ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Primeira Secção)
4 de maio de 2023 (*)
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Direito de acesso do titular dos dados aos seus dados em fase de tratamento — Artigo 15.o, n.o 3 — Fornecimento de uma cópia dos dados — Conceito de “cópia” — Conceito de “informações”»
No processo C‑487/21,
que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.o TFUE, pelo Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria), por Decisão de 9 de agosto de 2021, que deu entrada no Tribunal de Justiça em 9 de agosto de 2021, no processo
F.F.
contra
Österreichische Datenschutzbehörde,
sendo interveniente:
CRIF GmbH,
O TRIBUNAL DE JUSTIÇA (Primeira Secção),
composto por: A. Arabadjiev, presidente de secção, P. G. Xuereb, T. von Danwitz, A. Kumin e I. Ziemele (relatora), juízes,
advogado‑geral: G. Pitruzzella,
secretário: A. Calot Escobar,
vistos os autos,
vistas as observações apresentadas:
– em representação de F.F., por M. Schrems,
– em representação da Österreichische Datenschutzbehörde, por A. Jelinek e M. Schmidl, na qualidade de agentes,
– em representação da CRIF GmbH, por L. Feiler e M. Raschhofer, Rechtsanwälte,
– em representação do Governo austríaco, por G. Kunnert, A. Posch e J. Schmoll, na qualidade de agentes,
– em representação do Governo checo, por O. Serdula, M. Smolek e J. Vláčil, na qualidade de agentes,
– em representação do Governo italiano, por G. Palmieri, na qualidade de agente, assistida por M. Russo, avvocato dello Stato,
– em representação da Comissão Europeia, por A. Bouchagiar, M. Heller e H. Kranenborg, na qualidade de agentes,
ouvidas as conclusões do advogado‑geral na audiência de 15 de dezembro de 2022,
profere o presente
Acórdão
1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 15.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1) (a seguir «RGPD»).
2 Este pedido foi apresentado no âmbito de um litígio que opõe F.F. à Österreichische Datenschutzbehörde (autoridade de proteção de dados da Áustria) (a seguir «DSB»), a propósito da recusa desta última de impor à CRIF GmbH a obrigação de transmitir a F.F. uma cópia de documentos e extratos de bases de dados contendo, nomeadamente, os seus dados pessoais em fase de tratamento.
Quadro jurídico
3 Os considerandos 10, 11, 26, 58, 60 e 63 do RGPD têm a seguinte redação:
«(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais […].
(11) A proteção eficaz dos dados pessoais na União exige o reforço e a especificação dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados pessoais […].
[…]
(26) Os princípios da proteção de dados deverão aplicar‑se a qualquer informação relativa a uma pessoa singular identificada ou identificável […] Para determinar se uma pessoa singular é identificável, importa considerar todos os meios suscetíveis de ser razoavelmente utilizados, tais como a seleção, quer pelo responsável pelo tratamento quer por outra pessoa, para identificar direta ou indiretamente a pessoa singular […]
[…]
(58) O princípio da transparência exige que qualquer informação dirigida ao público ou ao titular dos dados seja concisa, facilmente acessível e de fácil compreensão e formulada em linguagem clara e simples […]
[…]
(60) Os princípios do tratamento leal e transparente exigem que o titular dos dados seja informado da operação de tratamento de dados e das suas finalidades. O responsável pelo tratamento deverá fornecer ao titular as informações adicionais necessárias para assegurar um tratamento equitativo e transparente tendo em conta as circunstâncias e o contexto específicos em que os dados pessoais forem tratados. […]
[…]
(63) Os titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de conhecer e verificar a tomar conhecimento do tratamento e verificar a sua licitude. […] Por conseguinte, cada titular de dados deverá ter o direito de conhecer e ser informado, nomeadamente, das finalidades para as quais os dados pessoais são tratados, quando possível do período durante o qual os dados são tratados, da identidade dos destinatários dos dados pessoais, da lógica subjacente ao eventual tratamento automático dos dados pessoais e, pelo menos quando tiver por base a definição de perfis, das suas consequências. Quando possível, o responsável pelo tratamento deverá poder facultar o acesso a um sistema seguro por via eletrónica que possibilite ao titular aceder diretamente aos seus dados pessoais. Esse direito não deverá prejudicar os direitos ou as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual e, particularmente, o direito de autor que protege o software. […]»
4 O artigo 4.o deste regulamento estabelece:
«Para efeitos do presente regulamento, entende‑se por:
1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável […]; é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados […];
[…]»
5 O artigo 12.o do referido regulamento, sob a epígrafe «Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados», prevê:
«1. O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.o e 14.o e qualquer comunicação prevista nos artigos 15.o a 22.o e 34.o a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios.
