ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Primeira Secção)
12 de janeiro de 2023 (*)
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 15.o, n.o 1, alínea c) — Direito de acesso do titular aos seus próprios dados — Informações sobre os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados — Restrições»
No processo C‑154/21,
que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.o TFUE, pelo Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria), por Decisão de 18 de fevereiro de 2021, que deu entrada no Tribunal de Justiça em 9 de março de 2021, no processo
RW
contra
Österreichische Post AG,
O TRIBUNAL DE JUSTIÇA (Primeira Secção),
composto por: A. Arabadjiev, presidente de secção, L. Bay Larsen, vice‑presidente do Tribunal de Justiça, exercendo funções de juiz da Primeira Secção, P. G. Xuereb, A. Kumin e I. Ziemele (relatora), juízes,
advogado‑geral: G. Pitruzzella,
secretário: A. Calot Escobar,
vistos os autos,
vistas as observações apresentadas:
– em representação de RW, por R. Haupt, Rechtsanwalt,
– em representação da Österreichische Post AG, por R. Marko, Rechtsanwalt,
– em representação do Governo austríaco, por G. Kunnert, A. Posch e J. Schmoll, na qualidade de agentes,
– em representação do Governo checo, por M. Smolek e J. Vláčil, na qualidade de agentes,
– em representação do Governo italiano, por G. Palmieri, na qualidade de agente, assistida por M. Russo, avvocato dello Stato,
– em representação do Governo letão, por J. Davidoviča, I. Hūna e K. Pommere, na qualidade de agentes,
– em representação do Governo romeno, por L.‑E. Baţagoi, E. Gane e A. Wellman, na qualidade de agentes,
– em representação do Governo sueco, por H. Eklinder, J. Lundberg, C. Meyer‑Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev e O. Simonsson, na qualidade de agentes,
– em representação da Comissão Europeia, por F. Erlbacher e H. Kranenborg, na qualidade de agentes,
ouvidas as conclusões do advogado‑geral na audiência de 9 de junho de 2022,
profere o presente
Acórdão
1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 15.o, n.o 1, alínea c), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1) (a seguir «RGPD»).
2 Este pedido foi apresentado no âmbito de um litígio que opõe RW à Österreichische Post AG (a seguir «Österreichische Post»), a respeito de um pedido de acesso a dados pessoais ao abrigo do artigo 15.o, n.o 1, alínea c), do RGPD.
Quadro jurídico
3 Os considerandos 4, 9, 10, 39, 63 e 74 do RGPD têm a seguinte redação:
«(4) […] O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. […]
[…]
(9) Os objetivos e os princípios da Diretiva 95/46/CE [do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31),] continuam a ser válidos, mas não evitaram a fragmentação da aplicação da proteção dos dados ao nível da União [Europeia], nem a insegurança jurídica ou o sentimento generalizado da opinião pública de que subsistem riscos significativos para a proteção das pessoas singulares, nomeadamente no que diz respeito às atividades por via eletrónica. As diferenças no nível de proteção dos direitos e das pessoas singulares, nomeadamente do direito à proteção dos dados pessoais no contexto do tratamento desses dados nos Estados‑Membros, podem impedir a livre circulação de dados pessoais na União. Essas diferenças podem, por conseguinte, constituir um obstáculo ao exercício das atividades económicas a nível da União, distorcer a concorrência e impedir as autoridades de cumprirem as obrigações que lhes incumbem por força do direito da União. Essas diferenças entre os níveis de proteção devem‑se à existência de disparidades na execução e aplicação da Diretiva 95/46/CE.
