ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Sexta Secção)
7 de março de 2024 (*)
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigos 2.o, 4.o, 6.o, 10.o e 86.o — Dados detidos por um tribunal relativos às condenações penais de uma pessoa singular — Comunicação verbal desses dados a uma sociedade comercial devido a um concurso organizado por esta — Conceito de “tratamento de dados pessoais” — Legislação nacional que regula o acesso aos referidos dados — Conciliação entre o direito do público de acesso a documentos oficiais e a proteção de dados pessoais»
No processo C‑740/22,
que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.o TFUE, pelo Itä‑Suomen hovioikeus (Tribunal de Recurso da Finlândia Oriental, Finlândia), por Decisão de 30 de novembro de 2022, que deu entrada no Tribunal de Justiça em 2 de dezembro de 2022, no processo
Endemol Shine Finland Oy
O TRIBUNAL DE JUSTIÇA (Sexta Secção),
composto por: T. von Danwitz (relator), presidente de secção, P. G. Xuereb e I. Ziemele, juízes,
advogada‑geral: T. Ćapeta,
secretário: A. Calot Escobar,
vistos os autos,
vistas as observações apresentadas:
– em representação do Governo Finlandês, por A. Laine e M. Pere, na qualidade de agentes,
– em representação do Governo Português, por P. Barros da Costa, M. J. Ramos e C. Vieira Guerra, na qualidade de agentes,
– em representação da Comissão Europeia, por A. Bouchagiar, H. Kranenborg e I. Söderlund, na qualidade de agentes,
vista a decisão tomada, ouvida a advogada‑geral, de julgar a causa sem apresentação de conclusões,
profere o presente
Acórdão
1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 2.o, n.o 1, do artigo 4.o, ponto 2, e do artigo 86.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).
2 Este pedido foi apresentado no âmbito de um processo relativo à recusa de um órgão jurisdicional nacional comunicar à Endemol Shine Finland Oy dados relativos a condenações penais a respeito de um terceiro.
Quadro jurídico
Direito da União
3 Os considerandos 4, 10, 11, 15, 19 e 154 do RGPD têm a seguinte redação:
«(4) O tratamento dos dados pessoais deverá ser concebido para servir as pessoas. O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdades e os princípios reconhecidos na [Carta dos Direitos Fundamentais da União Europeia (a seguir “Carta”)], consagrados nos Tratados, nomeadamente o respeito pela vida privada e familiar, […] a proteção dos dados pessoais, a liberdade de pensamento, de consciência e de religião, a liberdade de expressão e de informação, a liberdade de empresa, o direito à ação e a um tribunal imparcial, […]
[…]
(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. No que diz respeito ao tratamento de dados pessoais para cumprimento de uma obrigação jurídica, para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento, os Estados‑Membros deverão poder manter ou aprovar disposições nacionais para especificar a aplicação das regras do presente regulamento. Em conjugação com a legislação geral e horizontal sobre proteção de dados que dá aplicação à Diretiva 95/46/CE [do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 1)], os Estados‑Membros dispõem de várias leis setoriais em domínios que necessitam de disposições mais específicas. O presente regulamento também dá aos Estados‑Membros margem de manobra para especificarem as suas regras, inclusive em matéria de tratamento de categorias especiais de dados pessoais (“dados sensíveis”). Nessa medida, o presente regulamento não exclui o direito dos Estados‑Membros que define as circunstâncias de situações específicas de tratamento, incluindo a determinação mais precisa das condições em que é lícito o tratamento de dados pessoais.
(11) A proteção eficaz dos dados pessoais na União exige o reforço e a especificação dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados pessoais, bem como poderes equivalentes para controlar e assegurar a conformidade das regras de proteção dos dados pessoais e sanções equivalentes para as infrações nos Estados‑Membros.
[…]
(15) A fim de se evitar o sério risco sério de ser contornada a proteção das pessoas singulares, esta deverá ser neutra em termos tecnológicos e deverá ser independente das técnicas utilizadas. A proteção das pessoas singulares deverá aplicar‑se ao tratamento de dados pessoais por meios automatizados, bem como ao tratamento manual, se os dados pessoais estiverem contidos ou se forem destinados a um sistema de ficheiros. Os ficheiros ou os conjuntos de ficheiros, bem como as suas capas, que não estejam estruturados de acordo com critérios específicos, não deverão ser abrangidos pelo âmbito de aplicação do presente regulamento.
