CONCLUSÕES DO ADVOGADO‑GERAL
PAOLO MENGOZZI
apresentadas em 1 de fevereiro de 2018 (1)
Processo C‑25/17
Tietosuojavaltuutettu
contra
Jehovan todistajat — uskonnollinen yhdyskunta
[pedido de decisão prejudicial apresentado pelo Korkein hallinto‑oikeus (Supremo Tribunal Administrativo, Finlândia)]
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Diretiva 95/46/CE — Âmbito da aplicação — Conceito de atividade exclusivamente pessoal ou doméstica — Dados recolhidos e tratados pelos membros de uma coletividade religiosa no âmbito da sua atividade de pregação de porta a porta — Liberdade religiosa — Artigo 10.o da Carta dos Direitos Fundamentais da União Europeia — Conceito de ficheiro — Conceito de responsável pelo tratamento dos dados pessoais»
1. Deve a comunidade das Testemunhas de Jeová ser sujeita ao cumprimento das prescrições do direito da União em matéria de proteção dos dados pessoais pelo facto de os seus membros, quando exercem a sua atividade de pregação de porta a porta, poderem ser levados a tomar notas que transcrevem o conteúdo da sua entrevista e, em especial, a orientação religiosa das pessoas que visitaram? Este é, em substância, o desafio do presente reenvio prejudicial.
I. Quadro jurídico
A. Direito da União
2. Resulta do considerando 12 da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (2) que «os princípios da proteção devem aplicar‑se a todo e qualquer tratamento de dados pessoais sempre que as atividades do responsável pelo tratamento sejam regidas pelo direito comunitário; que se deve excluir o tratamento de dados efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas, por exemplo correspondência ou listas de endereços».
3. Nos termos do considerando 27 da Diretiva 95/46, «a proteção das pessoas […] deve aplicar[‑se] tanto ao tratamento automatizado de dados como ao tratamento manual; […] o âmbito desta proteção não deve, na prática, depender das técnicas utilizadas, sob pena de se correr o sério risco de a proteção poder ser contornada; […], em todo o caso, no que respeita ao tratamento manual, a presente diretiva apenas abrange os ficheiros e não as pastas não estruturadas; […] em particular, o conteúdo de um ficheiro deve ser estruturado de acordo com critérios específicos relativos às pessoas que permitam um acesso fácil aos dados pessoais; […] em conformidade com a definição da alínea c) do artigo 2.o, os diferentes critérios que permitem determinar os elementos de um conjunto estruturado de dados pessoais e os diferentes critérios que regem o acesso a esse conjunto de dados podem ser definidos por cada Estado‑Membro; […] as pastas ou conjuntos de pastas, bem como as suas capas, que não estejam estruturadas de acordo com critérios específicos, de modo algum se incluem no âmbito de aplicação da presente diretiva».
4. O artigo 2.o da Diretiva 95/46 está redigido nos seguintes termos:
«Para efeitos da presente diretiva, entende‑se por:
a) “Dados pessoais”, qualquer informação relativa a uma pessoa singular identificada ou identificável (“pessoa em causa”); é considerado identificável todo aquele que possa ser identificado, direta ou indiretamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social;
b) “Tratamento de dados pessoais” (“tratamento”), qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, difusão ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição;
c) “Ficheiro de dados pessoais” (“ficheiro”), qualquer conjunto estruturado de dados pessoais, acessível segundo critérios determinados, que seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;
d) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, o serviço ou qualquer outro organismo que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais; sempre que as finalidades e os meios do tratamento sejam determinadas por disposições legislativas ou regulamentares nacionais ou comunitárias, o responsável pelo tratamento ou os critérios específicos para a sua nomeação podem ser indicados pelo direito nacional ou comunitário;
e) “Subcontratante”, a pessoa singular ou coletiva, a autoridade pública, o serviço ou qualquer outro organismo que trata os dados pessoais por conta do responsável pelo tratamento;
[…]».
5. O artigo 3.o da Diretiva 95/46 enuncia:
«1. A presente diretiva aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.
2. A presente diretiva não se aplica ao tratamento de dados pessoais:
– efetuado no exercício de atividades não sujeitas à aplicação do direito comunitário, tais como as previstas nos títulos V e VI do Tratado da União Europeia, e, em qualquer caso, ao tratamento de dados que tenha como objeto a segurança pública, a defesa, a segurança do Estado (incluindo o bem‑estar económico do Estado quando esse tratamento disser respeito a questões de segurança do Estado), e as atividades do Estado no domínio do direito penal,
– efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas.»
6. O artigo 8.o, n.o 1, da Diretiva 95/46 dispõe que «[o]s Estados‑Membros proibirão o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, bem como o tratamento de dados relativos à saúde e à vida sexual». O n.o 2, alínea d), do mesmo artigo prossegue prevendo que «[o] n.o 1 não se aplica quando […] [o] tratamento for efetuado, no âmbito das suas atividades legítimas e com as garantias adequadas, por uma fundação, uma associação ou qualquer outro organismo sem fins lucrativos de caráter político, filosófico, religioso ou sindical, na condição de o tratamento dizer unicamente respeito aos membros desse organismo ou às pessoas que com ele mantenham contactos periódicos ligados às suas finalidades, e de os dados não serem comunicados a terceiros sem o consentimento das pessoas em causa […]».
B. Direito nacional
7. A Diretiva 95/46 foi transposta, para o direito finlandês, pela henkilötietolaki 523/1999 (Lei 523/1999 sobre os dados pessoais).
8. O artigo 3.o, n.o 3, da Lei sobre os dados pessoais define o ficheiro de dados pessoais como um «conjunto de dados pessoais que é constituído por informações relacionadas entre si em consequência do seu destino, tratadas total ou parcialmente através de um processo automatizado, ou que são organizadas através de fichas, de listas, ou de qualquer outro método comparável que permitem encontrar facilmente os dados relativos as pessoas e sem custos desproporcionados».
9. O artigo 11.o da Lei sobre os dados pessoais proíbe o tratamento de dados sensíveis, nomeadamente as convicções religiosas. Todavia, o artigo 12.o da Lei sobre os dados pessoais prevê que o tratamento de tais dados é possível se, quando os dados dizem respeito a convicções religiosas, forem recolhidos no âmbito da atividade de associações ou de outras entidades que defendem essas convicções e se os dados disserem respeito aos membros das referidas associações ou entidades ou a pessoas que tenham relações regulares com elas em consequência dos seus objetivos e na medida em que esses dados não sejam transmitidos a terceiros sem o consentimento da pessoa em causa.
10. O artigo 44.o da Lei sobre os dados pessoais enuncia que a Comissão para a Proteção de Dados pode proibir, a pedido da Autoridade para a Proteção de Dados, o tratamento de dados pessoais que violem esta lei ou as disposições e prescrições adotadas com fundamento nela, e impor aos interessados um prazo para sanar a ilegalidade ou a negligência.
