CONCLUSÕES DO ADVOGADO‑GERAL
MELCHIOR WATHELET
apresentadas em 10 de dezembro de 2013 (1)
Processo C‑288/12
Comissão Europeia
contra
Hungria
«Incumprimento de Estado — Diretiva 95/46/CE — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados — Artigo 28.°, n.° 1 — Autoridades nacionais de controlo — Legislação nacional que põe termo antes do fim do prazo ao mandato de seis anos do supervisor de proteção de dados — Criação de uma autoridade nacional de proteção de dados e da liberdade de informação e nomeação, para um mandato de nove anos, de outra pessoa que não o supervisor de proteção de dados para o lugar de presidente da referida autoridade»
I — Introdução
1. Na sua petição de 24 de maio de 2012, a Comissão Europeia pede ao Tribunal de Justiça que declare que a Hungria, ao pôr termo antes do fim do prazo ao mandato da autoridade de controlo de proteção de dados, não cumpriu as obrigações que lhe incumbem por força da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (2). A este respeito, a Comissão sustenta que a Hungria violou a independência da autoridade de controlo da proteção de dados prevista no artigo 28.°, n.° 1, segundo parágrafo, da diretiva.
2. Tal como sucedeu nos processos que deram origem aos acórdãos de 9 de março de 2010, Comissão/Alemanha (3), e de 16 de outubro de 2012, Comissão/Áustria (4), o presente processo diz respeito ao alcance da obrigação imposta aos Estados‑Membros em aplicação do artigo 28.°, n.° 1, segundo parágrafo, da diretiva de criar uma ou mais autoridades de controlo da proteção de dados pessoais que «exercerão com total independência as funções que lhes forem atribuídas».
II — O direito da União
3. A diretiva foi adotada com fundamento no artigo 100.°‑A do Tratado CE (que passou, após alteração, a artigo 95.° CE, atual artigo 114.° TFUE) e visa harmonizar as legislações nacionais relativas ao tratamento de dados pessoais.
4. O considerando 62 da diretiva dispõe:
«Considerando que a criação nos Estados‑Membros de autoridades de controlo que exerçam as suas funções com total independência constitui um elemento essencial da proteção das pessoas no que respeita ao tratamento de dados pessoais».
5. O artigo 28.°, n.° 1, da diretiva, intitulado «Autoridade de controlo», dispõe:
«Cada Estado‑Membro estabelecerá que uma ou mais autoridades públicas serão responsáveis pela fiscalização da aplicação no seu território das disposições adotadas pelos Estados‑Membros nos termos da presente diretiva.
Essas autoridades exercerão com total independência as funções que lhes forem atribuídas.»
III — O contexto jurídico húngaro e os factos
6. Até 31 de dezembro de 2011 e em aplicação da Lei n.° LXIII de 1992 relativa à proteção de dados pessoais e ao acesso a dados de interesse geral (a seguir «antiga lei sobre a proteção de dados»), a autoridade de controlo da proteção de dados na Hungria, prevista no artigo 28.° da diretiva, era o supervisor de proteção de dados (5) (a seguir «supervisor»). O artigo 23.° da antiga lei sobre a proteção de dados estabelecia que o supervisor era eleito pelo Parlamento húngaro e os artigos 24.° e 25.° da mesma lei definiam as suas funções. A duração e cessação do seu mandato eram reguladas pela Lei n.° LIX de 1993, relativa ao comissário parlamentar para os direitos dos cidadãos (a seguir «Lei n.° LIX de 1993»). O artigo 4.°, n.° 5, da mesma lei, na versão em vigor até 31 de dezembro de 2011, estabelecia que o supervisor era eleito por um período de seis anos, renovável uma vez. O artigo 15.° dessa lei regulava a cessação do mandato.
7. Com base na antiga lei sobre a proteção de dados, András Jóri foi eleito supervisor, tendo entrado em funções em 29 de setembro de 2008. O seu mandato era de seis anos e deveria ter continuado até setembro de 2014.
8. Nos termos do artigo VI, n.° 3, da Lei Fundamental da Hungria, que entrou em vigor em 1 de janeiro de 2012 (a seguir «Lei Fundamental»), uma autoridade independente criada por uma lei orgânica deve zelar pelo respeito dos direitos relativos à proteção de dados pessoais e ao acesso a dados de interesse geral.
9. Em 1 de janeiro de 2012, entrou em vigor a lei n.° CXII de 2011 sobre o uso a dar à informação e a liberdade de informação (a seguir «nova lei sobre a proteção de dados»). Esta lei revoga a antiga lei sobre a proteção de dados e cria simultaneamente a autoridade nacional de proteção de dados e da liberdade de informação (a seguir «Autoridade»). A nova lei sobre a proteção de dados transferiu as atribuições do supervisor para a Autoridade. Nos termos do artigo 40.°, n.os 1 e 3, da nova lei sobre a proteção de dados, o presidente da Autoridade é nomeado pelo Presidente da República, sob proposta do Primeiro‑Ministro, para um mandato de nove anos.
10. A Autoridade iniciou a sua atividade em 1 de janeiro de 2012.
11. O mandato de András Jóri, com data de expiração prevista para setembro de 2014, terminou em 31 de dezembro de 2011 em aplicação do artigo 16.° das disposições transitórias da Lei Fundamental que estabelece que a entrada em vigor da presente Lei Fundamental põe termo ao mandato do supervisor.
