ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Primeira Secção)
26 de outubro de 2023 (*)
«Reenvio prejudicial — Tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigos 12.o, 15.o e 23.o — Direito de acesso do titular dos dados aos seus dados em fase de tratamento — Direito de obter gratuitamente uma primeira cópia desses dados — Tratamento de dados de um paciente pelo seu médico — Registo clínico — Motivos do pedido de acesso — Utilização dos dados para efeitos de apuramento da responsabilidade do médico — Conceito de “cópia”»
No processo C‑307/22,
que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.o TFUE, pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), por Decisão de 29 de março de 2022, que deu entrada no Tribunal de Justiça em 10 de maio de 2022, no processo
FT
contra
DW,
O TRIBUNAL DE JUSTIÇA (Primeira Secção),
composto por: A. Arabadjiev, presidente de secção, T. von Danwitz, P. G. Xuereb, A. Kumin e I. Ziemele (relatora), juízes,
advogado‑geral: N. Emiliou,
secretário: A. Calot Escobar,
vistos os autos,
vistas as observações apresentadas:
– em representação do Governo Letão, por K. Pommere, na qualidade de agente,
– em representação da Comissão Europeia, por A. Bouchagiar, F. Erlbacher e H. Kranenborg, na qualidade de agentes,
ouvidas as conclusões do advogado‑geral na audiência de 20 de abril de 2023,
profere o presente
Acórdão
1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 12.o, n.o 5, do artigo 15.o, n.o 3, e do artigo 23.o, n.o 1, alínea i), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).
2 Este pedido foi apresentado no âmbito de um litígio que opõe FT a DW, relativo à recusa de FT, médica dentista, de facultar ao seu paciente uma primeira cópia do seu registo clínico a título gratuito.
Quadro jurídico
Direito da União
3 Nos termos do considerando 4 do RGPD:
«[…] O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdade e os princípios reconhecidos na [Carta dos Direitos Fundamentais da União Europeia], consagrados nos Tratados, nomeadamente […] a liberdade de empresa […]»
4 Os considerandos 10 e 11 do RGPD enunciam:
«(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. […]
(11) A proteção eficaz dos dados pessoais na União exige o reforço e a especificação dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados pessoais, […]»
5 Nos termos do considerando 13 do RGPD:
«[…] Além disso, as instituições e os órgãos da União, e os Estados‑Membros e as suas autoridades de controlo, são incentivados a tomar em consideração as necessidades específicas das micro, pequenas e médias empresas no âmbito de aplicação do presente regulamento. […]»
6 O considerando 58 do RGPD precisa:
«O princípio da transparência exige que qualquer informação destinada ao público ou ao titular dos dados seja concisa, de fácil acesso e compreensão, bem como formulada numa linguagem clara e simples, e que se recorra, adicionalmente, à visualização sempre que for adequado. Essas informações poderão ser fornecidas por via eletrónica, por exemplo num sítio Web, quando se destinarem ao público. Isto é especialmente relevante em situações em que a proliferação de operadores e a complexidade tecnológica das práticas tornam difícil que o titular dos dados saiba e compreenda se, por quem e para que fins os seus dados pessoais estão a ser recolhidos, como no caso da publicidade por via eletrónica. Uma vez que as crianças merecem proteção específica, sempre que o tratamento lhes seja dirigido, qualquer informação e comunicação deverá estar redigida numa linguagem clara e simples que a criança compreenda facilmente».
7 Como prevê o considerando 59 do RGPD:
«Deverão ser previstas regras para facilitar o exercício pelo titular dos dados dos direitos que lhe são conferidos ao abrigo do presente regulamento, incluindo procedimentos para solicitar e, sendo caso disso, obter a título gratuito, em especial, o acesso a dados pessoais, a sua retificação ou o seu apagamento e o exercício do direito de oposição. […]»
8 O considerando 63 do RGPD tem a seguinte redação:
«Os titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de […] tomar conhecimento do tratamento e verificar a sua licitude. Aqui se inclui o seu direito de acederem a dados sobre a sua saúde, por exemplo os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados […]»
9 O artigo 4.o do RGPD prevê:
«Para efeitos do presente regulamento, entende‑se por:
1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
[…]»
10 O artigo 12.o do RGPD dispõe:
«1. O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.o e 14.o e qualquer comunicação prevista nos artigos 15.o a 22.o e 34.o a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios.
2. O responsável pelo tratamento facilita o exercício dos direitos do titular dos dados nos termos dos artigos 15.o a 22.o […]
[…]
5. As informações fornecidas nos termos dos artigos 13.o e 14.o e quaisquer comunicações e medidas tomadas nos termos dos artigos 15.o a 22.o e 34.o são fornecidas a título gratuito. Se os pedidos apresentados por um titular de dados forem manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo, o responsável pelo tratamento pode:
a) Exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do fornecimento das informações ou da comunicação, ou de tomada das medidas solicitadas; ou
b) Recusar‑se a dar seguimento ao pedido.
