62022CJ0026_RES
Processos apensos C‑26/22 e C‑64/22
UFeAB
contra
Land Hessen
(pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Wiesbaden)
Acórdão do Tribunal de Justiça (Primeira Secção) de 7 de dezembro de 2023
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 5.o, n.o 1, alínea a) — Princípio da “licitude” — Artigo 6.o, n.o 1, primeiro parágrafo, alínea f) — Necessidade do tratamento para efeitos dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros — Artigo 17.o, n.o 1, alínea d) — Direito ao apagamento em caso de tratamento ilícito de dados pessoais — Artigo 40.o — Códigos de conduta — Artigo 78.o, n.o 1 — Direito à ação judicial contra uma autoridade de controlo — Decisão tomada pela autoridade de controlo sobre uma reclamação — Alcance da fiscalização jurisdicional dessa decisão — Sociedades que fornecem informações comerciais — Conservação de dados provenientes de um registo público relativos à remissão da dívida remanescente a favor de uma pessoa — Duração da conservação»
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Vias de recurso — Ação judicial contra decisão tomada por uma autoridade de controlo — Fiscalização jurisdicional — Alcance — Limites — Inexistência
(Carta dos Direitos Fundamentais da União Europeia, artigos 8.°, n.o 3, e 47.°; Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerandos 141 e 143, e artigos 52.°, 78.°, n.o 1, e 79.°, n.o 1)
(cf. n.os 50‑53, 58, 59, 62, 67‑70, disp. 1)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Requisitos de licitude de um tratamento de dados pessoais — Necessidade do tratamento para efeitos dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros — Tratamento necessário para a atividade de uma sociedade privada que consiste no fornecimento de informações comerciais aos seus parceiros contratuais para efeitos da avaliação da solvabilidade dos seus potenciais clientes — Conservação sistemática de dados provenientes de um registo público relativos à remissão da dívida remanescente a favor de uma pessoa — Duração da conservação excede o prazo de conservação dos dados no registo público de insolvências — Inadmissibilidade
[Carta dos Direitos Fundamentais da União Europeia, artigos 7.° e 8.°; Regulamentos do Parlamento Europeu e do Conselho 2015/848, considerando 76 e artigo 79.o, n.os 4 e 5, e 2016/679, artigos 5.°, n.o 1, alínea a), e 6.°, n.o 1, primeiro parágrafo, alínea f)]
(cf. n.os 75, 83, 88‑100, 113, disp. 2)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Requisitos de licitude de um tratamento de dados pessoais — Código de conduta elaborado por uma associação que representa os responsáveis pelo tratamento ou os subcontratantes, aprovado pela autoridade de controlo competente — Código que fixa requisitos de licitude de um tratamento que não correspondem aos requisitos previstos no Regulamento 2016/679 — Não tomada em consideração
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 6.°, n.o 1, primeiro parágrafo, alínea f), e 40.°, n.os 1, 2 e 5)]
(cf. n.os 101‑105)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito ao apagamento — Alcance — Tratamento ilícito de dados pessoais — Inclusão
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 17.o, n.o 1, alínea d)]
(cf. n.os 107, 108, 113, disp. 4)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito ao apagamento — Alcance — Direito de oposição do titular dos dados a um tratamento dos dados — Inclusão — Exceção — Existência de razões imperiosas e legítimas para o tratamento que prevaleçam sobre os interesses, os direitos e as liberdades desta pessoa — Ónus da prova que incumbe ao responsável pelo tratamento
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 17.°, n.o 1, alínea c), e 21.°, n.o 1]
(cf. n.os 109‑113, disp. 3)
Resumo
A Schufa Holding AG, sociedade privada de direito alemão, regista e conserva, nas suas próprias bases de dados, informações provenientes de registos públicos, nomeadamente as relativas a remissões de dívida remanescente que, se necessário, fornece aos seus parceiros contratuais. Esta sociedade procede ao apagamento dessas informações decorrido um prazo de três anos sobre o seu registo, em conformidade com o código de conduta elaborado, na Alemanha, pela associação que agrupa as sociedades que fornecem informações comerciais.
Depois de terem beneficiado de decisões de remissão antecipada de dívida remanescente no âmbito de processos de insolvência, UF e AB pediram à SCHUFA que apagasse as inscrições relativas a essas decisões. Esta sociedade recusou aceder aos seus pedidos explicando que o prazo de seis meses para o apagamento destes dados do registo público, previsto na legislação alemã (
1
), não lhe era aplicável.
