ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Terceira Secção)
7 de Maio de 2009 (*)
«Protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais – Directiva 95/46/CE – Protecção da vida privada – Supressão dos dados – Direito de acesso aos dados e à informação sobre os destinatários dos dados – Prazo para o exercício do direito de acesso»
No processo C‑553/07,
que tem por objecto um pedido de decisão prejudicial nos termos do artigo 234.° CE, apresentado pelo Raad van State (Países Baixos), por decisão de 5 de Dezembro de 2007, entrado no Tribunal de Justiça em 12 de Dezembro de 2007, no processo
College van burgemeester en wethouders van Rotterdam
contra
M. E. E. Rijkeboer,
O TRIBUNAL DE JUSTIÇA (Terceira Secção),
composto por: A. Rosas, presidente de secção, A. Ó Caoimh, J. Klučka, U. Lõhmus e P. Lindh (relator), juízes,
advogado‑geral: D. Ruiz‑Jarabo Colomer,
secretário: M. Ferreira, administradora principal,
vistos os autos e após a audiência de 20 de Novembro de 2008,
vistas as observações apresentadas:
– em representação do College van burgemeester en wethouders van Rotterdam, por R. de Bree, advocaat,
– em representação de M. E. E. Rijkeboer, por W. van Bentem, juridisch adviseur,
– em representação do Governo neerlandês, por C. M. Wissels e C. ten Dam, na qualidade de agentes,
– em representação do Governo checo, por M. Smolek, na qualidade de agente,
– em representação do Governo grego, por E.‑M. Mamouna e V. Karra, na qualidade de agentes,
– em representação do Governo espanhol, por M. Muñoz Pérez, na qualidade de agente,
– em representação do Governo do Reino Unido, por Z. Bryanston‑Cross e H. Walker, na qualidade de agentes, assistidas por J. Stratford, barrister,
– em representação da Comissão das Comunidades Europeias, por R. Troosters e C. Docksey, na qualidade de agentes,
ouvidas as conclusões do advogado‑geral na audiência de 22 de Dezembro de 2008,
profere o presente
Acórdão
1 O pedido de decisão prejudicial tem por objecto a interpretação do artigo 12. °, alínea a), da Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO L 281, p. 31, a seguir «directiva»).
2 Este pedido foi apresentado no âmbito de um litígio que opõe M. Rijkeboer ao College van burgemeester en wethouders van Rotterdam (município de Roterdão, representado pelo burgomestre e pelos vereadores, a seguir «College») por este lhe ter parcialmente recusado o acesso à informação sobre a transmissão a terceiros dos seus dados pessoais efectuada nos dois anos que precederam o seu pedido de informação.
Quadro jurídico
Regulamentação comunitária
3 O segundo e décimo considerandos da directiva, relativos aos direitos e liberdades fundamentais, estão redigidos nos seguintes termos:
«(2) Considerando que os sistemas de tratamento de dados estão ao serviço do homem; que devem respeitar as liberdades e os direitos fundamentais das pessoas singulares independentemente da sua nacionalidade ou da sua residência, especialmente a vida privada, e contribuir para o progresso económico e social, o desenvolvimento do comércio e o bem‑estar dos indivíduos;
[…]
(10) Considerando que o objectivo das legislações nacionais relativas ao tratamento de dados pessoais é assegurar o respeito dos direitos e liberdades fundamentais, nomeadamente do direito à vida privada reconhecido não só no artigo 8.° da Convenção Europeia para a Protecção dos Direitos do Homem e das Liberdades Fundamentais como nos princípios gerais do direito comunitário [...]»
4 Nos termos do vigésimo quinto considerando da directiva, os princípios de protecção das pessoas devem encontrar expressão, por um lado, nas obrigações que impendem sobre as pessoas responsáveis pelo tratamento de dados, em especial no que respeita à qualidade dos dados, e, por outro, nos direitos das pessoas cujos dados são tratados de serem informadas sobre esse tratamento, poderem ter acesso aos dados, poderem solicitar a sua rectificação e mesmo, em certas circunstâncias, poderem opor‑se ao tratamento.