II. Litígio no processo principal, questões prejudiciais e tramitação do processo no Tribunal de Justiça.
11. Em 17 de setembro de 2013, a Comissão finlandesa para a Proteção de Dados (a seguir «comissão») adotou, a pedido da Tietosuojavaltuutettu (Autoridade para a Proteção de Dados, Finlândia, recorrente no processo principal) uma decisão que proíbe a comunidade religiosa das Testemunhas de Jeová (recorrida no processo principal, a seguir «comunidade») de recolher ou de tratar dados pessoais no âmbito da atividade de pregação de porta a porta sem se sujeitar às condições legais do tratamento dos dados pessoais previstas na Lei sobre os dados pessoais. Assim, a comissão finlandesa considerou que comunidade e os seus membros eram responsáveis, na aceção da Lei sobre os dados pessoais, pelo tratamento de dados pessoais sensíveis. A decisão previa que a comunidade dispunha de um prazo de seis meses para se conformar com esta lei.
12. A comunidade interpôs recurso dessa decisão no tribunal de primeira instância com base no facto de estar em causa um tratamento de dados efetuado para fins estritamente individuais na aceção da Lei sobre os dados pessoais. Por sentença proferida em 18 de dezembro de 2014, o referido tribunal anulou a decisão da comissão finlandesa considerando que a comunidade não era responsável por um tratamento ilegal de dados pessoais.
13. A Autoridade para a Proteção de Dados interpôs recurso no órgão jurisdicional de reenvio com vista a obter a anulação da sentença de 18 de dezembro de 2014.
14. A atividade dos membros da comunidade é descrita da seguinte maneira pelo órgão jurisdicional de reenvio. No âmbito da sua atividade de pregação, esses membros vão de porta em porta, tomando notas sobre os encontros efetuados com pessoas que são, em princípio, desconhecidas dos referidos membros. Os dados são recolhidos para registo, a fim de retirar informações úteis para uma visita posterior. Assim, as pessoas visitadas e cujos dados são registados nas notas dos membros da comunidade não são informadas dessa recolha nem do tratamento dos seus dados pessoais. O suporte da recolha toma a forma de uma lista ou de fichas. Os dados em causa são o nome, o endereço e um resumo do conteúdo da conversa incidente sobre, nomeadamente, as convicções religiosas e a situação familiar. Segundo o órgão jurisdicional de reenvio, a atividade de pregação é organizada pela comunidade no sentido de que esta última cartografa as zonas e reparte os setores entre os membros para efeitos de evangelização. As paróquias conservam registos sobre os pregadores que mencionam o número de publicações que distribuíram e contabilizam o tempo consagrado por cada membro à atividade de pregação.
15. A comunidade já utilizou uma publicação editada por si para difundir instruções relativas à tomada de notas (3). Os dados eram inicialmente recolhidos através de formulários, cujo incentivo à utilização pela comunidade cessou no seguimento de uma recomendação nesse sentido da Autoridade para a Proteção de Dados. Além disso, as paróquias da comunidade conservam uma lista, chamada «lista de proibições», das pessoas que expressaram a vontade de deixar de ser objeto de visitas por parte dos membros da referida comunidade. Segundo a Autoridade para a Proteção de Dados, essa lista parece em conformidade com a Lei sobre os dados pessoais.
16. A Autoridade para a Proteção de Dados sustenta no órgão jurisdicional de reenvio que os dados recolhidos pelos membros da comunidade durante a sua atividade de pregação constituem um ficheiro uma vez que têm o mesmo destino e se procede ao seu registo para servir de auxiliar de memória numa visita posterior. O tratamento de dados efetuado a partir da tomada de notas individuais é estritamente dirigido e organizado pela própria comunidade, a qual exerce um poder de controlo efetivo sobre a recolha e o tratamento de dados. A comunidade e os seus membros quando se dedicam à tomada de notas individuais durante a sua atividade de pregação devem ser considerados ambos «responsáveis pelo tratamento» de dados.
17. A comunidade sustenta, pelo seu lado, que a atividade de pregação, durante a qual, sendo caso disso, o membro tomará notas, se enquadra na prática religiosa individual. Assim, as notas tomadas são puramente pessoais. A tomada de notas e o eventual tratamento dos dados recolhidos que se segue são efetuados independentemente da existência da comunidade, a qual não exerce nenhum controlo, apesar de reconhecer, no entanto, que formula recomendações e dá a indicação espiritual do dever de cada membro de participar na atividade de evangelização. Mesmo assim, as notas dos membros não são transmitidas à comunidade que não lhes tem acesso. Não existe sistema que relacione os dados entre si e que permita proceder a buscas. A comunidade ignora quem de entre os seus membros proceda à tomada de notas no fim das suas visitas. A recolha de dados só incide sobre dados acessíveis a partir de fontes públicas como o anuário e estes são destruídos depois de deixarem de ser úteis. Os dados recolhidos pela própria iniciativa individual e pessoal dos membros não constitui um ficheiro e a comunidade não pode ser considerada responsável pelo tratamento dos dados pessoais. Aliás, tal é a apreciação das autoridades dinamarquesas, neerlandesas e norueguesas segundo as quais a atividade em causa no processo principal não se enquadra no âmbito de aplicação da lei nacional que regula a recolha e o tratamento dos dados pessoais ou não é contrária a essa lei.
18. Por conseguinte, segundo o órgão jurisdicional de reenvio, há que determinar, num primeiro momento, o âmbito de aplicação da Lei sobre os dados pessoais que corresponde ao âmbito de aplicação da Diretiva 95/46 (4). À luz da jurisprudência do Tribunal de Justiça, a atividade de recolha e de tratamento dos dados pessoais efetuada no âmbito de uma prática religiosa como a atividade de pregação não parece enquadrar‑se na exclusão prevista no artigo 3.°, n.o 2, primeiro travessão, da Diretiva 95/46, mas permanece uma incerteza quanto ao facto de saber se a atividade de pregação pode ser considerada uma atividade exclusivamente pessoal e doméstica na aceção do artigo 3.o, n.o 2, segundo travessão, da Diretiva 95/46. Para efeitos desta apreciação, o órgão jurisdicional de reenvio interroga‑se quanto à incidência das indicações contidas no considerando 12, da Diretiva 95/46 enquanto os dados recolhidos parecem ir além dos tradicionalmente recolhidos para o conteúdo de uma lista de endereços, designadamente na medida em que podem ser sensíveis e recolhidos a propósito de pessoas desconhecidas dos membros, tendo em conta em seguida o esclarecimento dado pelo considerando 18 do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (5) e, por último, ao papel desempenhado pela comunidade. O órgão jurisdicional de reenvio pressupõe que a determinação do âmbito de aplicação do artigo 3.o, n.o 2, segundo travessão, da Diretiva 95/46 carece da ponderação, por um lado, do direito fundamental do respeito à vida privada e, por outro, da liberdade não menos fundamental de religião cuja atividade de pregação constitui uma modalidade de expressão.
