CONCLUSÕES DO ADVOGADO‑GERAL
GIOVANNI PITRUZZELLA
apresentadas em 9 de junho de 2022 (1)
Processo C‑154/21
RW
contra
Österreichische Post AG
[pedido de decisão prejudicial apresentado pelo Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria)]
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 15.o, n.o 1, alínea c) — Direito de acesso do titular dos dados — Informações sobre o destinatário concreto ou sobre as categorias de destinatários a quem foram comunicados os dados»
1. Quando uma pessoa cujos dados de caráter pessoal foram objeto de tratamento pretende obter do responsável pelo tratamento de dados informações sobre os terceiros a quem esses dados foram comunicados, o seu direito de acesso implica necessariamente que essa pessoa receba informações sobre os destinatários concretos das comunicações que têm por objeto os seus dados pessoais, ou o responsável pelo tratamento pode limitar‑se a fornecer indicações apenas a respeito das categorias de destinatários dessas comunicações?
2. É esta, em substância, a questão submetida ao Tribunal de Justiça no presente reenvio prejudicial, apresentado pelo Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria), órgão jurisdicional de reenvio, relativa à interpretação do artigo 15.o, n.o 1, alínea c), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (2) (a seguir «RGPD»).
3. A questão submetida pelo órgão jurisdicional de reenvio surgiu no quadro de um litígio entre RW, uma pessoa singular, e a Österreichische Post, o principal operador de serviços postais e logísticos na Áustria, que, na sequência de um pedido de acesso por parte de RW aos seus dados pessoais, não lhe comunicou informações sobre os destinatários específicos das comunicações que têm por objeto os seus dados pessoais.
I. Quadro jurídico
4. O artigo 15.o do RGPD, intitulado «Direito de acesso do titular dos dados», dispõe, no seu n.o 1, alínea c):
«1. O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:
[…]
c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;
[…]»
II. Matéria de facto, processo principal e questão prejudicial
5. Em 15 de janeiro de 2019, RW, recorrente no órgão jurisdicional de reenvio, dirigiu‑se à Österreichische Post a fim de obter acesso, em aplicação do artigo 15.o do RGPD, inter alia, aos dados pessoais que lhe diziam respeito conservados pela Österreichische Post ou que esta última tinha conservado no passado, bem como, no caso de esses dados terem sido comunicados a terceiros, à identidade dos destinatários dessas comunicações.
6. Na sua resposta, a Österreichische Post declarou utilizar dados, dentro dos limites permitidos por lei, no âmbito da sua atividade de editora de listas telefónicas e declarou fornecê‑los a clientes comerciais para finalidades de marketing. Em seguida, a recorrida remeteu para um sítio Internet do qual se deduziam informações gerais sobre as finalidades do tratamento dos dados de RW e que remetia para um outro sítio Internet. Esse segundo sítio Internet continha, por sua vez, comunicações gerais sobre a proteção dos dados, bem como permitia determinar de uma maneira geral algumas categorias de destinatários aos quais a Österreichische Post comunicava os dados pessoais. Todavia, a Österreichische Post não revelou a RW, em nenhum momento, os destinatários específicos das comunicações dos seus dados.
7. RW intentou uma ação judicial pedindo que a Österreichische Post seja condenada a fornecer‑lhe mais informações em aplicação do artigo 15.o do RGPD, a respeito de eventuais transferências dos seus dados pessoais a terceiros, bem como, no caso de essas transferências terem efetivamente ocorrido, a respeito do destinatário ou destinatários específicos aos quais os seus dados pessoais foram ou serão comunicados. RW sustenta que as informações fornecidas pela Österreichische Post não satisfazem os requisitos legais previstos no artigo 15.o do RGPD, na medida em que não esclarecem se a Österreichische Post transmitiu ou não a terceiros os seus dados pessoais e, no caso de os dados terem sido efetivamente transmitidos, quem são em concreto os destinatários dessas comunicações.
8. Os órgãos jurisdicionais de primeira instância e de recurso julgaram o pedido de RW improcedente, considerando, em substância, que, uma vez que o artigo 15.o, n.o 1, alínea c), do RGPD faz referência aos destinatários ou às categorias de destinatários, essa disposição concede ao responsável pelo tratamento a possibilidade de optar por se limitar a comunicar ao titular dos dados as categorias de destinatários, sem ter de indicar os nomes dos destinatários específicos das comunicações que têm por objeto os dados pessoais deste.