12. András Jóri não foi escolhido para ocupar o cargo de presidente da Autoridade. Sob proposta do Primeiro‑Ministro, o Presidente da República nomeou Attila Péterfalvi para o cargo de presidente da Autoridade para um mandato de nove anos.
IV — Procedimento pré‑contencioso e tramitação processual no Tribunal de Justiça
13. Em 17 de janeiro de 2012, a Comissão enviou uma notificação para cumprir à Hungria. Nessa notificação, a Comissão considera que a Hungria violou o artigo 28.°, n.os 1 e 2, da diretiva em três pontos. Em primeiro lugar, a Hungria pôs termo antes do fim do prazo ao mandato do supervisor. Em segundo lugar, não consultou o supervisor acerca do projeto da nova lei sobre a proteção de dados, como era seu dever. Em terceiro lugar, por um lado, a nova lei sobre a proteção de dados oferece demasiadas possibilidades de destituição do presidente da Autoridade e, por outro, o papel desempenhado pelo Presidente da República e pelo Primeiro‑Ministro na cessação desse mandato permite ao poder executivo exercer uma influência sobre o presidente da Autoridade.
14. A Comissão convidou a Hungria a transmitir a sua resposta no prazo de um mês.
15. Na sua resposta de 17 de fevereiro de 2012, a Hungria contestou o alegado incumprimento relativo à cessação antecipada do mandato do supervisor afirmando, nomeadamente, que a mesma era uma consequência da alteração do modelo húngaro. Indicou que, tendo em conta as suas declarações na imprensa, o supervisor não desejava assumir o cargo de presidente da Autoridade. Além disso, o Estado‑Membro especificou que, uma vez concretizada a nomeação do presidente da Autoridade, já não era possível, antes do termo do seu mandato em 31 de dezembro de 2020, o supervisor ocupar esse cargo, tendo em conta que destituir antes do tempo o presidente atual seria contrário às regras de direito que garantem a sua independência.
16. Relativamente à consulta do supervisor, a Hungria afirmou que essas consultas tinham sido efetivamente realizadas e transmitiu à Comissão documentos sobre o assunto.
17. Quanto aos possíveis fundamentos para a destituição do presidente da Autoridade, a Hungria contestou o alegado incumprimento mas propôs alterar a nova lei sobre a proteção de dados no sentido de responder às preocupações expressas pela Comissão a este respeito, através, nomeadamente, da supressão das disposições que preveem a aposentação e a demissão compulsivas do presidente da Autoridade e da previsão de uma possibilidade de recurso judicial nos casos em que o presidente da Autoridade contestar a decisão do Presidente da República, sob proposta do Primeiro‑Ministro, de o destituir.
18. Em 7 de março de 2012, a Comissão enviou à Hungria um parecer fundamentado no qual reiterou as suas preocupações relativamente à destituição antes do tempo do supervisor e convidou a Hungria a tomar as medidas necessárias para dar cumprimento ao mesmo num prazo de um mês a contar da sua notificação. Em contrapartida, a Comissão retirou as suas reservas relativamente à consulta prévia do supervisor sobre o projeto da nova lei. Por último, no que se refere aos possíveis fundamentos para a destituição do presidente da Autoridade, a Comissão indicou que, se, no prazo assinalado no parecer fundamentado, a Hungria adotasse as alterações legislativas propostas na sua resposta à notificação para cumprir, consideraria sanada a infração na matéria.
19. Em 30 de março de 2012, a Hungria respondeu ao parecer fundamentado da Comissão mantendo o seu ponto de vista relativamente à destituição do supervisor, o que levou a Comissão a intentar a presente ação.
20. Por despacho do presidente do Tribunal de Justiça, de 8 de janeiro de 2013, foi admitida a intervenção da Autoridade Europeia para a Proteção de Dados (a seguir «AEPD») em apoio dos pedidos da Comissão.
21. Na audiência de 15 de outubro de 2013, a Comissão, a Hungria e a AEPD apresentaram alegações.
V — Quanto à ação
A — Quanto à admissibilidade
1. Argumentos das partes
22. A Hungria sustenta que a presente ação é inadmissível.
23. Segundo a Hungria, a única forma concebível de suprir a ilegalidade alegada seria destituir antes do tempo o presidente da Autoridade, substituindo‑o no cargo pelo supervisor, o que consistiria, no essencial, em reiterar o incumprimento alegado. Alega que a Comissão não pode pedir ao Tribunal de Justiça um acórdão que declare o incumprimento a que o Estado‑Membro em causa só pode dar cumprimento mediante uma violação ao direito da União. Acrescenta que a adoção de tal medida levaria também a uma situação inconstitucional em razão da violação do princípio de independência da Autoridade previsto na Lei Fundamental.
24. Por outro lado, refere que a mudança de modelo das instituições encarregadas da proteção de dados pessoais implicava necessariamente, uma vez que se extinguiu o cargo de supervisor, destituir a pessoa que exercia esta função. Ora, segundo a Hungria, destituir sem mudanças institucionais o atual presidente da Autoridade não pode justificar‑se por semelhante motivo normativo.
25. A Hungria alega ainda que a nova lei sobre a proteção de dados garante plenamente a independência do presidente da Autoridade, cumprindo assim os requisitos da diretiva na matéria. Na sua opinião, admitindo que o facto de destituir o supervisor constitua um incumprimento do requisito de independência, esse incumprimento não teve qualquer incidência sobre a atividade do supervisor, nem impede o presidente da Autoridade de exercer as suas funções ao abrigo de qualquer influência externa. De acordo com o objetivo da diretiva, o direito à proteção de dados pessoais foi garantido continuadamente na Hungria, tanto antes como após o dia 1 de janeiro de 2012. Nota com agrado que a Comissão o reconhece igualmente, uma vez que afirmou que a legislação húngara assegurou a continuidade jurídica confiando à Autoridade os processos pendentes do supervisor. Por conseguinte, na sua opinião, mesmo que tenha havido incumprimento, não teve, em todo o caso, consequências jurídicas que seja necessário reparar.