19. Num segundo momento, o órgão jurisdicional de reenvio interroga‑se quanto ao conceito de «ficheiro» na aceção do artigo 2.o, alínea c), da Diretiva 95/46 entendendo‑se que se a atividade em causa no processo principal não é abrangida pela exclusão prevista pelo artigo 3.o, n.o 2, segundo travessão, da referida diretiva, esta última só será aplicável, na falta de tratamento automatizado dos dados em causa, se esses dados estiverem contidos num «ficheiro». O referido órgão jurisdicional sublinha neste contexto o objetivo comum prosseguido pelas notas dos membros, a saber, o de servir de auxiliar de memória e de facilitar a procura dos dados das pessoas na altura de uma visita posterior.
20. Por último, num terceiro momento, o órgão jurisdicional de reenvio interroga‑se quanto à questão de saber se a comunidade, só ou em conjunto com os seus membros, pode ser considerada «responsável pelo tratamento» na aceção do artigo 2.o, alínea d), da Diretiva 95/46 quando parece exercer um controlo efetivo sobre a atividade de recolha sem que existam, presentemente, recomendações ou instruções escritas suas. Este conceito de «responsável pelo tratamento» parece ter uma definição ampla da jurisprudência do Tribunal de Justiça (6) e o juiz a quo sublinha em especial, apesar do facto de a comunidade não ter acesso aos dados recolhidos, o papel de encorajamento da atividade de pregação de porta a porta desta última e o facto de já ter dado, no passado, instruções sobre a recolha de dados aos seus membros e de lhes ter fornecido formulários para o efeito.
21. Foi nestas condições que o Korkein hallinto‑oikeus (Supremo Tribunal Administrativo) decidiu suspender a instância e, por decisão entrada na Secretaria em 19 de janeiro de 2017, submeteu as seguintes questões prejudiciais ao Tribunal de Justiça:
«1) Devem as exceções que dizem respeito ao âmbito de aplicação referidas no artigo 3.o, n.o 2, [primeiro e segundo travessões] da [Diretiva 95/46] ser interpretadas no sentido de que a recolha e o subsequente tratamento de dados pessoais pelos membros de uma comunidade religiosa, em ligação com a sua atividade de pregação praticada porta a porta, não estão abrangidos pelo âmbito de aplicação da diretiva? Que importância tem, para a aplicabilidade da diretiva o facto de, por um lado, a atividade de pregação em ligação com a qual os dados são recolhidos, ser organizada pela comunidade religiosa e pelas suas congregações e de, por outro, se tratar, ao mesmo tempo, do exercício pessoal da religião dos membros da comunidade religiosa?
2) Deve a definição do conceito de «ficheiro» no artigo 2.o, alínea c), da [Diretiva 95/46] relativa à proteção de dados, tendo em conta os considerandos 26 e 27 da diretiva, ser interpretada no sentido de que o conjunto de dados pessoais (nome e endereço, bem como outros dados e características que eventualmente dizem respeito à pessoa), recolhidos de forma não automatizada em ligação com as atividades desenvolvidas porta a porta acima descritas
a) não constitui um ficheiro, porque esse conjunto de dados pessoais não constitui um arquivo de fichas, índice ou sistema de classificação análogo, destinado à pesquisa de dados, na aceção da definição constante da lei finlandesa sobre dados pessoais, ou
b) constitui um ficheiro de dados no sentido dessa definição, porque desse conjunto de dados pessoais é efetivamente possível, atendendo à sua finalidade, extrair com facilidade e sem custos desproporcionados as informações necessárias para uma utilização posterior, conforme previsto na lei finlandesa sobre os dados pessoais?
3) Deve a expressão do artigo 2.o, alínea d), da [Diretiva 95/46] “que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais”, ser interpretada no sentido de que os membros de uma comunidade religiosa que organiza atividades em que são recolhidos dados pessoais (distribuição dos raios de ação dos pregadores, acompanhamento da atividade de pregação e manutenção de um registo das pessoas que não desejam que os pregadores venham ter com elas, entre outras) pode ser considerada responsável pelo tratamento de dados pessoais, embora essa comunidade religiosa alegue que apenas os pregadores individuais têm acesso às informações registadas?
4. Deve o referido artigo 2.o, alínea d), ser interpretado no sentido de que a comunidade religiosa apenas pode ser considerada responsável pelo tratamento se recorrer a outras medidas específicas, como recomendações ou instruções escritas, pelas quais orienta a recolha de dados, ou é suficiente que a comunidade religiosa desempenhe um papel efetivo na orientação da atividade dos seus membros? […]»
22. O presente processo beneficiou de observações escritas apresentadas pela recorrida no processo principal, pelos Governos finlandês, checo e italiano e pela Comissão Europeia.
23. Na audiência que teve lugar no Tribunal de Justiça, em 28 de novembro de 2017, a Autoridade para a Proteção de Dados, a recorrida no processo principal, o Governo finlandês e a Comissão apresentaram as suas observações orais.
III. Análise
A. Quanto à competência do Tribunal de Justiça
24. O presente reenvio prejudicial caracteriza‑se por uma forte contestação, pela recorrida no processo principal, dos factos que foram apurados pela Autoridade para a Proteção de Dados e apresentados pelo órgão jurisdicional de reenvio. A comunidade sustenta que o Tribunal de Justiça, aplicando o Acórdão Meilicke (7), não devia aceitar responder às questões submetidas pelo Korkein hallinto‑oikeus (Supremo Tribunal Administrativo).
25. Recorde‑se que, nesse acórdão, o Tribunal de Justiça lembrou as «regras do jogo» do diálogo prejudicial. Assim, embora, em princípio, o Tribunal de Justiça deva responder às questões submetidas pelo juiz nacional que é o único a ter conhecimento direto dos factos do processo e está, portanto, melhor colocado para apreciar a necessidade de uma decisão prejudicial para proferir a sua sentença, pode contudo verificar a sua própria competência para se assegurar que a sua decisão prejudicial contribuirá efetivamente, não para a formulação de opiniões consultivas sobre questões gerais ou hipotéticas, mas para a administração da justiça nos Estados‑Membros. Compete então ao juiz nacional fixar os factos do processo de modo a permitir ao Tribunal de Justiça conhecer todos os elementos de facto e de direito que podem ser importantes para a interpretação do direito da União que lhe é pedida (8). No Acórdão Meilicke (9), o Tribunal de Justiça considerou precisamente ter sido chamado a decidir um problema de natureza hipotética sem dispor dos elementos de facto e de direito necessários para lhe permitir responder de forma útil às questões que lhe tinham sido submetidas e declarou não haver lugar a uma decisão de mérito.
26. Ao invocar esta jurisprudência, a recorrida no processo principal não ignora que se mantém o princípio de uma elevada presunção de pertinência das questões prejudiciais submetidas pelo juiz de reenvio e que só em casos excecionais o Tribunal de Justiça se recusa responder‑lhes (10). Ora, os autos submetidos ao Tribunal de Justiça e, em especial, a decisão de reenvio, não apresentam lacunas tais que o Tribunal de Justiça ultrapassaria os limites das suas atribuições se decidisse responder às questões prejudiciais submetidas pelo órgão jurisdicional de reenvio (11). Em todo o caso, compete a este último, se se enquadrar no seu conhecimento oficioso (12), estabelecer os factos de forma definitiva. Os elementos que constam da decisão de reenvio são, em todo o caso, perfeitamente suficientes para que o Tribunal de Justiça se possa pronunciar com total conhecimento de causa (13).