(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. […]
[…]
(39) O tratamento de dados pessoais deverá ser efetuado de forma lícita e equitativa. Deverá ser transparente para as pessoas singulares que os dados pessoais que lhes dizem respeito são recolhidos, utilizados, consultados ou sujeitos a qualquer outro tipo de tratamento e a medida em que os dados pessoais são ou virão a ser tratados. O princípio da transparência exige que as informações ou comunicações relacionadas com o tratamento desses dados pessoais sejam de fácil acesso e compreensão, e formuladas numa linguagem clara e simples. […]
[…]
(63) Os titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de conhecer e verificar a tomar conhecimento do tratamento e verificar a sua licitude. […] Por conseguinte, cada titular de dados deverá ter o direito de conhecer e ser informado, nomeadamente, das finalidades para as quais os dados pessoais são tratados, quando possível do período durante o qual os dados são tratados, da identidade dos destinatários dos dados pessoais, da lógica subjacente ao eventual tratamento automático dos dados pessoais e, pelo menos quando tiver por base a definição de perfis, das suas consequências. […] Esse direito não deverá prejudicar os direitos ou as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual e, particularmente, o direito de autor que protege o software. Todavia, essas considerações não deverão resultar na recusa de prestação de todas as informações ao titular dos dados. […]
[…]
(74) Deverá ser consagrada a responsabilidade do responsável por qualquer tratamento de dados pessoais realizado por este ou por sua conta. Em especial, o responsável pelo tratamento deverá ficar obrigado a executar as medidas que forem adequadas e eficazes e ser capaz de comprovar que as atividades de tratamento são efetuadas em conformidade com o presente regulamento, incluindo a eficácia das medidas. Essas medidas deverão ter em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como o risco que possa implicar para os direitos e liberdades das pessoas singulares.»
4 O artigo 1.o do RGPD, sob a epígrafe «Objeto e objetivos», dispõe, no seu n.o 2:
«O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.»
5 O artigo 5.o do RGPD, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», prevê:
«1. Os dados pessoais são:
a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);
[…]
2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.o 1 e tem de poder comprová‑lo (“responsabilidade”).»
6 O artigo 12.o do RGPD, sob a epígrafe «Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados», enuncia:
«1. O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.o e 14.o e qualquer comunicação prevista nos artigos 15.o a 22.o e 34.o a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios.
2. O responsável pelo tratamento facilita o exercício dos direitos do titular dos dados nos termos dos artigos 15.o a 22.o Nos casos a que se refere o artigo 11.o, n.o 2, o responsável pelo tratamento não pode recusar‑se a dar seguimento ao pedido do titular no sentido de exercer os seus direitos ao abrigo dos artigos 15.o a 22.o, exceto se demonstrar que não está em condições de identificar o titular dos dados.
[…]
5. As informações fornecidas nos termos dos artigos 13.o e 14.o e quaisquer comunicações e medidas tomadas nos termos dos artigos 15.o a 22.o e 34.o são fornecidas a título gratuito. Se os pedidos apresentados por um titular de dados forem manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo, o responsável pelo tratamento pode:
a) Exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do fornecimento das informações ou da comunicação, ou de tomada das medidas solicitadas; ou
b) Recusar‑se a dar seguimento ao pedido.
Cabe ao responsável pelo tratamento demonstrar o caráter manifestamente infundado ou excessivo do pedido.
[…]»
7 O artigo 13.o do RGPD, sob a epígrafe «Informações a facultar quando os dados pessoais são recolhidos junto do titular», prevê, no seu n.o 1:
«Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:
[…]
e) Os destinatários ou categorias de destinatários dos dados pessoais, se os houver;
[…]»
8 O artigo 14.o do RGPD, sob a epígrafe «Informações a facultar quando os dados pessoais não são recolhidos junto do titular», dispõe, no seu n.o 1:
«Quando os dados pessoais não forem recolhidos junto do titular, o responsável pelo tratamento fornece‑lhe as seguintes informações:
[…]
e) Os destinatários ou categorias de destinatários dos dados pessoais, se os houver;
[…]»
9 Nos termos do artigo 15.o do RGPD, sob a epígrafe «Direito de acesso do titular dos dados»:
«1. O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:
a) As finalidades do tratamento dos dados;
b) As categorias dos dados pessoais em questão;
c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;
d) Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;
e) A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;
f) O direito de apresentar reclamação a uma autoridade de controlo;
g) Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;
h) A existência de decisões automatizadas, incluindo a definição de perfis, referida no artigo 22.o, n.os 1 e 4, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
2. Quando os dados pessoais forem transferidos para um país terceiro ou uma organização internacional, o titular dos dados tem o direito de ser informado das garantias adequadas, nos termos do artigo 46.o relativo à transferência de dados.