26. A Hungria sustenta ainda que a infração alegada já tinha produzido todos os seus efeitos na data de expiração do prazo fixado no parecer fundamentado da Comissão e não teve qualquer incidência, após o dia 1 de janeiro de 2012, sobre o funcionamento da Autoridade, nomeadamente, sobre a sua independência. Consequentemente, a ação da Comissão é desprovida de objeto e, portanto, improcedente.
27. Considera que admitir a argumentação da Comissão implicaria que todos os atos realizados pelo atual presidente da Autoridade, desde 1 de janeiro de 2012, fossem incompatíveis com o direito da União e conduzissem a uma violação do princípio da segurança jurídica.
28. A Hungria acrescenta que, contrariamente à argumentação da Comissão exposta no ponto 33 abaixo, expressou claramente, na presente ação perante o Tribunal de Justiça, a sua vontade de que a eventual declaração de um incumprimento não afete o mandato do presidente da Autoridade atualmente em funções, mesmo que a expressão «limitação dos efeitos no tempo» não conste da contestação.
29. A Comissão sustenta que a presente ação é admissível.
30. Considera que pôr termo à infração não é impossível e que a Hungria deve tomar as medidas necessárias para recolocar no cargo a que se refere o artigo 28.° da diretiva András Jóri até ao termo natural do seu mandato, a saber, até setembro de 2014. Segundo a Comissão, a forma como a Hungria poria termo à infração é da competência deste Estado‑Membro e não é relevante para a presente ação. Além disso, a Comissão sustenta que a Hungria não pode invocar a independência do presidente da Autoridade para se opor à recolocação no cargo de András Jóri, porque isso significará alegar em sua defesa a própria infração.
31. Segundo a Comissão, a existência da infração deve ser apreciada em função da situação do Estado‑Membro, tal como se apresentava no termo do prazo fixado no parecer fundamentado. Com base na jurisprudência do Tribunal de Justiça, o incumprimento persiste se os efeitos das medidas tomadas em violação do direito da União subsistirem na data em que termina o referido prazo. No presente caso, o incumprimento verifica‑se com a destituição antes do tempo do supervisor e persiste, uma vez que András Jóri não foi recolocado no cargo no termo do referido prazo.
32. Quanto ao argumento da Hungria, exposto no ponto 23, supra, segundo o qual o facto de considerar admissível a ação da Comissão implica destituir antes do tempo o presidente da Autoridade, o que pode também levar a uma situação contrária ao disposto na Lei Fundamental, a Comissão recorda que, em aplicação do princípio do primado do direito da União, o direito da União prevalece sobre as disposições constitucionais dos Estados‑Membros. Além disso, segundo a Comissão, a reforma da autoridade de controlo da proteção de dados não justifica a destituição antes do tempo do supervisor. Acrescenta, o que a Hungria não impugna na sua contestação, que teria sido perfeitamente possível prever, num instrumento de direito interno, que o novo modelo só se aplicasse após a expiração do mandato do supervisor que ocupava o cargo ou que se nomeasse como primeiro presidente da Autoridade o anterior supervisor durante o período de tempo restante do seu mandato.
33. A Comissão alega que o argumento da Hungria exposto no ponto 28 supra, segundo o qual a declaração de um incumprimento no caso vertente teria igualmente como resultado tornar incompatíveis com o direito da União as medidas tomadas pela Autoridade a partir 1 de janeiro de 2012, não deveria ser examinado pelo Tribunal de Justiça juntamente com a questão da admissibilidade da ação. Esta argumentação coloca, na realidade, a questão de saber se o âmbito de aplicação temporal do acórdão que declara a infração se estende ou não ao período anterior à sua prolação. Segundo a Comissão, só a título excecional é que o Tribunal de Justiça pode, por força do princípio de segurança jurídica, limitar a possibilidade de qualquer interessado invocar uma disposição por si interpretada para pôr em causa relações jurídicas estabelecidas de boa‑fé. Alega que a Hungria, na sua contestação, não pediu ao Tribunal de Justiça para limitar os efeitos no tempo do seu acórdão declarativo de incumprimento no presente processo. Além disso, segundo a Comissão, a Hungria não demonstrou que as condições exigidas pela jurisprudência, a este respeito, estavam preenchidas.
34. Segundo a Comissão, a recolocação no cargo do supervisor ou a sua nomeação no cargo de presidente da Autoridade não implica uma incompatibilidade com o direito da União das decisões tomadas pelo presidente da Autoridade após o dia 1 de janeiro de 2012.
35. A AEPD não se pronunciou sobre a admissibilidade do recurso interposto.
2. Apreciação
36. O argumento da Hungria relativo à impossibilidade de executar um acórdão que declare o alegado incumprimento não pode ser acolhido. Este argumento divide‑se em duas partes.
37. Em primeiro lugar, a Hungria sustenta que o alegado incumprimento já tinha produzido os seus efeitos na data de expiração do prazo fixado no parecer fundamentado da Comissão. Penso que não.
38. Segundo jurisprudência constante, a existência de um incumprimento deve ser apreciada em função da situação do Estado‑Membro tal como se apresentava no termo do prazo fixado (6).