5 O quadragésimo considerando da directiva, relativo à obrigação de informar a pessoa em causa quando os dados não foram recolhidos junto desta, enuncia que essa obrigação não existe caso essa informação se revele impossível ou exija esforços desproporcionados e que, para este efeito, podem ser tomados em consideração o número de pessoas em causa, a antiguidade dos dados e as medidas compensatórias que podem ser tomadas.
6 Nos termos do quadragésimo primeiro considerando da directiva, todas as pessoas devem poder beneficiar do direito de acesso aos dados que lhes dizem respeito e que estão em fase de tratamento, a fim de assegurarem, nomeadamente, a sua exactidão e a licitude do tratamento.
7 O artigo 1.°, sob a epígrafe «Objecto da directiva», tem a seguinte redacção:
«1. Os Estados‑Membros assegurarão, em conformidade com a presente directiva, a protecção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento de dados pessoais.
2. Os Estados‑Membros não podem restringir ou proibir a livre circulação de dados pessoais entre Estados‑Membros por razões relativas à protecção assegurada por força do n.° 1.»
8 O artigo 2.°, alínea a), da directiva define o conceito de «dados pessoais» como qualquer informação relativa a uma pessoa singular identificada ou identificável (pessoa em causa).
9 Por «tratamento de dados pessoais», o artigo 2.°, alínea b), da directiva entende:
«qualquer operação ou conjunto de operações efectuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, difusão ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição».
10 Nos termos do artigo 2.°, alínea d), da directiva, o «responsável pelo tratamento» é a pessoa singular ou colectiva, a autoridade pública, o serviço ou qualquer outro organismo que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais.
11 O artigo 2.°, alínea g), da directiva define o «destinatário» como sendo a pessoa singular ou colectiva, a autoridade pública, o serviço ou qualquer outro organismo que receba comunicações de dados, independentemente de se tratar ou não de um «terceiro», como definido no artigo 2.°, alínea f), da directiva.
12 O artigo 6.° da directiva enuncia os princípios relativos à qualidade dos dados. No que toca à conservação dos dados, a alínea e) do n.° 1 determina que os Estados‑Membros devem estabelecer que os dados pessoais serão «conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos ou para que são tratados posteriormente. Os Estados‑Membros estabelecerão garantias apropriadas para os dados pessoais conservados durante períodos mais longos do que o referido, para fins históricos, estatísticos ou científicos».
13 Os artigos 10.° e 11.° da directiva definem as informações que o responsável pelo tratamento dos dados ou o seu representante deve fornecer à pessoa em causa em caso, respectivamente, de recolha de dados junto dessa pessoa ou quando os dados não tenham sido recolhidos junto dela.
14 O artigo 12.° da directiva, intitulado «Direito de acesso», está redigido nos seguintes termos:
«Os Estados‑Membros garantirão às pessoas em causa o direito de obterem do responsável pelo tratamento:
a) Livremente e sem restrições, com periodicidade razoável e sem demora ou custos excessivos:
– a confirmação de terem ou não sido tratados dados que lhes digam respeito, e informações pelo menos sobre os fins a que se destina esse tratamento, as categorias de dados sobre que incide e os destinatários ou categorias de destinatários a quem são comunicados os dados,
– a comunicação, sob forma inteligível, dos dados sujeitos a tratamento e de quaisquer informações disponíveis sobre a origem dos dados,
– o conhecimento da lógica subjacente ao tratamento automatizado dos dados que lhe digam respeito, pelo menos no que se refere às decisões automatizadas referidas no n.° 1 do artigo 15.°;
b) Consoante o caso, a rectificação, o apagamento ou o bloqueio dos dados cujo tratamento não cumpra o disposto na presente directiva, nomeadamente devido ao carácter incompleto ou inexacto desses dados;
c) A notificação aos terceiros a quem os dados tenham sido comunicados de qualquer rectificação, apagamento ou bloqueio efectuado nos termos da alínea b), salvo se isso for comprovadamente impossível ou implicar um esforço desproporcionado.»
