Processo C‑487/21
F. F.
contra
Österreichische Datenschutzbehörde et CRIF GmbH
[pedido de decisão prejudicial apresentado pelo Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria)]
Acórdão do Tribunal de Justiça (Primeira Secção) de 4 de maio de 2023
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Direito de acesso do titular dos dados aos seus dados em fase de tratamento — Artigo 15.°, n.° 3 — Fornecimento de uma cópia dos dados — Conceito de “cópia” — Conceito de “informações”»
1. Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento n.° 2016/679 — Direito de acesso do titular dos dados aos seus dados em fase de tratamento — Fornecimento de uma cópia dos dados — Conceito de cópia — Entrega ao titular dos dados de uma reprodução fiel e inteligível desses dados — Cópia de extratos de documentos, de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os referidos dados — Inclusão — Requisito
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerandos 58 e 60 e artigos 12.°, n.o 1, e 15.°, n.os 1 e 3, primeiro período)
(cf. n.os 21, 28, 32, 36‑45, disp. 1)
2. Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento n.° 2016/679 — Direito de acesso do titular dos dados aos seus dados em fase de tratamento — Fornecimento de uma cópia dos dados — Conceito de informações — Dados pessoais que devem ser fornecidos sob a forma de uma cópia pelo responsável pelo tratamento — Inclusão
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 15.°, n.° 3, terceiro período)
(cf. n.os 48‑53, disp. 2)
Resumo
RGPD: o direito de obter uma «cópia» dos dados pessoais implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados
Este direito implica o direito de obter a cópia de extratos de documentos, de documentos completos ou ainda de extratos de bases de dados que contenham os referidos dados, se isso for indispensável para permitir ao titular dos dados exercer efetivamente os direitos que lhe são conferidos por esse regulamento
A CRIF é uma agência de consultoria empresarial que presta, a pedido dos seus clientes, informações sobre a solvabilidade de terceiros. Para esse efeito, procedeu ao tratamento dos dados pessoais do recorrente no processo principal, um particular. Este último pediu à CRIF, com base no Regulamento Geral sobre a Proteção de Dados (1), para ter acesso aos seus dados pessoais. Além disso, solicitou que lhe fosse fornecida uma cópia de documentos, em especial, mensagens de correio eletrónico e extratos de bases de dados contendo, nomeadamente, os seus dados, «num formato técnico de uso corrente».
Em resposta a este pedido, a CRIF transmitiu ao recorrente no processo principal, de forma sintética, a lista dos seus dados pessoais em fase de tratamento. Considerando que a CRIF lhe devia ter transmitido uma cópia de todos os documentos que contêm os seus dados, como mensagens de correio eletrónico e extratos de bases de dados, o recorrente no processo principal apresentou uma reclamação à Österreichische Datenschutzbehörde (autoridade de proteção de dados da Áustria). Esta autoridade indeferiu essa reclamação, considerando que a CRIF não tinha cometido nenhuma violação do direito de acesso aos dados pessoais do recorrente no processo principal.
O Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria), chamado a pronunciar‑se sobre o recurso interposto pelo recorrente no processo principal da decisão de indeferimento adotada por essa autoridade, interroga‑se sobre o alcance da obrigação prevista no artigo 15.°, n.° 3, primeiro período, do RGPD de fornecimento ao titular dos dados de uma «cópia» dos seus dados pessoais em fase de tratamento. Este órgão jurisdicional questiona, em particular, se essa obrigação é cumprida quando o responsável pelo tratamento transmite os dados pessoais sob a forma de um quadro sintético ou se essa obrigação implica igualmente a transmissão dos extratos de documentos ou mesmo dos documentos completos, bem como dos extratos de bases de dados, nos quais esses dados são reproduzidos. O órgão jurisdicional de reenvio pede, além disso, esclarecimentos sobre o que abrange precisamente o conceito de «informação» que figura no artigo 15.°, n.° 3, terceiro período, do RGPD (2).
Com o seu acórdão, o Tribunal de Justiça presta esclarecimentos sobre o conteúdo e o alcance do direito de acesso do titular dos dados aos seus dados pessoais em fase de tratamento. A este respeito, considera que o direito de obter da parte do responsável pelo tratamento uma «cópia» dos dados pessoais em fase de tratamento nos termos do artigo 15.°, n.° 3, primeiro período, do RGPD implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito pressupõe o direito de obter a cópia de extratos de documentos ou de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for indispensável para permitir ao titular dos dados exercer efetivamente os direitos que lhe são conferidos pelo RGPD, sendo de sublinhar que devem ser tidos em conta, a este respeito, os direitos e liberdades de terceiros. Por outro lado, o Tribunal de Justiça precisa que o conceito de «informação» previsto no artigo 15.°, n.° 3, terceiro período, do RGPD refere se exclusivamente aos dados pessoais cuja cópia o responsável pelo tratamento deve fornecer por força do primeiro período desse número.
