2022年12月05日
荷蘭個資保護專責機關（以下簡稱DPA）於2020年判定一網路平台違法處理個人資料，直指其所依賴之「純商業（purely commercial）」利益並非GDPR定義之正當利益，故該個資之處理不具合法性。然，GDPR是否完全排除「純商業」利益作為第6(1)(f)條所指之正當利益？在經過網路平台上訴與一審判決後，今（2022）年7月27日，荷蘭最高行政法院（Administrative Jurisdiction Division of the Council of State）作成最終決定，歐洲資訊法學界引頸期盼荷蘭最高行政法院會就此提供解釋，但法院最終的結果卻讓各界略為失望。
本案的背景為荷蘭DPA於2020年7月16日，判定VoetbalTV違法處理個人資料並開罰575,000歐元。VoetbalTV為2018年創立之業餘足球影音平台，由荷蘭皇家足球協會（Royal Dutch Football Association）與媒體公司Talpa Network共同合作發起。截至2020年初，共有153個足球社團於VoetbalTV平台上註冊，每月錄製與播放約2500至3000場比賽，而VoetbalTV亦提供如社群網站之功能，約有52萬使用者在此平台上觀看足球、分析與蒐集比賽數據，並和其他平台使用者分享，而VoetbalTV亦有數據分析師透過分析軟體定期於平台上提供進球分析與精彩回顧等。
荷蘭DPA認為，GDPR第6(1)(f)條所指之正當利益（legitimate interest）不包含「純商業（purely commercial）」利益，正當利益應僅限於有法律基礎之利益，而VoetbalTV上傳、分析、分享業餘足球員之影音資料係完全為商業考量，故該處理個資之行為並不具合法性；相反地，VoetbalTV則是認為正當利益應指不違反法律之利益，並上訴荷蘭DPA之決定。同（2020）年11月23日，荷蘭Midden-Nederland地方法院認為荷蘭DPA錯誤解讀正當利益之意涵，指出歐盟法院尚未針對何為正當利益提供明確解釋，且佐審官Bobek亦曾指出正當利益之概念應具有彈性（flexible）。據此，荷蘭DPA向荷蘭最高行政法院提起上訴。
荷蘭最高行政法院首先指出，針對被處理利用之（包括未成年）業餘足球運動員資料，這些資料屬GDPR定義之個人資料，VoetbalTV為GDPR定義之資料控管者（data controller）。而其進一步強調，根據歐盟法院之判例，若要援引正當利益作為GDPR第六條處理個人資料之合法性基礎，必須通過以下三階段審查，包括（一）資料控管者所追求之利益必須為正當利益、（二）處理個人資料必須為追求該正當利益所必須、以及（三）資料控管者所追求之利益與個資主體之利益必須相平衡。
由於荷蘭DPA認為VoetbalTV在沒有取得業餘足球員之同意下，透過處理利用其比賽之影音資料賺取利潤，係為追求「純商業」利益，而這並非法律規定之利益，即未通過正當利益之第一階段審查；但VoetbalTV指稱其所追求之利益並非為「純商業」，除了利潤考量以外，其處理個資之利益尚包括增進球迷之參與程度、為球員與足球社團提供分析數據、以及為球員和其親友提供遠距觀賽之機會。
對此荷蘭最高行政法院認為，在正當利益審查之第一階段中，資料控管者必須清楚說明處理個資之利益與相對應之處理方式為何，而DPA必須評估資料控管者實際處理個資之行為，以及審查其所聲明之利益是否與此相符；而針對VoetbalTV所提出的其他利益——明顯為非商業之利益——荷蘭DPA並沒有進行完整評估。因此，對於純商業利益是否為正當利益，荷蘭最高行政法院在本案中認為沒有討論之必要，故維持地方法院之判決。
值得一提的是，本案亦引起歐盟執委會（European Commission）之關注，在給予荷蘭DPA之公開信中，歐盟執委會直接闡明荷蘭DPA對正當利益之嚴格解釋並不符合GDPR、Article 29 Working Party（或EDPB）之指引、或歐盟法院之判例。
雖然在荷蘭最高行政法院作成VoetbalTV一案後，歐洲諸多資訊法學者紛紛表示惋惜，認為其迴避討論純商業利益是否屬GDPR下之正當利益，亦無向歐盟法院提起先行判決（preliminary ruling）；然而，其在今（2022）年十月透過另一案（荷蘭網球協會出售會員個資給贊助商而遭荷蘭DPA開罰525,000歐元）請求歐盟法院釐清相關問題，包括純商業利益是否為正當利益？在特定情況下，若沒有個資主體同意，以個資向第三方換取利潤是否得為正當利益？如何判定在哪些情況下純商業利益得為正當利益？而後續值得繼續觀察。
資料來源
Autoriteit Persoonsgegevens v VoetbalTV B.V. (2022) ECLI:NL:RVS:2022:2173
延伸閱讀
- Purely Commercial Interest also a Legitimate Interest? Council of State Leaves the Question Unanswered, Stibbe (Aug. 3, 2022), https://www.stibbe.com/publications-and-insights/purely-commercial-interest-also-a-legitimate-interest-council-of-state.
- Dutch Court refers preliminary questions to the CJEU about the scope of legitimate interest, Federation of European Data and Marketing (Oct. 6, 2022), https://www.fedma.org/2022/10/dutch-court-refers-preliminary-questions-cjeu-scope-legitimate-interest.
- European Commission, Ref. Ares(2020)1417369-06/03/2020.