Processo C‑807/21
Deutsche Wohnen SE
contra
Staatsanwaltschaft Berlin
(pedido de decisão prejudicial apresentado pelo Kammergericht Berlin)
Acórdão do Tribunal de Justiça (Grande Secção) de 5 de dezembro de 2023
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 4.°, ponto 7 — Conceito de “responsável pelo tratamento” — Artigo 58.°, n.° 2 — Poderes das autoridades de controlo para aplicar medidas de correção — Artigo 83.° — Aplicação de coimas a uma pessoa coletiva — Condições — Margem de manobra dos Estados‑Membros — Exigência do caráter intencional ou negligente da infração»
1.        Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Aplicação de coimas — Condições — Falta de margem de manobra dos Estados‑Membros para estabelecer as condições materiais relativas à aplicação de uma coima a um responsável pelo tratamento — Pertinência do conceito de empresa na aceção dos artigos 101.° e 102.° TFUE limitada ao cálculo de uma coima — Regulamentação nacional que subordina a possibilidade de aplicar uma coima a uma pessoa coletiva na qualidade de responsável pelo tratamento à condição de uma imputação prévia da infração em causa a uma pessoa singular identificada — Inadmissibilidade
(Artigos 101.°, 102.°, 288.°, segundo parágrafo, TFUE; Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, considerandos 10, 11, 74, 129 e 150, e artigos 4.°, ponto 7, 58.°, n.os 2 e 4, e 83.°)
(cf. n.os 38, 43‑ 60, disp.)
2.        Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Conceito de «responsável pelo tratamento» — Pessoa coletiva — Inclusão — Condição — Participação efetiva na determinação das finalidades e dos meios do tratamento
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 4.°, ponto 7)
(cf. n.os 39‑42)
3.        Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento n.° 2016/679 — Aplicação de coimas — Condições — Falta de margem de manobra dos Estados‑Membros para estabelecer as condições materiais relativas à aplicação de uma coima a um responsável pelo tratamento — Exigência de que o responsável pelo tratamento tenha cometido uma infração intencionalmente ou por negligência
Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerandos 9, 13 e 148 e artigos 58.°, n.° 2, e 83)
(cf. n.os 65‑78, 86, disp. 2)
Resumo
A Deutsche Wohnen SE (a seguir «DW») é uma sociedade imobiliária que detém indiretamente, através de participações em diferentes sociedades, numerosas unidades comerciais e habitacionais. No âmbito das suas atividades comerciais, trata dados pessoais dos arrendatários das referidas unidades.
Na sequência de dois controlos efetuados em 2017 e em 2019, a Berliner Beauftragte für den Datenschutz (Autoridade de Controlo em Matéria de Proteção de Dados de Berlim, Alemanha) constatou que a DW tinha cometido uma série de infrações ao RGPD (1). Por Decisão de 30 de outubro de 2019, a referida autoridade de controlo, a esse título, aplicou‑lhe coimas.
A DW interpôs recurso dessa decisão no Landgericht Berlin (Tribunal Regional de Berlim, Alemanha), que arquivou o processo. Este órgão jurisdicional salientou que, por força da lei alemã (2), uma infração administrativa só pode ser declarada contra uma pessoa singular e não contra uma pessoa coletiva. Além disso, em caso de responsabilização de uma pessoa coletiva, apenas os atos dos órgãos ou dos representantes da mesma lhe podem ser imputados. O Staatsanwaltschaft Berlin (Ministério Público de Berlim) interpôs recurso desta decisão para o Kammergericht Berlin (Tribunal Regional Superior de Berlim, Alemanha). Nestas circunstâncias, o referido órgão jurisdicional submeteu ao Tribunal de Justiça um pedido de decisão prejudicial relativo à interpretação do RGPD (3).
No seu acórdão, o Tribunal, reunido em Grande Secção, pronuncia‑se sobre as condições de aplicação de coimas a título do RGPD. Em primeiro lugar, analisa a questão de saber se os Estados‑Membros podem subordinar a aplicação de uma coima a uma pessoa coletiva à condição de a infração ao referido regulamento ser previamente imputada a uma pessoa singular identificada. Em segundo lugar, debruça‑se sobre a questão de saber se a infração às disposições do RGPD que é objeto de sanção tem que ter sido cometida intencionalmente ou por negligência (4).
Apreciação do Tribunal de Justiça
No que respeita à aplicação de uma coima por força do RGPD a uma pessoa coletiva, o Tribunal salienta, antes de mais, que os princípios, proibições e obrigações previstos no RGPD têm por destinatários, em especial, os «responsáveis pelo tratamento» cuja responsabilidade se estende a qualquer tratamento de dados pessoais realizado por estes ou por sua conta. É esta responsabilidade que constitui, em caso de violação das disposições do RGPD, o fundamento para a aplicação de uma coima ao responsável pelo tratamento em aplicação do artigo 83.° do referido regulamento. No  entanto, o legislador da União, para efeitos da determinação de tal responsabilidade, não efetuou uma distinção entre as pessoas singulares e as pessoas coletivas, dado que a referida responsabilidade está sujeita unicamente à condição de estas, individualmente ou em conjunto com outras, determinarem as finalidades e os meios do tratamento de dados pessoais (5). Por conseguinte, em princípio, qualquer pessoa que preencha esta condição é nomeadamente responsável por qualquer infração ao RGPD, realizada por si mesma ou por sua conta. Isso implica, por um lado, que as pessoas coletivas são responsáveis não só pelas infrações cometidas pelos seus representantes, diretores ou gestores, mas também por qualquer outra pessoa que atue no âmbito da atividade comercial dessas pessoas coletivas e por sua conta. Por outro lado, as coimas previstas pelo RGPD em caso de tais infrações devem poder ser aplicadas diretamente a pessoas coletivas quando estas possam ser qualificadas de responsáveis pelo tratamento.