39. Tendo em conta que o mandato do supervisor deveria terminar em setembro de 2014, em aplicação da Lei n.° LIX de 1993 (7), considero que o incumprimento alegado não esgotou todos os seus efeitos na data de expiração do prazo fixado no parecer fundamentado da Comissão (8) e que produz ainda hoje efeitos jurídicos.
40. Em segundo lugar, a Hungria alega a inadmissibilidade da ação interposta pela Comissão por lhe ser impossível executar um acórdão que declare um incumprimento a não ser que reitere a mesma ilegalidade que a declarada pelo acórdão. Também não concordo com esta argumentação.
41. A declaração pelo Tribunal de Justiça de um incumprimento de Estado obriga o Estado‑Membro em causa, em conformidade com o artigo 260.° TFUE, a tomar as medidas necessárias à execução do acórdão do Tribunal de Justiça.
42. Ainda que, através do seu acórdão meramente declaratório, o Tribunal de Justiça não possa ordenar ao Estado‑Membro em causa que tome determinadas medidas (9), todos os órgãos desse Estado‑Membro, entre os quais as autoridades legislativas, judiciais e administrativas, têm a obrigação de garantir, no âmbito dos respetivos poderes, a execução do acórdão do Tribunal de Justiça (10), o que implica, nomeadamente, a total proibição de aplicar a legislação incompatível com o direito da União e a obrigação de adotar todas as disposições que facilitem a realização do pleno efeito do direito da União (11).
43. Além disso, a prorrogação de um regime declarado contrário ao direito da União, por um acórdão do Tribunal de Justiça, constitui uma violação caracterizada da obrigação de cooperação leal que incumbe aos Estados‑Membros por força do artigo 4.°, n.° 3, TUE, o que implica, nomeadamente, de se absterem de tomar quaisquer medidas suscetíveis de pôr em perigo a realização dos objetivos da União Europeia (12).
44. Por conseguinte, a declaração de um incumprimento no presente processo, apesar da sua natureza declaratória, produziria efeitos jurídicos importantes que afetariam necessariamente o estatuto do atual presidente da Autoridade, como o salienta aliás a Hungria (mesmo que seja para se opor à eventual declaração de uma infração).
45. À luz do contexto jurídico e factual nacional descrito nos n.os 6 a 12 supra, a destituição antes do tempo, em 31 de dezembro de 2011, do supervisor estava intrinsecamente ligada à nomeação do presidente da Autoridade em 1 de janeiro de 2012. Consequentemente, se o Tribunal de Justiça viesse a declarar que, ao destituir antes do tempo o supervisor, a Hungria violou o artigo 28.°, n.° 1, segundo parágrafo, da diretiva, verificar‑se‑ia que a nomeação do presidente da Autoridade estaria também, como defende a Comissão, ferida de ilegalidade. Com efeito, o facto de o atual presidente da Autoridade ocupar o cargo desde 1 de janeiro de 2012 constitui uma violação ao direito da União.
46. Nestas circunstâncias, considero que os argumentos relativos à impossibilidade de executar um acórdão que declare um eventual incumprimento não são procedentes na medida em que, como refere a Comissão, a execução de um acórdão que declare o incumprimento alegado no caso vertente poderia fazer‑se quer recolocando András Jóri no cargo de supervisor durante o período de tempo do seu mandato restante, quer nomeando o mesmo para o cargo de presidente da Autoridade.
47. Além disso, as questões de saber se a nova lei sobre a proteção de dados preenche ou não os critérios da diretiva ou se a Autoridade age de forma independente e se a execução do acórdão que declara o incumprimento implicam a reiteração da infração declarada (13) em nada influenciam a questão de saber se foi em violação do artigo 28.°, n.° 1, segundo parágrafo da diretiva (14) que o supervisor foi destituído.
48. Concluir de outra forma permitiria aos Estados‑Membros escapar a toda e qualquer declaração de incompatibilidade de certas decisões suas com o direito da União, sob pretexto de que outras decisões posteriores, adotadas na sequência da infração, estão conformes com o direito da União, não podendo ser alteradas sem que se cometa novamente a mesma infração.
49. Também não me parece convincente o argumento da Hungria segundo o qual o princípio da segurança jurídica se opõe à admissibilidade da presente ação, na medida em que a declaração do incumprimento alegado no caso vertente tornaria incompatíveis com o direito da União todos os atos realizados pelo presidente da Autoridade desde o dia 1 de janeiro de 2012.
50. O princípio da segurança jurídica é um princípio comum a todas as ordens jurídicas dos Estados‑Membros e faz parte integrante da ordem jurídica da União. Deve ser respeitado pelos órgãos do Estado‑Membro em causa encarregados de garantir a execução de um acórdão que declare o incumprimento do direito da União por esse Estado‑Membro. Todavia, sem tomar posição sobre a procedência da tese de que a declaração do incumprimento alegado vicia os atos realizados pela Autoridade desde 1 de janeiro de 2012, há apenas que recordar que não incumbe ao Tribunal de Justiça (15), mas eventualmente aos órgãos jurisdicionais húngaros, julgar eventuais violações deste princípio em casos específicos e tomar as medidas adequadas, sem prejudicar a execução eficaz do acórdão do Tribunal de Justiça.
