62022CJ0621 DOMSTOLENS DOM (nionde avdelningen) den 4 oktober 2024 ( *1 ) ”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5.1 a – Laglig behandling – Artikel 6.1 första stycket f – Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen – Begreppet berättigade intressen – Kommersiellt intresse – Idrottsförbund – Utlämning mot ersättning av personuppgifter om medlemmar i ett idrottsförbund till sponsorer utan medlemmarnas samtycke” I mål C‑621/22, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av rechtbank Amsterdam (domstolen i Amsterdam, Nederländerna) genom beslut av den 22 september 2022, som inkom till domstolen den 29 september 2022, i målet Koninklijke Nederlandse Lawn Tennisbond mot Autoriteit Persoonsgegevens, meddelar DOMSTOLEN (nionde avdelningen) sammansatt av avdelningsordföranden Kennedy, samt domarna Turner och Baldwin (referent), generaladvokat: Bell, justitiesekreterare: A. Howell, efter det skriftliga förfarandet, med beaktande av de yttranden som avgetts av: – Koninklijke Nederlandse Lawn Tennisbond, genom E.W.S. Peperkamp, Mcintyre och S.E.A. Vermeer-de Jongh, advocaten, – Autoriteit Persoonsgegevens, genom M.H.L. Hemmer och Williams, advocaten, – Nederländernas regering, genom M. Bulterman och Williams, båda i egenskap av ombud, – Italiens regering, av Figueroa i egenskap av ombud, biträdd av E. De Bonis, avvocato dello Stato, – Europeiska kommissionen, av Hanna och Francis, båda i egenskap av ombud, med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande, följande Dom 1 Begäran om förhandsavgörande avser tolkningen av artikel 6.1 första stycket f i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ( EUT L 119, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35 ) (nedan kallad dataskyddsförordningen). 2 Begäran har framställts i ett mål mellan Koninklijke Nederlandse Lawn Tennisbond (Kungliga Nederländska tennisföreningen) (nedan kallad KNLTB) och Autoriteit Persoonsgegevens (Dataskyddsmyndigheten, Nederländerna) (nedan kallad AP). Målet rör AP:s beslut att ålägga KNLTB böter för åsidosättande av bestämmelserna i dataskyddsförordningen. Tillämpliga bestämmelser Dataskyddsförordningen: 3 I skälen 1, 4, 10, 39 och 47 i dataskyddsförordningen anges följande: ”(1) Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. … (4) Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald. … (10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom [Europeiska] unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. … … (39) Varje behandling av personuppgifter måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas. … … (47) En personuppgiftsansvarigs berättigade intressen, inklusive intressena för en personuppgiftsansvarig till vilken personuppgifter får lämnas ut, eller för en tredje part, kan utgöra rättslig grund för behandling, på villkor att de registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre, med beaktande av de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige. Ett sådant berättigat intresse kan till exempel finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige i sådana situationer som att den registrerade är kund hos eller arbetar för den personuppgiftsansvarige. Ett berättigat intresse kräver under alla omständigheter en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. Den registrerades intressen och grundläggande rättigheter skulle i synnerhet kunna väga tyngre än den personuppgiftsansvariges intressen, om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare behandling. … Behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse.” 4 I artikel 1 i denna förordning, med rubriken ”Syfte”, föreskrivs följande i punkt 2: ”Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.” 