62020CJ0319_RES
Processo 319/20
Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited
contra
Bundesverband der Verbraucherzentralen und Verbraucherverbände ‑ Verbraucherzentrale Bundesverband e.V
(pedido de decisão prejudicial, apresentado pelo Bundesgerichtshof)
Acórdão do Tribunal de Justiça (Terceira Secção) de 28 de abril de 2022
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 80.o — Representação dos titulares dos dados por uma associação sem fins lucrativos — Ação coletiva intentada por uma associação de defesa dos interesses dos consumidores sem mandato e independentemente da violação de direitos concretos do titular dos dados — Ação baseada na proibição de práticas comerciais desleais, na violação de uma lei em matéria de proteção dos consumidores ou na proibição da utilização de cláusulas contratuais gerais inválidas»
Proteção das pessoas singulares relativamente ao tratamento de dados pessoais — Regulamento 2016/679 — Representação dos titulares dos dados — Legitimidade ativa — Associação de defesa dos interesses dos consumidores — Ação coletiva intentada por esta associação sem mandato e independentemente da violação de direitos concretos do titular dos dados — Ação baseada na violação das regras relativas à proteção dos consumidores ou na luta contra as práticas comerciais desleais — Admissibilidade — Requisito
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 80.o, n.o 2)
(cf. n.os 57‑60, 63‑79, 83 e disp.)
Resumo
A Meta Platforms Ireland gere a oferta dos serviços da rede social em linha Facebook e é responsável pelo tratamento dos dados pessoais dos utilizadores desta rede na União. A plataforma Internet Facebook inclui, no endereço Internet www.facebook.de, um espaço denominado «App‑Zentrum» («Centro de aplicações») no qual a Meta Platforms Ireland coloca à disposição dos utilizadores jogos gratuitos fornecidos por terceiros. Quando consulta alguns desses jogos, o utilizador é advertido de que a utilização da aplicação em causa permite à sociedade de jogos obter um determinado número de dados pessoais e a autoriza a proceder a publicações em seu nome. Através da utilização desta aplicação, o utilizador aceita as condições gerais e a política em matéria de proteção de dados. Além disso, no caso de um jogo específico, é informado de que a aplicação está autorizada a publicar fotos e outras informações em seu nome.
A Federação alemã das Associações de Consumidores dos Estados Federados (
1
) considerou que as informações fornecidas pelos jogos em causa no Centro de aplicações eram desleais. Por conseguinte, enquanto organismo que dispõe de legitimidade ativa para pedir a cessação das violações da legislação em matéria de proteção dos consumidores (
2
), a Federação intentou uma ação inibitória contra a Meta Platforms Ireland. Esta ação foi intentada independentemente da violação concreta do direito à proteção dos dados de um titular dos dados e de um mandato desse titular. A decisão que julgou procedente esta ação foi objeto de recurso interposto pela Meta Platforms Ireland, a qual, tendo‑lhe sido negado provimento ao recurso, interpôs recurso para o Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha). Tendo dúvidas quanto à admissibilidade da ação da Federação, e nomeadamente quanto à sua legitimidade ativa contra a Meta Platforms Ireland, esse órgão jurisdicional submeteu uma questão prejudicial ao Tribunal de Justiça.
No seu acórdão, o Tribunal de Justiça declara que o artigo 80.o, n.o 2, do Regulamento Geral sobre a Proteção de Dados (
3
) não se opõe a que uma associação de defesa dos interesses dos consumidores possa agir judicialmente, sem que lhe tenha sido conferido um mandato para o efeito e independentemente da violação de direitos concretos dos titulares dos dados, contra o autor presumível de uma violação da proteção dos dados pessoais, invocando a violação da proibição de práticas comerciais desleais, de uma lei em matéria de proteção dos consumidores ou da proibição da utilização de cláusulas contratuais gerais inválidas. Tal ação é possível quando o tratamento de dados em causa é suscetível de lesar os direitos conferidos pelo RGPD às pessoas singulares identificadas ou identificáveis.
Apreciação do Tribunal de Justiça
Antes de mais, o Tribunal de Justiça recorda que, embora o RGPD (
4
) vise assegurar uma harmonização, em princípio completa, das legislações nacionais relativas à proteção dos dados pessoais, o artigo 80.o, n.o 2, deste regulamento faz parte das disposições que concedem aos Estados‑Membros uma margem de apreciação quanto à sua aplicação (
5
). Por conseguinte, para que a ação coletiva sem mandato em matéria de proteção dos dados pessoais prevista nesta disposição possa ser exercida, os Estados‑Membros devem fazer uso da faculdade que lhes é conferida por esta disposição de prever no seu direito nacional esta modalidade de representação dos titulares dos dados. Todavia, ao exercerem esta faculdade, os Estados‑Membros devem utilizar a sua margem de apreciação nas condições e nos limites previstos no RGPD e legislar de forma a não prejudicar o conteúdo e os objetivos deste regulamento.
