CONCLUSÕES DO ADVOGADO‑GERAL
GIOVANNI PITRUZZELLA
apresentadas em 15 de dezembro de 2022(1)
Processo C‑487/21
F.F.
sendo intervenientes:
Österreichische Datenschutzbehörde,
CRIF GmbH
[pedido de decisão prejudicial apresentado pelo Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria)]
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 15.o, n.o 3 — Direito de acesso do titular dos dados aos dados pessoais em fase de tratamento — Direito de receber uma cópia dos dados pessoais — Conceito de “cópia” — Conceito de “informação”»
1. Qual o conteúdo e o alcance do direito reconhecido ao titular dos dados que obtém acesso aos seus dados pessoais em fase de tratamento de receber uma cópia desses dados, conforme previsto no artigo 15.o, n.o 3, do Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre Proteção de Dados) (2) (a seguir «RGPD»)? Qual o significado do termo «cópia» e de que forma se articula o direito de receber uma cópia dos dados pessoais tratados com o direito de acesso à informação previsto no n.o 1 do mesmo artigo?
2. São estas, em substância, as principais questões suscitadas no âmbito do processo objeto das presentes conclusões, relativo a um pedido de decisão prejudicial apresentado pelo Bunsdesverwaltungsgericht (Tribunal Administrativo Federal, Áustria) que incide sobre a interpretação do artigo 15.o, n.o 3, do RGPD.
3. O presente pedido de decisão prejudicial foi apresentado no âmbito de um litígio que opõe F.F. à Österreichische Datenschutzbehörde (autoridade de proteção de dados da Áustria) a propósito da legalidade do indeferimento, por parte desta última, do pedido de F.F. que pretendia impor a uma agência de consultoria empresarial que tinha tratado os seus dados pessoais, a obrigação de disponibilizar documentos e extratos de uma base de dados contendo os referidos dados pessoais.
4. O presente processo dá ao Tribunal de Justiça a oportunidade de interpretar pela primeira vez o disposto no artigo 15.o, n.o 3, do RGPD e de clarificar as modalidades de exercício do direito de acesso aos próprios dados pessoais que são objeto de tratamento nos termos do artigo 15.o do RGPD.
I. Quadro jurídico
5. O considerando 63 do RGPD enuncia:
«Os titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de conhecer e verificar a tomar conhecimento do tratamento e verificar a sua licitude. Aqui se inclui o seu direito de acederem a dados sobre a sua saúde, por exemplo os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados. Por conseguinte, cada titular de dados deverá ter o direito de conhecer e ser informado, nomeadamente, das finalidades para as quais os dados pessoais são tratados, quando possível do período durante o qual os dados são tratados, da identidade dos destinatários dos dados pessoais, da lógica subjacente ao eventual tratamento automático dos dados pessoais e, pelo menos quando tiver por base a definição de perfis, das suas consequências. Quando possível, o responsável pelo tratamento deverá poder facultar o acesso a um sistema seguro por via eletrónica que possibilite ao titular aceder diretamente aos seus dados pessoais. Esse direito não deverá prejudicar os direitos ou as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual e, particularmente, o direito de autor que protege o software. Todavia, essas considerações não deverão resultar na recusa de prestação de todas as informações ao titular dos dados […].»
6. O artigo 4.o, n.os 1 e 2, do RGPD dispõe:
«Para efeitos do presente regulamento, entende‑se por:
1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição.»
7. O artigo 12.o, n.o 1, do RGPD, sob a epígrafe «[t]ransparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados», prevê:
«O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.o e 14.o e qualquer comunicação prevista nos artigos 15.o a 22.o e 34.o a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios.»
8. O artigo 15.o do RGPD, sob a epígrafe «[d]ireito de acesso do titular dos dados», dispõe:
«1. O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:
a) As finalidades do tratamento dos dados;
b) As categorias dos dados pessoais em questão;
c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;
d) Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;
e) A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;
f) O direito de apresentar reclamação a uma autoridade de controlo;
g) Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;
h) A existência de decisões automatizadas, incluindo a definição de perfis, referida no artigo 22.o, n.os 1 e 4, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
[…]
3. O responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento. Para fornecer outras cópias solicitadas pelo titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos. Se o titular dos dados apresentar o pedido por meios eletrónicos, e salvo pedido em contrário do titular dos dados, a informação é fornecida num formato eletrónico de uso corrente.
4. O direito de obter uma cópia a que se refere o n.o 3 não prejudica os direitos e as liberdades de terceiros.»
II. Matéria de facto, tramitação do processo principal e questões prejudiciais
9. A CRIF GmbH é uma agência de consultoria empresarial que presta, a pedido dos seus clientes, informações sobre a solvabilidade de terceiros. Para esse efeito, procedeu ao tratamento dos dados pessoais do recorrente no processo principal que corre os seus termos no órgão jurisdicional de reenvio.
10. Em 20 de dezembro de 2018, o recorrente contactou a referida agência para obter, inter alia, informações sobre os seus dados pessoais tratados, em conformidade com o artigo 15.o do RGPD, pedindo, nomeadamente, a obtenção de uma cópia desses dados num formato técnico de uso corrente.
11. Na sequência deste pedido, a agência transmitiu parcialmente as informações pedidas na forma de um anexo, reproduzindo os dados armazenados em relação ao recorrente no órgão jurisdicional de reenvio, por um lado, através de um quadro estruturado em função do nome, da data de nascimento, da rua, do código postal e da localidade e, por outro lado, através de um documento relativo às funções empresariais e aos poderes de representação. Não foram transmitidos outros documentos, como mensagens de correio eletrónico ou extratos da base de dados.