Cabe ao responsável pelo tratamento demonstrar o caráter manifestamente infundado ou excessivo do pedido.
[…]»
11 O artigo 15.o do RGPD enuncia:
«1. O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:
a) As finalidades do tratamento dos dados;
b) As categorias dos dados pessoais em questão;
c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;
d) Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;
e) A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;
f) O direito de apresentar reclamação a uma autoridade de controlo;
g) Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;
h) A existência de decisões automatizadas, incluindo a definição de perfis, referida no artigo 22.o, n.os 1 e 4, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
2. Quando os dados pessoais forem transferidos para um país terceiro ou uma organização internacional, o titular dos dados tem o direito de ser informado das garantias adequadas, nos termos do artigo 46.o relativo à transferência de dados.
3. O responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento. Para fornecer outras cópias solicitadas pelo titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos. Se o titular dos dados apresentar o pedido por meios eletrónicos, e salvo pedido em contrário do titular dos dados, a informação é fornecida num formato eletrónico de uso corrente.
4. O direito de obter uma cópia a que se refere o n.o 3 não prejudica os direitos e as liberdades de terceiros.»
12 Os artigos 16.o e 17.o do referido regulamento consagram, respetivamente, o direito de o titular dos dados obter a retificação dos dados pessoais inexatos (direito de retificação), bem como o direito, em determinadas circunstâncias, ao apagamento desses dados (direito ao apagamento dos dados ou «direito a ser esquecido»).
13 O artigo 18.o do mesmo regulamento, sob a epígrafe «Direito à limitação do tratamento», dispõe, no seu n.o 1:
«O titular dos dados tem o direito de obter do responsável pelo tratamento a limitação do tratamento, se se aplicar uma das seguintes situações:
a) Contestar a exatidão dos dados pessoais, durante um período que permita ao responsável pelo tratamento verificar a sua exatidão;
b) O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;
c) O responsável pelo tratamento já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;
d) Se tiver oposto ao tratamento nos termos do artigo 21.o, n.o 1, até se verificar que os motivos legítimos do responsável pelo tratamento prevalecem sobre os do titular dos dados.»
14 O artigo 21.o do RGPD, sob a epígrafe «Direito de oposição», prevê, no seu n.o 1:
«O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.o, n.o 1, alínea e) ou f), […] incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.»
15 Nos termos do artigo 23.o, n.o 1, do RGPD:
«O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o e no artigo 34.o, bem como no artigo 5.o, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente:
[…]
i) A defesa do titular dos dados ou dos direitos e liberdades de outrem;
[…]»
Direito alemão
16 Segundo o § 630f do Bürgerliches Gesetzbuch (Código Civil, a seguir «BGB»), o responsável pelo tratamento é obrigado, para efeitos de documentação, a manter um registo clínico do paciente, em suporte papel ou eletrónico, com relação temporal direta com o tratamento. O responsável pelo tratamento é obrigado a registar no processo clínico do paciente todas as medidas e os seus resultados que, de um ponto de vista profissional, são essenciais para o tratamento atual e futuro, em particular o historial clínico, diagnósticos, exames, resultados de exames, descobertas, terapias e seus efeitos, intervenções e seus efeitos, consentimentos e explicações. O responsável pelo tratamento deve conservar o processo clínico do paciente por um período de dez anos após a conclusão do tratamento, salvo se outras disposições previrem outros prazos de conservação
17 Nos termos do § 630g, n.o 1, primeiro período, do BGB, a pedido do paciente ser‑lhe‑á concedido sem demora acesso ao seu registo clínico completo, desde que razões terapêuticas pertinentes ou outros direitos atendíveis de terceiros não se oponham a esse acesso. Ao abrigo do § 630g, n.o 2, primeiro período, do BGB, o paciente pode também solicitar cópias do seu registo clínico em formato eletrónico. Atendendo à exposição de motivos da lei, tal deve ser entendido no sentido de que o paciente pode escolher solicitar a apresentação de cópias em papel ou eletrónicas. O § 630g, n.o 2, segundo período, do BGB, prevê que o paciente deve reembolsar o responsável pelo tratamento dos custos incorridos.
Litígio no processo principal e questões prejudiciais
18 DW recebeu tratamentos dentários de FT. Suspeitando de erros cometidos no tratamento que lhe foi ministrado, DW pediu a FT que lhe fornecesse, a título gratuito, uma primeira cópia do seu registo clínico. FT indicou a DW que só daria um seguimento favorável ao seu pedido se tomasse a cargo as despesas ligadas ao fornecimento da cópia do registo clínico, como prevê o direito nacional.