[…]
3. O responsável pelo tratamento fornece ao titular as informações sobre as medidas tomadas, mediante pedido apresentado nos termos dos artigos 15.o a 20.o, sem demora injustificada e no prazo de um mês a contar da data de receção do pedido. […] Se o titular dos dados apresentar o pedido por meios eletrónicos, a informação é, sempre que possível, fornecida por meios eletrónicos, salvo pedido em contrário do titular.
[…]»
6 Nos termos do artigo 15.o do RGPD, sob a epígrafe «Direito de acesso do titular dos dados»:
«1. O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:
a) As finalidades do tratamento dos dados;
b) As categorias dos dados pessoais em questão;
c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;
d) Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;
e) A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;
f) O direito de apresentar reclamação a uma autoridade de controlo;
g) Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;
h) A existência de decisões automatizadas, incluindo a definição de perfis, referida no artigo 22.o, n.os 1 e 4, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
2. Quando os dados pessoais forem transferidos para um país terceiro ou uma organização internacional, o titular dos dados tem o direito de ser informado das garantias adequadas, nos termos do artigo 46.o relativo à transferência de dados.
3. O responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento. Para fornecer outras cópias solicitadas pelo titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos. Se o titular dos dados apresentar o pedido por meios eletrónicos, e salvo pedido em contrário do titular dos dados, a informação é fornecida num formato eletrónico de uso corrente.
4. O direito de obter uma cópia a que se refere o n.o 3 não prejudica os direitos e as liberdades de terceiros.»
7 O artigo 16.o deste regulamento, sob a epígrafe «Direito de retificação», dispõe:
«O titular tem o direito de obter, sem demora injustificada, do responsável pelo tratamento a retificação dos dados pessoais inexatos que lhe digam respeito. Tendo em conta as finalidades do tratamento, o titular dos dados tem direito a que os seus dados pessoais incompletos sejam completados, incluindo por meio de uma declaração adicional.»
8 O artigo 17.o do referido regulamento, sob a epígrafe «Direito ao apagamento dos dados (“direito a ser esquecido”)», enuncia, no seu n.o 1:
«O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada […]
[…]»
Litígio no processo principal e questões prejudiciais
9 A CRIF é uma agência de consultoria empresarial que presta, a pedido dos seus clientes, informações sobre a solvabilidade de terceiros. Para esse efeito, procedeu ao tratamento dos dados pessoais do recorrente no processo principal.
10 Em 20 de dezembro de 2018, este último pediu à CRIF, com base no artigo 15.o do RGPD, para ter acesso aos seus dados pessoais. Além disso, solicitou que lhe fosse fornecida uma cópia de documentos, em especial, mensagens de correio eletrónico e extratos de bases de dados contendo, nomeadamente, os seus dados, «num formato técnico de uso corrente».
11 Em resposta a este pedido, a CRIF transmitiu ao recorrente no processo principal, de forma sintética, a lista dos seus dados pessoais em fase de tratamento.
12 Considerando que a CRIF lhe devia ter transmitido uma cópia de todos os documentos que contêm os seus dados, como mensagens de correio eletrónico e extratos de bases de dados, o recorrente no processo principal apresentou uma reclamação à DSB.
13 Por Decisão de 11 de setembro de 2019, a DSB indeferiu essa reclamação, considerando que a CRIF não tinha cometido nenhuma violação do direito de acesso aos dados pessoais do recorrente no processo principal.
14 O órgão jurisdicional de reenvio, chamado a pronunciar‑se sobre o recurso interposto dessa decisão pelo recorrente no processo principal, interroga‑se sobre o alcance do artigo 15.o, n.o 3, primeiro período, do RGPD. Questiona, especialmente, se a obrigação prevista nesta disposição de fornecimento de uma «cópia» dos dados pessoais é cumprida quando o responsável pelo tratamento transmite os dados pessoais sob a forma de um quadro sintético ou se essa obrigação implica igualmente a transmissão dos extratos de documentos ou mesmo dos documentos completos, bem como dos extratos de bases de dados, nos quais esses dados são reproduzidos.