B. Quanto às questões prejudiciais
1. Quanto à primeira questão
27. Com a sua primeira questão, o órgão jurisdicional de reenvio procura estabelecer se a atividade dos membros da comunidade das Testemunhas de Jeová pode ser subtraída à aplicação das regras da Diretiva 95/46 com fundamento, por um lado, no artigo 3.o, n.o 2, primeiro travessão, da referida diretiva. A este respeito, a recorrida no processo principal defende que a atividade em causa no processo principal, que se relaciona com a liberdade de religião e de expressão religiosa privada e pacífica, se enquadra nessa exclusão. Por outro lado, o órgão jurisdicional de reenvio também se questiona se esta atividade pode ser subtraída à aplicação das regras da Diretiva 95/46 com fundamento no seu artigo 3.o, n.o 2, segundo travessão, o qual exclui do âmbito de aplicação da diretiva o tratamento de dados pessoais efetuado «por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas» (14).
a) A atividade de pregação não está excluída do âmbito de aplicação da Diretiva 95/46 por força do seu artigo 3.o, n.o 2, primeiro travessão
28. O artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46 prevê que não é abrangido pelo âmbito de aplicação desta diretiva o tratamento de dados pessoais «efetuado no exercício de atividades não sujeitas à aplicação do direito comunitário, tais como as previstas nos títulos V e VI do Tratado da União Europeia, e, em qualquer caso, ao tratamento de dados que tenha como objeto a segurança pública, a defesa, a segurança do Estado (incluindo o bem‑estar económico do Estado quando esse tratamento disser respeito a questões de segurança do Estado), e as atividades do Estado no domínio do direito penal». A tese da recorrida no processo principal consiste, em substância, em sustentar que a atividade de pregação, no âmbito da qual tem lugar a recolha e o tratamento dos dados das pessoas que os membros da comunidade visitam, é uma atividade que não se enquadra no âmbito de aplicação do direito da União na aceção dessa disposição (15). Pelo seu lado, o Governo italiano toma como argumento a existência do artigo 17.o TFUE, que consagra uma competência exclusiva dos Estados‑Membros para regulamentar as organizações religiosas, para chegar à mesma conclusão que a recorrida no processo principal.
29. Antes de mais, importa recordar que resulta de jurisprudência constante do Tribunal de Justiça que a Diretiva 95/46 define «de forma muito ampla» o seu âmbito de aplicação, ao não fazer depender nomeadamente a aplicação das regras de proteção da questão de saber se o tratamento comporta uma ligação efetiva com a livre circulação entre Estados‑Membros (16). Por outro lado, o Tribunal de Justiça também recordou que a diretiva não prevê qualquer limitação adicional ao seu âmbito de aplicação em relação às previstas no seu artigo 3.o (17). Tendo em conta o objetivo prosseguido pela Diretiva 95/46 de garantir um nível elevado de proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente, da sua vida privada, no que diz respeito ao tratamento de dados pessoais (18), a referida proteção exige que «as derrogações à proteção dos dados pessoais e as respetivas limitações devem ocorrer na estrita medida do necessário» (19). O artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46 deve como qualquer cláusula derrogatória, ser interpretado de forma restritiva.
30. Além disso, o Tribunal de Justiça declarou que «[a]s atividades referidas a título de exemplo no artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46 […] são, em todos os casos, atividades próprias aos Estados ou às autoridades estatais e alheias aos domínios de atividade dos particulares» (20). Em seguida, esclareceu que as referidas atividades «destinam‑se a definir o alcance da exceção aí prevista, de maneira que essa exceção só se aplica às atividades aí expressamente mencionadas ou que podem ser classificadas na mesma categoria (ejusdem generis)» (21).
31. Sobretudo, o Tribunal de Justiça declarou, no âmbito de um processo que dizia respeito à atividade de uma catequista numa paróquia na Suécia, que consistia na criação de uma página Internet para dar informações aos paroquianos que preparam o seu crisma que «as atividades benévolas ou religiosas, como as que são exercidas [pela recorrente no processo principal] não são comparáveis às atividades referidas no artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46, não estando […] abrangidas por esta exceção» (22). Embora o advogado‑geral A. Tizzano tivesse sustentado, nas suas conclusões nesse processo, uma posição contrária, não é por causa do caráter religioso do contexto em que a atividade da recorrente então se desenvolvia, mas por causa da falta de objetivo de lucro, de elemento transfronteiriço e de qualquer relação de trabalho, por outras palavras da inexistência de qualquer relação da referida atividade com o exercício das liberdades fundamentais garantidas pelo Tratado (23). Com o seu Acórdão Lindqvist (24), o Tribunal de Justiça não só decidiu que, tendo em conta o objetivo essencial prosseguido pela Diretiva 95/46, não tinha necessidade de verificar, antes de aplicar a referida diretiva, se a atividade em causa afetava diretamente a livre circulação entre Estados‑Membros (25) mas também admitiu, pelo menos implicitamente, que a atividade da recorrente no processo principal, que se inscrevia no pleno exercício da sua atividade de religião, se enquadrava principalmente no «domíni[o] de atividade dos particulares» que nas «atividades próprias aos Estados ou às autoridades estatais e alheias» (26) que só se enquadram na exclusão prevista no artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46.
32. O aditamento, pelo Tratado de Lisboa, do artigo 17.o TFUE constitui um elemento novo suscetível de infletir a interpretação dada pelo Tribunal de Justiça no seu Acórdão Lindqvist (27)?
33. Não creio.
34. A este propósito, é útil recordar que, na altura em que o Tribunal de Justiça proferiu esse acórdão, a sua atenção já era necessariamente atraída pelo facto de o litígio no processo principal envolver uma atividade religiosa. Por outro lado, não ignorava a declaração n.o 11 relativa ao estatuto das Igrejas e das organizações não confessionais (28) anexa ao Tratado de Amesterdão, nos termos da qual a União já se obrigava a respeitar e não afetar o estatuto de que gozavam, ao abrigo do direito nacional, as Igrejas e associações ou comunidades religiosas nos Estados‑Membros. Parece difícil sustentar que o legislador pretendeu excluir do âmbito de aplicação da Diretiva 95/46, com fundamento no artigo 3.o, n.o 2, primeiro travessão, as atividades dos particulares desenvolvidas em relação com a liberdade de religião, enquanto consagrava, algumas disposições mais adiante, um regime específico para o tratamento de dados efetuado por uma organização religiosa (29). No entanto, podia‑se objetar que a Diretiva 95/46 é anterior à declaração n.o 11 anexa ao Tratado de Amesterdão. Todavia, apesar do aditamento do artigo 17.o TFUE, ao Tratado, recordado, em substância, no considerando 165 do Regulamento 2016/679, há que reconhecer que o legislador da União persistiu nessa via e não viu contradição entre, por um lado, o reconhecimento do estatuto das comunidades religiosas conforme é estabelecido pelos Estados‑Membros e, por outro, a confirmação da submissão do tratamento dos dados por essas mesmas comunidades a um regime específico (30). Em todo o caso, tenho dificuldade em ver na exclusão das atividades religiosas, pelo menos como as que estão em causa no processo principal, do âmbito de aplicação do artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46 uma qualquer ameaça do «estatuto» das comunidades religiosas, conforme definido pelos Estados‑Membros (31).