3. O responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento. Para fornecer outras cópias solicitadas pelo titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos. Se o titular dos dados apresentar o pedido por meios eletrónicos, e salvo pedido em contrário do titular dos dados, a informação é fornecida num formato eletrónico de uso corrente.
4. O direito de obter uma cópia a que se refere o n.o 3 não prejudica os direitos e as liberdades de terceiros.»
10 O artigo 16.o do RGPD, sob a epígrafe «Direito de retificação», dispõe:
«O titular tem o direito de obter, sem demora injustificada, do responsável pelo tratamento a retificação dos dados pessoais inexatos que lhe digam respeito. Tendo em conta as finalidades do tratamento, o titular dos dados tem direito a que os seus dados pessoais incompletos sejam completados, incluindo por meio de uma declaração adicional.»
11 Nos termos do artigo 17.o do RGPD, sob a epígrafe «Direito ao apagamento dos dados (“direito a ser esquecido”)»:
«1. O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos:
a) Os dados pessoais deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento;
b) O titular retira o consentimento em que se baseia o tratamento dos dados nos termos do artigo 6.o, n.o 1, alínea a), ou do artigo 9.o, n.o 2, alínea a) e se não existir outro fundamento jurídico para o referido tratamento;
c) O titular opõe‑se ao tratamento nos termos do artigo 21.o, n.o 1, e não existem interesses legítimos prevalecentes que justifiquem o tratamento, ou o titular opõe‑se ao tratamento nos termos do artigo 21.o, n.o 2;
d) Os dados pessoais foram tratados ilicitamente;
e) Os dados pessoais têm de ser apagados para o cumprimento de uma obrigação jurídica decorrente do direito da União ou de um Estado‑Membro a que o responsável pelo tratamento esteja sujeito;
f) Os dados pessoais foram recolhidos no contexto da oferta de serviços da sociedade da informação referida no artigo 8.o, n.o 1.
2. Quando o responsável pelo tratamento tiver tornado públicos os dados pessoais e for obrigado a apagá‑los nos termos do n.o 1, toma as medidas que forem razoáveis, incluindo de caráter técnico, tendo em consideração a tecnologia disponível e os custos da sua aplicação, para informar os responsáveis pelo tratamento efetivo dos dados pessoais de que o titular dos dados lhes solicitou o apagamento das ligações para esses dados pessoais, bem como das cópias ou reproduções dos mesmos.
[…]»
12 O artigo 18.o do RGPD, sob a epígrafe «Direito à limitação do tratamento», dispõe, no seu n.o 1:
«O titular dos dados tem o direito de obter do responsável pelo tratamento a limitação do tratamento, se se aplicar uma das seguintes situações:
a) Contestar a exatidão dos dados pessoais, durante um período que permita ao responsável pelo tratamento verificar a sua exatidão;
b) O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;
c) O responsável pelo tratamento já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;
d) Se tiver oposto ao tratamento nos termos do artigo 21.o, n.o 1, até se verificar que os motivos legítimos do responsável pelo tratamento prevalecem sobre os do titular dos dados.
[…]»
13 O artigo 19.o do RGPD tem a seguinte redação:
«O responsável pelo tratamento comunica a cada destinatário a quem os dados pessoais tenham sido transmitidos qualquer retificação ou apagamento dos dados pessoais ou limitação do tratamento a que se tenha procedido em conformidade com o artigo 16.o, o artigo 17.o, n.o 1, e o artigo 18.o, salvo se tal comunicação se revelar impossível ou implicar um esforço desproporcionado. Se o titular dos dados o solicitar, o responsável pelo tratamento fornece‑lhe informações sobre os referidos destinatários.»