15 O artigo 13.°, n.° 1, da directiva, sob a epígrafe «Derrogações e restrições», autoriza os Estados‑Membros a estabelecerem derrogações, designadamente, aos artigos 6.° e 12.°, sempre que isso seja necessário à protecção de determinados interesses públicos, como a segurança do Estado, a defesa, a repressão de infracções penais e outros interesses, ou seja, a protecção da pessoa em causa ou dos direitos e liberdades de outrem.
16 O artigo 14.° da directiva determina que os Estados‑Membros reconhecerão à pessoa em causa o direito de, verificadas certas condições, se opor a que os dados que lhe digam respeito sejam objecto de tratamento.
17 Nos termos do artigo 17.°, n.° 1, segundo parágrafo, da directiva, os Estados‑Membros estabelecerão que o responsável pelo tratamento deve pôr em prática medidas técnicas e organizativas para assegurar, atendendo aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação, um nível de segurança adequado em relação aos riscos que o tratamento apresenta e à natureza dos dados a proteger.
18 Nos termos dos artigos 22.° e 23.°, n.° 1, da directiva, os Estados‑Membros estabelecerão que qualquer pessoa poderá recorrer judicialmente em caso de violação dos direitos garantidos pelas disposições nacionais aplicáveis ao tratamento em questão e que qualquer pessoa que tiver sofrido um prejuízo devido ao tratamento ilícito de dados ou a qualquer outro acto incompatível com as disposições nacionais de execução da directiva tem o direito de obter do responsável pelo tratamento a reparação pelo prejuízo sofrido.
Legislação nacional
19 A directiva foi transposta para direito neerlandês através de um diploma de carácter geral, a Lei sobre a protecção de dados pessoais (Wet bescherming persoonsgegevens). Além disso, procedeu‑se à adaptação de leis específicas para se atender à directiva. Assim foi com a lei em causa no processo principal, a saber, a Lei sobre os dados pessoais na posse das administrações autárquicas (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, n.° 494, a seguir «Wet GBA»).
20 Nos termos do artigo 103.°, n.° 1, da Wet GBA, o College van burgemeester en wethouders, a pedido do interessado, informa‑o por escrito, no prazo de quatro semanas, dos dados relativos a esse interessado que a administração autárquica tenha transmitido a qualquer requerente ou a terceiros, durante o ano anterior à data desse pedido.
21 Nos termos do artigo 110.° da Wet GBA, o College van burgemeester en wethouders deve conservar um duplicado desta comunicação pelo período de um ano a contar da data da transmissão dos dados, excepto se essa comunicação puder ser obtida de outra forma através da base de dados.
22 Das observações escritas que o College apresentou resulta que os dados conservados pela autarquia versam, designadamente, sobre o nome, data de nascimento, número administrativo, número social‑fiscal, freguesia onde se encontra inscrito, endereço e data de inscrição na junta de freguesia, estado civil, curadoria, poder paternal, nacionalidade e direito de residência dos estrangeiros.
Litígio no processo principal e questão prejudicial
23 Por carta de 26 de Outubro de 2005, M. Rijkeboer requereu ao College que o informasse de todos os casos em que, nos dois anos anteriores, a administração autárquica comunicou a terceiros informações a seu respeito. Pretendia conhecer a identidade dessas pessoas e o conteúdo das informações transmitidas. M. Rijkeboer, que mudara de residência para outra autarquia, pretendia saber, em especial, a quem tinha sido comunicado o seu antigo endereço.
24 Por deliberações de 27 de Outubro e 29 de Novembro de 2005, o College só parcialmente satisfez este pedido ao comunicar‑lhe apenas, nos termos do n.° 1 do artigo 103.° da Wet GBA, as informações relativas ao ano que antecedeu o seu pedido.
25 As comunicações de dados são registadas de acordo com o «Logisch Ontwerp GBA». Trata‑se de um sistema automatizado, criado pelo Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministério do Interior e das Relações com a Coroa dos Países Baixos). Resulta do pedido de decisão prejudicial que os dados solicitados por M. Rijkeboer, anteriores ao ano que precedeu o seu pedido, foram automaticamente suprimidos, em conformidade com o disposto no artigo 110.° da Wet GBA.