19 DW intentou uma ação contra FT. Quer em primeira instância, quer em sede de recurso, o pedido de DW destinado a que lhe seja entregue, a título gratuito, uma primeira cópia do seu registo clínico foi julgado procedente. Essas decisões apoiavam‑se numa interpretação da legislação nacional aplicável à luz do artigo 12.o, n.o 5, e do artigo 15.o, n.os 1 e 3, do RGPD.
20 Chamado a pronunciar‑se sobre um recurso de «Revision» por FT, o Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha) considera que a solução do litígio depende da interpretação a dar às disposições do RGPD.
21 O órgão jurisdicional de reenvio salienta que, ao abrigo do direito nacional, o paciente pode obter uma cópia do seu registo clínico, desde que reembolse ao responsável pelo tratamento as despesas que daí resultarem.
22 Todavia, pode decorrer do artigo 15.o, n.o 3, primeiro período, lido em conjugação com o artigo 12.o, n.o 5, primeiro período, do RGPD, que o responsável pelo tratamento, no caso em apreço o médico, tem de entregar ao paciente uma primeira cópia do seu registo clínico a título gratuito.
23 Primeiro, o órgão jurisdicional de reenvio salienta que DW solicita uma primeira cópia do seu registo clínico para apurar a responsabilidade de FT. Essa finalidade é estranha à visada no considerando 63 do RGPD, que prevê o direito de aceder aos dados pessoais a fim de tomar conhecimento do tratamento e verificar a sua licitude. No entanto, a redação do artigo 15.o do RGPD não sujeita o exercício do direito à informação a esses motivos. Além disso, esta disposição não exige que o titular dos direitos fundamente o seu pedido de divulgação.
24 Segundo, o órgão jurisdicional de reenvio salienta que o artigo 23.o, n.o 1, do RGPD permite a adoção de medidas legislativas nacionais que limitam o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o desse regulamento para garantir um dos objetivos previstos nessa disposição. No caso em apreço, FT invoca o objetivo da defesa dos direitos e liberdades de outrem que consta do artigo 23.o, n.o 1, alínea i), do RGPD e afirma que o regime de despesas do § 630g, n.o 2, segundo parágrafo, do BGB é uma medida necessária e proporcionada para proteger os interesses legítimos dos médicos, que permite, regra geral, evitar pedidos de cópia sem fundamento por parte dos pacientes em causa.
25 Contudo, por um lado, o § 630g, n.o 2, segundo período, do BGB foi adotado antes da entrada em vigor do RGPD.
26 Por outro lado, o regime de despesas do § 630g, n.o 2, segundo período, do BGB visa principalmente proteger os interesses económicos dos médicos. Há, portanto, que determinar se o interesse destes últimos em serem isentados dos custos e despesas associados à entrega de cópias de dados está abrangido pelos direitos e liberdades de outrem na aceção do artigo 23.o, n.o 1, alínea i), do RGPD. Além disso, a transferência sistemática para os pacientes das despesas ligadas às cópias dos seus registos clínicos pode afigurar‑se excessiva, uma vez que não tem em conta o montante dos custos efetivamente ocasionados nem as circunstâncias próprias de cada pedido.
27 Terceiro, na medida em que DW solicita a entrega de uma cópia de todos os documentos médicos que lhe dizem respeito, e, portanto, do seu registo clínico, o órgão jurisdicional de reenvio interroga‑se sobre o alcance do direito de obter uma cópia dos dados pessoais em fase de tratamento, como consagrado no artigo 15.o, n.o 3, do RGPD. A este propósito, este direito pode ser satisfeito através da comunicação de um resumo dos dados tratados pelo médico. No entanto, afigura‑se que os objetivos de transparência e de controlo da licitude visados pelo RGPD militam a favor da comunicação de uma cópia de todos os dados de que o responsável pelo tratamento dispõe em bruto, a saber, todos os documentos médicos que digam respeito ao paciente desde que contenham esses dados.
28 Nestas condições, o Bundesgerichtshof (Supremo Tribunal de Justiça Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:
«1. Deve o artigo 15.o, n.o 3, primeiro período, lido em conjugação com o artigo 12.o, n.o 5, do Regulamento Geral sobre a Proteção de Dados (RGPD), ser interpretado no sentido de que o responsável pelo tratamento (neste caso, o médico) não é obrigado a fornecer gratuitamente ao titular dos dados (neste caso, o paciente) uma primeira cópia dos seus dados pessoais tratados pelo responsável pelo tratamento quando o titular dos dados não pretender a cópia para as finalidades referidas no considerando 63, primeiro período, do RGPD, ou seja, a fim de tomar conhecimento do tratamento dos seus dados pessoais e verificar a sua licitude, mas para outra finalidade — não relacionada com a proteção de dados, mas igualmente legítima — neste caso, a apreciação da existência de direitos fundados em responsabilidade médica?