5 I artikel 4 i nämnda förordning föreskrivs följande: ”I denna förordning avses med 1. personuppgifter : varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet, 2. behandling : en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring, … 7. personuppgiftsansvarig : en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt, … 11. samtycke av den registrerade : varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne, …” 6 I artikel 5 i nämnda förordning, med rubriken ”Principer för behandling av personuppgifter”, anges följande: ”1. Vid behandling av personuppgifter ska följande gälla: a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade ( laglighet, korrekthet och öppenhet ). b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål … c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). … 2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).” 7 Artikel 6 i dataskyddsförordningen, med rubriken ”Laglig behandling av personuppgifter”, har följande lydelse: ”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. … f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. …” 8 I artikel 13 i nämnda förordning, med rubriken ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”, föreskrivs följande i punkt 1: ”Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande: … c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. d) Om behandlingen grundar sig på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen. …” Målet vid den nationella domstolen och tolkningsfrågorna 9 Det framgår av beslutet om hänskjutande att KNLTB är ett idrottsförbund som bildats i form av en förening. Dess medlemmar utgörs av de tennisföreningar som är anslutna till sammanslutningen samt deras medlemmar. När en person blir medlem i en tennisförening som är knuten till KNLTB blir vederbörande nämligen även automatiskt medlem i KNLTB. KNLTB samarbetar med sponsorer i syfte att öka spridningen av och synliggöra tennis och för anslutning av dess medlemmar. 10 Under år 2018 lämnade KNLTB ut personuppgifter om sina medlemmar till två av sina sponsorer, nämligen Lane (nedan kallat TennisDirect), ett bolag som säljer sportprodukter, och Nederlandse Loterij Organisatie BV (nedan kallad NLO), som är den största leverantören av hasardspel och kasinospel i Nederländerna. KNLTB erhöll ersättning från sina sponsorer för att ha lämnat ut personuppgifterna i fråga. 11 KNLTB meddelade den 11 juni 2018 TennisDirect namn, adress och hemvist för sina medlemmar i syfte att skicka ut en broschyr med erbjudanden. För att göra detta överlämnade TennisDirect i sin tur dessa uppgifter till PostNL för tryckning av denna broschyr. 12 Den 29 juni 2018 utlämnade KNLTB dessutom till NLO, förutom medlemmarnas namn, adresser och hemvist, födelsedatum, fasta telefonnummer, mobiltelefonnummer och e‑postadresser samt namnen på de tennisklubbar som medlemmarna var anslutna till. Syftet med detta utlämnande var en kampanj för telefonsamtal, inom ramen för vilken NLO överförde dessa uppgifter till callcenters som NLO hade anlitat för detta ändamål. 13 Efter klagomål från vissa av KNLTB:s medlemmar fann AP att KNLTB hade åsidosatt artikel 6.1 första stycket a och f i dataskyddsförordningen, jämförd med artikel 5.1 a i samma förordning, eftersom AP hade lämnat ut sina medlemmars personuppgifter, utan deras samtycke och utan legitim grund för att lämna ut deras uppgifter. Genom beslut av den 20 december 2019 ålade AP därför KNLTB böter på 525000 euro. 14 KNLTB överklagade detta beslut till rechtbank Amsterdam (Domstolen i Amsterdam, Nederländerna), som är den hänskjutande domstolen. 15 Även om det är ostridigt mellan parterna i det nationella målet att KNLTB inte hade inhämtat samtycke från sina enskilda medlemmar för att lämna ut deras personuppgifter till ovannämnda sponsorer och att artikel 6.1 första stycket a i dataskyddsförordningen inte kan åberopas som grund för den berörda behandlingen, hävdade KNLTB att utlämnandet av dessa uppgifter grundade sig på ett berättigat intresse i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen. Detta intresse består dels i att skapa en stark koppling mellan denna förening och dess medlemmar, dels i att kunna erbjuda ett mervärde till medlemmarnas medlemskap i form av rabatter och erbjudanden från samarbetspartners som gör det möjligt för dessa medlemmar att spela tennis till ett överkomligt och tillgängligt pris. 16 AP anser att berättigade intressen, i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen, endast är intressen som är stadfästa och fastställda i lag. Enligt AP måste det röra sig om intressen som unionslagstiftaren eller den nationella lagstiftaren anser vara skyddsvärda och som ska bedömas enligt ett ”positivt kriterium”. Något sådant föreligger dock inte i det aktuella fallet. 