Em seguida, o Tribunal observa que nenhuma disposição do RGPD permite considerar que a aplicação de uma coima a uma pessoa coletiva enquanto responsável pelo tratamento esteja sujeita à constatação prévia de que essa infração foi cometida por uma pessoa singular identificada. Além disso, o legislador da União não deixou aos Estados‑Membros margem de apreciação a este respeito. O facto de o RGPD dar aos Estados‑Membros a possibilidade de estabelecer exigências no que respeita ao procedimento a seguir pelas autoridades de controlo para aplicar uma coima (6) não significa, de modo nenhum, que estes estão igualmente habilitados a prever condições materiais adicionais às fixadas pelo RGPD.
Neste contexto, o Tribunal especifica que permitir aos Estados‑Membros que exijam unilateralmente e como condição necessária à aplicação de uma coima nos termos do artigo 83.° do RGPD a um responsável pelo tratamento que é uma pessoa coletiva, que a violação em causa seja imputada ou imputável, previamente, a uma pessoa singular identificada seria contrário à finalidade do RGPD. Além disso, tal exigência adicional poderia, em última análise, enfraquecer a eficácia e o efeito dissuasivo das coimas aplicadas a pessoas coletivas enquanto responsáveis pelo tratamento.
Por último, o Tribunal salienta que o conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE (7), não tem incidência na questão de saber se e em que condições pode ser aplicada uma coima nos termos do RGPD a um responsável pelo tratamento que seja uma pessoa coletiva e só é pertinente para determinar o montante da referida coima.
Assim, o Tribunal concluiu que o RGPD (8) se opõe a uma regulamentação nacional por força da qual só pode ser aplicada uma coima a uma pessoa coletiva na sua qualidade de responsável pelo tratamento por uma infração prevista neste regulamento (9)na medida em que essa infração tenha sido previamente imputada a uma pessoa singular identificada.
No que respeita à questão de saber se os Estados‑Membros podem prever a aplicação de uma coima mesmo quando a infração objeto de sanção não foi cometida intencionalmente ou por negligência, o Tribunal recorda, antes de mais, que as condições materiais que devem ser respeitadas por uma autoridade de controlo quando aplica uma coima a um responsável pelo tratamento são unicamente abrangidas pelo direito da União e que os Estados‑Membros não dispõem de nenhuma margem de manobra a este respeito.
No que respeita a essas condições, o Tribunal salienta que, entre os elementos enumerados no RGPD com base nos quais a autoridade de controlo aplica tal coima figura «[o] caráter intencional ou negligente da infração» (10). Em contrapartida, nenhum destes elementos refere qualquer possibilidade de responsabilizar o responsável pelo tratamento sem um comportamento culposo da parte deste. Assim, só as infrações às disposições do RGPD cometidas de forma culposa pelo responsável pelo tratamento, a saber, as cometidas intencionalmente ou por negligência, podem conduzir à aplicação de uma coima a este último em aplicação do artigo 83.° deste regulamento.
O Tribunal acrescenta que a sistemática geral e a finalidade do RGPD corroboram esta interpretação. Neste contexto, especifica que a existência de um sistema de sanções que permita aplicar, quando as circunstâncias específicas de cada caso concreto o justifiquem, uma coima nos termos do RGPD, cria um incentivo para os responsáveis pelo tratamento e os subcontratantes cumprirem este regulamento e, por conseguinte, através do seu efeito dissuasivo, as coimas contribuem para o reforço da proteção das pessoas afetadas. No entanto, o legislador da União não considerou necessário prever a aplicação de coimas caso não haja culpa. Tendo em conta que o RGPD visa um nível de proteção simultaneamente equivalente e homogéneo e, para esse efeito, deve ser aplicado de forma coerente em toda a União, seria contrário a esta finalidade permitir aos Estados‑Membros estabelecer esse regime para a aplicação de uma coima.
Por conseguinte, o Tribunal declara que, por força do artigo 83.° do RGPD, só pode ser aplicada uma coima nos termos desta disposição se se demonstrar que o responsável pelo tratamento, que é simultaneamente uma pessoa coletiva e uma empresa, cometeu, intencionalmente ou por negligência, uma infração às normas constantes do referido regulamento.
1      Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, a seguir «RGPD»).
2      Gesetz über Ordnungswidrigkeiten (Lei relativa às Infrações Administrativas), de 24 de maio de 1968 (BGBl. 1968 I, p. 481), na versão da comunicação de 19 de fevereiro de 1987 (BGBl. 1987 I, p. 602), conforme alterada pela Lei de 19 de junho de 2020 (BGBl. 2020 I, p. 1350).
3      Artigos 58.°, n.° 2, e 83.° do RGPD.
4      Quanto a este aspeto, v., igualmente, Acórdão Nacionalinis visuomenės sveikatos centras (C‑683/21), proferido na mesma data.
5      Nos termos do artigo 4.°, ponto 7, do RGPD.
6      Como resulta do artigo 58.°, n.° 4, e do artigo 83.°, n.° 8, do RGPD, lidos à luz do considerando 129 do mesmo regulamento.
7      Para o qual remete o considerando 150 do RGPD.
8      Artigo 58.°, n.° 2, alínea i), e artigo 83.°, n.os 1 a 6, do RGPD.
9      Prevista no artigo 83.°, n.os 4 a 6, do RGPD.
10      Artigo 83.°, n.° 2, alínea b), do RGPD.