9. RW manteve os seus pedidos no âmbito do recurso de cassação interposto no órgão jurisdicional de reenvio.
10. No decurso do processo nesse órgão jurisdicional, a Österreichische Post informou RW que os seus dados tinham sido tratados para efeitos de marketing no âmbito da publicação das listas telefónicas e que tinham sido transmitidos a clientes comerciais, entre os quais anunciantes que exercem atividade nos setores da venda por correspondência e do comércio tradicional, empresas de informática, editores de listas telefónicas e associações, como organizações caritativas, ONG ou partidos políticos. A Österreichische Post não revelou, todavia, os destinatários específicos das comunicações dos dados de RW.
11. Nesse contexto, o órgão jurisdicional de reenvio tem dúvidas sobre a interpretação do artigo 15.o do RGPD adotada pelos órgãos jurisdicionais que conheceram do mérito da causa e decidiu, por conseguinte, suspender a instância e submeter ao Tribunal de Justiça a seguinte questão prejudicial:
«Deve o artigo 15.o, n.o 1, alínea c), do [RGPD], ser interpretado no sentido de que o direito de acesso [do titular dos dados] se limita à informação sobre as categorias de destinatários quando os destinatários concretos das divulgações planeadas ainda não estão determinados, ao passo que, quando os dados já tiverem sido divulgados, o direito de acesso deve obrigatoriamente abranger também os destinatários dessas divulgações?»
III. Análise jurídica
12. Com a sua questão prejudicial, o órgão jurisdicional de reenvio submete ao Tribunal de Justiça uma pergunta relativa à interpretação do artigo 15.o, n.o 1, alínea c), do RGPD, no que se refere ao alcance do direito do titular dos dados, aí previsto, de obter informações do responsável pelo tratamento sobre os destinatários ou as categorias de destinatários aos quais foram ou serão comunicados os seus dados pessoais.
13. O órgão jurisdicional de reenvio pergunta se essa disposição deve ser interpretada no sentido de que o alcance do referido direito de acesso do titular dos dados deve ser diferente consoante os dados já tenham sido comunicados — e, nesse caso, esse direito deve estender‑se aos destinatários concretos dessas comunicações — ou os destinatários concretos de futuras comunicações ainda não tenham sido determinados — caso em que esse direito deve considerar‑se limitado a informações relativas a categorias de destinatários.
14. A esse respeito, há que salientar, primeiramente, que o artigo 15.o do RGPD regula o direito do titular dos dados, perante o responsável pelo tratamento, de aceder aos dados pessoais que lhe digam respeito e que sejam objeto de tratamento, bem como a toda uma série de informações relativas, especialmente, ao próprio tratamento. Essa disposição concretiza e especifica o direito de todas as pessoas de aceder aos dados que lhes digam respeito, consagrado no artigo 8.o, n.o 2, segunda frase, da Carta dos Direitos Fundamentais da União Europeia (3).
15. Mais precisamente, nos termos do n.o 1 do artigo 15.o do RGPD, o titular dos dados tem, em primeiro lugar, o direito de obter do responsável pelo tratamento a confirmação da existência de um tratamento de dados pessoais que lhe dizem respeito. Quando existe um tratamento, o titular dos dados tem direito de aceder aos dados pessoais que são objeto do tratamento, bem como a diversas outras informações, mencionadas nas alíneas a) a h) dessa disposição. Nesse contexto, nos termos do artigo 15.o, n.o 1, alínea c), do RGDP, o titular dos dados tem direito de acesso às informações relativas aos «destinatários ou [às] categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais».
16. A questão prejudicial submetida pelo órgão jurisdicional de reenvio pressupõe a interpretação da disposição do artigo 15.o, n.o 1, alínea c), do RGPD a fim de determinar o alcance exato do direito do titular dos dados, aí previsto, de obter informações a respeito dos destinatários das comunicações dos seus dados pessoais.
17. A esse respeito, há que recordar que resulta de jurisprudência constante que a interpretação de uma disposição do direito da União exige que se tenha em conta não só os seus termos mas também o contexto em que se insere e os objetivos e a finalidade prosseguidos pelo ato de que faz parte(4).
18. Além disso, uma vez que as disposições do RGPD regulam o tratamento de dados pessoais suscetível de pôr em causa as liberdades fundamentais e, particularmente, o direito à vida privada, devem necessariamente ser interpretadas à luz dos direitos fundamentais garantidos pela Carta dos Direitos Fundamentais da União Europeia (5).