26 M. Rijkeboer reclamou junto do College do facto de não lhe terem comunicado as informações sobre os destinatários dos seus dados, transmitidos durante o período anterior ao ano que precedeu o seu pedido. Tendo esta reclamação sido indeferida por deliberação de 13 de Fevereiro de 2006, M. Rijkeboer interpôs recurso para o Rechtbank Rotterdam.
27 Este órgão jurisdicional deu provimento ao recurso por considerar que a limitação do direito de ser informado dos dados transmitidos a outrem no ano anterior à data do pedido, conforme prevista no n.° 1 do artigo 103.° da Wet GBA, não é compatível com o artigo 12.° da directiva. Também entendeu que não há lugar à aplicação das excepções previstas no artigo 13.° desta directiva.
28 O College recorreu desta sentença para o Raad van State. Este órgão jurisdicional observa que o artigo 12.° da directiva, relativo ao direito de acesso aos dados, não fixa qualquer prazo para o exercício desse direito. Todavia, embora tenha dúvidas a este respeito, entende que esse artigo não obsta necessariamente a que o legislador nacional limite no tempo o direito de a pessoa em causa ser informada dos destinatários a quem foram transmitidos os seus dados pessoais.
29 Nestas condições, o Raad van State decidiu suspender a instância e submeter ao Tribunal de Justiça a seguinte questão prejudicial:
«A restrição, prevista na lei, da [comunicação dos dados] ao ano anterior à data do respectivo pedido é compatível com o artigo 12.°, […] alínea a), da [directiva], lido, se for caso disso, em conjugação com o artigo 6.°, n.° 1, alínea e), dessa directiva e com o princípio da proporcionalidade?»
Quanto à questão prejudicial
30 Importa recordar, a título liminar, que, no quadro do sistema de cooperação judiciária estabelecido pelo artigo 234.° CE, cabe ao Tribunal de Justiça interpretar as disposições do direito comunitário. No que respeita às disposições nacionais, a sua interpretação cabe aos órgãos jurisdicionais nacionais (v. acórdão de 14 de Fevereiro de 2008, Gysen, C‑449/06, Colect., p. I‑553, n.° 17).
31 Por conseguinte, a questão colocada pelo órgão jurisdicional de reenvio deve ser entendida no sentido de, no essencial, visar determinar se, nos termos da directiva, especialmente da alínea a) do seu artigo 12.°, o direito de acesso de uma pessoa à informação sobre os destinatários ou categorias de destinatários dos seus dados pessoais e o conteúdo dos dados transmitidos pode ser restringido ao período de um ano que antecede a data do respectivo pedido de acesso.
32 Este órgão jurisdicional realça duas disposições da directiva, a saber, o artigo 6.°, n.° 1, alínea e), sobre a conservação dos dados pessoais, e o artigo 12.°, alínea a), sobre o direito de acesso a esse dados. Em contrapartida, nem esse órgão jurisdicional nem nenhuma das partes que apresentou observações ao Tribunal de Justiça invoca as excepções constantes do artigo 13.° da directiva.
33 O artigo 6.° da directiva versa sobre a qualidade dos dados. O seu n.° 1, alínea e), determina que os Estados‑Membros devem estabelecer que os dados pessoais apenas serão conservados durante o período necessário para a prossecução das finalidades para que foram recolhidos ou para que são tratados posteriormente. Assim, os dados devem ser suprimidos após a consecução dessas finalidades.
34 O artigo 12.°, alínea a), da directiva determina que os Estados‑Membros garantirão às pessoas em causa o direito de acesso aos seus dados pessoais e à informação sobre os destinatários e categorias de destinatários desses dados, sem estabelecer qualquer limitação no tempo.
35 O objectivo destes dois artigos é, pois, o de proteger a pessoa em causa. O órgão jurisdicional de reenvio pretende apurar se existe uma relação entre estes dois artigos, ou seja, se o direito de acesso à informação sobre os destinatários ou categorias de destinatários dos dados pessoais e sobre o conteúdo dos dados transmitidos pode depender do período durante o qual esses dados devem ser conservados.