17 KNLTB har gjort gällande att ett berättigat intresse inte nödvändigtvis måste följa av en grundläggande rättighet eller en rättslig princip, utan att alla intressen kan utgöra ett berättigat intresse, såvida det inte strider mot lagen. Ett sådant intresse ska således bedömas enligt ett ”negativt kriterium”. 18 Under förfarandet vid den hänskjutande domstolen har det förekommit meningsutbyten mellan parterna i detta förfarande om innebörden av begreppet ”berättigat intresse” i artikel 6.1 första stycket f i dataskyddsförordningen, och särskilt om huruvida ett rent kommersiellt intresse, som består i att utan deras samtycke sälja personuppgifter om medlemmarna i en tennisförening till sponsorer för direktmarknadsföring, kan anses utgöra ett berättigat intresse. 19 Mot denna bakgrund beslutade rechtbank Amsterdam (Domstolen i Amsterdam), som hyste tvivel om hur begreppet ”berättigade intressen” i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen skulle tolkas, att vilandeförklara målet och ställa följande frågor till EU-domstolen: ”1. Hur ska [den hänskjutande domstolen] tolka termen berättigat intresse [i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen]? 2. Ska term tolkas såsom AP tolkar det? Rör det sig endast om till lagen hörande, lag utgörande, i en lag fastställda intressen? Eller: 3. Kan varje intresse vara ett berättigat intresse, så länge det intresset inte strider mot lagen? Mer specifikt, kan ett rent kommersiellt intresse och det intresse som här är i fråga, nämligen tillhandahållande av personuppgifter mot betalning utan den berörda personens samtycke, under vissa omständigheter anses utgöra ett berättigat intresse? Mer specifikt, kan ett rent kommersiellt intresse och det intresse som här är i fråga, nämligen tillhandahållande av personuppgifter mot betalning utan den berörda personens samtycke, under vissa omständigheter anses utgöra ett berättigat intresse? Om så är fallet, vilka omständigheter avgör huruvida ett rent kommersiellt intresse är ett berättigat intresse?” Förfarandet vid domstolen 20 Genom beslut av den 3 maj 2023 vilandeförklarade domstolens ordförande förevarande mål i avvaktan på det slutliga avgörandet i mål C‑252/21, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor). 21 I enlighet med beslut av domstolens ordförande av den 3 augusti 2023, informerade domstolens kansli den hänskjutande domstolen om domen av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor) ( C‑252/21 , EU:Hawkins ), och ombad den att ange om den, mot bakgrund av nämnda dom, vidhöll sin begäran om förhandsavgörande. För det fall begäran skulle delvis återkallas, Baldwin den hänskjutande domstolen ange skälen för att en del av begäran vidhölls. 22 Genom skrivelse som inkom till domstolens kansli den 14 februari 2024 uppgav den hänskjutande domstolen att den vidhöll sin begäran om förhandsavgörande. Prövning av tolkningsfrågorna 23 Enligt fast rättspraxis följer att det enligt det förfarande för samarbete mellan nationella domstolar och EU-domstolen som införts genom artikel 267 FEUF, ankommer på EU-domstolen att ge den nationella domstolen ett användbart svar, som gör det möjligt för den domstolen att avgöra det mål som den ska pröva. I detta syfte kan EU-domstolen behöva omformulera de frågor som hänskjutits (dom av den 20 juni 2024, Greislzel, C‑35/23 , EU:C:2024:532 , punkt 39 och där angiven rättspraxis). 24 I förevarande fall avser tolkningsfrågorna huruvida det är möjligt att med stöd av artikel 6.1 första stycket f i dataskyddsförordningen motivera att en idrottsförening, i utbyte mot ersättning, lämnar ut sina medlemmars personuppgifter till sponsorer till föreningen för säljfrämjande åtgärder. 