合法权益：欧盟法院新裁决挑战荷兰当局的严格解释

fabiha01

2024 年 10 月 4 日，欧洲联盟法院 (CJEU)对 C-621/22 号案件作出裁决，解决纯粹的商业利益是否可以成为第 6 条规定下处理个人数据的合法利益。 1 升f 通用数据保护条例 (GDPR)。这一决定挑战了荷兰数据保护局（DPA）近年来采取的严格立场，该立场认为商业利益不能成为未经同意处理个人数据的有效依据。这项裁决对于那些在获得同意方面面临挑战并可能从依赖合法利益中受益的企业来说是一个重要举措。

案件背景
英国皇家草地网球联合会 (KNLTB) 因在未获得会员同意的情况下与赞助商共享数据而被荷兰数据保护机构处以 525,000 欧元的罚款。这一以付款为目的的行为被视为违反了 GDPR。 DPA 得出结论，由于 KNLTB 的行为纯粹出于商业目的，因此不符合 GDPR 规定的合法利益。该裁决与荷兰的其他案件（例如 VoetbalTV）一致，荷兰数据保护机构严格解释合法利益不适用于纯商业目的，这往往会损害企业的利益。

荷兰国家网球协会 (KNLTB) 对数据保护机构 (DPA) 的决定提出质疑，声称出于赞助目的共享会员数据有助于加强双方的联系，并“以合作伙伴的折扣和优惠形式为其会员提供附加价值”。国家法院要求欧洲法院澄清，纯粹的商业利益（例如 KNLTB 所声称的利益）是否可以根据 GDPR 被视为合法。

KNLTB 案件已提交至阿姆斯特丹地方法院，该法院寻求欧洲法院的指导。

欧盟法院裁决：更广泛的解读
欧洲法院的裁决并未直接回答初步问题，但它明确表明了挑战荷兰数据保护机构严格解释的立场。法院强调，西班牙商业传真列表 合法利益不需要载入法律，只要满足所有其他数据保护义务，商业利益确实可以被视为合法利益。具体而言，法院概述了基于合法利益的数据处理合法性必须满足的三个累积条件：

控制者或第三方追求合法利益（追求合法利益）。
数据处理必须对于追求的合法利益是必要的，这意味着它不能通过其他侵入性较小的方式有效地实现（处理的必要性）。
数据主体的利益或基本自由和权利不得优先于控制者或第三方的合法利益（权利平衡）。
法院还引用了先前的判例法，包括Schufa Holding和Meta Platforms案件，这些案件支持广泛的利益在 GDPR 下可能合法。这项裁决在明确符合条件的利益类型方面迈出了重要一步，使企业的运营方式更加灵活，同时尊重数据保护标准。

为了强化其立场，欧盟法院引用了 GDPR 第 47 条，该条款确认合法利益不需要立法支持：

“控制者的合法利益，包括可能向其披露个人数据的控制者的合法利益，或第三方的合法利益，可以为处理提供法律依据，前提是数据主体的利益或基本权利和自由不是压倒性的，同时考虑到数据主体基于其与控制者的关系的合理期望。”

从实际意义上讲，这意味着如果商业利益符合数据主体的期望并且不损害其权利，则可以构成数据处理的合法基础。

欧盟法院还提及了先前的裁决，例如2014 年的欧盟法院谷歌西班牙案，该裁决确认“法院并未排除控制者为营销目的推广和销售广告空间的商业利益可能被视为合法利益的可能性”，前提是此类利益并不违法。

对业务和数据保护的影响
欧洲法院的裁决强调了采取平衡的数据保护方法的必要性。虽然它重申商业利益可以作为第 6 条规定下数据处理的基础。 1 升f，它还强调了不凌驾于数据主体权利之上的重要性。这一决定对于企业来说尤其有价值，因为它扩大了合法利益的范围。

欧盟企业的积极转变
虽然这只是一项初步裁决，但欧洲法院的裁决提供了宝贵的指导。这表明 GDPR 的目标是保护个人权利，同时又不必要地妨碍商业运营。

鉴于这项裁决，欧盟各地的企业可以重新考虑如何基于合法利益（特别是出于商业目的）处理数据。公司应按照 GDPR 的建议，在数据保护官或专家的帮助下进行合法利益评估(LIA)，以确保合规性并采取平衡的方式保护数据权利。