14 Segundo o artigo 21.o do RGPD, sob a epígrafe «Direito de oposição»:
«1. O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.o, n.o 1, alínea e) ou f), incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.
2. Quando os dados pessoais forem tratados para efeitos de comercialização direta, o titular dos dados tem o direito de se opor a qualquer momento ao tratamento dos dados pessoais que lhe digam respeito para os efeitos da referida comercialização, o que abrange a definição de perfis na medida em que esteja relacionada com a comercialização direta.
3. Caso o titular dos dados se oponha ao tratamento para efeitos de comercialização direta, os dados pessoais deixam de ser tratados para esse fim.
4. O mais tardar no momento da primeira comunicação ao titular dos dados, o direito a que se referem os n.os 1 e 2 é explicitamente levado à atenção do titular dos dados e é apresentado de modo claro e distinto de quaisquer outras informações.
5. No contexto da utilização dos serviços da sociedade da informação, e sem prejuízo da Diretiva 2002/58/CE [do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO 2002, L 201, p. 37)], o titular dos dados pode exercer o seu direito de oposição por meios automatizados, utilizando especificações técnicas.
6. Quando os dados pessoais forem tratados para fins de investigação científica ou histórica ou para fins estatísticos, nos termos do artigo 89.o, n.o 1, o titular dos dados tem o direito de se opor, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito, salvo se o tratamento for necessário para a prossecução de atribuições de interesse público.»
15 O artigo 79.o do RGPD, sob a epígrafe «Direito à ação judicial contra um responsável pelo tratamento ou um subcontratante», enuncia, no seu n.o 1:
«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, nomeadamente o direito de apresentar reclamação a uma autoridade de controlo, nos termos do artigo 77.o, todos os titulares de dados têm direito à ação judicial se considerarem ter havido violação dos direitos que lhes assistem nos termos do presente regulamento, na sequência do tratamento dos seus dados pessoais efetuado em violação do referido regulamento.»
16 O artigo 82.o do RGPD, sob a epígrafe «Direito de indemnização e responsabilidade», prevê, no seu n.o 1:
«Qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos.»
Litígio no processo principal e questão prejudicial
17 Em 15 de janeiro de 2019, RW dirigiu‑se à Österreichische Post para obter, com fundamento no artigo 15.o do RGPD, o acesso aos dados pessoais que lhe diziam respeito, conservados ou que tinham sido conservados no passado por esta e, em caso de divulgação dos dados a terceiros, a identidade desses destinatários.
18 Em resposta a este pedido, a Österreichische Post limitou‑se a declarar que utiliza os dados, dentro dos limites permitidos pelo direito, no âmbito da sua atividade de editora de listas telefónicas e que disponibiliza esses dados pessoais a parceiros comerciais para efeitos de marketing. De resto, remeteu para um sítio Internet para mais informações e relativas a outras finalidades do tratamento de dados. Não revelou a RW a identidade dos destinatários concretos dos dados.
19 RW intentou uma ação contra a Österreichische Post nos órgãos jurisdicionais austríacos, pedindo que lhe fosse ordenado fornecer‑lhe, nomeadamente, a identidade do ou dos destinatários dos seus dados pessoais assim divulgados.
20 No decurso do processo judicial assim instaurado, a Österreichische Post informou RW de que os seus dados pessoais tinham sido tratados para efeitos de marketing e transmitidos a clientes, entre os quais anunciantes que exercem atividade nos setores da venda por correspondência e do comércio tradicional, empresas de informática, editores de endereços e associações como organizações caritativas, organizações não governamentais (ONG) ou partidos políticos.
21 Os órgãos jurisdicionais de primeira instância e de recurso negaram provimento ao seu recurso com o fundamento de que o artigo 15.o, n.o 1, alínea c), do RGPD, na medida em que se refere aos «destinatários ou categorias de destinatários», concederia ao responsável pelo tratamento a possibilidade de indicar apenas ao titular dos dados as categorias de destinatários, sem ter de designar nominalmente os destinatários concretos a quem os dados pessoais são transmitidos.