25 Av detta följer att den hänskjutande domstolen har ställt sina tolkningsfrågor, vilka ska besvaras tillsammans, för att få klarhet i huruvida artikel 6.1 första stycket f dataskyddsförordningen ska tolkas så, att en behandling av personuppgifter som består i utlämnande mot ersättning av personuppgifter om medlemmarna i ett idrottsförbund, i syfte att tillgodose den personuppgiftsansvariges kommersiella intressen, kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i den mening som avses i denna bestämmelse, och huruvida det enligt denna bestämmelse krävs att ett sådant intresse ska fastställas i lag. 26 För att besvara dessa frågor ska det inledningsvis erinras om att syftet med dataskyddsförordningen, såsom det framgår av artikel 1 samt skälen 1 och 10 i förordningen, bland annat består i att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privat- och familjelivet med avseende på behandling av personuppgifter, vilken är stadfäst i artikel 8.1 i stadgan och i artikel 16.1 FEUF (dom av den 7 mars 2024, IAB, Oliver , EU:C:2024:214 , punkt 53 och där angiven rättspraxis). 27 I enlighet med detta syfte ska all behandling av personuppgifter vara förenlig med de principer som reglerar behandlingen av sådana uppgifter som anges i artikel 5 i förordningen och uppfylla de laglighetsvillkor som anges i artikel 6 i samma förordning (se, för ett liknande resonemang, dom av den 6 oktober 2020, La Quadrature du Net m.fl., Calhoun, Munoz och Howard , EU:C:2020:791 , punkt 208 , och dom av den 11 juli 2024, Meta Platforms Ireland (Action représentative), C‑757/22 , EU:C:2024:598 , punkt 49 ). 28 Det ska i detta hänseende betonas att enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. 29 Såsom domstolen har slagit fast anges i artikel 6.1 första stycket i GDPR en uttömmande och fullständig förteckning av de fall i vilka en behandling av personuppgifter kan anses laglig. För att en behandling ska anses vara laglig måste den omfattas av något av de fall som föreskrivs i den bestämmelsen (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 90 ). 30 Enligt artikel 6.1 första stycket a i dataskyddsförordningen är behandling av personuppgifter laglig om och i den utsträckning som den registrerade har lämnat sitt samtycke till detta för ett eller flera särskilda ändamål. Har något sådant samtycke inte lämnats eller har samtycket inte lämnats på ett frivilligt, specifikt, informerat och otvetydigt sätt, i den mening som avses i artikel 4.11 i dataskyddsförordningen, är behandlingen trots detta laglig om den uppfyller något av nödvändighetsgrunderna i artikel 6.1 första stycket b–f i nämnda förordning. 31 Laglighetsgrunderna i sistnämnda bestämmelse innebär att en behandling av personuppgifter som utförs utan att den registrerade lämnat sitt samtycke blir lagenlig. De måste därför tolkas restriktivt (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 93 och där angiven rättspraxis). 32 Domstolen har dessutom funnit att när det går att konstatera att en behandling av personuppgifter är nödvändig enligt någon av laglighetsgrunderna i artikel 6.1 första stycket b–f i dataskyddsförordningen, så finns det inte anledning att pröva huruvida behandlingen även omfattas av någon annan laglighetsgrund (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 94 och där angiven rättspraxis). 33 Domstolen har även slagit fast att enligt artikel 5 i dataskyddsförordningen är det den personuppgiftsansvarige som bland annat ska kunna visa att uppgifterna samlats in för särskilda, uttryckligt angivna och berättigade ändamål och att de behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Enligt artikel 13.1 c i dataskyddsförordningen ska den personuppgiftsansvarige, i samband med att personuppgifterna samlas in från den registrerade, informera vederbörande om ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 95 ). 34 I förevarande fall framgår det av handlingarna i målet att KNLTB:s medlemmar inte har samtyckt, i den mening som avses i artikel 6.1 första stycket a i dataskyddsförordningen, till att KNLTB mot betalning lämnar ut personuppgifter som rör dem till tredje man, bland annat TennisDirect och NLO. 35 För att ge den hänskjutande domstolen ett användbart svar ska det under dessa omständigheter kontrolleras huruvida bestämmelserna i artikel 6.1 första stycket f i denna förordning, vilka särskilt avses i begäran om förhandsavgörande, kan åberopas för att motivera att sådana uppgifter lämnas ut till dessa tredje parter. 