Em seguida, o Tribunal de Justiça sublinha que, ao dar a possibilidade aos Estados‑Membros de preverem um meio processual de ação coletiva contra o presumível autor de uma violação da proteção dos dados pessoais, o artigo 80.o, n.o 2, do RGPD prevê um determinado número de requisitos que devem ser respeitados. Assim, em primeiro lugar, é reconhecida legitimidade ativa a um organismo, a uma organização ou a uma associação que preencha os critérios indicados no RGPD (
6
) É suscetível de ser abrangida por este conceito uma associação de defesa dos interesses dos consumidores, como a Federação, que prossegue um objetivo de interesse público que consiste em garantir os direitos e as liberdades dos titulares dos dados na sua qualidade de consumidores, uma vez que a realização desse objetivo é suscetível de estar relacionado com a proteção dos dados pessoais destes. Em segundo lugar, o exercício da referida ação coletiva pressupõe que a entidade em causa, independentemente de qualquer mandato que lhe tenha sido confiado, considere que os direitos do titular dos dados conferidos pelo RGPD foram violados em virtude do tratamento dos seus dados pessoais.
Assim, por um lado, o exercício de uma ação coletiva (
7
) não exige a identificação individual prévia pela entidade em causa do titular dos dados especificamente afetado por um tratamento de dados pretensamente contrário às disposições do RGPD. Para este efeito, a designação de uma categoria ou de um grupo de pessoas afetadas por tal tratamento pode igualmente ser suficiente (
8
).
Por outro lado, o exercício dessa ação não está sujeito à existência de uma violação concreta dos direitos que o RGPD confere a uma pessoa. Com efeito, para reconhecer a legitimidade ativa de uma entidade, basta alegar que o tratamento de dados em causa é suscetível de afetar os direitos conferidos às pessoas singulares identificadas ou identificáveis pelo referido regulamento, sem que seja necessário provar um prejuízo real sofrido pelo titular dos dados, numa situação determinada, pela violação dos seus direitos. Assim, tendo em vista o objetivo prosseguido pelo RGPD, o facto de autorizar associações de defesa dos interesses dos consumidores, como a Federação, a intentar, através do meio processual da ação coletiva, ações destinadas a fazer cessar tratamentos contrários às disposições do RGPD, independentemente da violação dos direitos de uma pessoa individual e concretamente afetada por essa violação, contribui incontestavelmente para reforçar os direitos dos titulares dos dados e para lhes assegurar um nível elevado de proteção.
Por último, o Tribunal de Justiça precisa que a violação de uma regra relativa à proteção de dados pessoais pode simultaneamente implicar a violação de regras relativas à proteção dos consumidores ou às práticas comerciais desleais. Com efeito, o RGPD (
9
) permite aos Estados‑Membros exercer a faculdade de prever que as associações de defesa dos interesses dos consumidores estejam autorizadas a agir contra violações dos direitos previstos no RGPD, através de regras que tenham por objeto proteger os consumidores ou lutar contra práticas comerciais desleais.
(
1
)	Bundesverband der Verbraucherzentralen und Verbraucherverbände ‑ Verbraucherzentrale Bundesverband e.V. (a seguir «Federação»).
(
2
)	Nos termos do direito alemão, também são consideradas normas de proteção dos consumidores as regras que definem a admissibilidade da recolha, do tratamento ou da utilização de dados pessoais dos consumidores pelas empresas ou empresários.
(
3
)	Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, a seguir «RGPD»). Ao abrigo do artigo 80.o, n.o 2, «[o]s Estados‑Membros podem prever que o organismo, a organização ou a associação referidos no n.o 1 [deste] artigo, independentemente de um mandato conferido pelo titular dos dados, tenham nesse Estado‑Membro direito a apresentar uma reclamação à autoridade de controlo competente nos termos do artigo 77.o e a exercer os direitos a que se referem os artigos 78.o e 79.o, caso considerem que os direitos do titular dos dados, nos termos [deste] regulamento, foram violados em virtude do tratamento [dos dados pessoais que lhe dizem respeito]».
(
4
)	Como resulta do artigo 1.o, n.o 1, lido à luz dos considerandos 9, 10 e 13, deste regulamento.
(
5
)	Em aplicação das «cláusulas de abertura».
(
6
)	Nomeadamente, no artigo 80.o, n.o 1, do RGPD. Esta disposição faz referência a «um organismo, organização ou associação sem fins lucrativos, que esteja devidamente constituído ao abrigo do direito de um Estado‑Membro, cujos objetivos estatutários sejam do interesse público e cuja atividade abranja a defesa dos direitos e liberdades do titular dos dados no que respeita à proteção dos seus dados pessoais».
(
7
)	Ao abrigo do artigo 80.o, n.o 2, do RGPD.
(
8
)	Nomeadamente, tendo em conta o alcance do conceito de «titular dos dados», previsto no artigo 4.o, ponto 1, do RGPD, que abrange não só uma «pessoa singular identificada» mas também uma «pessoa singular identificável».
(
9
)	Nomeadamente, o artigo 80.o, n.o 2, do RGPD.