12. Em 16 de janeiro de 2019, o recorrente no órgão jurisdicional de reenvio apresentou uma reclamação à Österreichische Datenschutzbehörde (autoridade de proteção de dados da Áustria) por resposta incompleta ao seu pedido, alegando designadamente que o responsável pelo tratamento lhe devia ter transmitido uma cópia de todos os documentos, incluindo mensagens de correio eletrónico e extratos da base de dados contendo os seus dados pessoais.
13. Por Decisão de 11 de setembro de 2019, a referida autoridade indeferiu a reclamação, considerando que o responsável pelo tratamento não tinha cometido nenhuma violação do direito de acesso do recorrente aos dados pessoais.
14. O órgão jurisdicional de reenvio, chamado a conhecer do recurso desta decisão, expressa dúvidas quanto ao alcance do direito do titular dos dados receber uma cópia dos dados pessoais em fase de tratamento, estabelecido no artigo 15.o, n.o 3, primeiro período, do RGPD.
15. Cabe ao referido órgão jurisdicional decidir se a transmissão dos dados pessoais do recorrente ao abrigo de um quadro e de uma lista recapitulativa constantes da resposta da agência ao pedido de informações respeitou os requisitos do artigo 15.o, n.o 3, do RGPD ou se, por força desta disposição, o recorrente tem o direito de receber uma cópia dos seus dados pessoais que são tratados não de forma isolada, mas sob a forma de cópias ou extratos de eventual correspondência e conteúdos de bases de dados ou outros.
16. Neste contexto, o órgão jurisdicional de reenvio pretende saber, em primeiro lugar, qual o sentido exato do conceito de «cópia» dos dados pessoais em fase de tratamento, referido no artigo 15.o, n.o 3, primeiro período, do RGPD.
17. Em segundo lugar, o órgão jurisdicional de reenvio pergunta se o disposto no artigo 15.o, n.o 3, do RGPD constitui uma especificação do direito geral de acesso previsto no n.o 1 do mesmo artigo, que estabelece o modo como o titular dos dados deve obter a informação relativa aos seus dados pessoais que são objeto de tratamento, ou se esta disposição, indo além do referido direito à informação previsto no artigo 15.o, n.o 1, regula um direito próprio e autónomo de receber fotocópias, fac‑símiles, impressões ou extratos eletrónicos de bases de dados ou cópias de documentos completos que incluam os dados pessoais do titular.
18. Em terceiro lugar, em caso de interpretação restritiva do artigo 15.o, n.o 3, primeiro período, do RGPD, no sentido de que o conceito de «cópia» não pressupõe a existência de um direito à transmissão de fotocópias, documentos ou extratos de bases de dados, o órgão jurisdicional de reenvio questiona‑se, no entanto, tendo em conta os diferentes tipos de dados suscetíveis de serem objeto de tratamento e o princípio da transparência consagrado no artigo 12.o, n.o 1, do RGPD, sobre a possibilidade de o responsável ter, em determinados casos, dependendo da natureza dos dados tratados, a obrigação de fornecer partes do texto ou cópias de documentos.
19. Em quarto e último lugar, o órgão jurisdicional de reenvio pergunta se o conceito de «informação», constante do artigo 15.o, n.o 3, terceiro período, do RGPD, se refere apenas aos «dados pessoais em fase de tratamento» mencionados no primeiro período desta disposição ou se vai além destes e abrange também as informações referidas no artigo 15.o, n.o 1, alíneas a) a h), do RGPD ou se vai ainda mais longe e também compreende, por exemplo, os metadados associados a dados.
20. Nestas circunstâncias, o Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:
«1) Deve o conceito de “cópia” previsto no artigo 15.o, n.o 3, do [RGPD] ser interpretado no sentido de que se refere a uma fotocópia, um fac‑símile ou uma cópia eletrónica de um dado (eletrónico), ou abrange também, em conformidade com o entendimento do conceito constante dos dicionários de alemão, francês e inglês, uma “Abschrift”, um “double” (“duplicata”) ou um “transcript”?
2) Deve o artigo 15.o, n.o 3, primeiro período, do RGPD, nos termos do qual “[o] responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento”, ser interpretado no sentido de que prevê um direito geral do titular dos dados de receber uma cópia — também — de documentos completos, nos quais sejam tratados os seus dados pessoais, ou de receber uma cópia de um extrato da base de dados quando o mesmo trate dados pessoais, ou apenas um direito do titular dos dados de receber uma reprodução [fiel] dos dados pessoais que lhe devem ser fornecidos em conformidade com o artigo 15.o, n.o 1, do RGPD?
3) No caso de a resposta à segunda questão ser no sentido de que apenas assiste ao titular dos dados um direito de receber uma reprodução [fiel] dos dados pessoais que lhe devem ser fornecidos em conformidade com o artigo 15.o, n.o 1, do RGPD, deve o artigo 15.o, n.o 3, primeiro período, do RGPD ser interpretado no sentido de que, em função da natureza dos dados tratados (por exemplo, em relação a diagnósticos, resultados de exames, avaliações dos médicos mencionados no considerando 63 [do RGPD] ou também a documentos relacionados com um exame na aceção do Acórdão [Nowak (3)] do Tribunal de Justiça da União Europeia e do princípio da transparência consagrado no artigo 12.o, n.o 1, do RGPD, pode no entanto ser necessário no caso concreto fornecer também passagens de texto ou documentos completos ao titular dos dados?