15 Mais precisamente, esse órgão jurisdicional coloca a questão de saber se o artigo 15.o, n.o 3, primeiro período, do RGPD se limita a definir a forma como o direito de acesso às informações referidas no artigo 15.o, n.o 1, deste regulamento, deve ser garantido, ou se esta primeira disposição consagra um direito autónomo do titular dos dados ao acesso às informações relativas ao contexto em que os dados desse titular são tratados, sob a forma de cópia de extratos de documentos ou de documentos completos ou de extratos de bases de dados que contenham, nomeadamente, esses dados.
16 O órgão jurisdicional de reenvio questiona, além disso, se o conceito de «informação» que figura no artigo 15.o, n.o 3, terceiro período, do RGPD abrange igualmente as informações referidas no artigo 15.o, n.o 1, alíneas a) a h), deste regulamento, ou mesmo informações adicionais como os metadados relacionados com os dados, ou se inclui apenas os «dados pessoais em fase de tratamento» referidos no artigo 15.o, n.o 3, primeiro período, desse regulamento.
17 Neste contexto, o Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:
«1) Deve o conceito de “cópia” previsto no artigo 15.o, n.o 3, do [RGPD] ser interpretado no sentido de que se refere a uma fotocópia, um fac‑símile ou uma cópia eletrónica de um dado (eletrónico), ou abrange também, em conformidade com o entendimento do conceito constante dos dicionários de alemão, francês e inglês, uma “Abschrift”, um “double” (“duplicata”) ou um “transcript”?
2) Deve o artigo 15.o, n.o 3, primeiro período, do RGPD, nos termos do qual “[o] responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento”, ser interpretado no sentido de que prevê um direito geral do titular dos dados de receber uma cópia — também — de documentos completos, nos quais sejam tratados os seus dados pessoais, ou de receber uma cópia de um extrato da base de dados quando o mesmo trate dados pessoais, ou apenas um direito do titular dos dados de receber uma reprodução [fiel] dos dados pessoais que lhe devem ser fornecidos em conformidade com o artigo 15.o, n.o 1, do RGPD?
3) No caso de a resposta à segunda questão ser no sentido de que apenas assiste ao titular dos dados um direito de receber uma reprodução [fiel] dos dados pessoais que lhe devem ser fornecidos em conformidade com o artigo 15.o, n.o 1, do RGPD, deve o artigo 15.o, n.o 3, primeiro período, [deste] ser interpretado no sentido de que, em função da natureza dos dados tratados [por exemplo, em relação a diagnósticos, resultados de exames, avaliações dos médicos mencionados no considerando 63 (do RGPD) ou também a documentos relacionados com um exame na aceção do Acórdão do Tribunal de Justiça da União Europeia de 20 de dezembro de 2017, C‑434/16, ECLI:EU:C:2017:994] e do princípio da transparência consagrado no artigo 12.o, n.o 1, do RGPD, pode no entanto ser necessário no caso concreto fornecer também passagens de texto ou documentos completos ao titular dos dados?
4) Deve o conceito de “informação” ao titular dos dados, que, em conformidade com o artigo 15.o, n.o 3, terceiro período, do RGPD, “é fornecida num formato eletrónico de uso corrente” quando este tenha apresentado o pedido por meios eletrónicos, “salvo pedido em contrário”, ser interpretado no sentido de que apenas se refere aos “dados pessoais em fase de tratamento” mencionados no artigo 15.o, n.o 3, primeiro período?
a) Em caso de resposta negativa à quarta questão: Deve o conceito de “informação”, que, em conformidade com o artigo 15.o, n.o 3, terceiro período, do RGPD, “é fornecida num formato eletrónico de uso corrente” ao titular dos dados quando este tenha apresentado o pedido por meios eletrónicos, “salvo pedido em contrário”, ser interpretado no sentido de que, além desses dados, também inclui as informações a que se refere o artigo 15.o, n.o 1, alíneas a) a h), do RGPD?
b) Em caso de resposta negativa também à quarta questão, alínea a): Deve o conceito de “informação”, que, em conformidade com o artigo 15.o, n.o 3, terceiro período, do RGPD, “é fornecida num formato eletrónico de uso corrente” ao titular dos dados quando este tenha apresentado o pedido por meios eletrónicos, “salvo pedido em contrário”, ser interpretado no sentido de que, além dos “dados pessoais em fase de tratamento” e além das informações mencionadas no artigo 15.o, n.o 1, alíneas a) a h), do RGPD, também inclui, por exemplo, os respetivos metadados?»