[…]
(19) A proteção das pessoas singulares em matéria de tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, e de livre circulação desses dados, é objeto de um ato jurídico da União específico. O presente regulamento não deverá, por isso, ser aplicável às atividades de tratamento para esses efeitos. Todavia, os dados pessoais tratados pelas autoridades competentes ao abrigo do presente regulamento deverão ser regulados, quando forem usados para os efeitos referidos, por um ato jurídico da União mais específico, a saber, a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho [, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89)]. Os Estados‑Membros podem confiar às autoridades competentes na aceção da Diretiva (UE) 2016/680 funções não necessariamente a executar para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, de modo a que o tratamento dos dados pessoais para esses outros efeitos, na medida em que se insira na esfera do direito da União, seja abrangido pelo âmbito de aplicação do presente regulamento.
No que respeita ao tratamento de dados pessoais pelas referidas autoridades competentes para efeitos que sejam abrangidos pelo presente regulamento, os Estados‑Membros deverão poder manter ou aprovar disposições mais específicas para adaptar a aplicação das regras previstas no presente regulamento. Tais disposições podem estabelecer requisitos mais específicos e precisos a respeitar pelas referidas autoridades competentes no tratamento dos dados pessoais para esses outros efeitos, tendo em conta as estruturas constitucionais, organizativas e administrativas do respetivo Estado‑Membro. Nos casos em que o tratamento de dados pessoais por organismos privados fica abrangido pelo presente regulamento, este deverá prever a possibilidade de os Estados‑Membros restringirem legalmente, em determinadas condições, certas obrigações e direitos, quando tal restrição constitua medida necessária e proporcionada, numa sociedade democrática, para salvaguardar interesses específicos importantes, incluindo a segurança pública e a prevenção, investigação, deteção ou repressão de infrações penais ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública. Tal possibilidade é importante, por exemplo, no quadro da luta contra o branqueamento de capitais ou das atividades dos laboratórios de polícia científica.
[…]
(154) O presente regulamento permite tomar em consideração o princípio do direito de acesso do público aos documentos oficiais na aplicação do mesmo. O acesso do público aos documentos oficiais pode ser considerado de interesse público. Os dados pessoais que constem de documentos na posse dessas autoridades públicas ou organismos públicos deverão poder ser divulgados publicamente por tais autoridades ou organismos, se a divulgação estiver prevista no direito da União ou do Estado‑Membro que lhes for aplicável. Essas legislações deverão conciliar o acesso do público aos documentos oficiais e a reutilização da informação do setor público com o direito à proteção dos dados pessoais e podem pois prever a necessária conciliação com esse mesmo direito nos termos do presente regulamento. A referência a “autoridades e organismos públicos” deverá incluir, nesse contexto, todas as autoridades ou outros organismos abrangidos pelo direito do Estado‑Membro relativo ao acesso do público aos documentos. A Diretiva 2003/98/CE do Parlamento Europeu e do Conselho [, de 17 de novembro de 2003, relativa à reutilização de informações do setor público (JO 2003, L 345, p. 90),] não modifica nem de modo algum afeta o nível de proteção das pessoas singulares relativamente ao tratamento de dados pessoais nos termos das disposições do direito da União ou do Estado‑Membro, nem altera, em particular, as obrigações e direitos estabelecidos no presente regulamento. Em particular, a referida diretiva não deverá ser aplicável a documentos não acessíveis ou de acesso restrito por força dos regimes de acesso por motivos de proteção de dados pessoais nem a partes de documentos acessíveis por força desses regimes que contenham dados pessoais cuja reutilização tenha sido prevista na lei como incompatível com o direito relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais.»
4 O artigo 2.o do RGPD, com a epígrafe «Âmbito de aplicação material», dispõe:
«1. O presente regulamento aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.
2. O presente regulamento não se aplica ao tratamento de dados pessoais:
a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União:
b) Efetuado pelos Estados‑Membros no exercício de atividades abrangidas pelo âmbito de aplicação do título V, capítulo 2, do TUE;
c) Efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas;
d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.
3. O Regulamento (CE) n.o 45/2001 [do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO 2001, L 8, p. 1),] aplica‑se ao tratamento de dados pessoais pelas instituições, órgãos, organismos ou agências da União. O Regulamento (CE) n.o 45/2001, bem como outros atos jurídicos da União aplicáveis ao tratamento de dados pessoais, são adaptados aos princípios e regras do presente regulamento nos termos previstos no artigo 98.o
4. O presente regulamento não prejudica a aplicação da Diretiva 2000/31/CE [do Parlamento Europeu e do Conselho, de 8 de junho de 2000, relativa a certos aspetos legais dos serviços da sociedade de informação, em especial do comércio eletrónico, no mercado interno (“Diretiva sobre o comércio eletrónico”) (JO 2000, L 178, p. 1)], nomeadamente as normas em matéria de responsabilidade dos prestadores intermediários de serviços previstas nos seus artigos 12.o a 15.o»
5 O artigo 4.o do RGPD, com a epígrafe «Definições», prevê, nos seus pontos 1, 2, 6 e 7:
«Para efeitos do presente regulamento, entende‑se por:
1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
[…]
6) “Ficheiro”, qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;
7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado‑Membro.»