4) Deve o conceito de “informação” ao titular dos dados, que, em conformidade com o artigo 15.o, n.o 3, terceiro período, do RGPD, “é fornecida num formato eletrónico de uso corrente” quando este tenha apresentado o pedido por meios eletrónicos, “salvo pedido em contrário”, ser interpretado no sentido de que apenas se refere aos “dados pessoais em fase de tratamento” mencionados no artigo 15.o, n.o 3, primeiro período?
a. Em caso de resposta negativa à quarta questão: Deve o conceito de “informação” que, em conformidade com o artigo 15.o, n.o 3, terceiro período, do RGPD, “é fornecida num formato eletrónico de uso corrente” ao titular dos dados quando este tenha apresentado o pedido por meios eletrónicos, “salvo pedido em contrário”, ser interpretado no sentido de que, além desses dados, também inclui as informações a que se refere o artigo 15.o, n.o 1, alíneas a) a h), do RGPD?
b. Em caso de resposta negativa também à quarta questão, alínea a): Deve o conceito de “informação” que, em conformidade com o artigo 15.o, n.o 3, terceiro período, do RGPD, “é fornecida num formato eletrónico de uso corrente” ao titular dos dados quando este tenha apresentado o pedido por meios eletrónicos, “salvo pedido em contrário”, ser interpretado no sentido de que, além dos “dados pessoais em fase de tratamento” e além das informações mencionadas no artigo 15.o, n.o 1, alíneas a) a h), do RGPD, também inclui, por exemplo, os respetivos metadados?»
III. Análise jurídica
A. Quanto à primeira, à segunda e à terceira questões prejudiciais
21. Com as suas três primeiras questões que, a meu ver, devem ser apreciadas conjuntamente, o órgão jurisdicional de reenvio submete ao Tribunal de Justiça três questões destinadas a determinar o alcance do disposto no artigo 15.o, n.o 3, primeiro período, do RGPD, nos termos do qual «[o] responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento».
22. A primeira questão visa determinar o sentido exato do conceito de «cópia» constante da referida disposição. A segunda questão destina‑se a clarificar o alcance do direito que tal disposição confere ao titular dos dados. O órgão jurisdicional de reenvio interroga‑se, nomeadamente, se a disposição em causa confere também o direito de receber uma cópia dos documentos — ou extratos das bases de dados — nos quais sejam tratados os dados pessoais ou se se limita a conceder apenas o direito de receber uma reprodução fiel dos dados pessoais tratados. Neste último caso, a terceira questão visa saber se, em função da natureza dos dados tratados e por força do princípio da transparência, pode ser necessário, em alguns casos, fornecer também excertos de texto ou documentos completos.
23. Decorre do despacho de reenvio que o alcance do disposto no artigo 15.o, n.o 3, primeiro período, do RGPD é controverso, tanto na doutrina como na jurisprudência dos órgãos jurisdicionais nacionais, pelo menos da Áustria e da Alemanha (4). Resulta desse despacho que existem duas teorias a este respeito: por um lado, uma interpretação restritiva da disposição em causa, segundo a qual esta apenas especifica as modalidades do direito de acesso à informação e não inclui nenhum direito autónomo de receber documentos ou outros e, por outro, uma interpretação ampla segundo a qual, pelo contrário, a referida disposição atribui o direito de receber uma cópia dos documentos ou outros suportes nos quais sejam tratados os dados pessoais. Na aceção desta última interpretação, o direito de receber uma cópia dos documentos constituiria um direito autónomo do direito de acesso à informação garantido pelo artigo 15.o, n.o 1, do RGPD. A natureza controversa do alcance da disposição em causa é confirmada pelo facto de as partes que apresentaram observações no Tribunal de Justiça terem igualmente posições diferentes a este respeito (5).
24. Neste contexto, para responder às três primeiras questões submetidas pelo órgão jurisdicional de reenvio, é necessário proceder à interpretação do disposto no artigo 15.o, n.o 3, primeiro período, do RGPD.
25. A este respeito, há que recordar que, segundo jurisprudência constante, para interpretar uma disposição do direito da União, importa ter em conta não só os seus termos mas também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte (6).
26. Além disso, uma vez que as disposições do RGPD regulam o tratamento de dados pessoais suscetível de atentar contra as liberdades fundamentais e, especialmente, o direito à vida privada, devem necessariamente ser interpretados à luz dos direitos fundamentais garantidos pela Carta(7).
1. Análise literal
27. No que respeita, antes de mais, à redação do disposto no artigo 15.o, n.o 3, primeiro período, do RGPD, há que salientar que esta confere ao titular dos dados o direito de receber do responsável pelo tratamento «uma cópia dos dados pessoais em fase de tratamento». Do ponto de vista literal, esta redação refere‑se a três conceitos distintos, a saber: o conceito de «cópia», o de «dados pessoais» e o de «fase de tratamento».
28. Em primeiro lugar, quanto ao conceito de «cópia», cujo âmbito é especificamente visado pela primeira questão prejudicial, importa salientar que, como observado por diversos interessados que apresentaram observações ao Tribunal de Justiça, o RGPD não contém nenhuma definição específica desse conceito.
29. Neste contexto, decorre de jurisprudência constante que a determinação do significado e do alcance dos termos para os quais o direito da União não forneça nenhuma definição deve fazer‑se de acordo com o seu sentido habitual na linguagem corrente, tendo em conta o contexto em que são utilizados e os objetivos prosseguidos pela regulamentação de que fazem parte (8).
30. Do ponto de vista puramente terminológico, por «cópia» entende‑se, na linguagem corrente, a reprodução ou transcrição fiel (9). Além disso, uma análise das diferentes versões linguísticas do RGPD mostra que na maior parte das restantes línguas oficiais da União é utilizado o termo correspondente ao termo italiano «copia» como, por exemplo, «copy» em inglês, «Kopie», em alemão, «copie» em francês ou «copia» em espanhol (10).
31. Por outro lado, a disposição em questão afirma expressamente que a cópia que o responsável pelo tratamento é obrigado a fornecer ao titular dos dados é a cópia dos «dados pessoais» em fase de tratamento.
