62023TJ0070_RES
Processos apensos T‑70/23, T‑84/23 e T‑111/23
(publicação por excertos)
Data Protection Commission
contra
Comité Europeu para a Proteção de Dados
Acórdão do Tribunal Geral de 29 de janeiro de 2025
«Proteção de dados pessoais — Artigo 65.o, n.o 1, alínea a), do Regulamento (UE) 2016/679 — Decisão vinculativa que instrui uma autoridade de controlo principal a expandir o âmbito da investigação e a elaborar um projeto de decisão complementar — Competência do Comité Europeu para a Proteção de Dados»
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Competência do Comité Europeu para a Proteção de Dados (CEPD) — Alcance — Decisão vinculativa que instrui uma autoridade de controlo principal a expandir o âmbito de uma investigação e a elaborar um projeto de decisão complementar — Inclusão
[Artigo 39.o TUE; artigos 16.°, n.os 1 e 2, 101.° e 102.° TFUE; Carta dos Direitos Fundamentais da União Europeia, artigo 8.o, n.os 1 e 3; Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerandos 126, 136 e 141 e artigos 4.°, ponto 24, 57.°, n.o 1, alíneas a) e f), 58.°, n.o 2, 60.°, 65.°, n.o 1, alínea a), 2.°, 3.° e 6.°, e 66.°]
(cf. n.os 35, 36, 38‑40, 43‑45, 49‑54, 56‑59, 62, 63, 68‑75, 77‑82)
Resumo
Decidindo em Secção Alargada, o Tribunal Geral nega provimento aos recursos da Data Protection Commission, Autoridade de Controlo irlandesa em matéria de proteção de dados pessoais, que têm por objeto a anulação parcial das decisões vinculativas do Comité Europeu para a Proteção de Dados (CEPD). No seu acórdão, pronuncia‑se, pela primeira vez, sobre a competência do CEPD para impor a uma autoridade nacional de controlo que amplie a sua análise de um caso e, se for caso disso, a sua investigação.
Após ter consultado as outras autoridades de controlo interessadas, a Data Protection Commission, enquanto autoridade de controlo principal, constatou a inexistência de consenso sobre as objeções formuladas contra aos seus projetos de decisão sobre os tratamentos transfronteiriços de dados relacionados com a utilização rede social Facebook, à rede social Instagram e ao serviço de mensagens WhatsApp. Por conseguinte, submeteu a questão ao CEPD no âmbito do procedimento de controlo da coerência (
1
).
Na sequência da análise dos três processos, o CEPD, considerando que a maior parte das objeções formuladas aos projetos de decisão eram pertinentes e fundamentadas, decidiu tomar posição sobre as questões suscitadas.
Assim, em 5 de dezembro de 2022, o CEPD adotou decisões vinculativas que obrigavam a Data Protection Commission a realizar novas investigações sobre os tratamentos de dados relativos à utilização das três aplicações acima referidas e, com base nos seus resultados, que elaborasse projetos de decisão complementares.
Por conseguinte, a Data Protection Commission contestou a competência do CEPD para lhe impor tais medidas através de decisões vinculativas.
Apreciação do Tribunal Geral
Em primeiro lugar, o Tribunal Geral esclarece o alcance da competência do CEPD (
2
) com base numa análise literal, contextual e teleológica do RGPD.
Neste contexto, antes de mais, salienta que, de acordo com uma interpretação literal das disposições pertinentes do RGPD (
3
), o CEPD é competente para adotar disposições, como as disposições impugnadas, que dão instruções à autoridade de controlo principal para realizar uma nova investigação sobre determinados aspetos dos processos em causa e, em seguida, adotar novos projetos de decisão. Dado que a decisão vinculativa do CEPD deve abranger todas as questões que são objeto de objeções pertinentes e fundamentadas, as disposições pertinentes do RGPD não proíbem que, quando o CEPD aprova uma objeção pertinente e fundamentada relativa a uma falta ou a uma insuficiência da análise de um aspeto num projeto de decisão que não permita saber se existe ou não uma violação deste regulamento, esta decisão preveja uma instrução à autoridade de controlo principal para corrigir essa falta de análise e que aprofunde ou amplie, para esse efeito, a investigação realizada até à data, se tal se considerar necessário à luz do processo de que o CEPD dispõe. Se se verificar que o processo não é suficiente para realizar toda a análise exigida, o CEPD deve poder exigir que a autoridade de controlo principal proceda a uma investigação complementar.
Em seguida, o Tribunal Geral considera, no âmbito da interpretação contextual das disposições pertinentes do RGPD, que o contexto geral da obrigação de cooperação entre as autoridades de controlo interessadas num caso, previsto no RGPD, confirma a competência do CEPD para adotar as medidas impugnadas.