UF e AB apresentaram, cada um deles, uma reclamação contra a SCHUFA no HBDI (
2
), autoridade de controlo competente, que esta indeferiu com o fundamento de que o tratamento dos dados efetuado pela SCHUFA era lícito.
Chamado a conhecer dos recursos das decisões do HBDI por UF e AB, o Verwaltungsgericht Wiesbaden (Tribunal Administrativo de Wiesbaden, Alemanha) questionou o Tribunal de Justiça sobre a interpretação de várias disposições do RGPD (
3
), que visam, nomeadamente, a necessidade do tratamento dos dados para efeitos dos interesses prosseguidos e do direito ao apagamento (
4
).
No seu acórdão, o Tribunal de Justiça declara que o RGPD (
5
) se opõe a uma prática de sociedades privadas que fornecem informações comerciais, que consiste em conservar, nas suas próprias bases de dados, informações provenientes de um registo público relativas à concessão de uma remissão da dívida remanescente a favor das pessoas singulares durante um período mais longo do que o previsto pela legislação nacional para a conservação desses dados nesse registo. Pronuncia‑se também sobre o direito da pessoa em questão de obter dessa sociedade o apagamento dos dados que lhe dizem respeito.
Apreciação do Tribunal de Justiça
Em primeiro lugar, o Tribunal de Justiça recorda que, segundo o RGPD, um tratamento de dados pessoais pode ser considerado lícito, nomeadamente quando estiverem preenchidos três requisitos cumulativos, a saber, primeiro, que o responsável pelo tratamento ou um terceiro prossiga um interesse legítimo, segundo, que o tratamento seja necessário para a realização do interesse legítimo prosseguido e, terceiro, que os interesses, as liberdades e os direitos fundamentais da pessoa a que a proteção de dados diz respeito não prevaleçam sobre o interesse legítimo do responsável pelo tratamento ou de um terceiro (
6
).
No que diz respeito ao primeiro requisito, o Tribunal de Justiça sublinha que, embora no caso vertente o tratamento dos dados pessoais sirva os interesses económicos de uma sociedade privada, serve também para prosseguir os interesses legítimos dos parceiros contratuais dessa sociedade que são obrigados a avaliar a solvabilidade das pessoas com as quais pretendem celebrar contratos ligados a um crédito e, portanto, os interesses do setor de crédito no plano socioeconómico.
Relativamente ao segundo requisito, o Tribunal de Justiça recorda que o tratamento dos dados só pode ser considerado «necessário» se for efetuado na estrita medida do necessário para a realização de um interesse legítimo prosseguido pelo responsável pelo tratamento ou por um terceiro.
Quanto ao terceiro requisito, o Tribunal de Justiça declara que, no caso em apreço, o seu exame se confunde com o exame do segundo requisito e carece de uma ponderação dos direitos e dos interesses opostos para apreciar se os interesses legítimos prosseguidos não podem ser razoavelmente alcançados com uma duração de conservação dos dados mais curta.
Assim, quanto à ponderação dos interesses legítimos prosseguidos, o Tribunal de Justiça salienta que, na medida em que a análise prestada por uma sociedade que fornece informações comerciais torna possível a avaliação objetiva e fiável da solvabilidade dos potenciais clientes dos parceiros contratuais dessa sociedade, permite compensar disparidades de informação e, portanto, reduzir os riscos de fraude e outras incertezas.
Em contrapartida, no que se refere aos direitos e aos interesses do titular dos dados, o Tribunal de Justiça considera que o tratamento, por esta sociedade, de dados relativos à concessão de uma remissão da dívida remanescente, como a conservação, a análise e a comunicação desses dados a um terceiro, constitui uma ingerência grave nos direitos fundamentais do titular dos dados (
7
). Com efeito, esses dados servem como um fator negativo na avaliação da solvabilidade desta e constituem, portanto, informações sensíveis sobre a sua vida privada cujo tratamento é suscetível de prejudicar consideravelmente os seus interesses. Além disso, quanto mais prolongada for a conservação desses dados, mais significativas são as consequências para os interesses e a vida privada do titular dos dados e maiores são as exigências relativas à licitude da conservação dessa informação.