32. A este respeito, e em segundo lugar, importa referir que, ao contrário do que acontece com o termo «cópia», o RGPD contém, no artigo 4.o, n.o 1, do referido regulamento, uma definição expressa do conceito de «dados pessoais» segundo a qual a «informação relativa a uma pessoa singular identificada ou identificável» constitui dado pessoal.
33. O alcance do conceito de «dados pessoais» que resulta desta definição é muito amplo. Com efeito, conforme resulta da jurisprudência do Tribunal de Justiça, o emprego da expressão «qualquer informação» no âmbito desta definição reflete o objetivo do legislador da União de atribuir um sentido amplo a esse conceito (11).
34. Decorre também da jurisprudência que o conceito de dados pessoais não está limitado às informações sensíveis ou de ordem privada, mas engloba potencialmente qualquer tipo de informações, tanto objetivas como subjetivas, sob forma de opiniões ou de apreciações, na condição de «dizerem respeito» à pessoa em causa. Quanto a esta última condição, encontra‑se preenchida quando, devido ao seu conteúdo, à sua finalidade ou ao seu efeito, a informação estiver relacionada com uma determinada pessoa (12).
35. Além disso, revela‑se necessária uma aceção ampla do conceito de dados pessoais, dada a variedade de tipos e formas que as informações relativas a uma pessoa podem revestir e que são suscetíveis de merecer proteção, bem como à luz da variedade de suportes nos quais tais informações podem estar contidas.
36. A análise da jurisprudência mostra que o Tribunal de Justiça considerou estarem abrangidos pelo conceito de «dados pessoais» na aceção do artigo 4.o, n.o 1, do RGPD, diversos tipos de informações relativamente a uma pessoa singular identificada ou identificável. Além do que a Comissão definiu nas suas observações como «dados habituais», ou seja, indicações relativas à identidade das pessoas, tais como nome próprio e apelido (13), data de nascimento, nacionalidade, sexo, etnia, religião e língua falada por uma pessoa identificável através do seu nome (14), o Tribunal de Justiça considerou que o conceito de dados pessoais abrange outro tipo de informações, como, por exemplo, as informações relativas a um veículo automóvel posto à venda, bem como o número de telefone do vendedor desse veículo automóvel (15), os dados constantes de um registo de tempos de trabalho relativos, para cada trabalhador, aos períodos de trabalho diário e aos períodos de descanso (16), a imagem de uma pessoa gravada por uma câmara, na medida em que permite identificar a pessoa em causa (17), as respostas escritas dadas por um candidato num exame profissional e as respetivas anotações do examinador (18) ou mesmo as informações relativas aos pontos de penalização, que dizem respeito a uma pessoa singular identificada (19).
37. O sentido amplo do conceito de dados pessoais, decorrente da definição do artigo 4.o, n.o 1, do RGPD, reconhecido pela jurisprudência e associado ao objetivo prosseguido pelo RGPD de assegurar um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais (20), implica que este conceito e, por conseguinte, o direito de acesso a esses dados e de receber uma cópia dos mesmos, não esteja limitado exclusivamente aos dados eventualmente adquiridos, conservados e tratados por um responsável pelo tratamento, devendo também incluir outros dados que possam ter sido gerados por este em resultado do tratamento, se tais dados forem igualmente objeto de tratamento.
38. Assim, se na sequência do tratamento de vários dados pessoais, forem geradas novas informações, resultantes desse tratamento, relativas a uma pessoa identificada ou identificável e que possam ser qualificadas de dados pessoais na aceção do artigo 4.o, n.o 1, do RGPD, o direito de acesso aos dados pessoais e de receber uma cópia dos mesmos, previsto no artigo 15.o, respetivamente, n.os 1 e 3, primeiro período, do RGPD deverá, na minha opinião, incluir igualmente esses dados gerados, caso sejam também objeto de tratamento. Com efeito, o direito de acesso aos dados e de receber uma cópia inclui todos os dados pessoais do titular dos dados em fase de tratamento.
39. Tais considerações são pertinentes num processo como o pendente no órgão jurisdicional de reenvio em que, com base em dados recolhidos a partir de diversas fontes, a agência de consultoria empresarial parece ter feito uma recomendação a respeito da solvência e da intenção de pagar do titular dos dados, de acordo com a probabilidade estatística relacionada a um conjunto de parâmetros. Tal recomendação constitui, a meu ver, uma informação relativa a uma pessoa identificada, a qual é assim abrangida pelo amplo sentido de «dados pessoais» na aceção do artigo 4.o, n.o 1, do RGPD e, portanto, também pelo âmbito do direito de acesso previsto no artigo 15.o, n.os 1 e 3, primeiro período, do RGPD (21).
40. No que diz respeito, em terceiro lugar, ao conceito de «fase de tratamento» constante do artigo 15.o, n.o 3, primeiro período, do RGPD, importa referir que também a noção de «tratamento» está expressamente definida no artigo 4.o, n.o 2, do RGPD.
41. Nos termos desta disposição, a recolha, a consulta, a divulgação por transmissão ou qualquer outra forma de disponibilização de dados pessoais constituem «tratamento», na aceção do referido regulamento. Segundo a jurisprudência, resulta da redação da disposição, nomeadamente da expressão «uma operação», que o legislador da União pretendeu dar também ao conceito de «tratamento» um alcance amplo. Esta interpretação é corroborada pelo caráter não exaustivo, expresso pela locução «tais como», das operações mencionadas na referida disposição (22).
42. Neste contexto, decorre do alcance amplo do conceito de tratamento que o artigo 15.o, n.o 3, primeiro período confere ao titular dos dados o direito de receber uma cópia dos seus dados pessoais que sejam objeto de qualquer operação suscetível de ser qualificada de «tratamento». Todavia, como será exposto com maior profundidade no n.o 52, infra, esta disposição não confere, enquanto tal, o direito de obter informações específicas sobre o próprio tratamento de dados pessoais, além das previstas no artigo 15.o, n.o 1, do RGPD.