36 As observações apresentadas ao Tribunal de Justiça revelam perspectivas diferentes sobre a interacção entre estas duas disposições.
37 O College e os Governos neerlandês, checo, espanhol e do Reino Unido sustentam que o direito de acesso à informação sobre os destinatários ou categorias de destinatários a que se refere o artigo 12.°, alínea a), da directiva só existe para o presente e não para o passado. A partir do momento em que os dados foram suprimidos, nos termos da legislação nacional, a pessoa em causa deixa de poder ter acesso a esses dados. Esta consequência não é contrária à directiva.
38 O College e o Governo neerlandês alegam, portanto, que o artigo 103.°, n.° 1, da Wet GBA, segundo o qual a autarquia, a pedido do interessado, informa‑o dos dados transmitidos a outrem durante o ano anterior à data desse pedido, excede o disposto na directiva.
39 A Comissão e o Governo grego consideram, por sua vez, que a directiva consagra um direito de acesso não apenas para o presente mas também para o período anterior à data do pedido de acesso. Todavia, a sua perspectiva não é coincidente no que respeita à duração exacta desse direito de acesso.
40 Para apreciar o âmbito do direito de acesso que a directiva deve tornar possível, importa, antes de mais, determinar os dados abrangidos pelo direito de acesso e, em seguida, os fins prosseguidos pelo artigo 12.°, alínea a), da directiva examinados à luz dos objectivos deste diploma.
41 No caso de M. Rijkeboer, estão em causa duas categorias de dados.
42 A primeira categoria diz respeito aos dados pessoais de natureza privada que se encontram na posse da autarquia, como o seu nome e endereço, e que, no presente caso, são dados de base. Resulta das observações orais apresentadas pelo College e pelo Governo neerlandês que esses dados podem ser conservados durante muito tempo. Constituem «dados pessoais» na acepção do artigo 2.°, alínea a), da directiva, pois trata‑se de informações relativas a uma pessoa singular identificada ou identificável (v., neste sentido, acórdãos de 20 de Maio de 2003, Österreichischer Rundfunk e o., C‑465/00, C‑138/01 e C‑139/01, Colect., p. I‑4989, n.° 64; de 6 de Novembro de 2003, Lindqvist, C‑101/01, Colect., p. I‑12971, n.° 24; e de 16 de Dezembro de 2008, Huber, C‑524/06, ainda não publicado na Colectânea, n.° 43).
43 A segunda categoria diz respeito à informação sobre os destinatários ou categorias de destinatários a quem esses dados de base são transmitidos e sobre o conteúdo desses dados e abrange, portanto, o tratamento dos dados de base. Nos termos da legislação nacional em causa no processo principal, esta informação só é conservada durante um ano.
44 A limitação no tempo do direito de acesso à informação sobre o ou os destinatários dos dados pessoais e sobre o conteúdo dos dados transmitidos, a que se refere o processo principal, diz, portanto, respeito a esta segunda categoria de dados.
45 A fim de determinar se o artigo 12.°, alínea a), da directiva autoriza, ou não, essa limitação no tempo, esta disposição deve ser interpretada na perspectiva da sua finalidade apreciada à luz dos objectivos da directiva.
46 Nos termos do artigo 1.° da directiva, este diploma tem por objecto proteger as liberdades e os direitos fundamentais das pessoas singulares, nomeadamente a sua vida privada, no que diz respeito ao tratamento de dados pessoais e permitir assim a livre circulação desses dados entre Estados‑Membros.
47 A importância da protecção da vida privada é posta em evidência no segundo e décimo considerandos da directiva e sublinhada na jurisprudência do Tribunal de Justiça (v., neste sentido, acórdãos, já referidos, Österreichischer Rundfunk e o., n.° 70, e Lindqvist, n.os 97 e 99, bem como acórdãos de 29 de Janeiro de 2008, Promusicae, C‑275/06, Colect., p. I‑271, n.° 63, e de 16 de Dezembro de 2008, Satakunnan Markkinapörssi e Satamedia, C‑73/07, ainda não publicado na Colectânea, n.° 52).