6 O artigo 5.o deste regulamento, com a epígrafe «Princípios relativos ao tratamento de dados pessoais», tem a seguinte redação:
«1. Os dados pessoais são:
a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);
b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; […] (“limitação das finalidades”);
c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);
d) Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora (“exatidão”);
e) Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; […] (“limitação da conservação”);
f) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas (“integridade e confidencialidade”);
[…]»
7 O artigo 6.o do referido regulamento, com a epígrafe «Licitude do tratamento», prevê, nos seus n.os 1 a 3:
«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;
b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;
c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;
d) O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;
f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.
O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.
2. Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.o 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.
3. O fundamento jurídico para o tratamento referido no n.o 1, alíneas c) e e), é definido:
a) Pelo direito da União; ou
b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.
A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.o 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações específicas de tratamento em conformidade com o capítulo IX. O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.»
8 O artigo 10.o do RGPD, com a epígrafe «Tratamento de dados pessoais relacionados com condenações penais e infrações», dispõe:
«O tratamento de dados pessoais relacionados com condenações penais e infrações ou com medidas de segurança conexas com base no artigo 6.o, n.o 1, só é efetuado sob o controlo de uma autoridade pública ou se o tratamento for autorizado por disposições do direito da União ou de um Estado‑Membro que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados. Os registos completos das condenações penais só são conservados sob o controlo das autoridades públicas.»
9 O artigo 23.o deste regulamento, com a epígrafe «Limitações», tem a seguinte redação:
«1. O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o e no artigo 34.o, bem como no artigo 5.o, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente:
[…]
f) A defesa da independência judiciária e dos processos judiciais;
[…]»
10 O artigo 85.o do referido regulamento, com a epígrafe «Tratamento e liberdade de expressão e de informação», prevê, no seu n.o 1:
«Os Estados‑Membros conciliam por lei o direito à proteção de dados pessoais nos termos do presente regulamento com o direito à liberdade de expressão e de informação, incluindo o tratamento para fins jornalísticos e para fins de expressão académica, artística ou literária.»
11 O artigo 86.o deste regulamento, com a epígrafe «Tratamento e acesso do público aos documentos oficiais», dispõe:
«Os dados pessoais que constem de documentos oficiais na posse de uma autoridade pública ou de um organismo público ou privado para a prossecução de atribuições de interesse público podem ser divulgados pela autoridade ou organismo nos termos do direito da União ou do Estado‑Membro que for aplicável à autoridade ou organismo público, a fim de conciliar o acesso do público a documentos oficiais com o direito à proteção dos dados pessoais nos termos do presente regulamento.»
Direito finlandês
Lei da Proteção de Dados Pessoais (1050/2018)
12 A tietosuojalaki (1050/2018) [Lei da Proteção de Dados Pessoais (1050/2018)] dispõe, no seu § 1:
«A presente lei concretiza e completa o [RGPD] e a sua aplicação ao nível nacional.»
13 O § 28 desta lei tem a seguinte redação:
«São aplicáveis ao direito de obtenção de dados constantes do registo de dados pessoais de uma autoridade pública, e a qualquer outra divulgação de dados pessoais constantes desse registo, as disposições relativas à publicidade da atividade das autoridades públicas.»
Lei sobre a Publicidade da Atividade das Autoridades Públicas (621/1999)
14 A laki viranomaisten toiminnan julkisuudesta (621/1999) [Lei sobre a Publicidade da Atividade das Autoridades Públicas (621/1999)] prevê, no seu § 13:
«O pedido de prestação de informação sobre o conteúdo de um documento oficial deve ser suficientemente fundamentado para permitir à autoridade pública determinar o documento a que diz respeito esse pedido. A autoridade assiste o requerente de informação, com o auxílio do registo de entradas e de outros registos, na identificação do documento relativamente ao qual solicita a informação. O requerente de informação não é obrigado a revelar a sua identidade ou a justificar o seu pedido, salvo se tal se revelar necessário para o exercício de um poder discricionário da autoridade pública ou para esclarecer se o requerente tem o direito de obter a informação sobre o conteúdo do documento.
Salvo disposição em contrário, ao requerer informações relativas a um documento confidencial, a um registo de dados pessoais mantido por uma autoridade pública ou a outro documento cuja divulgação de informações esteja sujeita a determinadas condições, o requerente deve indicar a finalidade da utilização das informações, comunicar quaisquer circunstâncias necessárias à verificação das condições para disponibilização das informações e, se necessário, prestar informações sobre o modo como a proteção das informações deve ser assegurada.»