43. Em conclusão, resulta da análise literal do artigo 15.o, n.o 3, primeiro período do RGPD, que esta disposição confere ao titular dos dados o direito de receber uma cópia dos seus dados pessoais, entendidos em sentido lato, que sejam objeto de operações suscetíveis de serem qualificadas como tratamento pelo seu responsável.
44. Tal análise literal permite concluir que a «cópia dos dados pessoais» deve ser uma reprodução fiel dos mesmos. Contudo, a variedade de tipos de dados que podem ser objeto de tratamento faz com que, dependendo do tipo de dados tratados e do tipo de tratamento, uma cópia desses dados possa assumir diferentes formatos, como o formato impresso em suporte papel, a gravação de áudio ou vídeo, o formato eletrónico ou outros formatos. O que importa é que a cópia desses dados seja fiel e permita que o titular dos dados tenha pleno conhecimento de todos os dados em fase de tratamento. Uma eventual compilação dos dados pessoais tratados deve reproduzir fielmente e de forma compreensível esses dados e não deve de modo algum influenciar o conteúdo dos dados a serem fornecidos. A escolha por parte do responsável pelo tratamento de fornecer, sempre que possível, uma compilação dos dados pessoais em fase de tratamento não pode, portanto, justificar que alguns dados sejam omitidos ou fornecidos de forma incompleta ou não reflitam a realidade do tratamento.
45. Além disso, a disposição em causa garante ao titular o direito de receber uma cópia de todos os seus dados pessoais em fase de tratamento e, portanto, não apenas dos dados recolhidos, mas também de eventuais dados pessoais gerados pelo responsável pelo tratamento e que são objeto de tratamento. Todavia, visto que esta disposição se refere exclusivamente à cópia dos dados pessoais, por um lado, não pode servir de base a um direito de acesso à informação que não possa ser qualificada como tal e, por outro, não atribui — necessariamente — um direito de receber cópias de documentos ou outros suportes que contenham dados pessoais.
46. Tais considerações devem ainda ser complementadas por uma análise do contexto em que se insere esta disposição, bem como dos objetivos prosseguidos pelo direito de acesso à informação consagrado no artigo 15.o do RGPD.
2. Análise contextual e teleológica
47. No que se refere ao contexto em que se insere a disposição em causa, há que salientar, primeiramente, que esta consta do artigo 15.o do RGPD, que regula o direito do titular dos dados, perante o responsável pelo tratamento, de aceder aos dados pessoais que lhe digam respeito e que sejam objeto de tratamento. Esta disposição concretiza e especifica no RGPD o direito de todas as pessoas de aceder aos dados que lhe digam respeito, consagrado no artigo 8.o, n.o 2, segundo período, da Carta dos Direitos Fundamentais da União Europeia (23).
48. Quanto à estrutura do artigo 15.o do RGPD, o seu n.o 1 prevê o direito do titular dos dados de obter do responsável pelo tratamento a confirmação de que os seus dados pessoais são objeto de tratamento e, se for esse o caso, o direito de aceder a esses dados e às informações constantes das alíneas a) a h). Esta disposição concretiza assim o direito de acesso aos dados pessoais e às informações conexas, definindo o objeto preciso do direito de acesso e o seu âmbito de aplicação.
49. Por outro lado, o artigo 15.o, n.o 3, do RGPD especifica as modalidades de exercício deste direito, nomeadamente a forma como os dados pessoais devem ser fornecidos pelo responsável pelo tratamento ao titular dos dados, ou seja, sob a forma de cópia e, portanto, de uma reprodução fiel dos dados.
50. Decorre da estrutura que acabo de enunciar do artigo 15.o do RGPD, bem como da exigência de que o disposto nos n.os 1 e 3 desse artigo seja interpretado de forma coerente, que o n.o 3 não define — nem pode, portanto, alterar ou alargar — o objeto e o âmbito de aplicação do direito de acesso concretizado pelo disposto no n.o 1. O referido n.o 3 não pode, portanto, alargar o alcance da obrigação que recai sobre o responsável pelo tratamento de facultar o acesso à informação. A estrutura do artigo em questão confirma, assim, que o disposto no n.o 3 não pode servir de base a um eventual direito autónomo do titular dos dados de obter informações que vão além das indicadas no n.o 1 da referida disposição.
51. A este respeito, subscrevo a tese defendida pela autoridade de proteção de dados da Áustria segundo a qual uma interpretação do artigo 15.o, n.o 3, primeiro período, do RGPD no sentido de que esta disposição permite alargar o âmbito das informações a que o titular dos dados tem acesso, além das relativas aos seus dados pessoais, seria contrária ao artigo 8.o, n.o 2, da Carta.
52. A análise precedente, por um lado, confirma a consideração feita no n.o 44, supra, segundo a qual o disposto no artigo 15.o, n.o 3, primeiro período, do RGPD não confere um direito autónomo de receber cópias de documentos ou outros suportes que contenham dados pessoais. Por outro lado, também confirma a análise anteriormente efetuada no n.o 42, segundo a qual a referida disposição não confere ao titular dos dados o direito de obter informações, além das previstas no artigo 15.o, n.o 1, do RGPD (24), no que diz respeito ao tratamento propriamente dito dos dados pessoais como, por exemplo, informação relativa aos critérios, modelos, regras ou procedimentos internos (calculados ou não) utilizados para o tratamento de dados pessoais. Além disso, essas informações são frequentemente abrangidas por direitos de propriedade intelectual, que devem ser protegidos neste contexto, conforme expressamente declarado no considerando 63, quinto período. Contudo, conforme resulta do considerando 60 do RGPD, tal não invalida a obrigação do responsável pelo tratamento de fornecer ao titular as informações adicionais necessárias para assegurar um tratamento equitativo e transparente, tendo em conta as circunstâncias e o contexto específicos em que os dados pessoais forem tratados. Cumpre igualmente recordar que existem regras específicas relativas aos processos de decisão automatizados, incluindo a definição de perfis (25).