22 RW interpôs recurso de «Revision» no Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria), o órgão jurisdicional de reenvio.
23 Esse órgão jurisdicional interroga‑se sobre a interpretação do artigo 15.o, n.o 1, alínea c), do RGPD, na medida em que a redação desta disposição não permite claramente saber se esta concede ao titular dos dados o direito de aceder às informações relativas aos destinatários concretos dos dados divulgados ou se o responsável pelo tratamento dispõe de um poder discricionário quanto ao modo como tenciona dar seguimento a um pedido de acesso à informação sobre os destinatários.
24 Todavia, o referido órgão jurisdicional observa que a ratio legis da referida disposição advoga antes a favor da interpretação segundo a qual é o titular dos dados que pode optar por pedir as informações relativas às categorias de destinatários ou aos destinatários concretos dos seus dados pessoais. Em seu entender, qualquer interpretação contrária comprometeria significativamente a eficácia das vias de recurso de que o titular dos dados dispõe para proteger os seus dados. Com efeito, no caso de os responsáveis disporem da opção de indicar aos titulares dos dados os destinatários concretos ou apenas as categorias de destinatários, é de recear que, na prática, quase nenhum deles forneça as informações relativas aos destinatários concretos.
25 Além disso, contrariamente ao artigo 13.o, n.o 1, alínea e), e ao artigo 14.o, n.o 1, alínea e), do RGPD, que preveem uma obrigação para o responsável pelo tratamento de facultar as informações a que estes se referem, o artigo 15.o, n.o 1, deste regulamento destaca o alcance do direito de acesso do titular dos dados, o que tende igualmente a indicar, segundo o órgão jurisdicional de reenvio, que o titular dos dados tem o direito de escolher entre pedir informações sobre os destinatários concretos ou sobre as categorias de destinatários.
26 Por último, o órgão jurisdicional de reenvio acrescenta que o direito de acesso previsto no artigo 15.o, n.o 1, do RGPD abrange não só os dados pessoais atualmente tratados mas também todos os dados tratados no passado. A este respeito, especifica que as considerações que figuram no Acórdão de 7 de maio de 2009, Rijkeboer (C‑553/07, EU:C:2009:293), baseadas na finalidade do direito de acesso previsto na Diretiva 95/46, podem ser transpostas para o direito de acesso previsto no artigo 15.o do RGPD, tanto mais que pode ser deduzido dos seus considerandos 9 e 10 que o legislador da União não pretendeu reduzir o nível de proteção em comparação com esta diretiva.
27 Nestas circunstâncias, o Oberster Gerichtshof (Supremo Tribunal de Justiça) decidiu suspender a instância e submeter ao Tribunal de Justiça a seguinte questão prejudicial:
«Deve o artigo 15.o, n.o 1, alínea c), do [RGPD], ser interpretado no sentido de que o direito de acesso se limita à informação sobre as categorias de destinatários quando os destinatários concretos das divulgações planeadas ainda não estão determinados, ao passo que, quando os dados já tiverem sido divulgados, o direito de acesso deve obrigatoriamente abranger também os destinatários dessas divulgações?»
Quanto à questão prejudicial
28 Com a sua questão prejudicial, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 15.o, n.o 1, alínea c), do RGPD deve ser interpretado no sentido de que o direito de acesso do titular dos dados aos dados pessoais que lhe dizem respeito, previsto nesta disposição, implica, quando esses dados foram ou serão divulgados aos destinatários, a obrigação por parte do responsável pelo tratamento de fornecer a esse titular a identidade concreta desses destinatários.