48 Além disso, decorre do vigésimo quinto considerando da directiva que os princípios dessa protecção devem encontrar expressão, por um lado, nas obrigações que impendem sobre os responsáveis pelo tratamento de dados, designadamente no que respeita à qualidade dos dados – objecto do artigo 6.° da directiva –, e, por outro, nos direitos das pessoas cujos dados são tratados de serem informadas sobre esse tratamento, poderem ter acesso a esses dados, poderem solicitar a sua rectificação e mesmo, em certas circunstâncias, poderem opor‑se ao tratamento.
49 Este direito ao respeito da vida privada implica que a pessoa em causa possa assegurar‑se de que esses dados pessoais são tratados com exactidão e de forma lícita, ou seja, em especial, que os dados de base que lhe dizem respeito são exactos e são enviados a destinatários autorizados. Como referido no quadragésimo primeiro considerando da directiva, para poder efectuar as verificações necessárias, a pessoa em causa deve dispor de um direito de acesso aos dados que lhe dizem respeito e que estão em fase de tratamento.
50 Para este efeito, o artigo 12.°, alínea a), da directiva prevê um direito de acesso aos dados de base e à informação sobre os destinatários ou categorias de destinatários a quem são transmitidos esses dados.
51 Esse direito de acesso é necessário para que a pessoa em causa possa exercer os direitos consagrados nas alíneas b) e c) do artigo 12.° da directiva, ou seja, quando o tratamento dos seus dados não respeite o disposto nessa directiva, o de obter que o responsável pelo tratamento os rectifique, apague ou bloqueie [alínea b)] ou que notifique aos terceiros a quem os dados tenham sido comunicados essas rectificações, apagamentos ou bloqueios, desde que essa notificação não seja impossível ou não implique um esforço desproporcionado [alínea c)].
52 Esse direito de acesso também é necessário para que a pessoa em causa possa exercer o direito de oposição ao tratamento dos seus dados pessoais, a que se refere o artigo 14.° da directiva, ou o direito de recurso quando sofra um prejuízo, previsto nos seus artigos 22.° e 23.°
53 Quanto ao direito de acesso à informação sobre os destinatários ou categorias de destinatários dos dados de base e sobre o conteúdo dos dados transmitidos, a directiva não especifica se esse direito abrange o passado nem, sendo esse o caso, o período do passado a que se refere.
54 A este propósito, importa referir que, para garantir o efeito útil das disposições referidas nos n.os 51 e 52 do presente acórdão, esse direito deve necessariamente abranger o passado. Com efeito, se assim não fosse, a pessoa interessada não estaria em condições de eficazmente exercer o seu direito de obter a rectificação, supressão ou bloqueio dos dados que se presume serem ilícitos ou incorrectos e de intentar uma acção em justiça e de ser ressarcida pelo prejuízo sofrido.
55 Coloca‑se assim a questão de saber em que medida esse direito abrange o passado.
56 O Tribunal de Justiça já declarou que as disposições da directiva são relativamente gerais, visto que devem aplicar‑se a um grande número de situações bastante diversas, e que a directiva contém regras que se caracterizam por uma certa flexibilidade, deixando, em vários casos, ao cuidado dos Estados‑Membros adoptarem os detalhes ou escolherem entre várias opções (v. acórdão Lindqvist, já referido, n.° 83). O Tribunal de Justiça reconheceu, assim, que os Estados‑Membros dispõem, em relação a vários aspectos, de uma margem de manobra na transposição da directiva (v. acórdão Lindqvist, já referido, n.° 84). Porém, esta margem de manobra, que tem lugar no que respeita à transposição do artigo 12.°, alínea a), da directiva, não é ilimitada.
57 A fixação de um período relativamente ao qual existe um direito de acesso à informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo dos dados transmitidos deve permitir à pessoa em causa exercer os diferentes direitos previstos pela directiva e evocados nos n.os 51 e 52 do presente acórdão.