19. Resulta em seguida de jurisprudência constante que, quando uma disposição do direito da União possa ser objeto de várias interpretações, deve dar‑se prioridade à que é adequada a salvaguardar o seu efeito útil (6).
20. No que se refere, em primeiro lugar, à formulação da disposição em questão, como foi salientado pelo próprio órgão jurisdicional de reenvio, bem como por várias partes que intervieram no Tribunal de Justiça, o teor literal do disposto no artigo 15.o, n.o 1, alínea c), do RGPD não permite dar uma resposta definitiva à questão de saber se o direito de acesso do titular dos dados aí previsto deve necessariamente ser considerado no sentido de abranger o acesso a informações relativas a destinatários precisos das comunicações que têm por objeto dados pessoais que lhe dizem respeito ou se pode ser limitado apenas ao acesso a informações relativas às categorias de destinatários. Nessa disposição, com efeito, os termos «destinatários» e «categorias de destinatários» são utilizados sucessivamente um após o outro, de modo neutro, sem que seja possível deduzir uma ordem de prioridade entre eles. A referida disposição nem sequer especifica de modo explícito se é possível optar entre as duas categorias possíveis de informações previstas (ou seja, os «destinatários» ou as «categorias de destinatários») nem a quem (ou seja, ao titular dos dados ou ao responsável pelo tratamento) cabe, eventualmente, decidir qual o tipo de informações a que deve ser garantido o acesso.
21. Todavia, como também salienta o órgão jurisdicional de reenvio, a própria estrutura do artigo 15.o, n.o 1, do RGPD conduz, em minha opinião, a privilegiar uma interpretação da disposição em questão no sentido de que compete ao titular dos dados (e, por conseguinte, não ao responsável pelo tratamento, como julgaram os dois órgãos jurisdicionais nacionais que conheceram do mérito no caso em apreço) optar entre as duas alternativas nele previstas. Ao contrário de outras disposições do RGPD, como os artigos 13.o e 14.o (7), que são estruturadas no sentido da previsão de uma obrigação de informação a cargo do responsável pelo tratamento, a disposição em questão prevê um verdadeiro e próprio direito de acesso a favor do titular dos dados. O exercício desse direito de acesso pelo titular dos dados pressupõe logicamente que seja atribuída ao titular desse direito a possibilidade de escolher se obtém o acesso às informações respeitantes, se for possível, aos destinatários específicos a quem os dados foram ou serão comunicados ou, em alternativa, se se limita a solicitar informações respeitantes às categorias de destinatários.
22. Uma interpretação da disposição do artigo 15.o, n.o 1, alínea c), do RGPD no sentido de que esta prevê o direito do titular dos dados de solicitar, se for possível, o acesso às informações relativas aos destinatários específicos das comunicações dos seus dados pessoais é, de resto, confirmada por uma análise quer do contexto em que esta se insere, quer das finalidades da mesma disposição à luz desses mesmos objetivos e estrutura geral do RGPD.
23. A esse respeito saliento, antes de mais, que o considerando 63 do RGPD prevê expressamente que o titular dos dados deve «ter o direito de conhecer e ser informado, nomeadamente […] [da identidade] dos destinatários dos dados pessoais». Esse considerando, à luz do qual há que interpretar a disposição em questão, refere o direito de acesso do titular dos dados aos destinatários específicos das comunicações dos seus dados pessoais e não menciona de modo algum que esse direito possa ser limitado, se o responsável pelo tratamento assim o entender, apenas às categorias de destinatários.
24. Além disso, decorre expressamente da jurisprudência que o RGPD visa, especialmente, como resulta do seu considerando 10, assegurar um nível de proteção coerente e elevado das pessoas singulares na União e, para o efeito, assegurar em toda a União uma aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais dessas pessoas no que diz respeito ao tratamento de dados pessoais (8).
25. Para esse fim, qualquer tratamento de dados pessoais deve, por um lado, ser conforme com os princípios relativos ao tratamento de dados, enunciados no artigo 5.o desse regulamento (9). Especialmente, resulta do artigo 5.o, n.o 1, alínea a), do RGPD que os dados pessoais devem ser objeto de um tratamento transparente para o titular dos dados (10). Nesse contexto, o artigo 15.o do RGPD, que regula o direito de acesso do titular dos dados, constitui uma disposição fundamental para garantir que as modalidades através das quais os dados são tratados sejam transparentes para os titulares em questão.
