Language of document : ECLI:EU:T:2015:926

Processo T‑343/13

CN

contra

Parlamento Europeu

«Responsabilidade extracontratual — Petição apresentada no Parlamento — Difusão no sítio Internet do Parlamento de certos dados pessoais — Inexistência de violação suficientemente caracterizada de uma norma de direito que confere direitos aos particulares»

Sumário — Acórdão do Tribunal Geral (Sexta Secção) de 3 de dezembro de 2015

1.      Responsabilidade extracontratual — Requisitos — Ilegalidade — Violação suficientemente caracterizada do direito da União — Exigência de uma violação manifesta e grave por parte das instituições dos limites do seu poder de apreciação — Violação das regras em matéria de proteção de dados pessoais — Inclusão

(Artigo 340.°, segundo parágrafo, TFUE; Carta dos Direitos Fundamentais da União Europeia, artigo 8.°; Regulamento n.° 45/2001 do Parlamento Europeu e do Conselho)

2.      Instituições da União Europeia — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento n.° 45/2001 — Dados relativos à saúde — Conceito — Interpretação ampla — Limites

(Regulamento n.° 45/2001 do Parlamento Europeu e do Conselho, artigo 10.°, n.° 1)

3.      Instituições da União Europeia — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento n.° 45/2001 — Necessária licitude do tratamento — Consentimento da pessoa em causa — Conceito — Apresentação de uma petição que contém informações sensíveis no sítio Internet do Parlamento Europeu — Informações prestadas ao peticionário antes da apresentação que lhe permitem apreciar a acessibilidade do público à sua petição — Caráter lícito do tratamento

[Regulamento n.° 45/2001 do Parlamento Europeu e do Conselho, artigos 2.°, alínea h), 5.°, alínea d), e 10.°, n.° 2, alínea a)]

4.      Responsabilidade extracontratual — Requisitos — Ilegalidade — Violação suficientemente caracterizada do direito da União — Invocação de ilegalidades que decorrem de uma violação dos direitos de terceiros — Inadmissibilidade

(Artigo 340.°, segundo parágrafo, TFUE)

5.      Instituições da União Europeia — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento n.° 45/2001 — Direito ao apagamento dos dados — Requisito — Tratamento lícito dos dados em causa — Apagamento por cortesia dos dados licitamente tratados — Observância de um prazo razoável

(Regulamento n.° 45/2001 do Parlamento Europeu e do Conselho, artigo 16.°)

6.      Direitos fundamentais — Respeito pela vida privada — Proteção de dados pessoais — Divulgação de dados com o consentimento da pessoa em causa — Ingerência na vida privada — Inexistência

7.      Responsabilidade extracontratual — Requisitos — Ilegalidade — Prejuízo — Nexo de causalidade — Requisitos cumulativos — Falta de um dos requisitos — Negação de provimento ao recurso na sua totalidade

(Artigo 340.°, segundo parágrafo, TFUE)

8.      Responsabilidade extracontratual — Requisitos — Prejuízo real e certo causado por um ato ilegal — Prejuízos material e moral — Ónus da prova

(Artigo 340.°, segundo parágrafo, TFUE)

9.      Responsabilidade extracontratual — Requisitos — Nexo de causalidade — Prejuízo constituído pelas despesas relativas ao processo pré‑contencioso — Despesas resultantes da livre escolha do recorrente — Inexistência de nexo de causalidade entre o prejuízo e o comportamento da instituição

(Artigo 340.°, segundo parágrafo, TFUE)

1.      Em matéria de responsabilidade extracontratual da União o requisito relativo ao comportamento ilegal das instituições da União exige a violação suficientemente caracterizada de uma norma de direito que tenha por objeto conferir direitos aos particulares. O critério decisivo para considerar que uma violação do direito da União é suficientemente caracterizada é o da inobservância manifesta e grave, pela instituição da União, dos limites que se impõem ao seu poder de apreciação.

A este respeito, na medida em que o direito à proteção de dados pessoais, consagrado no artigo 8.° da Carta dos Direitos Fundamentais da União Europeia é desenvolvido pelo Regulamento n.° 45/2001 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, no que respeita aos atos das instituições e órgãos da União, e pelas disposições de execução do referido regulamento adotadas por cada instituição, essas disposições têm por objeto conferir direitos aos particulares. Por conseguinte, podem ser invocadas por um demandante na sua ação de indemnização.

(cf. n.os 44, 47)

2.      Há que dar à expressão «dados relativos à saúde», que figuram no artigo 10.º, n.º 1, do Regulamento n.° 45/2001, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, uma interpretação lata, de modo a que abranja todos os aspetos, quer físicos quer psíquicos, da saúde de uma pessoa. Este conceito não pode, contudo, ser alargado ao ponto de abranger expressões que não implicam a divulgação de qualquer dado relativo à saúde ou à condição médica de uma pessoa.