15 O § 16 desta lei dispõe:
«As informações sobre o conteúdo de um documento são prestadas oralmente ou mediante a cedência do documento à autoridade pública para efeitos de consulta, transcrição ou audição, ou disponibilizando uma cópia ou impressão do mesmo. As informações sobre o conteúdo público de um documento devem ser prestadas pela forma solicitada, se tal não implicar inconveniente excessivo para a atividade dos serviços públicos em razão do elevado número de documentos ou da dificuldade de cópia ou de qualquer outro motivo análogo.
[…]
Salvo disposição legal em contrário, as informações pessoais constantes do registo de dados pessoais de uma autoridade pública podem ser prestadas sob a forma de cópia ou impressão ou em formato eletrónico, se o destinatário tiver o direito de conservar e utilizar tais informações pessoais, em conformidade com as disposições sobre a proteção de dados pessoais. No entanto, os dados pessoais só podem ser divulgados para fins de marketing direto e de sondagem de opinião ou de mercado se tal estiver especificamente previsto ou se o titular dos dados tiver dado o seu consentimento.
[…]»
Lei sobre a Publicidade dos Processos Judiciais nos Tribunais Comuns (370/2007)
16 Nos termos do § 1 da laki udenkäynnin julkisudesta yleisissä tuomioistuimissa (370/2007) [Lei Publicidade dos Processos Judiciais nos Tribunais Comuns (370/2007)]:
«Os processos judiciais e os atos judiciais são públicos, salvo disposição em contrário nesta ou noutra lei.»
Lei sobre o Tratamento de Dados Pessoais em Matéria Penal e no Contexto da Manutenção da Segurança Nacional (1054/2018)
17 O § 1 da laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1054/2018) [Lei sobre o Tratamento de Dados Pessoais em Matéria Penal e no Contexto da Manutenção da Segurança Nacional (1054/2018)] prevê, no seu primeiro parágrafo, que essa lei se aplica ao tratamento de dados pessoais pelas autoridades competentes, quando, entre outros, estão em causa processos penais perante um órgão jurisdicional. No termos do seu quarto parágrafo, a referida lei aplica-se apenas ao tratamento de dados pessoais na aceção do primeiro parágrafo total ou parcialmente automatizado, ou no caso em que os dados a tratar formem ou se destinem a formar um registo ou parte de um registo.
18 Nos termos do § 2, segundo parágrafo, desta lei:
«São aplicáveis ao direito de obtenção de dados constantes do registo de dados pessoais de uma autoridade pública, e a qualquer outra divulgação de dados pessoais constantes desse registo, as disposições relativas à publicidade da atividade das autoridades públicas.»
Litígio no processo principal e questões prejudiciais
19 A Endemol Shine Finland, recorrente no processo principal, pediu oralmente ao Etelä‑Savon käräjäoikeus (Tribunal de Primeira Instância da Savónia do Sul, Finlândia) informação sobre eventuais condenações penais em curso ou já cumpridas relativamente a uma pessoa singular que participava num concurso organizado por esta sociedade, para determinar os antecedentes judiciais dessa pessoa.
20 O Etelä‑Savon käräjäoikeus (Tribunal de Primeira Instância da Savónia do Sul) indeferiu o pedido da recorrente no processo principal, por considerar que esse pedido tinha por objeto decisões ou informações públicas na aceção da Lei sobre a Publicidade dos Processos Judiciais nos Tribunais Comuns. Segundo esse órgão jurisdicional, o fundamento invocado pela recorrente no processo principal não constituía um fundamento relativo ao tratamento das condenações penais ou das infrações, previsto no § 7 da Lei da Proteção de Dados Pessoais. O facto de efetuar pesquisas nos sistemas de informação do referido órgão jurisdicional constituiria igualmente um tratamento de dados pessoais, razão pela qual as informações requeridas também não podiam divulgadas oralmente.
21 A recorrente no processo principal interpôs recurso dessa sentença no Itä‑Suomen hovioikeus (Tribunal de Recurso da Finlândia Oriental, Finlândia), que é o órgão jurisdicional de reenvio, alegando que a comunicação oral das informações que solicita não constitui um tratamento de dados pessoais, na aceção do artigo 4.o, ponto 2, do RGPD.
22 O órgão jurisdicional de reenvio interroga-se sobre a questão de saber se o artigo 2.o, n.o 1, e o artigo 4.o, ponto 2, do RGPD devem ser interpretados no sentido de que a comunicação oral de informações sobre eventuais condenações em curso ou cumpridas contra uma pessoa singular constitui um tratamento de dados pessoais na aceção deste regulamento. A este respeito, esse órgão jurisdicional salienta que o tratamento de dados pessoais efetuado pelas autoridades públicas finlandesas é regulado pela Lei da Proteção de Dados Pessoais. Todavia, as restrições normalmente associadas ao tratamento deste tipo de dados não são aplicáveis, em razão do caráter público dos dados detidos por essas autoridades, mas também do § 28 desta lei e do § 2, segundo parágrafo, da Lei sobre o Tratamento de Dados Pessoais em Matéria Penal e no Contexto da Manutenção da Segurança Nacional (1054/2018).