29 A título preliminar, há que recordar que, segundo jurisprudência constante, a interpretação de uma disposição do direito da União exige que se tenha em conta não só os seus termos mas também o contexto em que se insere e os objetivos e a finalidade prosseguidos pelo ato de que faz parte (Acórdão de 15 de março de 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, n.o 63). Além disso, quando uma disposição do direito da União possa ser objeto de várias interpretações, deve dar‑se prioridade à que é adequada a salvaguardar o seu efeito útil (Acórdão de 7 de março de 2018, Cristal Union, C‑31/17, EU:C:2018:168, n.o 41 e jurisprudência referida).
30 No que respeita, antes de mais, à redação do artigo 15.o, n.o 1, alínea c), do RGPD, importa recordar que esta disposição enuncia que o titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, nesse caso, o direito de aceder aos seus dados pessoais, bem como às informações relativas aos destinatários ou categorias de destinatários a quem esses dados pessoais foram ou serão divulgados.
31 A este respeito, cabe salientar que os termos «destinatários» e «categorias de destinatários» que figuram nesta disposição são utilizados sucessivamente, sem que seja possível deduzir uma ordem de prioridade entre ambos.
32 Assim, há que constatar que a redação do artigo 15.o, n.o 1, alínea c), do RGPD não permite determinar, de maneira inequívoca, se o titular dos dados tem o direito de ser informado, quando os dados pessoais que lhe digam respeito foram ou serão divulgados, da identidade concreta dos seus destinatários.
33 Em seguida, no que se refere ao contexto em que se insere o artigo 15.o, n.o 1, alínea c), do RGPD, importa recordar, em primeiro lugar, que o considerando 63 deste regulamento prevê que o titular dos dados deve ter o direito de conhecer e ser informado, em particular, da identidade dos destinatários dos dados pessoais e não especifica que esse direito possa ser limitado apenas às categorias de destinatários, como salientou o advogado‑geral no n.o 23 das suas conclusões.
34 Em segundo lugar, cabe igualmente recordar que, para respeitar o direito de acesso, qualquer tratamento de dados pessoais das pessoas singulares deve ser conforme aos princípios enunciados no artigo 5.o do RGPD (v., neste sentido, Acórdão de 16 de janeiro de 2019, Deutsche Post, C‑496/17, EU:C:2019:26, n.o 57).
35 Ora, entre esses princípios figura o princípio da transparência referido no artigo 5.o, n.o 1, alínea a), do RGPD, que implica, como resulta do considerando 39 deste regulamento, que o titular dos dados disponha de informações sobre a maneira como os seus dados pessoais são tratados e que essas informações sejam de fácil acesso e compreensíveis.
36 Em terceiro lugar, há que salientar, como sublinhou o advogado‑geral no n.o 21 das suas conclusões, que, contrariamente aos artigos 13.o e 14.o do RGPD, que preveem uma obrigação a cargo do responsável pelo tratamento de fornecer ao titular dos dados as informações relativas às categorias de destinatários ou aos destinatários concretos dos dados pessoais que lhe digam respeito, quando estes são ou não recolhidos junto do titular dos dados, o artigo 15.o do RGPD prevê um verdadeiro direito de acesso a favor do titular dos dados, de modo que este tenha a opção de obter quer as informações sobre os destinatários específicos a quem os referidos dados foram ou serão divulgados, quando possível, quer as informações relativas às categorias de destinatários.
37 Em quarto lugar, o Tribunal de Justiça já declarou que o exercício desse direito de acesso deve permitir ao titular dos dados verificar não só que os dados que lhe dizem respeito são exatos mas também que são tratados de forma lícita (v., por analogia, Acórdãos de 17 de julho de 2014, YS e o., C‑141/12 e C‑372/12, EU:C:2014:2081, n.o 44, e de 20 de dezembro de 2017, Nowak, C‑434/16, EU:C:2017:994, n.o 57), nomeadamente que foram divulgados a destinatários autorizados (v., por analogia, Acórdão de 7 de maio de 2009, Rijkeboer, C‑553/07, EU:C:2009:293, n.o 49).