26. Como resulta do considerando 63 do RGPD (11), o referido direito de acesso tem por objetivo, em primeiro lugar, assegurar que o titular dos dados tome conhecimento do tratamento dos seus dados e possa verificar a sua licitude(12). O exercício desse direito de acesso deve permitir verificar, especialmente, não só que os dados de base que lhe dizem respeito são exatos mas também que foram enviados a destinatários autorizados (13). Isso pressupõe, em princípio, que sejam fornecidas indicações o mais precisas possível.
27. Nesse contexto, concordo com a Comissão, que negar que o direito de acesso do titular dos dados previsto no artigo 15.o, n.o 1, alínea c), do RGPD inclua os destinatários específicos, limitando esse direito às simples categorias de destinatários, equivale a impedir o titular dos dados de verificar integralmente a licitude do tratamento efetuado pelo responsável pelo tratamento e, especialmente, de verificar a licitude das comunicações dos dados já efetuadas. Uma interpretação desse tipo da disposição em causa não permite que o titular dos dados verifique se os seus dados foram enviados apenas a destinatários autorizados, ao contrário das exigências referidas no ponto anterior.
28. Em segundo lugar, e em relação ao primeiro objetivo, o referido direito de acesso é necessário, como aliás já foi salientado pelo Tribunal de Justiça, para que a pessoa em causa possa exercer o direito de retificação, o direito ao apagamento dos dados («direito a ser esquecido») e o direito à limitação do tratamento, que lhe são conferidos respetivamente pelos artigos 16.o, 17.o e 18.o do RGPD (14). O Tribunal de Justiça esclareceu também que o direito de acesso também é necessário para que a pessoa em causa possa exercer o direito de oposição ao tratamento dos seus dados pessoais referido no artigo 21.o do RGPD ou o direito à ação judicial quando sofra um prejuízo e o direito de indemnização pelos danos, nos termos dos artigos 79.o e 82.o do RGPD (15).
29. Uma interpretação da disposição em questão que negue ao titular dos dados a possibilidade de obter informações sobre os destinatários específicos das comunicações dos seus dados pessoais teria como consequência que, na falta de conhecimento sobre a identidade daqueles, o titular dos dados não pode exercer em relação aos mesmos os direitos que lhe são conferidos pelas disposições acima referidas do RGPD ou apenas pode exercê‑los com um esforço desproporcionado (16). Por conseguinte, essa interpretação conduz, nessas situações, a que as referidas disposições e os direitos que estas conferem sejam privados de efeito útil.
30. Do ponto de vista contextual, a interpretação acima referida do artigo 15.o, n.o 1, alínea c), do RGPD é, aliás, confirmada igualmente pelo disposto no artigo 19.o do mesmo regulamento. Essa disposição prevê que o «responsável pelo tratamento comunica a cada destinatário a quem os dados pessoais tenham sido transmitidos qualquer retificação ou apagamento dos dados pessoais ou limitação do tratamento a que se tenha procedido em conformidade com o artigo 16.o, o artigo 17.o, n.o 1, e o artigo 18.o, salvo se tal comunicação se revelar impossível ou implicar um esforço desproporcionado».
31. O artigo 19.o do RGPD obriga portanto o responsável pelo tratamento a informar todos os destinatários a quem transmitiu os dados pessoais sobre qualquer pedido de retificação, apagamento ou limitação do tratamento desses dados aos quais deve dar seguimento. Os destinatários assim informados são obrigados, por conseguinte, a proceder imediatamente à retificação, apagamento ou limitação do tratamento, na medida em que ainda estejam a processar os dados em questão. No âmbito da prossecução do objetivo de assegurar um nível elevado de proteção, mencionado no n.o 24, supra, o artigo 19.o do RGPD visa, nesse sentido, libertar o titular dos dados do ónus de — após ter pedido informações ao abrigo do artigo 15.o, n.o 1, alínea c), do RGPD — enviar ulteriores pedidos correspondentes de retificação, apagamento ou limitação do tratamento aos destinatários em causa. Todavia, o titular dos dados deve estar em posição de verificar se a retificação, o apagamento ou a limitação foram efetivamente efetuados na sequência da notificação por parte do responsável pelo tratamento. Nessa perspetiva, o artigo 19.o do RGPD prevê, portanto, que o responsável pelo tratamento deve comunicar ao titular dos dados a identidade desses destinatários quando o titular dos dados o solicitar.