23 Para conciliar a proteção de dados pessoais com o direito de acesso do público à informação, o § 16 da Lei sobre a Publicidade da Atividade das Autoridades Públicas (621/1999) restringe a comunicação de dados pessoais provenientes de um ficheiro relativo a pessoas, mantido por uma autoridade pública, efetuada sob a forma de cópia, impressão ou em formato eletrónico. Todavia, dado que este artigo não se aplica à comunicação oral de dados pessoais que figuram em ficheiros relativos a pessoas, na posse das autoridades públicas, importa analisar a questão de saber como assegurar essa conciliação e tomar em conta considerações importantes relativas à proteção de dados pessoais quando tais dados, que figuram em ficheiros das autoridades públicas relativos a pessoas, são comunicados oralmente.
24 Nestas condições, o Itä‑Suomen hovioikeus (Tribunal de Recurso da Finlândia Oriental) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:
«1) A comunicação oral de dados pessoais constitui um tratamento de dados pessoais na aceção do artigo 2.o, n.o 1, e do artigo 4.o, ponto 2, do [RGPD]?
2) O acesso do público aos documentos oficiais pode ser conciliado com o direito à proteção de dados pessoais, nos termos enunciados no artigo 86.o do [RGPD], permitindo que as informações sobre condenações penais ou infrações referentes a uma pessoa singular constantes do registo de dados pessoais de um tribunal sejam obtidas sem restrições, quando é requerido que estas sejam prestadas oralmente?
3) É relevante para a resposta à segunda pergunta saber se o requerente é uma sociedade ou um particular?»
Quanto às questões prejudiciais
Quanto à primeira questão
25 Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 2.o, n.o 1, e o artigo 4.o, ponto 2, do RGPD devem ser interpretados no sentido de que a comunicação oral de informações relativas a eventuais condenações penais em curso ou já cumpridas de que uma pessoa singular foi objeto constitui um tratamento de dados pessoais na aceção do artigo 4.o, ponto 2, deste regulamento e, em caso afirmativo, se esse tratamento está abrangido pelo âmbito de aplicação material do referido regulamento, conforme definido no seu artigo 2.o, n.o 1.
26 A título preliminar, importa recordar que, para a interpretação destas disposições do direito da União, há que ter em conta não só os seus termos mas também o contexto em que se inserem e os objetivos prosseguidos pela regulamentação de que fazem parte [Acórdão de 12 de janeiro de 2023, Österreichische Post (Informações relativas aos destinatários de dados pessoais), C‑154/21, EU:C:2023:3, n.o 29].
27 Por outro lado, importa sublinhar que não é contestado, no litígio no processo principal, que as informações cuja comunicação a recorrente no processo principal solicita constituem dados pessoais na aceção do artigo 4.o, ponto 1, do RGPD.
28 O artigo 4.o, ponto 2, deste regulamento define o conceito de «tratamento» como «uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados».
29 Resulta nomeadamente da expressão «uma operação», que o legislador da União pretendeu dar ao conceito de «tratamento» um alcance amplo, o que é corroborado pelo caráter não exaustivo, expresso pela locução «tais como», das operações enumeradas na referida disposição [v., neste sentido, Acórdãos de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.o 35, e de 22 de junho de 2023, Pankki S, C‑579/21, EU:C:2023:501, n.o 46].
30 Esta enumeração refere, designadamente, a divulgação por transmissão, difusão ou «qualquer outra forma de disponibilização», podendo estas operações ser efetuadas por meios automatizados ou não automatizados. A este respeito, o artigo 4.o, ponto 2, do RGPD não estabelece nenhuma condição quanto à forma do tratamento «não automatizado». O conceito de «tratamento» abrange, portanto, a comunicação oral.
31 Esta interpretação do conceito de «tratamento» é corroborada pelo objetivo do RGPD que visa, nomeadamente, como resulta do seu artigo 1.o e dos seus considerandos 1 e 10, garantir um elevado nível de proteção das liberdades e dos direitos fundamentais das pessoas singulares, em particular do seu direito à vida privada no que diz respeito ao tratamento de dados pessoais, consagrado no artigo 8.o, n.o 1, da Carta e no artigo 16.o, n.o 1, TFUE [v., neste sentido, Acórdão de 4 de maio de 2023, Bundesrepublik Deutschland (Caixa de correio eletrónico dos tribunais), C‑60/22, EU:C:2023:373, n.o 64]. Com efeito, a possibilidade de contornar a aplicação deste regulamento comunicando dados pessoais por via oral, em vez de o fazer por via escrita, seria manifestamente incompatível com este objetivo.
