contrary to the position taken by the Dutch DPA, that a commercial interest can serve as a legitimate interest for data processing under the GDPR, as long as GDPR requirements are met.

The CJEU decision was rendered further to a request for a preliminary ruling submitted by the Amsterdam district court in appeal proceedings initiated by the Royal Dutch Lawn Tennis Association (Koninklijke Nederlandse Lawn Tennis Bond) against the Dutch DPA (Autoriteit Persoonsgegevens). The Dutch DPA had sanctioned the tennis association for selling personal data of its members on the basis of legitimate interest. According to the DPA, only interests enshrined in law, and not purely commercial interests, can qualify as legitimate interests for data processing. This very strict interpretation was criticized by many, including by the European Commission (in this letter). The tennis association appealed the Dutch DPA’s enforcement decision before the Amsterdam court, which turned to the CJEU for clarification.

The CJEU refers to the three cumulative conditions that must be fulfilled to rely on the legitimate interest legal basis for processing: (1) the pursuit of a legitimate interest, (2) a need to process personal data for the legitimate interest pursued, and (3) the interests or fundamental freedoms and rights of the person(s) concerned are not overridden the legitimate interests. With respect to the first condition, the court reiterates that a wide range of interests can be legitimate interests and that such interests do not need to be determined by law to be legitimate. It clarifies, contrary to the DPA’s position, that a commercial interest can be a legitimate interest for data processing, as long as GDPR requirements are met.

Lusha welcomes the CJEU decision as it supports our view that our and our customers’ business interests can be relied upon as legitimate interests for data processing. We take a serious and comprehensive approach to privacy compliance. For more information about our privacy practices, please visit our Trust Center or download our full whitepaper (in English).

HvJEU: een commercieel belang kan een gerechtvaardigd belang zijn

Op 4 oktober 2024 heeft het Hof van Justitie van de Europese Unie (HvJEU) haar langverwachte uitspraak gedaan over de interpretatie van het gerechtvaardigd belang als grondslag voor de verwerking van persoonsgegevens (Artikel 6(1)(f) AVG). Het HvJEU bevestigt, in tegenstelling tot de positie van de Autoriteit Persoonsgegevens, dat een commercieel belang kan dienen als gerechtvaardigd belang voor de verwerking van persoonsgegevens, mits de vereisten van de AVG worden nageleefd.

Het HvJEU kwam tot dit oordeel naar aanleiding van een verzoek om een prejudiciële beslissing van de rechtbank Amsterdam in een hoger beroep procedure ingesteld door de Koninklijke Nederlandse Lawn Tennisbond tegen de Autoriteit Persoonsgegevens. De Autoriteit Persoonsgegevens had de tennisbond een boete opgelegd voor het verkopen van persoonsgegevens van haar leden op basis van het gerechtvaardigd belang. Volgens de Autoriteit Persoonsgegevens kunnen alleen belangen die voortvloeien uit de wet, en niet zuiver commerciële belangen, in aanmerking komen als gerechtvaardigd belang voor de verwerking van persoonsgegevens. Op deze strikte interpretatie is door velen kritiek geuit, waaronder door de Europese Commissie (in deze brief). De tennisbond stelde beroep in tegen het sanctiebesluit van de Autoriteit Persoonsgegevens bij de Amsterdamse rechtbank, die zich wendde tot het HvJEU voor uitleg.

Het HvJEU verwijst naar de drie cumulatieve criteria die moeten worden vervuld om een beroep te kunnen doen op de gerechtvaardigd belang grondslag voor gegevensverwerking: (1) de behartiging van een gerechtvaardigd belang, (2) de noodzaak om persoonsgegevens te verwerken voor dat belang en (3) de belangen of de fundamentele vrijheden en de grondrechten van de betrokkene(n) wegen niet zwaarder dan het gerechtvaardigde belang. Met betrekking tot het eerste criteria benadrukt het HvJEU dat een breed scala aan belangen gerechtvaardigde belangen kunnen zijn en dat die belangen niet in de wet hoeven te zijn vastgelegd om gerechtvaardigd te zijn. Het HvJEU verheldert, haaks op de positie van de Autoriteit Persoonsgegevens, dat een commercieel belang een gerechtvaardigd belang kan zijn voor gegevensverwerking, zo lang de vereisten van de AVG worden nageleefd.

Lusha is verheugd over de beslissing van het HvJEU die onze positie ondersteunt dat de bedrijfsbelangen van ons en onze klanten kunnen dienen als gerechtvaardigde belangen voor gegevensverwerking. Wij hebben een serieuze en uitgebreide aanpak op het gebied van privacy compliance. Voor meer informatie over onze privacy praktijken, bezoek ons Trust Center of download ons volledige whitepaper (in het Engels).