36 Det ska erinras om att enligt artikel 6.1 första stycket f i dataskyddsförordningen ska behandling av personuppgifter vara laglig om behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. 37 Såsom domstolen redan har slagit fast föreskrivs det i denna bestämmelse tre kumulativa villkor för att personuppgiftsbehandling ska vara tillåten. För det första ska den personuppgiftsansvarige eller tredje part eftersträva ett berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det aktuella berättigade intresset. För det tredje ska intressena eller de grundläggande fri- och rättigheterna för den person vars personuppgifter ska skyddas inte väga tyngre än den personuppgiftsansvariges eller tredje parts berättigade intresse (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 106 och där angiven rättspraxis). 38 För det första, vad gäller villkoret att ett ”berättigat intresse” ska eftersträvas, ska det understrykas att i avsaknad av en definition av detta begrepp i dataskyddsförordningen kan, såsom domstolen redan har slagit fast, ett stort antal intressen i princip anses vara berättigade (se, för ett liknande resonemang, dom av den 7 december 2023, SCHUFA Holding (Skuldavskrivning), C‑26/22 och C‑64/22 , EU:C:2023:958 , punkterna 111 och 76 ) 39 Såsom även framgår av skäl 47 i dataskyddsförordningen, som avser begreppet ”berättigade intressen”, har unionslagstiftaren inte krävt att det intresse som en personuppgiftsansvarig eftersträvar ska vara föreskrivet i lag för att den personuppgiftsansvariges behandling av personuppgifter ska vara laglig i den mening som avses i artikel 6.1 första stycket f i förordningen. Detta konstaterande gäller i än högre grad eftersom syftet med direktmarknadsföring i allmänhet anges i detta skäl som ett exempel på berättigade intressen som en personuppgiftsansvarig kan eftersträva. 40 Även om begreppet ”berättigat intresse”, i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen, inte är begränsat till intressen som är stadfästa och fastställda i lag, kräver det emellertid att det åberopade berättigade intresset är lagligt. 41 Vad vidare beträffar villkoret att det ska föreligga ett berättigat intresse, preciserar domstolen att enligt artikel 13.1 d i dataskyddsförordningen ska den personuppgiftsansvarige, i samband med att personuppgifter samlas in från den registrerade, informera denna om vilka berättigade intressen som eftersträvas, när behandlingen baseras på artikel 6.1 f i nämnda förordning (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 107 ). 42 För det andra, när det gäller villkoret att behandlingen måste vara nödvändig för att tillgodose det berättigade intresse som eftersträvas, innebär detta villkor att den hänskjutande domstolen ska kontrollera att det berättigade intresse som eftersträvas med behandlingen av personuppgifter inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd av personuppgifter som garanteras i artiklarna 7 och 8 i stadgan (dom av den 7 december 2023, SCHUFA Holding (Skuldavskrivning), C‑26/22 och C‑64/22 , EU:C:2023:958 , punkt 77 och där angiven rättspraxis). 43 Det ska i detta sammanhang även erinras om att villkoret om att behandlingen ska vara nödvändig ska prövas tillsammans med principen om ”uppgiftsminimering” i artikel 5.1 c i dataskyddförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 109 och där angiven rättspraxis). 44 För det tredje, beträffande villkoret att intressena och de grundläggande fri- och rättigheterna för den person vars personuppgifter ska skyddas inte får väga tyngre än den personuppgiftsansvariges eller tredje parts berättigade intresse, har domstolen redan funnit att detta villkor innebär en avvägning mellan de aktuella rättigheter och intressen som står emot varandra, vilken i princip beror på de konkreta omständigheterna i det enskilda fallet. Det ankommer därför på den hänskjutande domstolen att bedöma dessa specifika omständigheter (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 110 och där angiven rättspraxis). 