38 Em especial, esse direito de acesso é necessário para permitir ao titular dos dados exercer, se for caso disso, o seu direito à retificação, o seu direito ao apagamento dos dados («direito a ser esquecido»), o seu direito à limitação do tratamento, que lhe são reconhecidos, respetivamente, pelos artigos 16.o, 17.o e 18.o do RGDP (v., por analogia, Acórdãos de 17 de julho de 2014, YS e o., C‑141/12 e C‑372/12, EU:C:2014:2081, n.o 44, e de 20 de dezembro de 2017, Nowak, C‑434/16, EU:C:2017:994, n.o 57), bem como o seu direito de oposição ao tratamento dos seus dados pessoais, previsto no artigo 21.o do RGPD, e o seu direito de recurso quando sofra um prejuízo, previsto nos artigos 79.o e 82.o do RGPD (v., por analogia, Acórdão de 7 de maio de 2009, Rijkeboer, C‑553/07, EU:C:2009:293, n.o 52).
39 Assim, a fim de garantir o efeito útil de todos os direitos mencionados no número anterior do presente acórdão, o titular dos dados deve dispor, em especial, do direito de ser informado da identidade dos destinatários concretos no caso de os seus dados pessoais já terem sido divulgados.
40 Em quinto e último lugar, esta interpretação é confirmada pela leitura do artigo 19.o do RGPD que prevê, no seu primeiro período, que o responsável pelo tratamento comunica, em princípio, a cada destinatário a quem os dados pessoais tenham sido transmitidos qualquer retificação ou apagamento dos dados pessoais ou limitação do tratamento e, no seu segundo período, que se o titular dos dados o solicitar, o responsável pelo tratamento fornece‑lhe informações sobre os referidos destinatários.
41 Assim, o artigo 19.o, segundo período, do RGPD confere expressamente ao titular dos dados o direito de ser informado dos destinatários concretos dos dados que lhe digam respeito pelo responsável pelo tratamento, no âmbito da obrigação que este tem de informar todos os destinatários do exercício dos direitos de que esse titular dispõe ao abrigo do artigo 16.o, do artigo 17.o, n.o 1, e do artigo 18.o do RGPD.
42 Decorre da análise contextual que precede que o artigo 15.o, n.o 1, alínea c), do RGPD constitui uma das disposições destinadas a garantir que as modalidades através das quais os dados são tratados sejam transparentes para o titular dos dados e permite‑lhe, como salientou o advogado‑geral no n.o 33 das suas conclusões, exercer as prerrogativas previstas, nomeadamente, nos artigos 16.o a 19.o, 21.o, 79.o e 82.o do RGPD.
43 Por conseguinte, há que considerar que as informações fornecidas ao titular dos dados ao abrigo do direito de acesso previsto no artigo 15.o, n.o 1, alínea c), do RGPD devem ser as mais exatas possíveis. Em especial, este direito de acesso implica a possibilidade de o titular dos dados obter por parte do responsável pelo tratamento as informações sobre os destinatários específicos a quem os dados foram ou serão divulgados ou, em alternativa, de optar por se limitar a solicitar informações respeitantes às categorias de destinatários.
44 Por último, no que se refere à finalidade prosseguida pelo RGPD, importa salientar que este regulamento visa, nomeadamente, como resulta do seu considerando 10, assegurar um nível de proteção coerente e elevado das pessoas singulares na União (Acórdão de 6 de outubro de 2020, La Quadrature du Net e o., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, n.o 207). A este respeito, como salientou, em substância, o advogado‑geral no n.o 14 das suas conclusões, o quadro jurídico geral criado pelo RGPD aplica as exigências decorrentes do direito fundamental à proteção dos dados pessoais protegido pelo artigo 8.o da Carta dos Direitos Fundamentais da União Europeia e, em especial, as exigências expressamente previstas no n.o 2 deste artigo (v., neste sentido, Acórdão de 9 de março de 2017, Manni, C‑398/15, EU:C:2017:197, n.o 40).