Apreciação do Tribunal de Justiça
Numa primeira fase, o Tribunal de Justiça efetua uma interpretação literal, sistemática e teológica do artigo 15.°, n.° 3, primeiro período, do RGPD, que prevê o direito do titular dos dados obter uma cópia dos seus dados pessoais em fase de tratamento.
Quanto à redação do artigo 15.°, n.° 3, terceiro período, do RGPD, o Tribunal de Justiça declara que, embora esta disposição não contenha uma definição do conceito de «cópia», há que ter em conta o sentido habitual deste termo, que designa a reprodução ou transcrição fiel, pelo que uma descrição puramente geral dos dados em fase de tratamento ou uma remissão para categorias de dados pessoais não corresponde a esta definição. Além disso, resulta dos termos dessa disposição que a obrigação de comunicação está associada aos dados pessoais objeto do tratamento em causa. Após ter efetuado uma análise textual da referida disposição, o Tribunal de Justiça considera que esta disposição confere ao titular dos dados o direito de obter uma reprodução fiel dos seus dados pessoais, entendidos em sentido lato, que sejam objeto de operações que devam ser qualificadas de tratamento efetuado pelo responsável por este tratamento.
No que respeita ao contexto em que se insere o artigo 15.°, n.° 3, primeiro período, do RGPD, o Tribunal de Justiça salienta que o artigo 15.° do RGPD define, no seu n.° 1, o objeto e o âmbito de aplicação do direito de acesso reconhecido ao titular dos dados. O artigo 15.°, n.° 3, precisa as modalidades práticas de execução da obrigação que incumbe ao responsável pelo tratamento, especificando, nomeadamente, no seu primeiro período, a forma sob a qual esse responsável deve fornecer os dados pessoais em fase de tratamento, designadamente, sob a forma de uma «cópia». Por conseguinte, o artigo 15.° do RGPD não pode ser interpretado no sentido de que consagra, no seu n.° 3, primeiro período, um direito distinto do previsto no seu n.° 1. Por outro lado, o Tribunal de Justiça precisa que o termo «cópia» não se refere a um documento enquanto tal, mas aos dados pessoais que contém e que devem estar completos. Por conseguinte, a cópia deve conter todos os dados pessoais em fase de tratamento.
Relativamente aos objetivos prosseguidos pelo artigo 15.° do RGPD, o Tribunal de Justiça salienta que o direito de acesso previsto neste artigo deve permitir ao titular dos dados verificar que os dados pessoais que lhe dizem respeito são exatos e que são tratados de forma lícita.
Além disso, segundo o Tribunal de Justiça, resulta do RGPD (3) que o responsável pelo tratamento é obrigado a tomar as medidas adequadas para fornecer ao titular as informações a que se refere, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, sendo que as informações devem ser prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos, a menos que o interessado solicite que a informação seja prestada oralmente. Daqui resulta que a cópia dos dados pessoais em fase de tratamento, que o responsável pelo tratamento deve fornecer, deve apresentar todas as características que permitam ao titular dos dados exercer efetivamente os seus direitos ao abrigo do RGPD e deve, por conseguinte, reproduzir integral e fielmente esses dados.
Assim, para garantir que as informações assim fornecidas sejam de fácil compreensão, a reprodução de extratos de documentos ou mesmo de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os dados pessoais em fase de tratamento pode revelar‑se indispensável. Em particular, quando os dados pessoais são gerados a partir de outros dados ou quando resultam de campos livres, designadamente, uma falta de indicação que revele uma informação sobre o titular dos dados, o contexto em que esses dados são objeto de tratamento é um elemento indispensável para permitir ao titular dos dados dispor de um acesso transparente e de uma apresentação inteligível desses dados.
Em caso de conflito entre, por um lado, o exercício de um direito de acesso pleno e completo aos dados pessoais e, por outro, os direitos ou liberdades de terceiros, o Tribunal de Justiça considera que é necessário encontrar um equilíbrio entre os direitos e liberdades em questão. Sempre que possível, é necessário optar por formas de comunicação de dados pessoais que não violem os direitos ou as liberdades de terceiros, tendo em conta que tais considerações, no entanto, não devem resultar na recusa de prestação de todas as informações ao titular dos dados.
Numa segunda fase, o Tribunal de Justiça aprecia a questão de saber o que é abrangido pelo conceito de «informação» previsto no artigo 15.°, n.° 3, primeiro período, do RGPD. Embora esta disposição não precise o que se deve entender por «informação», resulta do seu contexto que a «informação» que visa corresponde necessariamente aos dados pessoais cuja cópia o responsável pelo tratamento deve fornecer em conformidade com o primeiro período desse número.