45 I skäl 47 i dataskyddsförordningen anges vidare att den registrerades intressen och grundläggande rättigheter i synnerhet kan väga tyngre än den personuppgiftsansvariges intressen, om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon sådan behandling (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 112 ). 46 Även om det i sista hand ankommer på den nationella domstolen att avgöra huruvida de tre villkor som avses i punkt 37 ovan är uppfyllda med avseende på den behandling av personuppgifter som är i fråga i målen vid den nationella domstolen, så har EU-domstolen dock möjlighet, när den meddelar ett förhandsavgörande, att tillhandahålla klargöranden för att vägleda den nationella domstolen i dess bedömning (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 96 , och dom av den 7 december 2023, SCHUFA Holding (Skuldavskrivning), C‑26/22 och C‑64/22 , EU:C:2023:958 , punkt 81 och där angiven rättspraxis). 47 Vad gäller villkoret att den personuppgiftsansvarige eller tredje man ska ha ett berättigat intresse i saken, i den mening som avses i artikel 6.1 första stycket f dataskyddsförordningen, har den hänskjutande domstolen hänvisat till den personuppgiftsansvariges, det vill säga ett idrottsförbund såsom KNLTB, kommersiella intresse, som består i att mot ersättning lämna ut sina medlemmars personuppgifter till tredje man, det vill säga i det aktuella fallet ett bolag som säljer sportprodukter och en leverantör av hasardspel och kasinospel i Nederländerna, i reklamsyfte eller marknadsföringssyfte, i synnerhet i syfte att sända reklammeddelanden och marknadsföring till medlemmarna. 48 Domstolen har i detta avseende inte uteslutit att den personuppgiftsansvariges kommersiella intresse, som består i marknadsföring och försäljning av reklamutrymme i marknadsföringssyfte, kan anses utgöra ett berättigat intresse i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen (se, analogt, dom av den 13 maj 2014, Google Spain och Google, C‑131/12 , EU:C:2014:317 , punkt 73 ). 49 Under dessa omständigheter kan ett kommersiellt intresse hos den personuppgiftsansvarige, såsom det som anges i punkt 47 ovan, utgöra ett berättigat intresse i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen, förutsatt att det inte strider mot lagen. Det ankommer emellertid på den hänskjutande domstolen att från fall till fall bedöma huruvida ett sådant intresse föreligger med beaktande av tillämpliga bestämmelser och samtliga omständigheter i målet. 50 För det fall ett sådant intresse anses vara berättigat, ska den personuppgiftsansvarige, för att strävan efter detta intresse ska kunna möjliggöra en behandling av personuppgifter enligt artikel 6.1 första stycket f dataskyddsförordningen, uppfylla alla andra skyldigheter som åligger denne enligt denna förordning. 51 Vad vidare gäller villkoret att behandlingen ska vara nödvändig för att tillvarata nämnda intresse och, i synnerhet, förekomsten av medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter och som är lika lämpliga, konstaterar domstolen att det bland annat är möjligt för ett idrottsförbund som KNLTB, som vill lämna ut sina medlemmars personuppgifter mot ersättning till tredje man, att i förväg informera sina medlemmar och fråga dem om de vill att deras uppgifter ska lämnas ut till tredje man för reklam eller marknadsföring. 52 Denna lösning skulle göra det möjligt för de berörda medlemmarna att, i enlighet med den ovan i punkt 43 nämnda principen om uppgiftsminimering, bevara kontrollen över utlämnandet av deras personuppgifter och på så sätt begränsa utlämnandet av dessa till vad som faktiskt är nödvändigt och relevant med hänsyn till de ändamål för vilka uppgifterna utlämnas och behandlas (se, analogt, dom av den 12 september 2024, Montgomery Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22 , EU:C:2024:738 , punkt 60 ). 53 Ett sådant förfarande som det som beskrivs i föregående punkt skulle kunna utgöra en åtgärd som är mindre ingripande i den registrerades rätt till skydd av konfidentialiteten för personuppgifter, samtidigt som den gör det möjligt för den personuppgiftsansvarige att på ett lika effektivt sätt tillgodose det berättigade intresset hos den berörda tredje parten – något som det emellertid ankommer på den hänskjutande domstolen att kontrollera (se, analogt, dom av den 12 september 2024, Montgomery Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22 , EU:C:2024:738 , punkt 61 ). 