51. A título incidental, importa acrescentar que o Tribunal de Justiça declarou que a República Federal da Alemanha (16) e a República da Áustria (17) não cumpriram as obrigações que lhes incumbem por força do artigo 28.°, n.° 1, segundo parágrafo, da diretiva, apesar dos eventuais efeitos jurídicos que estas declarações pudessem produzir nas medidas adotadas pelas autoridades em causa.
52. Analisarei na parte das minhas conclusões dedicada ao fundamento do recurso (18) o pedido da Hungria de limitar no tempo os efeitos de um acórdão que declare o incumprimento alegado.
53. Proponho, consequentemente, que o recurso seja julgado admissível.
B — Quanto ao mérito
1. Argumentos das partes
54. A Comissão não põe em causa o direito da Hungria de alterar o seu sistema de fiscalização da proteção de dados pessoais desde que garanta a independência total da autoridade encarregada dessa fiscalização, o que, como demonstra a jurisprudência (19), vai para além da simples independência funcional, devendo ser excluída qualquer forma de sujeição, quer seja de natureza institucional, pessoal ou material.
55. No entender da Comissão, apoiada pela AEPD, é indispensável que o Estado‑Membro, após ter fixado a duração do mandato dessa autoridade, respeite a mesma e não ponha termo ao mandato antes do tempo, exceto por razões imperiosas e objetivamente averiguáveis. A destituição antes do tempo implica o risco de uma influência indevida sobre a autoridade de controlo na execução das suas tarefas, o que prejudica a sua independência. Segundo a Comissão, uma comparação com as regras relativas à AEPD instituídas pelo Regulamento (CE) n.° 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (20), confirma esta interpretação.
56. A Comissão considera que a reforma da autoridade de controlo húngara não exigia que se destituísse antes do tempo o supervisor. A Hungria poderia ter disposto no seu direito interno ou que o novo modelo só se aplicasse após a expiração do mandato do supervisor que ocupava o cargo ou que se nomeasse como primeiro presidente da nova Autoridade o anterior supervisor durante o período de tempo restante do seu mandato, o que teria preservado a independência da autoridade de controlo da proteção de dados. Salienta que a Hungria garantiu, noutros aspetos, a continuidade entre a antiga e a nova autoridade de controlo, nomeadamente no que diz respeito aos processos em curso e ao tratamento de dados.
57. Ainda segundo a Comissão, admitir que era necessário destituir o supervisor porque o seu cargo «deixou de existir» significaria que todas as autoridades encarregadas de controlar a proteção de dados na União estariam permanentemente expostas ao risco de serem destituídas por uma medida legislativa que suprimisse a autoridade existente e estabelecesse em seu lugar outra autoridade de nova criação para exercer as mesmas funções, definidas no artigo 28.° da diretiva. Não é de excluir que tais reformas fossem utilizadas para controlar e sancionar as autoridades de controlo que não tivessem a aprovação das autoridades políticas. Salienta que, segundo a jurisprudência do Tribunal de Justiça, o simples risco de tal influência é incompatível com a exigência de total independência das autoridades de controlo (21).
58. A Comissão considera que a Hungria não fez prova de que o supervisor recusou assumir a liderança da Autoridade e entende que as declarações do supervisor a este respeito, publicadas na imprensa húngara, não são pertinentes. A Comissão recorda que, por força do artigo 15.°, n.° 3, da lei n.° LIX de 1993, a demissão do supervisor deveria ter sido notificada por escrito ao presidente do Parlamento húngaro. Como não foi o caso, a Hungria não podia servir‑se de umas declarações do supervisor publicadas na imprensa para presumir que este não estaria disponível para cumprir com as suas obrigações, de acordo com o previsto no artigo 28.° da diretiva. A Comissão acrescenta que a Hungria nunca propôs o novo cargo a András Jóri nem lhe garantiu a adoção de regras transitórias para que pudesse continuar no cargo até ao termo natural do seu mandato.
59. A Hungria considera que a destituição antes do tempo do supervisor, na medida em que está ligada a uma reforma do modelo de instituição, não constitui uma violação do artigo 28.°, n.° 1, segundo parágrafo, da diretiva. Resulta da jurisprudência na matéria que tanto o artigo 28.° da diretiva como o artigo 44.° do Regulamento n.° 45/2001 exigem que seja garantida às autoridades de controlo da proteção de dados pessoais, nacionais e europeus, uma total independência «no exercício das suas funções», isto é, de um ponto de vista funcional. No entender da Hungria, a «independência funcional» implica qualquer elemento que garanta à autoridade de controlo o exercício das suas funções sem sofrer qualquer influência externa, direta ou indireta, o que inclui igualmente os elementos que garantam a independência organizacional, orçamental e pessoal de que essa autoridade deve gozar no exercício das suas funções.
60. Salienta que não se contesta, no caso vertente, que a Autoridade beneficia, tal como o seu antecessor, de um enquadramento jurídico que a coloca ao abrigo de qualquer influência externa no exercício da sua atividade de controlo da proteção de dados e que cumpre plenamente o requisito de independência previsto no artigo 28.° da diretiva. A este propósito, a Hungria considera que a situação em causa no caso vertente não pode ser comparada com as que estão na origem dos acórdãos, já referidos, de 9 de março de 2010, Comissão/Alemanha e Comissão/Áustria. Entende que, contrariamente ao processo em causa, as legislações alemã e austríaca não tinham excluído juridicamente o risco de a independência das suas autoridades nacionais de controlo da proteção de dados vir a ser afetada no exercício das «funções que lhes forem atribuídas».