45 Ora, este objetivo reforça a interpretação do artigo 15.o, n.o 1, do RGPD que figura no n.o 43 do presente acórdão.
46 Por conseguinte, resulta igualmente do objetivo prosseguido pelo RGPD que o titular dos dados tem o direito de obter do responsável pelo tratamento informações sobre os destinatários concretos a quem os dados pessoais que lhe digam respeito foram ou serão divulgados.
47 Dito isto, importa, por último, sublinhar que, como resulta do considerando 4 do RGPD, o direito à proteção de dados pessoais não é um direito absoluto. Com efeito, esse direito deve ser entendido de acordo com a sua função na sociedade e ser ponderado com os outros direitos fundamentais, em conformidade com o princípio da proporcionalidade, como o Tribunal de Justiça reafirmou, em substância, no n.o 172 do Acórdão de 16 de julho de 2020, Facebook Ireland e Schrems (C‑311/18, EU:C:2020:559).
48 Consequentemente, admite‑se que, em circunstâncias específicas, não seja possível fornecer informações sobre os destinatários concretos. Por conseguinte, o direito de acesso poderá ser limitado à informação sobre as categorias de destinatários se for impossível revelar a identidade dos destinatários concretos, em especial quando estes ainda não estão determinados.
49 Além disso, há que recordar que, ao abrigo do artigo 12.o, n.o 5, alínea b), do RGPD, o responsável pelo tratamento pode, em conformidade com o princípio da responsabilidade previsto no artigo 5.o, n.o 2, deste regulamento e no seu considerando 74, recusar‑se a dar seguimento aos pedidos do titular dos dados quando estes forem manifestamente infundados ou excessivos, precisando‑se que cabe a esse mesmo responsável pelo tratamento demonstrar o caráter manifestamente infundado ou excessivo dos referidos pedidos.
50 No caso em apreço, resulta do pedido de decisão prejudicial que a Österreichische Post indeferiu o pedido apresentado por RW com fundamento no artigo 15.o, n.o 1, do RGPD, destinado a que esta lhe fornecesse a identidade dos destinatários a quem tinha divulgado os dados pessoais que lhe digam respeito. Cabe ao órgão jurisdicional de reenvio verificar se, tendo em conta as circunstâncias em causa no processo principal, a Österreichische Post demonstrou o caráter manifestamente infundado ou excessivo desse pedido.
51 Tendo em conta todas as considerações que precedem, há que responder à questão prejudicial que o artigo 15.o, n.o 1, alínea c), do RGPD deve ser interpretado no sentido de que o direito de acesso do titular dos dados aos dados pessoais que lhe dizem respeito, previsto nesta disposição, implica, quando esses dados foram ou serão divulgados aos destinatários, a obrigação por parte do responsável pelo tratamento de fornecer a esse titular a identidade concreta dos referidos destinatários, a menos que seja impossível identificar esses destinatários ou que o referido responsável pelo tratamento demonstre que os pedidos de acesso do titular dos dados são manifestamente infundados ou excessivos, na aceção do artigo 12.o, n.o 5, do RGPD, casos em que o responsável pelo tratamento pode indicar a esse titular apenas as categorias de destinatários em causa.
Quanto às despesas
52 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.
Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:
O artigo 15.o, n.o 1, alínea c), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
deve ser interpretado no sentido de que:
o direito de acesso do titular dos dados aos dados pessoais que lhe dizem respeito, previsto nesta disposição, implica, quando esses dados foram ou serão divulgados aos destinatários, a obrigação por parte do responsável pelo tratamento de fornecer a esse titular a identidade concreta dos referidos destinatários, a menos que seja impossível identificar esses destinatários ou que o referido responsável pelo tratamento demonstre que os pedidos de acesso do titular dos dados são manifestamente infundados ou excessivos, na aceção do artigo 12.o, n.o 5, do Regulamento 2016/679, casos em que o responsável pelo tratamento pode indicar a esse titular apenas as categorias de destinatários em causa.
Assinaturas