53. Ainda do ponto de vista contextual, há que interpretar o disposto no artigo 15.o, n.o 3, primeiro período, do RGPD à luz das outras disposições pertinentes do RGPD. Além das definições constantes do artigo 4.o, n.os 1 e 2, do RGPD que foram analisadas nos n.os 32 a 41, supra, é especialmente relevante o artigo 12.o, n.o 1, do RGPD, ao qual o órgão jurisdicional de reenvio faz referência na sua terceira questão prejudicial.
54. Decorre desta disposição que o responsável pelo tratamento é obrigado a tomar as medidas adequadas para fornecer ao titular as informações a que se refere, nomeadamente, o artigo 15.o do RGPD, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, sendo que as informações devem ser prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos, a menos que o interessado solicite que a informação seja prestada oralmente.
55. O objetivo desta disposição, que é uma expressão do princípio da transparência (26), é assegurar que o titular dos dados tem plena compreensão das informações que lhe são transmitidas. Com efeito, a plena inteligibilidade da referida informação é, por um lado, necessária para que o exercício dos direitos de acesso garantidos pelo artigo 15.o do RGPD seja eficaz e, por outro, constitui a condição prévia para o exercício integral dos outros direitos garantidos ao titular pelo RGPD, referidos nos n.os 64 e 65 das presentes conclusões, e subsequentemente ao exercício do direito de acesso à informação (27). Além disso, decorre do considerando 63 do RGPD que o titular de dados deve ter o direito de exercer com facilidade o direito de acesso aos seus dados pessoais.
56. A necessidade de inteligibilidade da comunicação dos dados que permita ao titular ter pleno conhecimento dos mesmos e verificar a sua exatidão e a conformidade do tratamento com o direito da União para efeitos do exercício dos direitos conferidos, aliás, já foi destacada pelo Tribunal de Justiça na sua jurisprudência relativa à Diretiva 95/46 (28).
57. Esta exigência de inteligibilidade dos dados e das informações constantes das alíneas a) a h) do artigo 15.o, n.o 1, do RGPD implica que não esteja excluída a possibilidade de, em alguns casos, ser necessário, para assegurar que o titular tem plena compreensão das informações que lhe são transmitidas, o fornecimento de excertos de documentos ou mesmo documentos completos ou extratos de bases de dados. A análise relativa à necessidade de fornecimento de documentos ou extratos para assegurar a inteligibilidade das informações transmitidas deve, no entanto, ser inevitavelmente efetuada caso a caso consoante o tipo de dados objeto do pedido e do pedido em si.
58. A este respeito, importa, todavia, ressaltar que a eventual comunicação de documentos ou extratos dos mesmos não constituirá o exercício de um direito autónomo, no que diz respeito ao direito de acesso, garantido pelo artigo 15.o, n.o 3, primeiro período, do RGPD, mas apenas uma forma de transmissão da cópia dos dados pessoais destinada a garantir a sua total inteligibilidade. A este respeito, observo que, conforme assinalado por alguns dos interessados que apresentaram observações no Tribunal de Justiça, em certos casos, para ter uma plena compreensão dos dados pessoais em causa, é necessário conhecer o contexto em que esses dados são tratados. Esta consideração, no entanto, não é de molde a atribuir ao titular, com base na disposição em causa, um direito geral de acesso a cópias de documentos ou extratos de bases de dados.
59. Além disso, o direito de receber uma cópia dos dados pessoais encontra um limite na exigência, expressamente prevista no artigo 15.o, n.o 4, do RGPD, de não «prejudicar os direitos e as liberdades de terceiros». Resulta desta disposição que a necessidade de assegurar ao titular dos dados o acesso pleno e completo aos seus dados pessoais mediante o fornecimento de uma cópia dos mesmos não pode ir até ao ponto de permitir a violação dos direitos e liberdades de terceiros.
60. A este respeito, verifico que o referido n.o 4 está redigido de forma muito geral e deixa aberta a lista de direitos e liberdades de «terceiros» que podem ponderar o exercício do direito de acesso pleno através da receção de uma cópia dos dados pessoais. No entanto, há que considerar que esses direitos certamente incluem, como resulta expressamente do considerando 63 do GDPR, «o segredo comercial ou a propriedade intelectual e, particularmente, o direito de autor que protege o software», bem como o direito à proteção de dados pessoais de terceiros, como no caso em que um suporte que contenha os dados pessoais do titular também conter dados pessoais de terceiros.
61. Em caso de conflito entre o exercício do direito de acesso pleno e completo aos dados pessoais, por um lado, e os direitos ou liberdades de terceiros, por outro, será necessário encontrar um equilíbrio entre os direitos em questão. Sempre que possível, será necessário optar por formas de comunicação de dados pessoais que não violem os direitos ou as liberdades de terceiros, tendo em conta que, como referido no considerando 63 do DPO, tais considerações, no entanto, não devem «resultar na recusa de prestação de todas as informações ao titular dos dados».
62. Também de um ponto de vista contextual, importa observar que uma interpretação do artigo 15.o, n.o 3, primeiro período, do RGPD segundo a qual esta disposição não confere um direito geral de acesso a cópias de documentos ou extratos de bases de dados, a menos que tal seja necessário para assegurar a inteligibilidade dos dados e das informações prestadas, é igualmente confirmada pelo facto de o direito de acesso aos documentos, nomeadamente aos documentos administrativos, ser expressamente regido por outros atos da União (29) ou nacionais que prosseguem objetivos diferentes dos que garantem a proteção dos dados pessoais (30).