(cf. n.° 50)

3.      Dado que o artigo 2.°, alínea h), do Regulamento n.° 45/2001, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, não impõe nenhum requisito de forma no que respeita ao consentimento de uma pessoa quanto ao tratamento dos seus dados pessoais, a apresentação de uma petição no Parlamento Europeu pode ser vista como uma manifestação de vontade por parte da pessoa em causa.

Com efeito, uma leitura atenta das informações fornecidas pelo Parlamento no seu sítio Internet a respeito da publicidade à petição devia ter permitido a um peticionário razoavelmente atento apreciar o alcance e as consequências da sua ação. A este respeito, tratando‑se de uma petição relativa ao facto de uma instituição da União não ter tomado em consideração o estado de saúde do peticionário funcionário da União e do seu filho, para efeitos da sua carreira, esta manifestação de vontade foi específica uma vez que o Parlamento informou o peticionário, aquando da apresentação da sua queixa, do facto de que a mesma seria acessível na Internet, tendo este último dado o seu consentimento explícito ao selecionar os campos do formulário relativos ao tratamento público e à inscrição num registo acessível na Internet, sem que o seu consentimento deva ser implicitamente deduzido de qualquer ação. Nestas condições, importa considerar que o peticionário deu o seu consentimento explícito quanto à divulgação de informações sensíveis relativas à sua saúde, na aceção do artigo 10.°, n.° 2, alínea a), do Regulamento n.° 45/2001. Estas considerações são mutatis mutandis aplicáveis ao tratamento dos dados pessoais diferentes dos dados pessoais sensíveis do peticionário.

Além disso, no que diz respeito aos dados pessoais que não estão entre os referidos no artigo 10.°, n.° 1, do Regulamento n.° 45/2001, como os relativos à carreira do peticionário, o seu tratamento está sujeito ao regime previsto no artigo 5.° do referido regulamento. Nos termos do artigo 5.°, alínea d), deste regulamento, o tratamento pode ser efetuado, nomeadamente, quando a pessoa em causa deu de forma inequívoca o seu consentimento. Por outras palavras, o tratamento pode ser efetuado quando a pessoa em causa deu o seu consentimento com certeza e sem ambiguidade. A este respeito, enquanto o artigo 10.°, n.° 2, alínea a), do Regulamento n.° 45/2001 requer o consentimento explícito, o artigo 5.°, alínea d), do referido regulamento exige que tenha sido dado um consentimento inequívoco. Como observou a AEPD, é lógico considerar, tendo em conta a natureza dos dados pessoais sensíveis, que as condições exigidas para o consentimento na aceção do artigo 5.°, alínea d), do Regulamento n.° 45/2001 não podem ser mais estritas do que as previstas no artigo 10.°, n.° 2, alínea a), do referido regulamento.

(cf. n.os 59, 70, 74, 76‑79)

4.      Em matéria de responsabilidade extracontratual da União, para garantir o efeito útil da condição relativa à violação de uma norma de direito que confere direitos aos particulares, é necessário que a proteção oferecida pela norma invocada seja efetiva em relação à pessoa que a invoca e, por conseguinte, que essa pessoa esteja entre aquelas a quem a norma em questão confere direitos. Não pode ser admitida como fundamento para uma indemnização uma norma que não protege o particular contra a ilegalidade que invoca, mas que protege outro particular. Daqui resulta que um demandante não pode invocar, na sua ação de indemnização, ilegalidades decorrentes da alegada violação dos direitos de um terceiro.

(cf. n.° 86)

5.      O artigo 16.° do Regulamento n.° 45/2001, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, apenas confere o direito de obter o apagamento dos dados pessoais quando o tratamento for ilícito. Por conseguinte, esta disposição não pode ser invocada em apoio de um pedido de apagamento quando o tratamento é lícito. O facto de a instituição da União em causa ter decidido aceitar o pedido de apagamento não implica, por si só, o reconhecimento da ilegalidade do tratamento inicial.

A este respeito, o artigo 12.°, n.° 3, das disposições de execução do Regulamento n.° 45/2001, adotadas pelo Parlamento Europeu, prevê que, se um pedido de apagamento de dados pessoais for aceite, deve ser executado imediatamente. Ora, esta disposição contempla as situações em que o pedido é aceite por ser fundado, concretamente, porque o seu tratamento é ilegal. Nestas circunstâncias, é lógico que o mesmo deva ser imediatamente executado. Pelo contrário, quando, como no caso vertente, o pedido não é fundado, mas é aceite por cortesia, não há razão para impor uma obrigação de execução imediata. Nesse caso, o Parlamento só tem de cumprir o seu compromisso num prazo razoável.

(cf. n.os 90, 100)

6.      No que diz respeito à divulgação de informações pessoais por parte de uma instituição da União, não é possível considerar que há «ingerência de uma autoridade pública» na vida privada na aceção do artigo 8.° da Convenção Europeia dos Direitos do Homem quando a pessoa em causa dá o seu consentimento a esta divulgação.

(cf. n.° 107)

7.      V. texto da decisão.

(cf. n.° 110)

8.      V. texto da decisão.

(cf. n.os 118, 119)

9.      V. texto da decisão.

(cf. n.os 123, 124)