Por outro lado, no que diz respeito à conservação dos dados nos registos públicos de insolvência, o Tribunal de Justiça salienta que os Estados‑Membros são responsáveis pela recolha e pelo armazenamento dos dados nas bases de dados nacionais (
8
) e, portanto, devem também fixar o prazo de conservação desses dados. No caso em apreço, o legislador nacional considerou que, depois de expirado o prazo de seis meses, os direitos e os interesses do titular dos dados prevalecem sobre os do público em dispor dessa informação.
Além disso, é suposto a remissão da dívida remanescente permitir ao beneficiário participar novamente na vida económica e reveste, portanto, geralmente uma importância existencial para esta pessoa. Ora, a realização deste objetivo ficaria comprometida se as informações a ele relativas pudessem ser conservadas e utilizadas após o seu apagamento do registo público de insolvências.
Por conseguinte, o Tribunal de Justiça conclui que os interesses do setor de crédito em dispor das informações sobre uma remissão da dívida remanescente não podem justificar a conservação dos dados para além do prazo de conservação no registo público de insolvência.
O Tribunal de Justiça acrescenta que a conservação dos dados durante o período de seis meses constitui também uma ingerência nos direitos fundamentais do titular dos dados. A este respeito, incumbe ao órgão jurisdicional de reenvio apreciar se se pode considerar que a conservação paralela desses dados por sociedades privadas se limita ao estritamente necessário.
Por último, no que respeita à existência de um código de conduta que preveja a supressão de dados decorrido um prazo de três anos, o Tribunal de Justiça observa que, embora esse código se destine a contribuir para a correta aplicação do RGPD (
9
), não deixa de ser verdade que os requisitos de licitude de um tratamento de dados pessoais fixados por esse código não podem diferir dos requisitos previstos no RGPD. Assim, um código de conduta que induza uma apreciação diferente da obtida em aplicação do RGPD não pode ser tomado em consideração.
Em segundo lugar, quanto às obrigações do responsável pelo tratamento de apagar os dados pessoais, o Tribunal de Justiça refere, por um lado, que este deve proceder ao apagamento dos dados que foram objeto de um tratamento ilícito, como, no caso vertente, o tratamento de dados efetuado pela sociedade em questão para além do prazo de conservação de seis meses no registo público (
10
). Por outro lado, mesmo que o órgão jurisdicional de reenvio devesse concluir que o tratamento dos dados durante o período de seis meses era lícito, o titular dos dados teria o direito de se opor a esse tratamento (
11
) e de obter o apagamento dos dados que lhe dizem respeito, se esta sociedade não conseguir demonstrar a existência de razões legítimas imperiosas que prevaleçam sobre os interesses e sobre os direitos e as liberdades desta pessoa (
12
).
(
1
)	O § 3, n.o 1, da Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Regulamento sobre Publicações Oficiais na Internet em Processos de Insolvência), de 12 de fevereiro de 2002 (BGBl. I, p. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Comissário para a Proteção de Dados e a Liberdade de Informação do Land de Hesse, Alemanha).
(
3
)	Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, e retificação no JO 2018, L 127, p. 2, a seguir «RGPD»).
(
4
)	Respetivamente, o artigo 6.o, n.o 1, primeiro parágrafo, alínea f), e o artigo 17.o, n.o 1, alíneas c) e d), deste regulamento.
(
5
)	Artigo 5.o, n.o 1, alínea a), lido em conjugação com o artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD.
(
6
)	Por força do artigo 6.o, n.o 1, primeiro parágrafo, alínea f), do RGPD, aplicável no caso em apreço.
(
7
)	Direitos consagrados nos artigos 7.° e 8.° da Carta dos Direitos Fundamentais da União Europeia, relativos, respetivamente, ao respeito pela vida privada e à proteção dos dados pessoais.
(
8
)	Por força do artigo 79.o, n.o 4, do Regulamento (UE) 2015/848 do Parlamento Europeu e do Conselho, de 20 de maio de 2015, relativo aos processos de insolvência (reformulação) (JO 2015, L 141, p. 19). O artigo 79.o, n.o 5, deste regulamento limita‑se a prever que os Estados‑Membros informem os titulares dos dados do período durante o qual os dados pessoais armazenados nos registos de insolvência estão acessíveis, sem fixar um prazo para a conservação desses dados.
(
9
)	Segundo o artigo 40.o, n.os 1 e 2, do RGPD.
(
10
)	Em conformidade com o artigo 17.o, n.o 1, alínea d), do RGPD.
(
11
)	Por força do artigo 21.o, n.o 1, do RGPD.
(
12
)	Em aplicação do artigo 17.o, n.o 1, do RGPD.