Quanto às questões prejudiciais
Quanto à primeira a terceira questões prejudiciais
18 Com a sua primeira a terceira questões, que importa apreciar em conjunto, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 15.o, n.o 3, primeiro período, do RGPD, lido à luz do princípio da transparência previsto no artigo 12.o, n.o 1, deste regulamento, deve ser interpretado no sentido de que o direito de obter uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados não só uma cópia desses dados, mas também uma cópia de extratos de documentos ou de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os referidos dados. Esse órgão jurisdicional interroga‑se, particularmente, sobre o alcance desse direito.
19 A título preliminar, há que recordar que, segundo jurisprudência constante do Tribunal de Justiça, para interpretar uma disposição do direito da União, há que ter em conta não só os seus termos, de acordo com o seu sentido habitual na linguagem corrente, mas também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte [v., neste sentido, Acórdãos de 2 de dezembro de 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, n.o 19 e jurisprudência referida, bem como de 7 de setembro de 2022, Staatssecretaris van Justitie en Veiligheid (Natureza do direito de residência ao abrigo do artigo 20.o TFUE), C‑624/20, EU:C:2022:639, n.o 28].
20 No que respeita à redação do artigo 15.o, n.o 3, primeiro período, do RGPD, esta disposição estabelece que o responsável pelo tratamento «fornece uma cópia dos dados pessoais em fase de tratamento».
21 Embora o RGPD não contenha uma definição do conceito de «cópia» assim utilizado, há que ter em conta o sentido habitual deste termo, que designa, como referiu o advogado‑geral no n.o 30 das suas conclusões, a reprodução ou transcrição [fiel], pelo que uma descrição puramente geral dos dados em fase de tratamento ou uma remissão para categorias de dados pessoais não corresponde a esta definição. Além disso, resulta da letra do artigo 15.o, n.o 3, primeiro período, deste regulamento que a obrigação de comunicação está associada aos dados pessoais objeto do tratamento em causa.
22 O artigo 4.o, n.o 1, do RGPD, define o conceito de «dados pessoais» como a «informação relativa a uma pessoa singular identificada ou identificável» e especifica que «é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular».
23 A utilização do termo «informação» na definição do conceito de «dado pessoal», que figura nesta disposição, reflete o objetivo do legislador da União de atribuir um sentido amplo a este conceito, o qual abrange potencialmente qualquer tipo de informações, tanto objetivas como subjetivas sob a forma de opiniões ou de apreciações, na condição de «dizerem respeito» à pessoa em causa (v., por analogia, Acórdão de 20 de dezembro de 2017, Nowak, С‑434/16, EU:C:2017:994, n.o 34).
24 A este respeito, foi declarado que uma informação diz respeito a uma pessoa singular identificada ou identificável quando, devido ao seu conteúdo, à sua finalidade ou ao seu efeito, está relacionada com uma pessoa identificável (v., neste sentido, Acórdão de 20 de dezembro de 2017, Nowak, C‑434/16, EU:C:2017:994, n.o 35).
25 Quanto ao caráter «identificável» de uma pessoa singular, o considerando 26 do RGPD precisa que importa ter em conta «todos os meios suscetíveis de ser razoavelmente utilizados, tais como a seleção, quer pelo responsável pelo tratamento quer por outra pessoa, para identificar direta ou indiretamente a pessoa singular».
26 Assim, como salientou, em substância, o advogado‑geral nos n.os 36 a 39 das suas conclusões, a definição ampla do conceito de «dados pessoais» não abrange apenas os dados recolhidos e conservados pelo responsável pelo tratamento, mas inclui igualmente todas as informações resultantes de um tratamento de dados pessoais que digam respeito a uma pessoa identificada ou identificável, tais como a apreciação da sua solvência ou da sua intenção de pagar.