35. Portanto, a atividade em causa no processo principal não se enquadra na exclusão prevista no artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46.
b) A atividade de pregação não está excluída do âmbito de aplicação da Diretiva 95/46 por força do seu artigo 3.o, n.o 2, segundo travessão
36. De um ponto de vista literal, o artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46 prevê que esta última não é aplicável ao tratamento de dados pessoais «efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas» (32).
37. Antes de mais, há que rejeitar a interpretação proposta na audiência pela recorrente no processo principal segundo a qual o caráter pessoal ou doméstico da atividade referida por essa disposição devia ser apreciado do ponto de vista da pessoa cujos dados são recolhidos. Quando os membros pregadores da comunidade se dirigem ao domicílio das pessoas «visitadas», a atividade em questão é necessariamente doméstica. Tal abordagem nunca foi seguida pelo Tribunal de Justiça quando analisou se uma atividade era efetivamente «pessoal ou doméstica» na aceção do artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46, uma vez que o ponto de vista adotado foi sempre o da pessoa que recolhe ou, mais frequentemente, trata os dados pessoais (33).
38. Depois, há que recordar que a constatação estabelecida mais atrás de uma interpretação necessariamente restritiva da derrogação ao âmbito de aplicação da Diretiva 95/46 contida no artigo 3.o, n.o 2, primeiro travessão, desta diretiva (34) também é válida no que se refere à interpretação do segundo travessão.
39. Por outro lado, resulta da jurisprudência do Tribunal de Justiça que o alcance do artigo 3.o, n.o 2, segundo travessão, da Diretiva 95/46 pode ser utilmente esclarecido pelo seu considerando 12 que refere, a título de exemplo de tratamento de dados efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas, a correspondência e a gestão de listas de endereços (35). Esta exceção deve, portanto, ser interpretada como tendo unicamente por objeto as atividades que se inserem no âmbito da vida privada ou familiar dos particulares» (36), isto é quando o tratamento é efetuado «na esfera exclusivamente pessoal ou doméstica da pessoa que procede a esse tratamento» (37). O Tribunal de Justiça considera que esse não é manifestamente o caso do tratamento de dados de caráter pessoal «que consiste na sua publicação na Internet de maneira que esses dados são disponibilizados a um número indefinido de pessoas» (38) ou «cujo objeto é dar a conhecer os dados recolhidos a um número indefinido de pessoas» (39). Assim, tudo o que «se dirige para fora da esfera privada da pessoa que procede ao tratamento de dados» não pode ser considerado uma atividade exclusivamente pessoal ou doméstica, na aceção do artigo 3.o, n.o 2, primeiro travessão, da Diretiva 95/46 (40).
40. Resulta dos factos tal como foram apresentados ao Tribunal de Justiça pelo órgão jurisdicional de reenvio que a atividade de pregação durante a qual os dados pessoais das pessoas visitadas se consideram recolhidos ultrapassa, pelo menos, a esfera doméstica daquele que trata os dados, uma vez que a pregação é definida por natureza pelo estabelecimento de contacto com pessoas por princípio desconhecidas e que não partilham a fé do pregador. Contrariamente a uma lista de endereços, por exemplo, a atividade de pregação induz necessariamente uma «confrontação» com a esfera exterior do seu lar e da sua célula familiar. A natureza dos dados recolhidos — que incluem dados que beneficiam de uma proteção reforçada nos termos da diretiva 95/46 (41) — também preconiza uma clara distinção com o exemplo referido no considerando 12 da Diretiva 95/46.
41. Resulta também desses mesmos factos que o papel atribuído, pela redação da primeira questão prejudicial, à comunidade religiosa e às suas congregações de organização da atividade de pregação conduz necessariamente à conclusão de que são ultrapassadas não só a esfera doméstica, mas também a esfera privada das pessoas que exercem a atividade de pregação.
42. Tendo em conta a dimensão comunitária da atividade de pregação (42) e o facto de esta implicar necessariamente que a pessoa que trata os dados nesse contexto saia da sua esfera privada e familiar para ir ao encontro, no seu domicílio, de pessoas que não integram o seu círculo íntimo, dado que a recolha e o tratamento de dados pessoais efetuados pelos membros de uma comunidade religiosa no âmbito da atividade de pregação, não podem ser excluídos do âmbito de aplicação da Diretiva 95/46 por força do seu artigo 3.o, n.o 2, segundo travessão.
43. Tal interpretação preenche plenamente os requisitos de interpretação restritiva das derrogações ao âmbito de aplicação da Diretiva 95/46 e de limitação destas últimas ao estritamente necessário e é perfeitamente fiel ao objetivo prosseguido por esta diretiva de garantir um nível elevado de proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente, da sua vida privada, no que diz respeito ao tratamento de dados pessoais (43).
44. No entanto, falta verificar se tal interpretação não viola os outros direitos fundamentais com os quais deve ser conciliada a proteção da vida privada e dos dados pessoais (44) e se conduz a uma ponderação equilibrada entre a referida proteção, por um lado, e a liberdade de religião de que a liberdade de pregação constitui um corolário, por outro. Embora o Tribunal de Justiça tenha decidido até aqui que as disposições da Diretiva 95/46 devem ser necessariamente interpretadas à luz dos direitos fundamentais que estão inscritos na Carta dos Direitos Fundamentais da União Europeia (45) (a seguir «Carta») ao visar exclusivamente os artigos 7.o e 8.o desta última (46), o respeito de outras disposições da carta impõe‑se, todavia, com a mesma evidência.
45. Assim, o artigo 10.o, n.o 1, da Carta enuncia que «[t]odas as pessoas têm direito à liberdade de […] religião. Este direito implica a liberdade de mudar de religião ou de convicção, bem como a liberdade de manifestar a sua religião ou a sua convicção, individual ou coletivamente, em público ou em privado, através do culto, do ensino, de práticas e da celebração de ritos». A anotação ad artigo 10.o da Carta (47) esclarece que este direito corresponde ao direito garantido no artigo 9.o da Convenção para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, assinada em Roma, em 4 de novembro de 1950 (a seguir «CEDH») e que tem, nos termos do n.o 3 do artigo 52.o da Carta, o mesmo sentido e o mesmo âmbito que este. Portanto, a liberdade de religião, só pode ser limitada nas condições previstas no artigo 9.o, n.o 2, da CEDH, ou seja, qualquer restrição deve estar prevista na lei, constituir uma medida necessária, numa sociedade democrática, à segurança pública, à proteção da ordem, da saúde e moral públicas, ou à proteção dos direitos e liberdades de outrem.
