直近10月4日付にて、欧州連合司法裁判所は、アムステルダム第一審裁判所から照会案件C-621/22号EU一般データ保護規則（以下「GDPR」）第6条の解釈に関す予備判決を下した。
当該照会は、オランダ王立テニス協会(Koninklijke Nederlandse Lawn Tennis Bond)(以下「本件協会」)とオランダ国内のデータ保護当局(Autoriteit Persoonsgegevens)間に起こった紛争に関連して実行されたものである。
2018年、本件協会は、本件協会会員の個人データを、スポンサーである2つの企業に提供した。一社は、スポーツ用品販売会社、もう一社はオランダ国内最大のギャンブル・カジノゲームのプロバイダーであった。
電話によるキャンペーンプロモーションの目的で提供された個人データには、会員の氏名、自宅住所等に加え、生年月日、固定及び携帯電話番号、電子メールアドレス、会員が所属するテニスクラブ名が含まれていた。
本件協会会員が提出した数件の告発に基づき、オランダデータ保護当局は、本件協会に対し525,000ユーロの制裁金を科した。同協会は、これを不服として、データコミュニケーションは本件協会と会員とのつながりを作り、会員に有利なオファーの提供という正当な利益に基づいていると主張し、アムステルダム第一審裁判所に裁判を提起した。
アムステルダム第一審裁判所は、GDPR第6条1項第1号(f)に定める「正当な利益」というコンセプトの適切な解釈のため、裁判手続を一時停止し、以下の内容の照会を欧州連合司法裁判所に付託し、予備的判決を求めた。
- GDPR第6条第1項第1号(f)の意味における「正当な利益」のコンセプトを、付託裁判所はどのように解釈すべきであるか。
- そのコンセプトは被告が主張するように解釈されるべきものであるのか。つまり、法の一部である利益、法である利益、法で定義された利益のみを指すのか。
- 法に反しなければ、あらゆる利益が正当な利益となりえるのか。具体例をあげると、特定の状況においては、純粋に商業的な利益や、本件で問題視されている利益のような、データ主体の同意なしに個人データ情報を対価として提供することは、正当な利益を構成するものと見なすことができるか。もしこれを肯定するのであれば、どのような状況下では、純粋に商業的利益が正当な利益を構成すると言えるのか。
欧州連合司法裁判所は、付託された予備的照会に対し、以下のように回答した。
正当な利益の解釈について、正当な利益とは広範な概念で、かつ、法において定義された利益に限定されるものではなく、商業的利益も含み得る事もあり、常に適法性、透明性、公平性の要件を満たさなければならないと指摘した。
「必要な最小限データ」の原則については、データ処理のための「正当な利益」は、プライバシー権と個人データの保護に特に重点を置きながら、データ処理における「正当な利益」が、より侵害の少ない他の方法によって等しく効果的な方法で達成されない可能性があることを検証しなければならないと結論づけた。同様に、データ主体に情報を提供し、個人データ管理を容易にすることの重要性を再度強調した。
どのような利益が適法と見做されるかとい照会に対しては、データ処理に関する範囲と影響だけでなく、データ主体の合理的な期待を考慮しなければならないと回答した。本件協会会員は、自身の個人データが広告目的でスポンサーと共有されることを合理的に期待し得るかどうかを評価することは非常に重要である。
欧州連合司法裁判所は、正当な利益は、データ主体の同意なしに個人データを処理する自動的な根拠とはなり得ず、いかなる場合にも具体的な分析が必要であるとの判断を示した。同様に、個人データ保護の権利は、厳密には必要とされていない、もしくは比例的でもない経済的利益のために犠牲になってはならないと結論づけた。
ヴィラ・オスカル (Oscar Vilá)
ヴィラ法律事務所
より詳細な情報につきましては下記までご連絡ください。
va@vila.es
2024年10月31日