63. A interpretação do artigo 15.o, n.o 3, primeiro período, do RGPD referida no número anterior é assim confirmada pela análise da finalidade desta disposição no contexto do direito de acesso do titular dos dados garantido pelo artigo 15.o do RGPD.
64. Conforme resulta do considerando 63 do RGPD, e especialmente do seu primeiro período, o direito de acesso aos dados pessoais e outras informações referidas no n.o 1, alíneas a) a h), do artigo 15.o do RGPD tem como objetivo, acima de tudo, permitir ao titular tomar conhecimento do tratamento dos seus dados e verificar a sua licitude (31).
65. Este direito de acesso é necessário, como o Tribunal de Justiça já salientou, para que o titular dos dados possa exercer vários outros direitos conferidos pelo RGPD, entre os quais o direito de retificação, o direito ao apagamento dos dados («direito a ser esquecido») e o direito à limitação do tratamento, conferidos respetivamente pelos artigos 16.o, 17.o e 18.o do RGPD (32). O Tribunal de Justiça esclareceu ainda que o direito de acesso é também necessário para que o titular dos dados possa exercer o direito de se opor ao tratamento dos seus dados pessoais nos termos do artigo 21.o do RGPD ou o direito de recurso quando sofra um prejuízo, bem como o direito de obter a reparação dos danos, nos termos dos artigos 79.o e 82.o do RGPD (33).
66. É no contexto dos objetivos do direito de acesso aos próprios dados pessoais e a outras informações que se deve entender a lógica subjacente à norma que confere o direito de receber uma cópia dos dados pessoais. Destina‑se a prever expressamente a forma mediante a qual é garantido ao titular o exercício efetivo deste direito de modo que lhe permita apurar a regularidade e a legalidade do tratamento para efeitos, se necessário, do exercício dos outros direitos mencionados no n.o 65, supra. O objetivo é assegurar que os dados pessoais sejam fornecidos ao titular da forma mais precisa e compreensível possível para permitir que este exerça tais direitos, ou seja, na forma de cópia, portanto de reprodução fiel, dos próprios dados.
67. Nesta perspetiva, a divulgação de uma cópia do documento que contenha tais dados ou do extrato de uma base de dados nem sempre se afigura indispensável à realização do objetivo prosseguido pelo legislador.
68. Apenas quando a divulgação de uma cópia desta natureza se revele indispensável para garantir a plena inteligibilidade dos dados pessoais que são objeto de tratamento é que o titular poderá, dentro dos limites indicados nos números 58 a 61, supra, receber excertos de documentos ou, eventualmente, documentos completos ou extratos de bases de dados.
69. Neste contexto, acrescento ainda que, ao prever, contrariamente ao disposto na Diretiva 95/46, um direito real de obtenção de cópia dos dados, o RGPD pretende reforçar a posição do titular dos dados (34). Com efeito, trata‑se de uma diferença significativa face ao regime anterior que se limitava a prever a simples «comunicação, sob forma inteligível, dos dados sujeitos a tratamento» no artigo 12.o, alínea a), segundo travessão da referida diretiva, deixando assim aos Estados‑Membros a competência para determinar a forma material concreta que a comunicação dos dados pessoais devia assumir para que fosse inteligível (35). A exigência de que os responsáveis pelo tratamento forneçam uma «cópia» dos dados, atualmente prevista no artigo 15.o, n.o 3, primeiro período, do RGPD, determina de forma imperativa a forma que esta comunicação deve revestir, ou seja, a forma de «cópia» de dados.
3. Conclusão quanto às três primeiras questões prejudiciais
70. À luz de todas as considerações anteriores, há que responder às três primeiras questões submetidas pelo órgão jurisdicional de reenvio que o artigo 15.o, n.o 3, primeiro período, do RGPD deve ser interpretado no sentido de que:
– o conceito de «cópia» constante desta disposição deve ser entendido como uma reprodução fiel sob forma inteligível dos dados pessoais pedidos pelo respetivo titular, num formato concreto e permanente, que permita à pessoa em causa o efetivo exercício do direito de aceder aos seus dados pessoais, tendo pleno conhecimento de todos os seus dados pessoais em fase de tratamento — incluindo os eventuais dados adicionais gerados na sequência do tratamento, se estes também forem objeto de tratamento —, de forma que possa verificar a sua exatidão, bem como a regularidade e a licitude do tratamento, para que esteja em condições, se for caso disso, de exercer os direitos adicionais que lhe são conferidos pelo RGPD; a forma exata da cópia é determinada com base nas especificidades de cada caso e, nomeadamente, no tipo de dados pessoais cujo acesso se pede e nas necessidades do titular dos dados;
– esta disposição não confere ao titular dos dados o direito geral de receber uma cópia parcial ou completa do documento que contém os seus dados pessoais ou, se os dados pessoais forem tratados numa base de dados, um extrato dessa base de dados;
– esta disposição não exclui, no entanto, que excertos de documentos, ou documentos completos ou extratos de bases de dados, possam ter de ser fornecidos ao titular se tal for necessário para assegurar a plena inteligibilidade dos dados pessoais objeto de tratamento cujo acesso é pedido.
B. Quanto à quarta questão prejudicial
71. Com a sua quarta questão, o órgão jurisdicional de reenvio pergunta ao Tribunal de Justiça se o conceito de «informação» constante do artigo 15.o, n.o 3, terceiro período, do RGPD incide apenas sobre os «dados pessoais em fase de tratamento» referidos no primeiro período do mesmo número ou se, além destes, inclui também as informações referidas nas alíneas a) a h) do n.o 1 do artigo 15.o [questão 4, alínea a)] ou ainda outras informações como, por exemplo, metadados associados a dados [questão 4, alínea b)].