32 Nestas condições, o conceito de «tratamento» a que se refere o artigo 4.o, ponto 2, do RGPD abrange necessariamente a comunicação oral de dados pessoais.
33 No entanto, coloca‑se ainda a questão de saber se tal tratamento está abrangido pelo âmbito de aplicação material do RGPD. O artigo 2.o deste regulamento, que determina este âmbito de aplicação, dispõe, no seu n.o 1, que o referido regulamento se aplica ao tratamento «por meios total ou parcialmente automatizados», bem como ao tratamento «por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados».
34 A este respeito, resulta da redação desta última disposição e do considerando 15 do RGPD que este regulamento se aplica tanto ao tratamento automatizado de dados pessoais como ao tratamento manual desses dados, para não fazer depender a proteção que este regulamento confere às pessoas cujos dados são tratados das técnicas utilizadas e evitar riscos graves de essa proteção ser contornada. No entanto, daqui decorre também que o referido regulamento só é aplicável ao tratamento manual de dados pessoais «contidos em ficheiros ou a eles destinados» (v., por analogia, Acórdão de 10 de julho de 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, n.o 53).
35 Uma vez que a comunicação oral constitui, enquanto tal, um tratamento não automatizado, os dados objeto deste tratamento devem, portanto, estar «contidos em ficheiros» ou serem «a eles destinados» para que o referido tratamento seja abrangido pelo âmbito de aplicação material do RGPD.
36 Quanto ao conceito de «ficheiro», o artigo 4.o, ponto 6, do RGPD dispõe que abrange «qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico».
37 A este respeito, o Tribunal de Justiça declarou que, em conformidade com o objetivo recordado no n.o 34 do presente acórdão, esta disposição define de forma ampla o conceito de «ficheiro», ao abranger, nomeadamente, «qualquer» conjunto estruturado de dados pessoais. Além disso, a exigência de que o conjunto de dados pessoais tenha um caráter «estruturado […] segundo critérios específicos» visa apenas permitir que os dados relativos a uma pessoa possam ser facilmente encontrados. Com exceção desta exigência, o artigo 4.o, ponto 6, do RGPD não prevê nem as modalidades segundo as quais um ficheiro deve ser estruturado nem a forma que este deve ter. Em particular, não resulta desta disposição nem de mais nenhuma disposição deste regulamento que os dados pessoais em causa devem constar de fichas ou listas específicas, ou ainda de outro sistema de pesquisa, para que se possa concluir pela existência de um ficheiro na aceção do referido regulamento (v., por analogia, Acórdão de 10 de julho de 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, n.os 56 a 58).
38 No caso em apreço, resulta do pedido de decisão prejudicial que os dados pedidos pela recorrente no processo principal estão contidos num «registo de dados pessoais de um tribunal». Assim, afigura‑se que estes dados estão contidos num ficheiro na aceção do artigo 4.o, ponto 6, do RGPD, o que cabe, todavia, ao órgão jurisdicional de reenvio verificar, sem que seja necessário saber se os referidos dados estão contidos em bases de dados eletrónicas ou ainda em dossiês ou registos físicos.
39 Nestas condições, importa responder à primeira questão que o artigo 2.o, n.o 1, e o artigo 4.o, ponto 2, do RGPD devem ser interpretados no sentido de que a comunicação oral de informações relativas a eventuais condenações penais em curso ou já cumpridas de que uma pessoa singular foi objeto constitui um tratamento de dados pessoais na aceção do artigo 4.o, ponto 2, deste regulamento, abrangido pelo âmbito de aplicação material do referido regulamento quando essas informações estejam contidas ou se destinem a figurar num ficheiro.
Quanto à segunda e à terceira questão
40 Com a segunda e terceira questões, que importa examinar em conjunto, o órgão jurisdicional de reenvio pergunta, em substância, se as disposições do RGPD, nomeadamente o seu artigo 86.o, devem ser interpretadas no sentido de que se opõem a que dados relativos a condenações penais de uma pessoa singular que figuram num ficheiro mantido por um órgão jurisdicional possam ser comunicados oralmente a qualquer pessoa para efeitos de garantir o acesso do público a documentos oficiais, sem que a pessoa que requer a comunicação tenha de justificar um interesse específico em obter os referidos dados, e se a resposta a esta questão difere consoante esta pessoa seja uma sociedade comercial ou um particular.
41 Esta questão tem origem na legislação nacional em causa no processo principal na parte em que não exige o respeito das disposições nacionais relativas à proteção de dados pessoais quando esses dados são comunicados oralmente.