58 O prazo de conservação dos dados de base pode ser um parâmetro útil, embora não determinante.
59 Com efeito, como o Tribunal de Justiça já reconheceu (v. acórdãos, já referidos, Österreichischer Rundfunk e o., n.° 43, e Lindqvist, n.° 88), o âmbito de aplicação da directiva é muito amplo e os dados pessoais a que esse diploma se refere são variados. O período de conservação destes dados, definido nos termos do artigo 6.°, n.° 1, alínea e), da directiva em função dos fins para que foram obtidos ou posteriormente tratados, pode, por conseguinte, ser diferente. Quando o período de conservação dos dados de base é muito longo, o interesse da pessoa em causa de utilizar os meios de intervenção e de recurso referidos no n.° 57 do presente acórdão pode, em determinados casos, diminuir. Se, por exemplo, os destinatários desses dados forem numerosos ou a frequência de comunicações a um número mais restrito de destinatários for elevada, a obrigação de conservar por tanto tempo a informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo dos dados transmitidos poderia representar um ónus excessivo para o responsável pelo tratamento.
60 Ora, a directiva não exige dos Estados‑Membros que imponham esses ónus ao responsável pelo tratamento.
61 Assim, o artigo 12.°, alínea c), da directiva estabelece expressamente uma ressalva à obrigação de o responsável pelo tratamento notificar aos terceiros a quem os dados tenham sido comunicados qualquer rectificação, apagamento ou bloqueio, ou seja, quando isso for impossível ou implicar um esforço desproporcionado.
62 De acordo com outras passagens da directiva, pode atender‑se ao eventual carácter desproporcionado de certas medidas. Quanto à obrigação de informar a pessoa em causa, o quadragésimo considerando da directiva enuncia que podem ser tomados em consideração o número de pessoas em causa e a antiguidade dos dados. Por outro lado, nos termos do artigo 17.° da directiva, relativo à segurança do tratamento, os Estados‑Membros estabelecerão que o responsável pelo tratamento deve pôr em prática medidas técnicas e organizativas para assegurar, atendendo aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação, um nível de segurança adequado em relação aos riscos que o tratamento apresenta e à natureza dos dados a proteger.
63 Considerações análogas são pertinentes no que respeita à fixação de um período relativamente ao qual existe um direito de acesso à informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo dos dados transmitidos. Para além das considerações evocadas no n.° 57 do presente acórdão, outros parâmetros podem assim ser tomados em consideração pelos Estados‑Membros, nomeadamente as disposições de direito nacional aplicáveis em matéria de prazos de recurso, a maior ou menor sensibilidade dos dados de base, o período de conservação desses dados e o número de destinatários em causa.
64 Compete assim aos Estados‑Membros fixar um prazo de conservação da informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo dos dados transmitidos e prever um acesso a essa informação que representem um equilíbrio justo entre, por um lado, o interesse da pessoa em causa em proteger a sua vida privada, designadamente através dos direitos de rectificação, supressão e bloqueio dos dados, caso o tratamento destes não esteja em conformidade com a directiva, e os direitos de oposição e de recurso e, por outro, o ónus que a obrigação de conservar essa informação representa para o responsável pelo tratamento.
65 Além disso, quando da fixação desse prazo, também se devem tomar em consideração as obrigações, que decorrem do artigo 6.°, alínea e), da directiva, de prever que os dados pessoais sejam conservados sob uma forma que permita a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos ou para que são tratados posteriormente.
66 No caso em apreço, uma regulamentação que limite a conservação da informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo dos dados transmitidos a um período de um ano e correlativamente limite o acesso a essa informação, quando os dados de base são conservados por muito mais tempo, não representa um equilíbrio justo entre os interesses e obrigações em causa, a não ser que se demonstre que um período de conservação dessa informação mais longo constitui um ónus excessivo para o responsável pelo tratamento. Contudo, é ao órgão jurisdicional nacional que compete efectuar as verificações necessárias à luz das considerações apresentadas nos números anteriores.