61. Segundo a Hungria, a razão de ser da exigência de independência prevista no artigo 28.° da diretiva é que exista sempre, em todos os Estados‑Membros, uma autoridade de controlo da proteção de dados que exerça as suas funções sem qualquer influência externa. Considera que o conceito de independência não confere à pessoa que lidera a referida autoridade um direito subjetivo ao exercício dessa função. Tendo em conta a mudança institucional introduzida, não se justifica esperar que a nova regulamentação entregue automaticamente ao supervisor o cargo de presidente da Autoridade. Na medida em que a independência funcional da autoridade de controlo não é afetada, o facto de a pessoa que lidera a autoridade ser substituída, mesmo antes da expiração do seu mandato inicial, não é relevante.
62. A Hungria alega que compete aos Estados‑Membros definir a estrutura organizacional das autoridades nacionais da proteção de dados pessoais. Isto implica que a escolha da entidade ou da pessoa encarregada de exercer as competências da autoridade no seio do modelo organizacional adotado, bem como a sua substituição aquando da mudança de modelo, competem também aos Estados‑Membros. Afirma que as disposições legislativas relativas ao supervisor foram integralmente substituídas — com base nas novas disposições da Lei Fundamental — por uma nova regulamentação que transferiu as funções, anteriormente desempenhadas pelo supervisor, para a nova autoridade encarregada de controlar a proteção de dados. Apesar das semelhanças existentes entre o estatuto do supervisor e o do presidente da Autoridade, que se devem à exigência de independência, está‑se perante duas instituições de direito público claramente distintas.
63. Segundo a Hungria, a nomeação do supervisor no novo cargo seria injustificada e incompreensível depois deste último ter manifestado, em várias declarações públicas, o seu desacordo com o novo modelo institucional e a sua intenção de não aceitar a sua nomeação para o cargo.
2. Apreciação
a) Princípios
64. A título preliminar, cabe precisar que a Comissão não contesta, de modo algum, o direito da Hungria de alterar o modelo institucional da sua autoridade de controlo da proteção de dados, passando de uma estrutura liderada por uma só pessoa para um órgão colegial. Considera, todavia, que quando a Hungria fez tais opções, não cumpriu a obrigação de respeitar, até ao termo do seu mandato, a independência da autoridade de controlo.
65. É jurisprudência constante que a exigência de fiscalização da proteção dos dados pessoais por uma autoridade independente é um elemento essencial da proteção das pessoas no que diz respeito ao tratamento de dados pessoais (22) que resulta não só do artigo 28.°, n.° 1, segundo parágrafo, da diretiva, como também do direito primário da União, nomeadamente do artigo 8.°, n.° 3, da Carta dos Direitos Fundamentais da União Europeia e do artigo 16.°, n.° 2, TFUE (23). Com efeito, as autoridades de controlo previstas no artigo 28.° da diretiva são as guardiãs dos direitos e liberdades fundamentais no que diz respeito ao tratamento de dados pessoais (24).
66. Nos acórdãos, já referidos, de 9 de março de 2010, Comissão/Alemanha e Comissão/Áustria, o Tribunal de Justiça deu uma interpretação autónoma (25) e ampla (26) à expressão «com total independência» constante do artigo 28.°, n.° 1, segundo parágrafo, da diretiva. Assenta esta interpretação, por um lado, na redação do artigo 28.°, n.° 1, segundo parágrafo, afirmando que o conceito de «independência» é reforçado pelo adjetivo «total», e, por outro, no objetivo da garantia de independência das autoridades em causa que visa assegurar a eficácia e a fiabilidade do controlo do respeito das disposições em matéria de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais (27).
67. O Tribunal de Justiça realçou o facto de que essa garantia não foi estabelecida para conferir um estatuto especial às próprias autoridades e aos seus agentes, mas com vista a reforçar a proteção das pessoas e dos organismos abrangidos pelas suas decisões (28). Consequentemente, no exercício das suas funções, as autoridades de controlo devem agir de forma objetiva e imparcial e estar ao abrigo de qualquer influência externa, quer seja direta ou indireta, suscetível de orientar as suas decisões (29).
68. O mero risco de tal influência é suficiente para violar o artigo 28.°, n.° 1, segundo parágrafo, da diretiva (30).
69. A este respeito, resulta claramente do acórdão Comissão/Áustria, já referido, que qualquer iniciativa que possa levar a uma forma de «obediência antecipada» (31) por parte da autoridade de controlo da proteção de dados, não respeita a exigência de «total independência» que os Estados‑Membros devem garantir à sua autoridade de controlo por força do artigo 28.°, n.° 1 segundo parágrafo, da diretiva e do direito primário do direito da União.
70. Considero, tal como a Comissão, que se cada Estado‑Membro é livre de adotar o regime institucional que melhor convier ao seu país e, consequentemente, de alterar o mesmo posteriormente, é na condição de a referida adoção ou alteração posterior não prejudicarem a exigência imperiosa de «total independência» imposta pelo artigo 28.°, n.° 1, segundo parágrafo, da diretiva.
71. À semelhança da Comissão, considero que a independência dessa autoridade passa imperativamente pela existência de um mandato de duração predeterminada (32) e pela sua inamovibilidade até à expiração desse mandato, a menos que existam razões graves relacionadas com o seu comportamento ou com a sua capacidade de exercer as suas funções, preestabelecidas pela lei e objetivamente averiguáveis.
72. A ligação intrínseca entre essa inamovibilidade até ao termo do mandato e a exigência de «total independência» é incontestável (33). Por analogia, não se pode considerar que a independência de um juiz seria respeitada se o mesmo fosse destituído antes do tempo, com o pretexto de que a jurisdição de que faz parte foi suprimida e substituída por outra, se bem que dotada de independência.