2. Em caso de resposta negativa à primeira questão:
a) Pode considerar‑se que uma disposição nacional de um Estado‑Membro, adotada antes da entrada em vigor do RGPD, pode constituir igualmente uma limitação do direito decorrente do artigo 15.o, n.o 3, primeiro período, lido em conjugação com o artigo 12.o, n.o 5, do RGPD, à disponibilização gratuita de uma cópia dos dados pessoais tratados pelo responsável pelo tratamento, nos termos do artigo 23.o, n.o 1, alínea i), deste regulamento?
b) Em caso de resposta afirmativa à alínea a) da segunda questão: deve o artigo 23.o, n.o 1, alínea i), do RGPD ser interpretado no sentido de que os direitos e as liberdades de terceiros referidos nessa disposição abrangem igualmente o seu interesse na isenção dos custos relacionados com a obtenção de uma cópia dos dados ao abrigo do artigo 15.o, n.o 3, primeiro período, do RGPD e, em geral, de outras despesas ocasionadas pela disponibilização da cópia?
c) Em caso de resposta afirmativa à alínea b) da segunda questão: pode considerar‑se que uma regulamentação nacional que, na relação médico/paciente, prevê sempre o pagamento ao médico pelo paciente das despesas resultantes da entrega a este último de uma cópia dos seus dados pessoais constantes do registo clínico, independentemente das circunstâncias concretas de cada caso, pode constituir uma limitação dos direitos e obrigações decorrentes do artigo 15.o, n.o 3, primeiro período, lido em conjugação com o artigo 12.o, n.o 5, do RGPD, nos termos do artigo 23.o, n.o 1, alínea i), deste regulamento?
3. Em caso de resposta negativa à primeira questão e às alíneas a), b) e c) da segunda questão: na relação médico/paciente, o direito previsto no artigo 15.o, n.o 3, primeiro período, do RGPD abrange um direito à entrega de cópias de todas as partes do registo clínico do paciente que contenham os seus dados pessoais ou só visa a entrega de uma cópia dos dados pessoais do paciente enquanto tais, deixando ao médico responsável pelo tratamento dos dados a decisão sobre o modo como compilar os dados do paciente em causa?»
Quanto às questões prejudiciais
Quanto à primeira questão
29 Através da primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 12.o, n.o 5, e o artigo 15.o, n.os 1 e 3, do RGPD devem ser interpretados no sentido de que a obrigação de fornecer, a título gratuito, uma primeira cópia dos dados pessoais em fase de tratamento ao seu titular se impõe ao responsável pelo tratamento, mesmo quando este pedido seja motivado por uma finalidade estranha às referidas no considerando 63, primeiro período, desse regulamento.
30 A título preliminar, há que recordar que, segundo jurisprudência constante, para a interpretação de uma disposição do direito da União, há que ter em conta não só os seus termos mas também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte [Acórdão de 12 de janeiro de 2023, Österreichische Post (Informações relativas aos destinatários de dados pessoais), C‑154/21, EU:C:2023:3, n.o 29].
31 Quanto, primeiro, à redação das disposições pertinentes, importa observar, por um lado, que o artigo 12.o, n.o 5, do RGPD estabelece o princípio segundo o qual o exercício do direito de acesso do titular aos seus dados em fase de tratamento e às informações que lhes digam respeito não implica nenhuma despesa para o mesmo. Além disso, esta disposição contempla duas razões pelas quais um responsável pelo tratamento pode ou faturar uma taxa razoável tendo em conta os custos administrativos ou recusar‑se a dar seguimento a um pedido. Estas razões respeitam a casos de abuso de direito, em que os pedidos do titular de dados são «manifestamente infundados» ou «excessivos», nomeadamente devido ao seu caráter repetitivo.
32 A este propósito, o órgão jurisdicional de reenvio declarou expressamente que o pedido do titular dos dados não era abusivo.
33 Por outro lado, o direito de acesso do titular dos dados aos seus dados em fase de tratamento e às informações que lhes digam respeito, que é parte integrante do direito à proteção dos dados pessoais, é garantido no artigo 15.o, n.o 1, do RGPD. De acordo com a redação desta disposição, os titulares dos dados têm o direito de aceder aos seus dados pessoais em fase de tratamento.
34 Além disso, resulta do artigo 15.o, n.o 3, do RGPD que o responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento, e para fornecer outras cópias solicitadas pelo titular dos dados pode exigir o pagamento de uma taxa razoável. A este respeito, o n.o 4 deste artigo precisa que o n.o 3 do mesmo confere um «direito» a esse titular. Esse pagamento só pode, portanto, ser exigido pelo responsável pelo tratamento quando o titular dos dados já tenha recebido, a título gratuito, uma primeira cópia dos seus dados, pedindo‑os novamente.
35 Como o Tribunal de Justiça já declarou, resulta da análise textual do artigo 15.o, n.o 3, primeiro período, do RGPD que esta disposição confere ao titular dos dados o direito de obter uma reprodução fiel dos seus dados pessoais, entendidos em sentido lato, que sejam objeto de operações que devam ser qualificadas de «tratamento efetuado pelo responsável por este tratamento» (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.o 28).