27 Neste contexto, importa acrescentar que o legislador da União pretendeu dar ao conceito de «tratamento», conforme definido no artigo 4.o, n.o 2, do RGPD, um alcance amplo ao recorrer a uma enumeração de operações não exaustiva [v., neste sentido, Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.o 35].
28 Por conseguinte, resulta da análise textual do artigo 15.o, n.o 3, primeiro período, do RGPD, que esta disposição confere ao titular dos dados o direito de obter uma reprodução fiel dos seus dados pessoais, entendidos em sentido lato, que sejam objeto de operações que devam ser qualificadas de tratamento efetuado pelo responsável por este tratamento.
29 Dito isto, há que concluir que a redação desta mesma disposição não permite, por si só, responder às três primeiras questões na medida em que não contém nenhuma indicação quanto a um eventual direito de obter não só uma cópia dos dados pessoais em fase de tratamento, mas também uma cópia de extratos de documentos ou mesmo de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, esses dados.
30 No que respeita ao contexto em que se insere o artigo 15.o, n.o 3, primeiro período, do RGPD, importa salientar que o artigo 15.o do RGPD, sob a epígrafe «[d]ireito de acesso do titular dos dados», define, no seu n.o 1, o objeto e o âmbito de aplicação do direito de acesso reconhecido ao titular dos dados e consagra o direito deste último de obter do responsável pelo tratamento o acesso aos seus dados pessoais, bem como às informações referidas nas alíneas a) a h) desse número.
31 O artigo 15.o, n.o 3, do RGPD precisa as modalidades práticas de execução da obrigação que incumbe ao responsável pelo tratamento, especificando, nomeadamente, no seu primeiro período, a forma sob a qual esse responsável deve fornecer os «dados pessoais em fase de tratamento», designadamente, sob a forma de uma «cópia». Além disso, este número enuncia, no seu terceiro período, que as informações são fornecidas num formato eletrónico de uso corrente caso o pedido seja apresentado por meios eletrónicos, salvo pedido em contrário do titular dos dados.
32 Por conseguinte, o artigo 15.o do RGPD não pode ser interpretado no sentido de que consagra, no seu n.o 3, primeiro período, um direito distinto do previsto no seu n.o 1. Por outro lado, como referiu a Comissão Europeia nas suas observações escritas, o termo «cópia» não se refere a um documento enquanto tal, mas aos dados pessoais que contém e que devem estar completos. Por conseguinte, a cópia deve conter todos os dados pessoais em fase de tratamento.
33 No que respeita aos objetivos prosseguidos pelo artigo 15.o do RGPD, há que salientar que este tem por finalidade, como precisa o seu considerando 11, o reforço e a especificação dos direitos dos titulares dos dados. O artigo 15.o deste regulamento prevê, a este respeito, o direito de obtenção de uma cópia, ao contrário do artigo 12.o, alínea a), segundo travessão, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31), que se limitava a exigir uma «comunicação, sob forma inteligível, dos dados sujeitos a tratamento». O considerando 63 do RGPD precisa, por sua vez, que «[o]s titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de conhecer e verificar a tomar conhecimento do tratamento e verificar a sua licitude».
34 Assim, o direito de acesso previsto no artigo 15.o do RGPD deve permitir ao titular dos dados verificar que os dados pessoais que lhe dizem respeito são exatos e que são tratados de forma lícita [v., neste sentido, Acórdão de 12 de janeiro de 2023, Österreichische Post (Informações relativas aos destinatários de dados pessoais), C‑154/21, EU:C:2023:3, n.o 37 e jurisprudência referida].
35 Em especial, esse direito de acesso é necessário para permitir ao titular dos dados exercer, se for caso disso, o seu direito à retificação, o seu direito ao apagamento dos dados («direito a ser esquecido») e o seu direito à limitação do tratamento, que lhe são reconhecidos, respetivamente, pelos artigos 16.o, 17.o e 18.o do RGDP, o seu direito de oposição ao tratamento dos seus dados pessoais, previsto no artigo 21.o do RGPD, assim como o seu direito de recurso quando sofra um dano, previsto nos artigos 79.o e 82.o do RGPD [Acórdão de 12 de janeiro de 2023, Österreichische Post (Informações relativas aos destinatários de dados pessoais), C‑154/21, EU:C:2023:3, n.o 38 e jurisprudência referida].