46. O primeiro ensinamento que podemos retirar do artigo 9.o, n.o 2, da CEDH é que, contrariamente ao resultado a que a recorrente no processo principal chegou no termo da sua argumentação, a liberdade de religião e o seu corolário que é a liberdade de pregação, por muito fundamentais que sejam, não constituem, mesmo assim, uma espécie de «meta‑direito fundamental» que ocupa uma posição hierarquicamente superior a todas as outras e que não pode sofrer nenhuma violação. Por conseguinte, a conciliação da liberdade de pregação com a proteção da vida privada é não só possível, mas também necessária a fim de preservar «a proteção dos direitos e liberdades de outrem» como determina esta disposição.
47. A propósito da liberdade de religião, o Tribunal Europeu dos Direitos do Homem (a seguir «TEDH») declarou que embora esta «pertença antes de mais ao foro íntimo, implica também a de manifestar a sua religião individualmente e em privado, ou de forma coletiva, em público e no círculo daqueles que partilham a fé. Por outro lado, o [TEDH] já teve oportunidade de consagrar direitos negativos nos termos do artigo 9.o da [CEDH], nomeadamente a liberdade de não professar uma religião e a de não a praticar» (48).
48. Ora, a atividade de pregação de porta a porta não me parece ameaçar, por si só, o aspeto negativo da liberdade de religião conforme definido pelo TEDH. Acrescento que, na minha opinião, não pode haver aspeto negativo para a liberdade de pregação, uma vez que esta última implica necessariamente tentar convencer aquele que não partilha a sua fé ou que a não tem de todo. Se me posso exprimir assim, a liberdade de pregação implica necessariamente a existência de um público «alvo» ao qual não se pode reconhecer o direito negativo de não ser pregado, de não ser alvo de tentativa de proselitismo, exceto esvaziar da sua essência a liberdade em questão e a sua potencial consequência, também protegida tanto pelo artigo 9.o da CEDH como pelo artigo 10.o, n.o 1, da Carta, que é a liberdade de mudar de religião (49).
49. A atividade de pregação de porta a porta descrita pelo órgão jurisdicional de reenvio também não me parece atingir os limites fixados pelo TEDH que proíbe apenas o proselitismo abusivo (50) ou duvidoso (51).
50. Para que a interpretação do artigo 3.o, n.o 2, segundo travessão, da Diretiva 95/46 proposta no n.o 42 das presentes conclusões seja alterada pela tomada em conta do artigo 9.o da CEDH e, portanto, do artigo 10.o, n.o 1, da Carta, há que constatar que a sujeição da atividade em causa no processo principal ao cumprimento das regras da referida diretiva seja constitutiva de uma ingerência intolerável e desproporcionada na liberdade de pregação. Ora, tenho dificuldade em identificar essa ingerência no caso que nos é hoje submetido, uma vez que a tomada de notas e a sua transmissão dentro da comunidade religiosa não é em nada consubstancial com a atividade de pregação. Todavia, no pressuposto de que essa ingerência seja constatada, falta verificar que está prevista na lei e que é necessária, numa sociedade democrática, para atingir o objetivo legítimo de preservação dos direitos e liberdades de outrem. Ora, a suposta ingerência que seria causada pela necessidade de respeitar as prescrições da Diretiva 95/46 está efetivamente prevista na lei, na medida em que é especificamente prevista pela Diretiva 95/46 e, pelas razões precedentemente evocadas, é necessária, numa sociedade democrática, à proteção dos direitos de outrem, essencialmente do direito à vida privada e do direito à proteção dos dados pessoais das pessoas visitadas, direitos aos quais deve ser dada a mesma atenção.
51. Portanto, a proteção retirada do artigo 10.o, n.o 1, da Carta não é suscetível de por em causa a constatação de que a atividade de pregação de porta a porta dos membros da comunidade não reveste um caráter exclusivamente pessoal ou doméstico na aceção do artigo 3.o, n.o 2, segundo travessão, da Diretiva 95/46.
52. Tendo em conta estas considerações, importa responder à primeira questão prejudicial submetida pelo órgão jurisdicional de reenvio que uma atividade de pregação de porta a porta como a que está em causa no processo principal não constitui uma atividade exclusivamente pessoal ou doméstica na aceção do artigo 3.o, n.o 2, segundo travessão, da Diretiva 95/46.
2. Quanto à segunda questão
53. A segunda questão prejudicial submetida pelo órgão jurisdicional de reenvio convida ainda o Tribunal de Justiça a debruçar‑se sobre o âmbito de aplicação da Diretiva 95/46, considerado desta vez do ponto de vista do seu artigo 3.o, n.o, 1, que enuncia que a diretiva «aplica‑se ao tratamento de dados pessoais […] contidos num ficheiro ou a ele destinados». Uma vez que parece um facto assente que o tratamento dos dados recolhidos pelos membros da comunidade não é, pelo menos em parte, automatizado, a Diretiva 95/46 só é aplicável perante um ficheiro definido pelo artigo 2.o, alínea c), da Diretiva 95/46 como «qualquer conjunto estruturado de dados pessoais, acessível segundo critérios determinados, que seja centralizado, descentralizado ou repartido de modo funcional ou geográfico». O órgão jurisdicional de reenvio alega que, na aceção da Lei sobre os dados pessoais, a falta de fichas ou de listas específicas ou de outro sistema de busca comparável impede qualificar como «ficheiro» os dados tratados pelos membros da comunidade. Todavia, o mesmo órgão jurisdicional interroga‑se quanto à incidência do facto de os dados poderem ser objeto de uma pesquisa fácil, para efeitos de utilização posterior e sem um custo excessivo ‑ que são os dois critérios enunciados na Lei sobre os dados pessoais ‑ sobre tal qualificação.
54. A recorrida no processo principal insiste de novo no caráter excessivamente teórico desta segunda questão, tendo em conta o facto de não estar comprovado que os seus membros tomam efetivamente notas aquando da sua atividade de pregação de porta a porta, o que resulta da fundamentação do pedido de decisão prejudicial. Quanto a esta censura reiterada, remeto para os n.os 25 e seguintes das presentes conclusões. Em conformidade com a análise do órgão jurisdicional de reenvio, os desenvolvimentos subsequentes partem do postulado de que os membros da comunidade podem tomar notas durante a referida atividade.
55. Importa recentrar o debate sobre a Diretiva 95/46 e a definição que esta dá do conceito de ficheiro. O artigo 2.o, alínea c, da Diretiva 95/46, cuja redação é bastante sibilina (52), deve ser lido em conjugação com o considerando 27 desta mesma diretiva, o qual refere, por um lado, que o âmbito de aplicação da proteção dos dados não deve depender das técnicas utilizadas, sob pena de se correr o sério risco de a proteção poder ser contornada e que, por outro, no que respeita ao tratamento manual, a diretiva apenas abrange os ficheiros que devem ser estruturados de acordo com critérios específicos relativos às pessoas que permitam um acesso fácil aos dados pessoais. Além disso, os diferentes critérios que permitem determinar os elementos de um conjunto estruturado de dados pessoais e os diferentes critérios que regem o acesso a esse conjunto de dados podem ser definidos por cada Estado‑Membro.