32. O disposto no artigo 19.o do RGPD confirma que, a fim de garantir o efeito útil dos direitos do titular dos dados ao apagamento, à retificação ou à limitação do tratamento, previstos nos artigos 16.o, 17.o e 18.o do RGPD, este mesmo titular deve dispor, em princípio, de um direito à comunicação da identidade dos destinatários específicos, quando os seus dados pessoais já tenham sido comunicados. Com efeito, só desse modo é que o titular dos dados pode fazer valer os seus direitos junto dos responsáveis.
33. Resulta das considerações precedentes que o direito de acesso previsto no artigo 15.o, n.o 1, alínea c), do RGPD desempenha um papel funcional e instrumental para o exercício de outras prerrogativas do titular dos dados previstas no RGPD. Daí resulta que, a fim de garantir o efeito útil de todas as disposições do RGPD acima referidas, essa disposição deve ser interpretada no sentido de que o direito de acesso nela previsto deve, em princípio, abranger necessariamente a possibilidade de obter do responsável pelo tratamento informações relativas aos destinatários específicos das comunicações que têm por objeto os dados pessoais do titular dos dados.
34. A extensão do direito de acesso previsto no artigo 15.o, n.o 1, alínea c), do RGPD aos destinatários específicos das referidas comunicações tem, todavia, um limite, em minha opinião, pelo menos em dois casos.
35. Em primeiro lugar, no caso de ser materialmente impossível fornecer informações sobre os destinatários específicos, por exemplo, por estes ainda não terem sido efetivamente identificados, não se pode evidentemente exigir do responsável pelo tratamento que este comunique informações que ainda não existem. Portanto, nessa hipótese, prevista explicitamente na questão prejudicial, o direito de acesso do titular dos dados poderá ter por objeto apenas as categorias de destinatários.
36. Em segundo lugar, como salientado pelo Governo italiano, o exercício do direito de acesso do titular dos dados e o cumprimento da obrigação correspondente por parte do responsável pelo tratamento são considerados em conformidade com os princípios da equidade e da proporcionalidade.
37. A esse respeito, há que recordar que, como resulta da jurisprudência do Tribunal de Justiça, os direitos consagrados nos artigos 7.o e 8.o da Carta não são prerrogativas absolutas, mas devem ser tomados em consideração de acordo com a sua função na sociedade (17).
38. Nesse contexto, por um lado, resulta explicitamente do artigo 12.o, n.o 5, que se aplica expressamente também à disposição que é objeto da questão prejudicial, que os pedidos do titular dos dados não devem ser manifestamente infundados ou excessivos e que, se for esse o caso, o responsável pelo tratamento pode até recusar‑se a satisfazer o pedido. Aliás, resulta da mesma disposição que incumbe a este último «demonstrar o caráter manifestamente infundado ou excessivo do pedido».
39. Por outro lado, o próprio Tribunal de Justiça já teve ocasião de esclarecer que há que encontrar um equilíbrio justo entre, por um lado, o interesse da pessoa em causa em proteger a sua vida privada, designadamente através dos direitos consagrados no capítulo III do RGPD e as possibilidades de recurso à ação judicial, e, por outro, o ónus a cargo do responsável pelo tratamento (18). Esse justo equilíbrio é perspetivado em sentido favorável a uma maior atenção à proteção dos dados e da vida privada do titular dos dados, como se deduz da necessidade de, para que o pedido de acesso do titular dos dados não seja satisfeito, dever ser demonstrado o seu caráter manifestamente infundado ou excessivo.
IV. Conclusão
40. À luz do que precede, proponho que o Tribunal de Justiça responda do seguinte modo à questão prejudicial apresentada pelo Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria):
«O artigo 15.o, n.o 1, alínea c), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) deve ser interpretado no sentido de que o direito de acesso do titular dos dados, aí previsto, deve estender‑se necessariamente, quando este o exija, à indicação dos destinatários específicos das comunicações que têm por objeto os seus dados pessoais. Esse direito de acesso pode ser limitado apenas à indicação das categorias de destinatários quando seja materialmente impossível identificar os destinatários específicos das comunicações que têm por objeto os dados pessoais que dizem respeito ao titular dos dados ou quando o responsável pelo tratamento demonstre que os pedidos do titular dos dados são manifestamente infundados ou excessivos na aceção do artigo 12.o, n.o 5, do Regulamento (UE) 2016/679.»