73. É, aliás, o mero risco da destituição antes do tempo da autoridade a que se refere o artigo 28.°, n.° 1, segundo parágrafo, da diretiva que pode expor esta última às «intervenções e pressões indevidas» (34) e levar a uma forma de «obediência antecipada» por parte da mesma.
74. Consequentemente, embora os Estados‑Membros disponham de uma margem de apreciação quanto à estrutura institucional da autoridade prevista no 28.°, n.° 1, segundo parágrafo da diretiva (35), é incontestável que a exigência de «total independência» imposta pelo direito da União postula a existência e o respeito de regras específicas e pormenorizadas que, em matéria de nomeação, de duração das funções e das possíveis causas de destituição dessa autoridade, permitem afastar qualquer dúvida legítima quanto à impermeabilidade da referida autoridade em relação a qualquer influência externa, direta ou indireta, suscetível de orientar as suas decisões (36).
b) Aplicação ao processo em causa
75. Resulta dos autos submetidos ao Tribunal de Justiça que os termos do mandato do supervisor eram objeto de disposições específicas e pormenorizadas em direito húngaro. Com efeito, em aplicação do artigo 4.°, n.° 5, da Lei n.° LIX de 1993, o supervisor tinha sido eleito em 2008 por seis anos, sendo o seu mandato renovável uma vez. O artigo 15.° dessa lei regulava e, consequentemente, limitava de forma muito rigorosa as possibilidades de destituição antes do tempo (37).
76. Considero que a Comissão demonstrou de forma bastante que o supervisor foi destituído em 31 de dezembro de 2011, em violação do artigo 15.° da Lei n.° LIX de 1993 e que as garantias processuais estabelecidas nessa lei, com vista a proteger o seu mandato, não tinham sido respeitadas. Além disso, aquando das mudanças institucionais que entraram em vigor em 2012, a Hungria nunca tomou qualquer medida transitória para respeitar os termos do mandato e, consequentemente, a independência do supervisor.
77. A Hungria salienta o facto de que foi a autoridade constitucional que decidiu a «mudança de modelo», introduzida pela nova regulamentação que entrou em vigor em 1 de janeiro de 2012, e que o presidente da Autoridade, por um lado, e o supervisor, por outro, são duas funções públicas claramente distintas que não devem estar ligadas uma à outra pelo facto de serem desempenhadas pela mesma pessoa.
78. No meu entender, nenhum destes argumentos procede.
79. Considero que a Comissão demonstrou suficientemente que a Autoridade, ainda que tenha outro estatuto jurídico e opere de acordo com modalidades diferentes das do supervisor, sucedeu a este último no exercício das funções atribuídas à autoridade de controlo nos termos do artigo 28.° da diretiva. Com efeito, tanto o supervisor como a Autoridade foram instituídos pela Hungria para cumprir a obrigação imposta por essa disposição de prever uma autoridade pública encarregada de fiscalizar, no seu território, as disposições adotadas pelo Estado‑Membro em aplicação da diretiva. Do ponto de vista das funções exercidas em aplicação da referida disposição, existe identidade entre as duas entidades. Além disso, a continuidade entre as duas entidades foi assegurada pelo artigo 75.°, n.os 1 e 2, da nova lei sobre a proteção de dados que prevê que a Autoridade passe a gerir os processos abertos pelo supervisor antes de 1 de janeiro de 2012 e a tratar os dados que este último tratou antes dessa data.
80. Quanto ao facto de a mudança institucional ter sido decidida pela autoridade constitucional, resulta antes de mais dos autos no Tribunal de Justiça que a Autoridade foi criada por uma lei orgânica, a saber, a nova lei sobre a proteção de dados e não pela Lei Fundamental(38). Por outro lado, as reformas institucionais, ainda que por via de leis constitucionais, não devem comprometer o efeito útil da obrigação superior imposta pelo direito da União relativa à garantia de «total independência», aplicando‑se o primado do direito da União qualquer que seja a categoria da norma nacional em causa. Consequentemente, não podem justificar a destituição antes do tempo da autoridade de controlo da proteção de dados. Como alegam a Comissão e a AEPD, se tal fosse o caso, uma autoridade, ainda que de nível superior, do poder legislativo ou constitucional, poderia exercer uma influência externa e indevida sobre a autoridade de controlo da proteção de dados com a simples ameaça, expressa ou implícita, de tais mudanças e da destituição antes do tempo da autoridade de controlo a que se refere o artigo 28.°, n.° 1, da diretiva, podendo levar a uma forma de «obediência antecipada» (39).