36 Importa igualmente salientar que o considerando 60 do RGPD enuncia que os princípios do tratamento equitativo e transparente exigem que o titular dos dados seja informado da operação de tratamento de dados e das suas finalidades, sublinhando‑se que o responsável pelo tratamento deverá fornecer ao titular as informações adicionais necessárias para assegurar um tratamento equitativo e transparente tendo em conta as circunstâncias e o contexto específicos em que os dados pessoais forem tratados.
37 Por outro lado, em conformidade com o princípio da transparência, mencionado pelo órgão jurisdicional de reenvio, ao qual o considerando 58 do RGPD faz referência e que é expressamente consagrado no artigo 12.o, n.o 1, deste regulamento, qualquer informação destinada ao titular dos dados deve ser concisa, de fácil acesso e compreensão, bem como formulada numa linguagem clara e simples.
38 Conforme o advogado‑geral referiu nos n.os 54 e 55 das suas conclusões, decorre desta disposição que o responsável pelo tratamento é obrigado a tomar as medidas adequadas para fornecer ao titular as informações a que se refere, nomeadamente, o artigo 15.o do RGPD, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, sendo que as informações devem ser prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos, a menos que o interessado solicite que a informação seja prestada oralmente. O objetivo desta disposição, que é uma expressão do princípio da transparência, é assegurar que o titular dos dados tem plena compreensão das informações que lhe são transmitidas.
39 Daqui resulta que a cópia dos dados pessoais em fase de tratamento, que o responsável pelo tratamento deve fornecer nos termos do artigo 15.o, n.o 3, primeiro período, do RGPD, deve apresentar todas as características que permitam ao titular dos dados exercer efetivamente os seus direitos ao abrigo deste regulamento e deve, por conseguinte, reproduzir integral e fielmente esses dados.
40 Esta interpretação corresponde ao objetivo deste regulamento, que visa, nomeadamente, como resulta do seu considerando 10, assegurar um nível de proteção coerente e elevado das pessoas singulares na União e, para o efeito, assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais dessas pessoas no que diz respeito ao tratamento de dados pessoais (v., neste sentido, Acórdão de 9 de fevereiro de 2023, X‑FAB Dresden, C‑453/21, ECLI:EU:C:2023:79, n.o 25 e jurisprudência referida).
41 Com efeito, para garantir que as informações assim fornecidas sejam de fácil compreensão, como exige o artigo 12.o, n.o 1, do RGPD, lido em conjugação com o considerando 58 deste regulamento, a reprodução de extratos de documentos ou mesmo de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os dados pessoais em fase de tratamento pode revelar‑se indispensável, como referiu o advogado‑geral nos n.os 57 e 58 das suas conclusões, no caso de a contextualização dos dados tratados ser necessária para assegurar a sua inteligibilidade.
42 Em particular, quando os dados pessoais são gerados a partir de outros dados ou quando resultam de campos livres, designadamente, uma falta de indicação que revele uma informação sobre o titular dos dados, o contexto em que esses dados são objeto de tratamento é um elemento indispensável para permitir ao titular dos dados dispor de um acesso transparente e de uma apresentação inteligível desses dados.
43 Por outro lado, em conformidade com o artigo 15.o, n.o 4, do RGPD, lido em conjugação com o considerando 63 deste regulamento, o direito de obter uma cópia a que se refere o n.o 3 não deve prejudicar os direitos e as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual, particularmente o direito de autor que protege o software.
44 Por conseguinte, como sublinhou o advogado‑geral no n.o 61 das suas conclusões, em caso de conflito entre, por um lado, o exercício de um direito de acesso pleno e completo aos dados pessoais e, por outro, os direitos ou liberdades de terceiros, é necessário encontrar um equilíbrio entre os direitos e liberdades em questão. Sempre que possível, é necessário optar por formas de comunicação de dados pessoais que não violem os direitos ou as liberdades de terceiros, tendo em conta que, tal como referido no considerando 63 do RGPD, tais considerações, no entanto, não devem «resultar na recusa de prestação de todas as informações ao titular dos dados».