42 A este propósito, importa recordar que, por força do artigo 288.o, segundo parágrafo, TFUE, o regulamento é obrigatório em todos os seus elementos e diretamente aplicável em qualquer Estado‑Membro. Assim, em razão da sua própria natureza e da sua função no sistema das fontes do direito da União, as disposições dos regulamentos produzem, regra geral, um efeito imediato nas ordens jurídicas nacionais, sem que seja necessário que as autoridades nacionais tomem medidas de aplicação (Acórdãos de 16 de junho de 2022, Port de Bruxelles e Région de Bruxelles‑Capitale, C‑229/21, EU:C:2022:471, n.o 47, e de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.o 77).
43 Assim, um órgão jurisdicional nacional está obrigado a aplicar os requisitos do RGPD no seu todo, mesmo que não exista uma disposição específica no direito nacional aplicável que permita ter em conta os interesses da pessoa cujos dados pessoais estão em causa (v., neste sentido, Acórdão de 2 de março de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, n.os 44 e 59).
44 Resulta das considerações precedentes que a comunicação oral dos dados relativos a condenações penais de uma pessoa singular só pode ocorrer se estiverem preenchidos os requisitos impostos pelo RGPD quando esses dados estejam contidos ou se destinem a figurar num ficheiro.
45 A este respeito, importa ainda recordar que, em conformidade com jurisprudência constante do Tribunal de Justiça, qualquer tratamento de dados pessoais deve, por um lado, ser conforme com os princípios relativos ao tratamento de dados estabelecidos no artigo 5.o do RGPD e, por outro, à luz, em particular, do princípio da licitude do tratamento previsto no n.o 1, alínea a), deste artigo, cumprir um dos requisitos de licitude do tratamento enumerados no artigo 6.o deste regulamento [v., neste sentido, Acórdãos de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 96, e de 7 de dezembro de 2023, SCHUFA Holding e o. (Scoring), C‑634/21, EU:C:2023:957, n.o 67].
46 Em particular, o tratamento dos dados pessoais em causa no processo principal, a saber, a comunicação oral ao público de dados relativos a infrações penais, é suscetível de ser abrangido pelo artigo 6.o, n.o 1, alínea e), do RGPD, nos termos do qual o tratamento é lícito se, e desde que, seja «necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento» [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 99].
47 Além disso, no que respeita mais especificamente aos dados relacionados com condenações penais e infrações, o artigo 10.o do RGPD sujeita o seu tratamento a restrições adicionais. Em conformidade com esta disposição, o tratamento desses dados «só é efetuado sob o controlo de uma autoridade pública», a menos que seja «autorizado por disposições do direito da União ou de um Estado‑Membro que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados» [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 100].
48 O Tribunal de Justiça já declarou que nem o artigo 6.o, n.o 1, alínea e), do RGPD nem o artigo 10.o deste regulamento proíbem, de forma geral e absoluta, que uma autoridade pública esteja habilitada, ou mesmo obrigada, a comunicar dados pessoais às pessoas que o requeiram [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 103].
49 Assim, o RGPD não se opõe a que dados pessoais sejam comunicados ao público quando essa comunicação for necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública, na aceção do artigo 6.o, n.o 1, alínea e), deste regulamento. O mesmo se aplica quando os dados em questão estão abrangidos pelo artigo 10.o do RGPD, desde que a legislação que autoriza essa comunicação preveja garantias adequadas para os direitos e liberdades dos titulares dos dados [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 104].
50 No caso em apreço, resulta da decisão de reenvio, bem como das observações escritas apresentadas pelo Governo Finlandês que a legislação nacional relativa à publicidade da atividade das autoridades públicas e a relativa à publicidade dos processos judiciais nos tribunais comuns visam executar a missão de interesse público que permite garantir o acesso do público aos documentos oficiais.
51 Nestas condições, o órgão jurisdicional de reenvio pretende determinar mais especificamente se o tratamento de dados pessoais em causa no processo principal pode ser considerado lícito à luz do princípio da proporcionalidade, nomeadamente à luz do equilíbrio a efetuar entre, por um lado, o direito de acesso do público a documentos oficiais, previsto no artigo 86.o do RGPD, e, por outro, os direitos fundamentais ao respeito pela vida privada e à proteção de dados pessoais, consagrados nos artigos 7.o e 8.o da Carta.
52 Neste contexto, importa recordar que, como indica o considerando 4 do RGPD, os direitos fundamentais ao respeito pela vida privada e à proteção de dados pessoais não são prerrogativas absolutas, mas devem ser tomados em consideração em relação à sua função na sociedade e ser equilibrados com outros direitos fundamentais. Assim, podem ser introduzidas restrições, desde que, em conformidade com o artigo 52.o, n.o 1, da Carta, sejam previstas por lei e respeitem o conteúdo essencial dos direitos fundamentais e o princípio da proporcionalidade. Por força deste último princípio, só podem ser introduzidas restrições se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União, ou à necessidade de proteção dos direitos e liberdades de terceiros. Tais restrições devem ocorrer na estrita medida do necessário e a regulamentação que contenha a ingerência deve prever regras claras e precisas que regulem o alcance e a aplicação da medida em causa [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 105].