54 Vad slutligen gäller den intresseavvägning som det ankommer på den hänskjutande domstolen att göra mot bakgrund av de specifika omständigheterna i det nationella målet, ska den hänskjutande domstolen bland annat ta hänsyn till den registrerades rimliga förväntningar, omfattningen av den aktuella behandlingen och dess inverkan på den registrerade (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt närverks användarvillkor), C‑252/21 , EU:Hawkins , punkt 116 ). 55 Inom ramen för en sådan avvägning ankommer det på den hänskjutande domstolen att pröva huruvida den rätt till skydd för privatliv som tillkommer medlemmar i tennisföreningar med avseende på behandlingen av deras personuppgifter, vilka slås fast i artikel 8.1 i stadgan och artikel 16.1 FEUF, kan väga tyngre än ett nationellt tennisförbunds kommersiella intresse. Mot denna bakgrund ska, såsom framgår av skäl 47 i dataskyddsförordningen, särskild vikt fästas vid frågan huruvida dessa medlemmar, vid tidpunkten för insamlingen av deras personuppgifter för att bli medlemmar i en tennisförening, rimligen kunde förvänta sig att dessa uppgifter skulle lämnas ut mot ersättning till tredje man, i förevarande fall till sponsorer vid KNLTB, i reklam- och marknadsföringssyfte. 56 Den hänskjutande domstolen ska dessutom beakta den omständigheten att de aktuella uppgifterna bland annat överförs till en leverantör av hasardspel och kasinospel, såsom NLO, vars reklam och marknadsföring, även om den är laglig, utförs i ett sammanhang som, i motsats till vad som följer av skäl 47 i dataskyddsförordningen, inte tycks kännetecknas av ett relevant och lämpligt förhållande mellan de registrerade och den personuppgiftsansvarige. Dessutom skulle behandlingen av sådana uppgifter under vissa omständigheter kunna ha en negativ inverkan på de berörda tennisföreningarnas medlemmar, eftersom denna verksamhet kan utsätta dessa medlemmar för de risker som är förknippade med utveckling av spelberoende. 57 Artikel 6.1 första stycket f DSF ska tolkas så, att en behandling av personuppgifter som består i utlämnande mot ersättning av personuppgifter om medlemmarna i ett idrottsförbund, i syfte att tillgodose den personuppgiftsansvariges kommersiella intressen, endast kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges berättigade intressen, i den mening som avses i denna bestämmelse, under förutsättning att behandlingen är absolut nödvändig för att tillgodose det aktuella berättigade intresset och att dessa medlemmars intressen eller friheter och grundläggande rättigheter, mot bakgrund av samtliga relevanta omständigheter, inte väger tyngre än detta berättigade intresse. Även om det enligt nämnda bestämmelse inte krävs att ett sådant intresse ska vara reglerat i lag, krävs det att det åberopade berättigade intresset är lagligt. Rättegångskostnader 58 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla. Mot denna bakgrund beslutar domstolen (nionde avdelningen) följande: Artikel 6.1 första stycket f i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att en behandling av personuppgifter som består i utlämnande mot ersättning av personuppgifter om medlemmarna i ett idrottsförbund, i syfte att tillgodose den personuppgiftsansvariges kommersiella intressen, endast kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges berättigade intressen, i den mening som avses i denna bestämmelse, under förutsättning att behandlingen är absolut nödvändig för att tillgodose det aktuella berättigade intresset och att dessa medlemmars intressen eller friheter och grundläggande rättigheter, mot bakgrund av samtliga relevanta omständigheter, inte väger tyngre än detta berättigade intresse. Även om det enligt nämnda bestämmelse inte krävs att ett sådant intresse ska vara reglerat i lag, krävs det att det åberopade berättigade intresset är lagligt. Underskrifter ( *1 ) Rättegångsspråk: nederländska.