67 Tendo em conta as considerações precedentes, o argumento de alguns Estados‑Membros, segundo o qual a aplicação dos artigos 10.° e 11.° da directiva tornava supérflua a atribuição, para o passado, de um direito de acesso à informação sobre os destinatários ou categorias de destinatários a que se refere o artigo 12.°, alínea a), da directiva, não pode ser acolhido.
68 Com efeito, importa observar que os artigos 10.° e 11.° determinam que o responsável pelo tratamento ou o seu representante têm a obrigação de, em certas condições, informar a pessoa em causa, designadamente, sobre os destinatários ou categorias de destinatários dos dados. O responsável pelo tratamento ou o seu representante deve, por sua própria iniciativa, transmitir essa informação à pessoa em causa, designadamente no momento da recolha dos dados ou, se estes não forem obtidos directamente junto dessa pessoa, no momento do registo dos dados ou, eventualmente, quando sejam comunicados a um terceiro.
69 Estas disposições criam assim obrigações distintas das que decorrem do artigo 12.°, alínea a), da directiva. Por conseguinte, de modo algum limitam a obrigação de os Estados‑Membros preverem que o responsável pelo tratamento deve permitir que a pessoa em causa tenha acesso à informação sobre os destinatários ou categorias de destinatários e sobre os dados transmitidos quando essa pessoa decide exercer o direito de acesso que lhe é conferido por força desse artigo 12.°, alínea a). Os Estados‑Membros devem aprovar medidas de transposição, por um lado, das disposições dos artigos 10.° e 11.° da directiva, relativas à obrigação de informar, e, por outro, das do artigo 12.°, alínea a), da directiva, sem que as primeiras possam atenuar as obrigações decorrentes das segundas.
70 Assim, à questão colocada deve responder‑se da seguinte forma:
– O artigo 12.°, alínea a), da directiva determina que os Estados‑Membros garantirão um direito de acesso à informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo da informação comunicada não apenas relativamente ao presente mas também no que respeita ao passado. Cabe aos Estados‑Membros fixar o prazo durante o qual essa informação deve ser conservada e o acesso correlativo a esta que representem um equilíbrio justo entre, por um lado, o interesse da pessoa em causa em proteger a sua vida privada, designadamente através das vias de intervenção e de recurso previstas pela directiva, e, por outro, o ónus que a obrigação de conservar essa informação representa para o responsável pelo tratamento.
– Uma regulamentação que limite a conservação da informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo dos dados transmitidos a um período de um ano e correlativamente limite o acesso a essa informação, quando os dados de base são conservados por muito mais tempo, não representa um equilíbrio justo entre os interesses e obrigações em causa, a não ser que se demonstre que um período de conservação dessa informação mais longo constitui um ónus excessivo para o responsável pelo tratamento. Cabe ao órgão jurisdicional nacional efectuar as verificações necessárias.
Quanto às despesas
71 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional nacional, compete a este decidir quanto às despesas. As despesas efectuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.
Pelos fundamentos expostos, o Tribunal de Justiça (Terceira Secção) declara:
O artigo 12.°, alínea a), da Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, determina que os Estados‑Membros garantirão um direito de acesso à informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo da informação comunicada não apenas relativamente ao presente mas também no que respeita ao passado. Cabe aos Estados‑Membros fixar o prazo durante o qual essa informação deve ser conservada e o acesso correlativo a esta que representem um equilíbrio justo entre, por um lado, o interesse da pessoa em causa em proteger a sua vida privada, designadamente através das vias de intervenção e de recurso previstas pela Directiva 95/46, e, por outro, o ónus que a obrigação de conservar essa informação representa para o responsável pelo tratamento.
Uma regulamentação que limite a conservação da informação sobre os destinatários ou categorias de destinatários e sobre o conteúdo dos dados transmitidos a um período de um ano e correlativamente limite o acesso a essa informação, quando os dados de base são conservados por muito mais tempo, não representa um equilíbrio justo entre os interesses e obrigações em causa, a não ser que se demonstre que um período de conservação dessa informação mais longo constitui um ónus excessivo para o responsável pelo tratamento. Cabe ao órgão jurisdicional nacional efectuar as verificações necessárias.
Assinaturas