36 Por conseguinte, resulta de uma leitura combinada do artigo 12.o, n.o 5, e do artigo 15.o, n.os 1 e 3, do RGPD, por um lado, o direito, do titular dos dados, de obter uma primeira cópia a título gratuito dos seus dados pessoais em fase de tratamento e, por outro, a faculdade oferecida ao responsável pelo tratamento, em certas condições, de faturar uma taxa razoável tendo em conta os custos administrativos, ou de se recusar a dar seguimento a um pedido se este for manifestamente infundado ou excessivo.
37 No caso em apreço, há que salientar que um médico que procede às operações de tratamento referidas no artigo 4.o, ponto 2, do RGPD relativas aos dados dos seus pacientes deve ser considerado um «responsável pelo tratamento», na aceção do artigo 4.o, ponto 7, deste regulamento, que está sujeito às obrigações que esta qualidade implica, em particular, garantir um acesso aos dados pessoais a pedido dos seus titulares.
38 Há que reconhecer que nem a redação do artigo 12.o, n.o 5, do RGPD nem a redação do artigo 15.o, n.os 1 e 3, deste regulamento condicionam o fornecimento, a título gratuito, de uma primeira cópia dos dados pessoais à invocação, por essas pessoas, de um motivo destinado a justificar os seus pedidos. Estas disposições não dão, portanto, ao responsável pelo tratamento a possibilidade de exigir motivos para o pedido de acesso apresentado pelo titular dos dados.
39 Quanto, segundo, ao contexto em que se inserem as referidas disposições, importa observar que o artigo 12.o do RGPD está inserido na secção 1 do capítulo III desse regulamento, relativo nomeadamente ao princípio da transparência, enunciado no artigo 5.o, n.o 1, alínea a), do mesmo.
40 O artigo 12.o do RGPD enuncia assim obrigações gerais que incumbem ao responsável pelo tratamento no que respeita à transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados.
41 O artigo 15.o do RGPD, incluído na secção 2 do capítulo III, que trata da informação e acesso aos dados pessoais, completa o quadro de transparência do RGPD ao conceder ao titular dos dados um direito de acesso aos seus dados pessoais e um direito de informação sobre o tratamento dos mesmos.
42 Importa, além disso, referir que, em conformidade com o considerando 59 do RGPD, «[d]everão ser previstas regras para facilitar o exercício pelo titular dos dados dos direitos que lhe são conferidos ao abrigo do presente regulamento, incluindo procedimentos para solicitar e, sendo caso disso, obter a título gratuito, em especial, o acesso a dados pessoais, a sua retificação ou o seu apagamento e o exercício do direito de oposição».
43 Uma vez que, como resulta do n.o 38 do presente acórdão, o titular não tem de fundamentar o pedido de acesso aos dados, o primeiro período do considerando 63 não pode ser interpretado no sentido de que esse pedido deve ser rejeitado se tiver outro objetivo que não seja tomar conhecimento do tratamento dos dados e verificar a respetiva licitude. Este considerando não pode, com efeito, restringir o alcance do artigo 15.o, n.o 3, do RGPD, conforme recordado no n.o 35 do presente acórdão.
44 Importa recordar, a este respeito, que resulta de jurisprudência constante que o preâmbulo de um ato de direito da União não tem valor jurídico vinculativo e não pode ser invocado para derrogar as próprias disposições do ato em causa nem para interpretar essas disposições num sentido manifestamente contrário à sua redação (Acórdão de 13 de setembro de 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, n.o 33).
45 De resto, o considerando 63 enuncia, nos termos do seu segundo período, que o direito de aceder aos dados pessoais reconhecido aos seus titulares inclui, tratando‑se dos dados relativos à sua saúde, «os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados».
46 Nestas condições, o direito de aceder aos dados relativos à saúde garantido no artigo 15.o, n.o 1, do RGPD não pode ser limitado, através de uma recusa de acesso ou da imposição do pagamento de uma contrapartida, a um dos motivos mencionados no primeiro período do considerando 63. Sucede o mesmo com o direito de obter uma primeira cópia a título gratuito, como previsto no artigo 12.o, n.o 5, e no artigo 15.o, n.o 3, deste regulamento.
47 Terceiro, quanto aos objetivos prosseguidos pelo RGPD, há que salientar que este regulamento tem por finalidade, como indicam os seus considerandos 10 e 11, assegurar um nível de proteção coerente e elevado das pessoas singulares na União e o reforço e a especificação dos direitos dos titulares dos dados.
48 É precisamente para efeitos da realização deste objetivo que o artigo 15.o, n.o 1, garante ao titular dos dados pessoais um direito de a eles aceder (v., neste sentido, Acórdão de 22 de junho de 2023, Pankki S, C‑579/21, EU:C:2023:501, n.o 57 e jurisprudência referida).