56. Segundo jurisprudência do Tribunal de Justiça, o artigo 3.o, n.o, 1, da Diretiva 95/46 define de forma muito ampla o âmbito de aplicação desta última (53). Por conseguinte, não se trata de interpretar esta disposição de uma maneira que ameace o elevado nível de proteção conferido pela Diretiva 95/46.
57. Parece‑me que, por detrás de uma aparente descentralização (54), as notas tomadas no caso em apreço pelos membros da comunidade podem constituir um «ficheiro» na aceção da Diretiva 95/46. Um dos primeiros critérios que estruturam esse conjunto é o critério geográfico. Em certa medida, o próprio membro torna‑se um critério estruturante do conjunto dos dados na medida em que a comunidade reparte geograficamente os setores. Por conseguinte, sabe que os dados relativos a tal pessoa que reside em tal bairro foram recolhidos por tal membro. Supondo que a comunidade não indica aos seus membros a natureza dos dados recolhidos, esta última é de facto induzida pelo objetivo prosseguido, ou seja, a preparação das visitas posteriores. O órgão jurisdicional de reenvio informou o Tribunal de Justiça que se tratava do nome, do endereço e de um resumo do conteúdo da conversa incidente sobre, nomeadamente, as convicções religiosas e a situação familiar. Tal estrutura, embora não seja de uma sofisticação especial, permite um acesso fácil aos dados recolhidos. Perpetua também a memória da atividade de pregação da comunidade e pode‑se facilmente imaginar que, em caso de mudança de um membro, este esteja em condições de transmitir as informações recolhidas ao novo membro que o substitui no setor geográfico em questão. Por conseguinte, o critério da acessibilidade dos dados parece preenchido (55).
58. Nestas condições, parece que o direito finlandês exige um nível de sofisticação superior ao exigido pela Diretiva 95/46 ao limitar‑se a qualificar de «ficheiros» fichas, listas ou qualquer outro sistema de busca comparável. Por conseguinte, não é de excluir que a Lei sobre os dados pessoais contenha uma restrição adicional em relação à que a Diretiva 95/46 prevê. Todavia, o órgão jurisdicional de reenvio não submeteu tal questão ao Tribunal de Justiça e caber‑lhe‑á tirar todas as consequências, inclusivamente tendo em conta o seu direito nacional, da resposta que o Tribunal de Justiça dê a esta segunda questão.
59. Portanto, importa constatar que o artigo 3.o, n.o, 1, da Diretiva 95/46, lido em conjugação com o artigo 2.o, alínea c), da referida diretiva, deve ser interpretado no sentido de que o conjunto dos dados pessoais recolhidos de forma não automatizada pelos membros de uma comunidade religiosa, no âmbito de uma atividade como a que está em causa no processo principal, segundo uma repartição geográfica determinada e que tem como finalidade a preparação das visitas posteriores às pessoas com as quais se iniciou um diálogo espiritual pode constituir um ficheiro.
3. Quanto à terceira e quarta questões prejudiciais consideradas em conjunto
60. Com a sua terceira e quarta questões que devem ser analisadas em conjunto, o órgão jurisdicional de reenvio pede, em substância, ao Tribunal de Justiça para determinar se o artigo 2.o, alínea d), da Diretiva 95/46 deve ser interpretado no sentido de que uma comunidade religiosa, que organiza uma atividade de pregação no âmbito da qual são recolhidos dados pessoais, que são acessíveis apenas aos pregadores, pode ser considerada «responsável pelo tratamento» na aceção da referida diretiva. Para efeitos desta mesma operação de qualificação, o órgão jurisdicional de reenvio pergunta ainda se deve haver atos específicos adotados pela comunidade, tais como instruções escritas dirigidas aos seus membros, ou se basta que a referida comunidade esteja efetivamente em condições de dirigir a atividade dos seus membros.
61. Antes de começar a análise, quero formular uma observação preliminar. A recorrida no processo principal negou, quer nas suas observações escritas, quer na sua alegação no Tribunal de Justiça, ser «responsável pelo tratamento» dos dados recolhidos pelos seus membros, na aceção da Diretiva 95/46, e manifestou uma certa irritação perante a evocação do facto de os seus membros agirem com instruções suas e não em resposta a uma ordem divina. Todavia, reitero que não se pode conferir à determinação da aplicabilidade da Diretiva 95/46 ao caso em apreço, como a uma eventual qualificação da comunidade de «responsável pelo tratamento» na aceção desta mesma diretiva, um alcance que vá para além do que elas são, isto é, operações de qualificação jurídica. Resulta de jurisprudência do Tribunal de Justiça que o responsável pelo tratamento, no sentido da Diretiva 95/46 «deve assegurar, no âmbito das suas responsabilidades, das suas competências e das suas possibilidades, que [a] atividade [de tratamento dos dados] satisfaça as exigências da Diretiva 95/46, para que as garantias nesta previstas possam produzir pleno efeito e possa efetivamente realizar‑se uma proteção eficaz e completa das pessoas em causa, designadamente do seu direito ao respeito pela sua vida privada» (56). Portanto, trata‑se de uma operação de qualificação jurídica, e não de uma qualquer reconsideração do papel da comunidade ou do fundamento original da atividade de pregação.
62. Esclarecido isto, voltemos à análise.
63. Na aceção do artigo 2.o, alínea d), da Diretiva 95/46, o responsável pelo tratamento é «a pessoa singular ou coletiva, a autoridade pública, o serviço ou qualquer outro organismo que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais […]». Resulta da jurisprudência do Tribunal de Justiça que este conceito deve ser definido de forma ampla para satisfazer o objetivo de proteção eficaz e completa prosseguido pela Diretiva 95/46 (57) e tendo em conta o papel determinante do responsável pelo tratamento no sistema implementado pela Diretiva 95/46 (58).
64. O Grupo de Trabalho do Artigo 29.o sobre a Proteção de Dados (a seguir «Grupo de Trabalho ‘Artigo 29.o’») (59) considera que a determinação do responsável pelo tratamento na aceção do artigo 2.o, alínea d), da Diretiva 95/46 «baseia‑se numa análise factual e não formal» (60) e «consiste, respetivamente, em determinar o ‘porquê’ e o ‘como’ de certas atividades de tratamento» (61).
65. Por conseguinte, trata‑se de verificar se a comunidade determina as finalidades e os meios de tratamento dos dados recolhidos pelos seus membros. Para esse efeito, importa recordar que resulta da redação da terceira questão prejudicial que a comunidade «organiza» a atividade em que são recolhidos os dados pessoais pelos seus membros no sentido em que reparte os raios de ação entre os diferentes pregadores, efetua um acompanhamento da atividade dos referidos pregadores (62) e mantém um registo das pessoas que não desejam ser visitadas. Estes elementos são outros tantos sinais de uma centralização da atividade de pregação pela comunidade. Nestas condições, é difícil continuar a sustentar que essa atividade, e a recolha de dados pessoais que a acompanha, sendo caso disso, permanecem exclusivamente individuais e perfeitamente estranhas à comunidade (63).