45 Tendo em conta as considerações precedentes, há que responder à primeira a terceira questões prejudiciais que o artigo 15.o, n.o 3, primeiro período, do RGPD
deve ser interpretado no sentido de que:
o direito de obter do responsável pelo tratamento uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito pressupõe o direito de obter a cópia de extratos de documentos ou de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for indispensável para permitir ao titular dos dados exercer efetivamente os direitos que lhe são conferidos por este regulamento, sendo de sublinhar que devem ser tidos em conta, a este respeito, os direitos e liberdades de terceiros.
Quanto à quarta questão prejudicial
46 Com esta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 15.o, n.o 3, terceiro período, do RGPD deve ser interpretado no sentido de que o conceito de «informação» que prevê se refere exclusivamente aos dados pessoais cuja cópia o responsável pelo tratamento deve fornecer por força do primeiro período desse número, ou se remete igualmente para todas as informações mencionadas no n.o 1 deste artigo, ou até mesmo se abrange elementos que vão além disso, como os metadados.
47 Conforme foi recordado no n.o 19 do presente acórdão, para interpretar uma disposição do direito da União, há que ter em conta não só os seus termos, mas também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte.
48 A este respeito, embora o artigo 15.o, n.o 3, terceiro período, do RGPD se limite a indicar que, «[s]e o titular dos dados apresentar o pedido por meios eletrónicos […] a informação é fornecida num formato eletrónico de uso corrente», sem precisar o que se deve entender por «informação», o primeiro período deste número enuncia que «[o] responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento».
49 Por conseguinte, resulta do contexto do artigo 15.o, n.o 3, terceiro período, do RGPD que a «informação» que visa corresponde necessariamente aos dados pessoais cuja cópia o responsável pelo tratamento deve fornecer em conformidade com o primeiro período desse número.
50 Esta interpretação é confirmada pelos objetivos prosseguidos pelo artigo 15.o, n.o 3, do RGPD, que consistem, como foi recordado no n.o 31 do presente acórdão, em definir as modalidades práticas de execução da obrigação que incumbe ao responsável pelo tratamento de fornecer uma cópia dos dados pessoais em fase de tratamento. Por conseguinte, esta disposição não cria um direito distinto daquele de que beneficia a pessoa em causa de obter uma reprodução fiel e inteligível desses dados, que lhe permita exercer efetivamente os direitos que este regulamento lhe confere.
51 Ora, há que salientar que nenhuma disposição do referido regulamento estabelece uma diferença de tratamento de um pedido consoante a forma como este é apresentado, pelo que o alcance do direito de obter uma cópia não pode variar em função dessa forma.
52 Por outro lado, importa igualmente salientar que, em conformidade com o artigo 12.o, n.o 3, do RGPD, se o pedido tiver sido apresentado por meios eletrónicos, as informações referidas nesse artigo 15.o, incluindo as mencionadas nas alíneas a) a h) no n.o 1 do referido artigo, são fornecidas por meios eletrónicos, salvo pedido em contrário do titular dos dados.
53 Tendo em conta as considerações precedentes, há que responder à quarta questão prejudicial que o artigo 15.o, n.o 3, terceiro período, do RGPD
deve ser interpretado no sentido de que:
o conceito de «informação» nele previsto refere‑se exclusivamente aos dados pessoais cuja cópia o responsável pelo tratamento deve fornecer por força do primeiro período desse número.
Quanto às despesas
54 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.
Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:
1) O artigo 15.o, n.o 3, primeiro período, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)
deve ser interpretado no sentido de que:
o direito de obter do responsável pelo tratamento uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito pressupõe o direito de obter a cópia de extratos de documentos ou de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for indispensável para permitir ao titular dos dados exercer efetivamente os direitos que lhe são conferidos por este regulamento, sendo de sublinhar que devem ser tidos em conta, a este respeito, os direitos e liberdades de terceiros.
2) O artigo 15.o, n.o 3, terceiro período, do Regulamento (UE) 2016/679
deve ser interpretado no sentido de que:
o conceito de «informação» nele previsto refere‑se exclusivamente aos dados pessoais cuja cópia o responsável pelo tratamento deve fornecer por força do primeiro período desse número.
Assinaturas