72. Para responder a esta questão, é necessário interpretar o conceito de «informação» constante do artigo 15.o, n.o 3, terceiro período, do RGPD, aplicando a metodologia resultante da jurisprudência referida no n.o 25, supra.
73. Nesta perspetiva, de um ponto de vista literal, o termo «informação» afigura‑se demasiado geral para poder esclarecer se se refere exclusivamente aos dados pessoais referidos no artigo 15.o, n.o 3, primeiro período, do RGPD ou se inclui outro tipo de informação.
74. De um ponto de vista contextual, no entanto, importa salientar que o referido terceiro período se insere no n.o 3 do artigo 15.o do RGPD, que diz respeito à obrigação de o responsável pelo tratamento fornecer, a pedido do titular dos dados, uma «cópia dos dados pessoais em fase de tratamento». A estrutura do n.o 3 leva‑nos, pois, a crer que o termo «informação» se refere às informações objeto do pedido que deve ser atendido nos termos do primeiro período do mesmo número e, portanto, ao pedido de receção de uma cópia dos dados pessoais em fase de tratamento.
75. Esta interpretação também parece estar em conformidade com o objetivo do próprio n.o 3 que, conforme resulta dos n.os 61 e seguintes, e especialmente do n.o 69, supra, visa determinar a forma que a comunicação dos dados pessoais em fase de tratamento deve revestir, a saber, a forma de uma «cópia» dos dados. Nessa perspetiva, o terceiro período do mesmo número visa regular o caso específico em que o pedido de obtenção de cópia desses dados é efetuado por meios eletrónicos.
76. Posto isto, importa ainda salientar, a meu ver, que a obrigação de transparência decorrente do artigo 12.o, n.o 1, do RGPD referido nos n.os 54 e 55, supra, que tem por objetivo assegurar que o titular dos dados está em condições de compreender plenamente as informações que lhe são transmitidas, nomeadamente, nos termos do artigo 15.o do RGPD, considerado no seu conjunto, pressupõe que, sempre que um pedido de informação ao abrigo do artigo 15.o, n.o 1, do RGPD seja apresentado por meios eletrónicos, as informações referidas nas alíneas a) a h) devam ser também prestadas num formato eletrónico de uso corrente que permita ao titular ter conhecimento pleno, de forma facilitada e sem dificuldades. Caso o formato eletrónico que contém essas informações não seja de uso corrente, tal pode, efetivamente, tornar o conhecimento de tais informações extremamente difícil ou oneroso, violando a mencionada obrigação de transparência.
77. Por fim, no que respeita especificamente à questão da alínea b), resulta do facto de o artigo 15.o, n.o 3, terceiro período, do RGPD fazer referência ao «pedido» do titular dos dados que o conceito de «informação» constante desta disposição não pode ir além do que é precisamente o objeto deste pedido, a saber, a cópia dos dados pessoais em fase de tratamento. Conclui‑se, assim, que o termo «informação» constante desta disposição incide exclusivamente sobre esses dados, não podendo incluir outras informações que não estas ou informações adicionais relativamente às informações referidas no artigo 15.o, n.o 1, alíneas a) a h) do RGPD. Com efeito, se assim não fosse, o alcance do direito de acesso à informação seria alargado, o que — como aliás já se referiu nos n.os 48 a 51, supra — não encontra fundamento no RGPD.
78. Resulta de todo o exposto que, na minha opinião, há que responder à quarta questão do órgão jurisdicional de reenvio da seguinte forma: o conceito de «informação» constante do artigo 15.o, n.o 3, terceiro período, do RGPD deve ser interpretado no sentido de que se refere exclusivamente à «cópia dos dados pessoais em fase de tratamento», conforme consta do primeiro período do mesmo número.
IV. Conclusão
79. À luz de todas as considerações precedentes, proponho que o Tribunal de Justiça responda às questões prejudiciais do Bunsdesverwaltungsgericht (Tribunal Administrativo Federal, Áustria) da seguinte forma:
O artigo 15.o, n.o 3, primeiro período, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral de Proteção de Dados)
deve ser interpretado no sentido de que:
o conceito de «cópia» constante desta disposição deve ser entendido como uma reprodução fiel, em forma inteligível, dos dados pessoais pedidos pelo respetivo titular, num formato concreto e permanente, que permita à pessoa em causa o efetivo exercício do direito de aceder aos seus dados pessoais, tendo pleno conhecimento de todos os seus dados pessoais em fase de tratamento — incluindo os eventuais dados adicionais gerados na sequência do tratamento, se estes também forem objeto de tratamento —, de forma que possa verificar a sua exatidão, bem como a regularidade e a licitude do tratamento, para que esteja em condições, se for caso disso, de exercer os direitos adicionais que lhe são conferidos pelo RGPD; a forma exata da cópia é determinada com base nas especificidades de cada caso e, nomeadamente, no tipo de dados pessoais cujo acesso se pede e nas necessidades do titular dos dados;
tal disposição não confere ao titular dos dados o direito geral de receber uma cópia parcial ou completa do documento que contém os seus dados pessoais ou, se os dados pessoais forem tratados numa base de dados, um extrato dessa base de dados;
tal disposição não exclui, no entanto, que excertos de documentos, ou documentos completos ou extratos de bases de dados, possam ter de ser fornecidos ao titular se tal for necessário para assegurar a plena inteligibilidade dos dados pessoais objeto de tratamento cujo acesso é pedido.
O conceito de «informação» constante do artigo 15.o, n.o 3, terceiro período, do Regulamento 2016/679
deve ser interpretado no sentido de que:
se refere exclusivamente à «cópia dos dados pessoais em fase de tratamento», conforme consta do primeiro período do mesmo número.