A este respeito, o Tribunal Geral indica que o procedimento de cooperação entre autoridades de controlo interessadas num caso (
4
), que pode implicar a ativação do procedimento de controlo da coerência pelo CEPD, não é um procedimento «de sentido único» durante o qual as etapas se sucedem sempre pela ordem das disposições correspondentes, sem possibilidade de voltar a uma fase anterior ou de permanecer temporariamente na mesma fase.
Além disso, salienta que a análise das condições em que é efetuado um tratamento de dados pessoais e a análise da sua conformidade com o RGPD não se deve limitar ao que é destacado na reclamação apresentada. Em especial, assegurar o desempenho completo das atribuições das autoridades de controlo previstas no RGPD, que consistem em assegurar a aplicação do presente regulamento e tratar as reclamações na medida do necessário (
5
), implica uma análise adequada do processo à luz da reclamação que lhe deu origem mas também à luz de outros elementos suscetíveis de a completar. Ora, a objeção pertinente e fundamentada, tal como definida, incide sobre aspetos cuja análise se enquadra efetivamente nas duas funções acima referidas. Por conseguinte, o facto de uma objeção pertinente e fundamentada dizer respeito ao âmbito da análise e, se for caso disso, ao âmbito da investigação e de o CEPD lhe dar seguimento não compromete de forma nenhuma estas atribuições.
Por último, o Tribunal Geral sublinha que a análise das finalidades do RGPD também confirma a interpretação literal das disposições pertinentes do RGPD.
A este respeito, recorda, nomeadamente, que o procedimento de cooperação entre autoridades de controlo interessadas num caso tem os seus limites quando essas autoridades não chegam a um consenso. É nesta situação que a questão sobre a qual não foi alcançado um consenso deve ser submetida pela autoridade de controlo principal ao procedimento de controlo da coerência, o que conduz a uma decisão vinculativa do CEPD. Em caso de reabertura de uma investigação, a autoridade competente deve tomar uma decisão final, no prazo previsto no RGPD, sobre os aspetos materiais analisados e tratados na sequência de uma decisão vinculativa do CEPD. Tal não impede a autoridade competente de realizar uma investigação complementar e de analisar aspetos do caso que ainda não tenham sido analisados.
Em segundo lugar, o Tribunal Geral considera que as condições de atribuição de competência a um órgão da União não se opõem à interpretação adotada, segundo a qual o CEPD tem competência para impor a uma autoridade de controlo principal que amplie a sua análise e, sendo caso disso, a sua investigação. Com efeito, o exercício dessa competência está enquadrado por diversos critérios e condições que delimitam o seu âmbito de ação. Assim, esta competência, por um lado, só é exercida quando a análise da autoridade de controlo principal no tratamento do caso em apreço é manifestamente insuficiente e é suscetível de ter consequências importantes, como resulta da definição da objeção pertinente e fundamentada, e, por outro, resulta da apreciação coletiva das autoridades de controlo que compõem o CEPD.
Por outro lado, o Tribunal Geral esclarece que o exercício da referida competência está sujeito a fiscalização jurisdicional. Mais concretamente, dentro dos limites dos fundamentos perante si invocados, o juiz da União está em condições de apreciar a legalidade material das disposições impugnadas à luz das circunstâncias do caso concreto. Nomeadamente, pode, num primeiro momento, verificar se o CEPD, ao adotar disposições desta natureza, deu efetivamente seguimento a uma objeção pertinente e fundamentada de uma autoridade de controlo. Num segundo momento, pode verificar a própria legalidade material dessas disposições que dão instruções às autoridades de controlo.
Neste contexto, o Tribunal Geral acrescenta que uma decisão vinculativa do CEPD que impõe à autoridade de controlo principal que amplie a sua análise e a sua investigação, não põe em causa a sua capacidade de estabelecer prioridades no exercício das suas diferentes atribuições enquanto autoridade independente, tarefa cuja fiscalização compete exclusivamente ao juiz nacional. Tal decisão também não põe em causa, de forma mais geral, a sua independência (
6
).
(
1
)	Nos termos do artigo 60.o, n.o 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).
(
2
)	Nos termos do artigo 65.o, n.o 1, alínea a), do RGPD.
(
3
)	Artigo 65.o, n.o 1, alínea a), do RGPD, lido em conjugação com o artigo 4.o, ponto 24, o artigo 65.o, n.o 6, e os considerandos 126 e 136 deste regulamento.
(
4
)	Previsto no artigo 60.o do RGPD.
(
5
)	Artigo 57.o, n.o 1, alíneas a), e f), do RGPD.
(
6
)	Consagrada no artigo 39.o TUE, no artigo 16.o TFUE e no artigo 8.o, n.o 3, da Carta dos Direitos Fundamentais da União Europeia.