49 Por conseguinte, o artigo 12.o, n.o 5, e o artigo 15.o, n.os 1 e 3, do RGPD fazem parte das disposições destinadas a garantir esse direito de acesso e a transparência das modalidades de tratamento dos dados pessoais para o seu titular [v., neste sentido, Acórdão de 12 de janeiro de 2023, Österreichische Post (Informações relativas aos destinatários de dados pessoais), C‑154/21, EU:C:2023:3, n.o 42].
50 Ora, o princípio da gratuidade da primeira cópia dos dados e a desnecessidade de invocar um motivo específico que justifique o pedido de acesso contribuem necessariamente para facilitar o exercício pelo titular dos dados dos direitos que lhe são conferidos pelo RGDP.
51 Por conseguinte, dada a importância atribuída pelo RGPD ao direito de aceder aos dados pessoais em fase de tratamento, conforme garantido no artigo 15.o, n.o 1, do RGPD, para se alcançarem esses objetivos, o exercício deste direito não pode estar sujeito a condições que não foram expressamente previstas pelo legislador da União, como a obrigação de invocar um dos motivos mencionados no considerando 63, primeiro período, do RGPD.
52 Atendendo a todas as considerações precedentes, há que responder à primeira questão que o artigo 12.o, n.o 5, e o artigo 15.o, n.os 1 e 3, do RGPD devem ser interpretados no sentido de que a obrigação de fornecer, a título gratuito, uma primeira cópia dos dados pessoais em fase de tratamento ao seu titular se impõe ao responsável pelo tratamento mesmo quando este pedido seja motivado por uma finalidade estranha às referidas no considerando 63, primeiro período, desse regulamento.
Quanto à segunda questão
53 Através da segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 23.o, n.o 1, alínea i), do RGPD deve ser interpretado no sentido de que autoriza uma legislação nacional, adotada antes da entrada em vigor desse regulamento, que, para proteger os interesses económicos do responsável pelo tratamento, imputa ao titular dos dados as despesas de uma primeira cópia dos seus dados pessoais em fase de tratamento.
54 Em primeiro lugar, quanto à questão de saber se apenas as medidas nacionais adotadas posteriormente à entrada em vigor do RGPD podem ser incluídas no âmbito de aplicação do artigo 23.o, n.o 1, do RGPD, há que salientar que a redação dessa disposição não contém nenhuma indicação a este respeito.
55 Com efeito, o artigo 23.o, n.o 1, do RGPD limita‑se a indicar que uma medida legislativa de um Estado‑Membro pode limitar o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o desse regulamento, na medida em que tais disposições correspondam aos direitos e obrigações previstos nesses artigos, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente, a defesa dos direitos e liberdades de outrem.
56 Por conseguinte, o artigo 23.o, n.o 1, do RGPD não exclui do seu âmbito de aplicação as medidas legislativas nacionais adotadas anteriormente à entrada em vigor do RGPD, desde que preencham as condições que este estabelece.
57 Em segundo lugar, quanto à questão de saber se uma legislação nacional, que, para proteger o interesse económico dos médicos, impõe ao paciente os custos ligados ao fornecimento de uma primeira cópia do registo clínico solicitada por este último, é abrangida pelo artigo 23.o, n.o 1, alínea i), do RGPD, há que lembrar, primeiro, que, como resulta dos n.os 31 e 33 a 36 do presente acórdão, nos termos do artigo 12.o, n.o 5, e do artigo 15.o, n.os 1 e 3, desse regulamento, reconhece‑se ao titular dos dados um direito de obter uma primeira cópia a título gratuito dos seus dados pessoais em fase de tratamento.
58 O segundo período do artigo 15.o, n.o 3, do RGPD autoriza, todavia, o responsável pelo tratamento a exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos para fornecer outras cópias. Além disso, o artigo 12.o, n.o 5, do RGPD, lido à luz do artigo 15.o, n.os 1 e 3, desse regulamento, permite ao responsável pelo tratamento precaver‑se da utilização abusiva do direito de acesso, ao exigir o pagamento de uma taxa razoável, em caso de pedido manifestamente infundado ou excessivo.
59 Segundo, nos termos do considerando 4 desse regulamento, o direito à proteção de dados pessoais não é absoluto e deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. Assim, o RGPD respeita todos os direitos fundamentais e observa as liberdades e os princípios reconhecidos pela Carta dos Direitos Fundamentais, consagrados pelos Tratados [Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.o 53].
60 De facto, o artigo 15.o, n.o 4, do RGPD prevê que «[o] direito de obter uma cópia […] não prejudica os direitos e as liberdades de terceiros».
61 Do mesmo modo, o artigo 23.o, n.o 1, alínea i), do RGPD recorda que uma limitação do alcance das obrigações e dos direitos previstos nomeadamente no artigo 15.o do RGPD é possível «desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar [a] defesa […] dos direitos e liberdades de outrem».