81. Por último, não penso que seja pertinente a afirmação da Hungria segundo a qual a nomeação do supervisor para o lugar de presidente tinha deixado de ser possível na sequência deste último ter comunicado, em declarações públicas, a sua intenção de não aceitar tal nomeação. Não obstante o facto de tais declarações publicadas na imprensa serem desprovidas de qualquer valor jurídico face às exigências rigorosas do artigo 28.° da diretiva e do artigo 15.° da Lei n.° LIX de 1993 (40), a Hungria não alegou que o cargo em causa tivesse sido oficialmente proposto ao supervisor. Sublinhe‑se, aliás, que, pela leitura da resposta da Hungria de 30 de março de 2012 ao parecer fundamentado, o supervisor András Jóri manifestou o seu desacordo com a nova lei sobre a proteção de dados, acrescentando que não teria aceitado a sua nomeação para o cargo de presidente da Autoridade caso tivesse sido convidado para tal, na medida em que considerava, designadamente, que a criação da Autoridade não respeitava a exigência de independência imposta pela diretiva. No âmbito do procedimento pré‑contencioso, a própria Comissão retomou essas críticas e algumas delas, exceto a relativa à destituição antes do tempo do supervisor, acabaram por ser tidas em conta pela Hungria em alterações legislativas (41). Além disso, as declarações oficiais do supervisor de 10 e 22 de junho de 2011 (42), no que se refere ao projeto da nova lei, em que apontava que a falta de disposições transitórias constituía uma violação da sua independência, e que foram feitas no âmbito da sua função oficial como autoridade de controlo criada nos termos do artigo 28.° da diretiva, não podem, em caso algum, ser‑lhe imputadas, nem podem ser consideradas uma apresentação de demissão.
82. Entendo, por conseguinte, que a Hungria, ao destituir antes do tempo a autoridade de controlo da proteção de dados, não cumpriu as obrigações que lhe incumbem por força da diretiva.
83. Acrescento que um acórdão do Tribunal de Justiça que declare o incumprimento no presente processo seria muito importante não só para as autoridades criadas em aplicação do artigo 28.°, n.° 1, da diretiva, como também para qualquer outra autoridade independente criada em aplicação do direito da União. Ao garantir a essas autoridades independentes a inamovibilidade do seu mandato até à data de expiração prevista, exceto por razões imperiosas previstas pela lei e objetivamente averiguáveis, esse acórdão teria o efeito de limitar consideravelmente o perigo de «obediência antecipada» para atores externos, públicos ou privados. Tal acórdão afastaria «a espada de Dâmocles» que representa o risco paralisante de uma destituição antes do tempo.
VI — Quanto aos efeitos de uma declaração de incumprimento no tempo
84. A Hungria pediu que, caso o Tribunal de Justiça venha a julgar procedente a ação da Comissão, os efeitos do acórdão sejam limitados no tempo (43) a fim de não afetar o mandato do presidente da Autoridade atualmente em funções. Sustenta que as consequências decorrentes do princípio da segurança jurídica excluem também a possibilidade de os processos já definitivamente encerrados serem postos em causa.
85. Importa «recordar que só a título excecional o Tribunal [de Justiça] pode, em aplicação do princípio geral da segurança jurídica inerente à ordem jurídica [da União], ser levado a limitar a possibilidade de qualquer interessado invocar, para pôr em causa relações jurídicas estabelecidas de boa fé, uma disposição que o Tribunal interpretou» (44). Além disso, é jurisprudência constante que as consequências financeiras que podem resultar para um Estado‑Membro de um acórdão proferido a título prejudicial não justificam, por si sós, a limitação dos efeitos desse acórdão no tempo (45).
86. Com efeito, «o Tribunal de Justiça só recorreu a essa solução em circunstâncias bem precisas, quando existia um risco de repercussões económicas graves devidas, em especial, ao número elevado de relações jurídicas constituídas de boa fé, com base na regulamentação considerada validamente em vigor, e quando se verificava que os particulares e as autoridades nacionais tinham sido incitados a um comportamento não conforme com a regulamentação [da União], em virtude de uma incerteza objetiva e importante quanto ao alcance das disposições comunitárias, incerteza para a qual tinham eventualmente contribuído os próprios comportamentos adotados por outros Estados‑Membros ou pela Comissão» (46).
87. «Mesmo [pres]supondo que os acórdãos proferidos nos termos do artigo [258.° TFUE] tenham os mesmos efeitos que os proferidos nos termos do artigo [267.° TFUE] e que, portanto, considerações de segurança jurídica possam tornar necessária, a título excecional, a limitação dos seus efeitos no tempo» (47), entendo que, presumindo que tenha sido corretamente formulado, o pedido da Hungria deve ser julgado improcedente.
88. Com efeito, a Hungria não demonstrou a existência de um risco de perturbações económicas graves, nem que, na altura da adoção da lei que cria a Autoridade, se tenha confrontado com uma incerteza objetiva e importante quanto ao alcance do artigo 28.°, n.° 1, segundo parágrafo, da diretiva.
89. Com efeito, nessa altura, o Tribunal de Justiça já tinha interpretado a expressão «total independência» constante do artigo 28.°, n.° 1, segundo parágrafo, da diretiva (48). Por conseguinte, o direito da União não podia ser razoavelmente entendido como autorizando a Hungria a destituir antes do tempo o supervisor (49).
VII — Quanto às despesas
90. Nos termos do artigo 138.°, n.° 1, do regulamento de processo do Tribunal de Justiça, a parte vencida é condenada nas despesas se a parte vencedora o tiver requerido. Tendo a Comissão pedido a condenação da Hungria e devendo esta, em minha opinião, ficar vencida, há que condená‑la nas despesas. Em conformidade com o artigo 140.° do regulamento de processo, a AEPD deve suportar as suas próprias despesas.
VIII — Conclusão
91. Face às considerações que antecedem, proponho que o Tribunal de Justiça:
¾ declare que a Hungria, ao destituir antes do tempo a autoridade de controlo da proteção de dados, não cumpriu as obrigações que lhe incumbem por força do artigo 28.°, n.° 1, segundo parágrafo, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados;
¾ condene a Hungria a suportar as suas próprias despesas e as despesas efetuadas pela Comissão; e
¾ condene a Autoridade Europeia para a proteção de dados a suportar as suas próprias despesas.