66. Há, no meu entendimento, um conjunto de indícios suficiente ‑ tendo em conta a necessidade de interpretar amplamente o conceito de «responsável pelo tratamento» na aceção da Diretiva 95/46 e a prossecução de um elevado nível de proteção — para considerar que a comunidade determina a finalidade do tratamento dos dados pessoais recolhidos pelos membros, que reside na busca permanente de um aumento numérico do número de fieis através de uma maior eficácia da atividade de pregação que passa por uma preparação ótima das visitas.
67. No que se refere à determinação dos meios pela comunidade, esta perece‑me dificilmente contestável em relação ao período durante o qual a referida comunidade fornecia formulários aos seus membros e dava instruções muito concretas relativas à tomada de notas através de artigos publicados na sua revista. Embora a utilização de formulários pareça ter cessado, saliento que as publicações estão, por seu turno, sempre disponíveis on line e que ainda foram dadas diretivas para a tomada de notas, posteriores à data da decisão recorrida no âmbito do litígio no processo principal (64).
68. Em todo o caso, a questão prejudicial parte da hipótese da inexistência de instruções escritas. Para efeitos da determinação do «responsável pelo tratamento» na aceção da Diretiva 95/46, inclino‑me para considerar, conjuntamente com os Governos finlandês, checo e italiano, que um formalismo excessivo permitiria contornar facilmente as disposições da Diretiva 95/46 e que, consequentemente, se deve basear numa análise mais factual que formal a fim de apreciar se a comunidade desempenha um papel efetivo na determinação dos objetivos e das modalidades do tratamento.
69. Tal interpretação é ainda corroborada pelo texto do artigo 2.o, alínea d), da Diretiva 95/46 que não contém nenhuma referência explícita a um requisito de instruções escritas. Parece que esse é também o sentido dado pelo Grupo de Trabalho «Artigo 29.o» a esta disposição, segundo o qual uma influência de facto pode bastar para determinar o responsável pelo tratamento dos dados (65).
70. É claro que a constatação da existência de uma influência de facto escapa ao Tribunal de Justiça e compete ao órgão jurisdicional de reenvio. Todavia, é útil que este último recorde que o conceito de «responsável pelo tratamento» na aceção da Diretiva 95/46 deve ser definido de forma ampla. Quando acabo de concluir que não se pode exigir a presença de instruções escritas para não encerrar o referido conceito num formalismo demasiado restrito, a apreciação da existência de uma influência de facto deve ser feita de acordo com critérios razoavelmente verificáveis. A este respeito, confesso não ficar convencido pela posição defendida pela Comissão de que compete ao órgão jurisdicional de reenvio verificar que a instrução da comunidade é percebida pelos seus membros como «moral e suficientemente vinculativa».
71. Quanto à questão de saber se o responsável pelo tratamento dos dados deve necessariamente ter acesso aos referidos dados, saliento, novamente, que esse requisito não faz parte da definição dada pela Diretiva 95/46. É também convicção do Grupo de Trabalho «Artigo 29.o» de que o facto de uma entidade não estar em posição de cumprir diretamente todas as obrigações que incumbem ao responsável pelo tratamento como o direito de acesso, não exclui a possibilidade de ser responsável pelo tratamento (66). É também precisamente por este tipo de configuração que a Diretiva 95/46 prevê explicitamente que a responsabilidade pode ser exercida conjuntamente (67). Consequentemente, partilho aqui plenamente da posição expressa pelo advogado geral Y. Bot segundo o qual «uma interpretação que privilegia a existência de um poder de controlo total sobre todos os aspetos do tratamento é suscetível de provocar sérias lacunas em matéria de proteção dos dados pessoais» (68).
72. Por conseguinte, terminarei a análise esclarecendo que, no âmbito do litígio no processo principal, a eventual constatação da responsabilidade da comunidade não é exclusiva da constatação paralela de uma responsabilidade partilhada dos membros dessa comunidade, «[devendo] [a] análise deste controlo conjunto ser semelhante à análise do controlo «individual», adotando uma abordagem substantiva e funcional centrada na identificação das entidades que determinam as finalidades e os elementos essenciais dos meios de tratamento. A participação das partes na determinação das finalidades e dos meios de tratamento no contexto do controlo conjunto pode assumir várias formas e não tem de ser partilhada em partes iguais (69). Ora, parece resultar dos factos tal como foram apresentados ao Tribunal de Justiça pelo órgão jurisdicional de reenvio que os membros da comunidade podem influenciar de forma concreta os meios do tratamento (focalizando as pessoas que vão ser alvo de uma visita, decidindo da oportunidade de proceder à tomada de notas, escolhendo o suporte para essa tomada de notas, determinando o alcance dos dados recolhidos, etc.).
73. Tendo em conta o que precede, sugiro ao Tribunal de Justiça que responda que o artigo 2.o, alínea d), da Diretiva 95/46 deve ser interpretado no sentido de que uma comunidade religiosa, que organiza uma atividade de pregação no âmbito da qual são recolhidos dados pessoais, pode ser considerada responsável pelo tratamento, apesar de ela própria não ter acesso aos dados pessoais assinalados pelos seus membros. Para efeitos da determinação do «responsável pelo tratamento» na aceção da Diretiva 95/46, não é exigível que existam instruções escritas, mas deve ser constatado, sendo caso disso através de um conjunto de indícios, que o responsável está em condições de exercer uma influência de facto sobre a atividade de recolha e de tratamento dos dados pessoais, o que compete ao órgão jurisdicional de reenvio verificar.
IV. Conclusão
74. Tendo em conta todas as considerações precedentes, proponho ao Tribunal de Justiça que responda às questões submetidas pelo Korkein hallinto‑oikeus (Supremo Tribunal Administrativo, Finlândia), nos seguintes termos:
1) Uma atividade de pregação de porta a porta como a que está em causa no processo principal não se enquadra na exceção prevista no artigo 3.o, n.o 2, primeiro e segundo travessões, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
2) O artigo 3.o, n.o 1, da Diretiva 95/46, lido em conjugação com o artigo 2.o, alínea c), da referida diretiva, deve ser interpretado no sentido de que o conjunto dos dados pessoais recolhidos de forma não automatizada pelos membros de uma comunidade religiosa, no âmbito de uma atividade como a que está em causa no processo principal, segundo uma repartição geográfica determinada e que tem como finalidade a preparação das visitas posteriores às pessoas com as quais se iniciou um diálogo espiritual pode constituir um ficheiro.
3) O artigo 2.o, alínea d), da Diretiva 95/46 deve ser interpretado no sentido de que uma comunidade religiosa, que organiza uma atividade de pregação no âmbito da qual são recolhidos dados pessoais, pode ser considerada responsável pelo tratamento, apesar de ela própria não ter acesso aos dados pessoais assinalados pelos seus membros. Para efeitos da determinação do «responsável pelo tratamento» na aceção da Diretiva 95/46, não é exigível que existam instruções escritas, mas deve ser constatado, sendo caso disso através de um conjunto de indícios, que o responsável está em condições de exercer uma influência de facto sobre a atividade de recolha e de tratamento dos dados pessoais, o que compete ao órgão jurisdicional de reenvio verificar.