62 Por conseguinte, resulta dos n.os 59 a 61 do presente acórdão que o direito reconhecido ao titular dos dados de obter uma primeira cópia a título gratuito dos seus dados pessoais em fase de tratamento não é absoluto.
63 Terceiro, só considerações relativas, nomeadamente, à defesa dos direitos e liberdades de outrem são suscetíveis de justificar uma limitação desse direito, desde que tal limitação respeite a sua essência e constitua uma medida necessária e proporcionada para assegurar essa defesa, como prevê o artigo 23.o, n.o 1, alínea i), do RGPD.
64 Ora, como resulta da decisão de reenvio, o regime de despesas previsto no § 630g, n.o 2, segundo período, do BGB permite que o médico impute ao paciente os custos associados ao fornecimento de uma primeira cópia do seu registo clínico. O órgão jurisdicional de reenvio salienta que esse regime visa, principalmente, proteger os interesses económicos dos médicos, o que dissuadiria os pacientes de formular inutilmente pedidos de cópia do seu registo clínico. Assim, embora a legislação nacional em causa no processo principal tenha efetivamente por objetivo proteger os interesses económicos dos médicos, o que incumbe ao órgão jurisdicional de reenvio verificar, tais considerações não podem ser incluídas nos «direitos e liberdades de outrem» referidos no artigo 23.o, n.o 1, alínea i), do RGPD.
65 Com efeito, primeiro, essa legislação leva a que se dissuadam não apenas os pedidos que seriam inúteis, mas também os pedidos destinados a obter, por uma razão legítima, uma primeira cópia, a título gratuito, dos dados pessoais tratados. Por conseguinte, viola necessariamente o princípio da gratuidade da primeira cópia e põe desse modo em causa o efeito útil do direito de acesso previsto no artigo 15.o, n.o 1, do RGPD e, simultaneamente, a proteção garantida por este regulamento.
66 Segundo, não resulta da decisão de reenvio que os interesses protegidos pela legislação nacional vão além de considerações de ordem puramente administrativa ou económica.
67 A este respeito, importa salientar que os interesses económicos dos responsáveis pelo tratamento foram tidos em conta pelo legislador da União, nos termos do artigo 12.o, n.o 5, e do artigo 15.o, n.o 3, segundo período, do RGPD, que, como foi recordado no n.o 58 do presente acórdão, definem as circunstâncias nas quais o responsável pelo tratamento pode pedir que sejam pagas as despesas ligadas ao fornecimento de uma cópia dos dados pessoais em fase de tratamento.
68 Nestas condições, a prossecução do objetivo ligado à proteção dos interesses económicos dos médicos não pode justificar uma medida que conduza a que se coloque em causa o direito de obter, a título gratuito, uma primeira cópia e, ao fazê‑lo, do efeito útil do direito de acesso do titular dos dados aos seus dados pessoais em fase de tratamento.
69 Atendendo a todas as considerações precedentes, há que responder à segunda questão que o artigo 23.o, n.o 1, alínea i), do RGPD deve ser interpretado no sentido de que uma legislação nacional adotada antes da entrada em vigor deste regulamento pode ser abrangida pelo âmbito de aplicação desta disposição. Todavia, esta faculdade não permite adotar uma legislação nacional que, para proteger os interesses económicos do responsável pelo tratamento, imputa ao titular dos dados as despesas de uma primeira cópia dos seus dados pessoais em fase de tratamento.
Quanto à terceira questão
70 Através da terceira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 15.o, n.o 3, primeiro período, do RGPD deve ser interpretado no sentido de que, no âmbito de uma relação médico/paciente, o direito de obter uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma cópia integral dos documentos que constam do seu registo clínico e que contenham dados pessoais ou apenas uma cópia desses dados enquanto tais.
71 Antes de mais, o Tribunal de Justiça declarou que, de acordo com a sua redação, o artigo 15.o, n.o 3, primeiro período, do RGPD confere ao titular dos dados o direito de obter uma reprodução fiel dos seus dados pessoais, entendidos em sentido lato, que sejam objeto de operações que devam ser qualificadas de «tratamento» efetuado pelo responsável por este tratamento (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.o 28).
72 Em seguida, o artigo 15.o do RGPD não pode ser interpretado no sentido de que consagra, no seu n.o 3, primeiro período, um direito distinto do previsto no seu n.o 1. Além disso, o termo «cópia» não se refere a um documento enquanto tal, mas aos dados pessoais que contém e que devem estar completos. A cópia deve, portanto, conter todos os dados pessoais em fase de tratamento (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.o 32).