53 Para determinar se uma comunicação ao público de dados pessoais relativos a condenações penais é necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública, na aceção do artigo 6.o, n.o 1, alínea e), do RGPD, e se a legislação que autoriza essa comunicação prevê garantias adequadas para os direitos e liberdades dos titulares dos dados, na aceção do artigo 10.o deste regulamento, há que verificar, em especial, se, tendo em conta a gravidade da ingerência nos direitos fundamentais ao respeito pela vida privada e à proteção de dados pessoais, causada pela referida comunicação, esta se afigura justificada e, nomeadamente, proporcionada para efeitos da realização dos objetivos prosseguidos [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 106].
54 Quanto à gravidade da ingerência nesses direitos, o Tribunal de Justiça já declarou que o tratamento de dados relativos às condenações penais e às infrações ou às medidas de segurança conexas é, devido à sensibilidade particular destes dados, suscetível de constituir uma ingerência particularmente grave nos direitos fundamentais ao respeito da vida privada e à proteção de dados pessoais, garantidos pelos artigos 7.o e 8.o da Carta. Com efeito, uma vez que tais dados dizem respeito a comportamentos que suscitam desaprovação da sociedade, a concessão de acesso a esses mesmos dados pode estigmatizar o seu titular e constituir assim uma ingerência grave na sua vida privada ou profissional [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.os 74, 75 e 112].
55 Embora o acesso do público aos documentos oficiais, a que se refere o órgão jurisdicional de reenvio, constitua, como decorre do considerando 154 do RGPD, um interesse público suscetível de legitimar a comunicação de dados pessoais que figuram nesses documentos, esse acesso deve, no entanto, ser conciliado com os direitos fundamentais ao respeito pela vida privada e à proteção de dados pessoais, como aliás exige expressamente o artigo 86.o do RGPD. Ora, tendo nomeadamente em conta o caráter sensível dos dados relativos às condenações penais e a gravidade da ingerência nos direitos fundamentais ao respeito pela vida privada e à proteção de dados pessoais dos titulares dos dados que a divulgação desses dados provoca, deve considerar‑se que estes direitos prevalecem sobre o interesse do público em aceder aos documentos oficiais [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 120].
56 Por esta mesma razão, o direito à liberdade de informação previsto no artigo 85.o do RGPD não pode ser interpretado no sentido de que justifica a comunicação de dados pessoais relativos a condenações penais a qualquer pessoa que o solicite [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 121].
57 A este respeito, pouco importa saber se a pessoa que requer o acesso aos dados relativos às condenações penais é uma sociedade comercial ou um particular ou se a comunicação desses dados é efetuada por via escrita ou oral.
58 Tendo em conta as considerações precedentes, há que responder à segunda e terceira questões prejudiciais que as disposições do RGPD, nomeadamente o seu artigo 6.o, n.o 1, alínea e), e o seu artigo 10.o, devem ser interpretadas no sentido de que se opõem a que dados relativos a condenações penais de uma pessoa singular que figuram num ficheiro mantido por um órgão jurisdicional possam ser comunicados oralmente a qualquer pessoa para efeitos de garantir o acesso do público a documentos oficiais, sem que a pessoa que requer a comunicação tenha de justificar um interesse específico em obter os referidos dados, e a circunstância de esta pessoa ser uma sociedade comercial ou um particular não tem impacto a este respeito.
Quanto às despesas
59 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.
Pelos fundamentos expostos, o Tribunal de Justiça (Sexta Secção) declara:
1) O artigo 2.o, n.o 1, e o artigo 4.o, ponto 2, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
devem ser interpretados no sentido de que:
a comunicação oral de informações relativas a eventuais condenações penais em curso ou já cumpridas de que uma pessoa singular foi objeto constitui um tratamento de dados pessoais na aceção do artigo 4.o, ponto 2, deste regulamento, abrangido pelo âmbito de aplicação material do referido regulamento quando essas informações estejam contidas ou se destinem a figurar num ficheiro.
2) As disposições do Regulamento 2016/679, nomeadamente o seu artigo 6.o, n.o 1, alínea e), e seu o artigo 10.o,
devem ser interpretados no sentido de que:
se opõem a que dados relativos a condenações penais de uma pessoa singular que figuram num ficheiro mantido por um órgão jurisdicional possam ser comunicados oralmente a qualquer pessoa para efeitos de garantir o acesso do público a documentos oficiais, sem que a pessoa que requer a comunicação tenha de justificar um interesse específico em obter os referidos dados, e a circunstância de esta pessoa ser uma sociedade comercial ou um particular não tem impacto a este respeito.
Assinaturas