73 Por fim, quanto aos objetivos prosseguidos pelo artigo 15.o do RGPD, este tem como finalidade reforçar e especificar os direitos dos titulares de dados. Assim, o direito de acesso previsto nesta disposição deve permitir ao titular dos dados verificar que os dados pessoais que lhe dizem respeito são exatos e que são tratados de forma lícita. Além disso, a cópia dos dados pessoais em fase de tratamento, que o responsável pelo tratamento deve fornecer nos termos do artigo 15.o, n.o 3, primeiro período, do RGPD, deve apresentar todas as características que permitam ao titular dos dados exercer efetivamente os seus direitos ao abrigo deste regulamento e deve, por conseguinte, reproduzir integral e fielmente esses dados (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.os 33, 34 e 39).
74 Em particular, para garantir que as informações fornecidas pelo responsável pelo tratamento sejam de fácil compreensão, como exige o artigo 12.o, n.o 1, do RGPD, lido à luz do considerando 58 deste regulamento, a reprodução de extratos de documentos ou mesmo de documentos completos que contenham, nomeadamente, os dados pessoais em fase de tratamento pode revelar‑se indispensável no caso de a contextualização dos dados tratados ser necessária para assegurar a sua inteligibilidade (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.o 41).
75 Por conseguinte, o direito de obter do responsável pelo tratamento uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito implica o direito de obter a cópia de extratos de documentos ou mesmo de documentos completos que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for indispensável para permitir ao titular dos dados exercer efetivamente os direitos que lhe são conferidos por esse regulamento (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.o 45).
76 Quanto às informações em causa no processo principal, há que observar que o RGPD identifica elementos cuja cópia o recorrente no processo principal deve poder pedir. Assim, no que respeita aos dados pessoais relativos à saúde, o considerando 63 deste regulamento especifica que o direito de acesso dos titulares de dados inclui «os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados».
77 A este propósito, como referido, em substância, pelo advogado‑geral nos n.os 78 a 80 das suas conclusões, foi devido à sensibilidade dos dados pessoais relativos à saúde das pessoas singulares que o legislador da União destacou a importância de que o acesso destas últimas aos seus dados que constam do registo clínico se faça de maneira tão completa e exata quanto possível, mas também inteligível.
78 Ora, quando se trata de resultados de exames, de avaliações dos médicos e de quaisquer intervenções ou tratamentos realizados a um paciente, que contêm, regra geral, numerosos dados técnicos, ou mesmo imagens, o fornecimento de um simples resumo ou de uma compilação desses dados pelo médico, para os apresentar de forma agregada, pode criar o risco de certos dados relevantes serem omitidos ou reproduzidos de modo incorreto ou, em qualquer caso, tornar a verificação da sua exatidão e da sua exaustividade, assim como a sua compreensão, mais difícil para o paciente.
79 Atendendo a todas as considerações precedentes, há que responder à terceira questão que o artigo 15.o, n.o 3, primeiro período, do RGPD deve ser interpretado no sentido de que, no âmbito de uma relação médico/paciente, o direito de obter uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito implica o direito de obter a cópia integral dos documentos que constam do seu registo clínico que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for necessário para permitir ao titular dos dados verificar a sua exatidão e exaustividade, assim como para garantir a sua inteligibilidade. Quanto aos dados relativos à saúde do seu titular, este direito inclui, em qualquer caso,o direito de obter uma cópia dos dados do seu registo clínico que contenham informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados ao mesmo.
Quanto às despesas
80 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.
Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:
1) O artigo 12.o, n.o 5, e o artigo 15.o, n.os 1 e 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
devem ser interpretados no sentido de que:
a obrigação de fornecer, a título gratuito, uma primeira cópia dos dados pessoais em fase de tratamento ao seu titular se impõe ao responsável pelo tratamento, mesmo quando este pedido seja motivado por uma finalidade estranha às referidas no considerando 63, primeiro período, desse regulamento.
2) O artigo 23.o, n.o 1, alínea i), do Regulamento 2016/679
deve ser interpretado no sentido de que:
uma legislação nacional adotada antes da entrada em vigor desse regulamento pode ser abrangida pelo âmbito de aplicação desta disposição. Todavia, esta faculdade não permite adotar uma legislação nacional que, para proteger os interesses económicos do responsável pelo tratamento, impõe ao titular dos dados as despesas de uma primeira cópia dos seus dados pessoais em fase de tratamento.
3) O artigo 15.o, n.o 3, primeiro período, do Regulamento 2016/679
deve ser interpretado no sentido de que:
no âmbito de uma relação médico/paciente, o direito de obter uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito implica o direito de obter a cópia integral dos documentos que constam do seu registo clínico que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for necessário para permitir ao titular dos dados verificar a sua exatidão e exaustividade, assim como para garantir a sua inteligibilidade. Quanto aos dados relativos à saúde do seu titular, este direito inclui, em qualquer caso, o direito de obter uma cópia dos dados do seu registo clínico que contenham informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados ao mesmo.
Assinaturas