62023CJ0200_RES
Processo C‑200/23
Agentsia po vpisvaniyata
contra
OL
(pedido de decisão prejudicial apresentado pelo Varhoven administrativen sad)
Acórdão do Tribunal de Justiça (Primeira Secção) de 4 de outubro de 2024
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Publicação, no registo comercial, de um contrato de sociedade com dados pessoais — Diretiva (UE) 2017/1132 — Dados pessoais não obrigatórios — Falta de consentimento do titular dos dados — Direito ao apagamento — Dano imaterial»
Liberdade de estabelecimento — Sociedades — Diretiva 2017/1132 — Obrigação de um Estado‑Membro de autorizar, no registo comercial, a publicidade de um contrato de sociedade com dados pessoais — Publicação de dados não exigida pelo direito nacional — Inexistência de obrigação
(Diretiva 2017/1132 do Parlamento Europeu e do Conselho, artigo 21.o, n.o 2)
(cf. n.os 54, 55, 60 e disp. 1)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Conceito de responsável pelo tratamento — Conceito de destinatário dos dados — Autoridade responsável pelo registo comercial de um Estado‑Membro, que publica os dados pessoais constantes de um contrato de sociedade — Inclusão — Contrato com dados pessoais não exigidos pela Diretiva 2017/1132 nem pelo direito nacional — Não incidência
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 4.o, pontos 7 e 9; Diretiva 2017/1132 do Parlamento Europeu e do Conselho)
(cf. n.os 66, 72‑76, 83 e disp. 2)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Requisitos de licitude de um tratamento de dados pessoais — Tratamento necessário ao respeito de uma obrigação legal que incumbe ao responsável pelo tratamento — Publicação dos dados pessoais constantes de um contrato de sociedade — Dados pessoais não exigidos pela Diretiva 2017/1132 nem pelo direito nacional — Exclusão — Qualificação dessa publicação como tratamento necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública — Requisitos — Caráter necessário do tratamento
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 6.o, n.o 1, primeiro parágrafo, alíneas c) e e); Diretiva 2017/1132 do Parlamento Europeu e do Conselho]
(cf. n.os 94‑96, 105‑112, 114‑116)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito ao apagamento — Alcance — Tratamento ilícito de dados pessoais — Inclusão — Tratamento lícito de dados pessoais — Tratamento necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública — Exclusão — Exceção — Existência de razões imperiosas e legítimas para o tratamento que prevalecem sobre os interesses, direitos e liberdades da pessoa em questão — Ónus da prova que incumbe ao responsável pelo tratamento
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 6.°, n.o 1, 17.°, n.o 1, alíneas c) e d), e 21.o, n.o 1]
(cf. n.os 118‑120)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito ao apagamento — Obrigação de uma autoridade nacional responsável pelo registo comercial de um Estado‑Membro de recusar qualquer pedido de apagamento de dados não ocultados — Dados pessoais não exigidos pela Diretiva 2017/1132 nem pelo direito nacional — Inadmissibilidade
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 17.o; Diretiva 2017/1132 do Parlamento Europeu e do Conselho, artigo 16.o)
(cf. n.o 127 e disp. 3)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Conceito de dados pessoais — Assinatura manuscrita de uma pessoa singular — Inclusão
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 4.o, ponto 1)
(cf. n.os 131, 133‑136 e disp. 4)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito de indemnização e responsabilidade — Direito de indemnização pelos danos sofridos — Dano moral — Conceito — Perda de controlo sobre os dados pessoais — Inclusão — Requisitos — Ónus da prova do dano imaterial que incumbe à pessoa em questão — Obrigação de demonstrar a existência de consequências negativas tangíveis adicionais — Inexistência
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 82.o, n.o 1)
(cf. n.os 140‑146, 156 e disp. 5)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito de indemnização e responsabilidade — Responsabilidade do responsável pelo tratamento e obrigação de reparar os danos sofridos pela pessoa em questão — Isenção — Alcance — Emissão, por uma autoridade de controlo, de um parecer consultivo sobre as questões relacionadas com a proteção de dados, fornecido ao responsável pelo tratamento — Não aplicação da isenção de responsabilidade de uma autoridade nacional que tem a qualidade de responsável pelo tratamento
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 4.°, ponto 7, 58.o, n.o 3, alínea b), e e 82.°, n.os 1 a 3]
(cf. n.os 171, 172, 174, 176 e disp. 6)
Resumo
Chamado a pronunciar‑se a título prejudicial pelo Varhoven administrativen sad (Supremo Tribunal Administrativo, Bulgária), o Tribunal de Justiça pronuncia‑se sobre uma série de questões relativas, em substância, à articulação entre as disposições do direito da União Europeia em matéria de publicidade dos atos das sociedades (
1
) e o RGPD (
2
).
A OL é sócia da «Praven Shtit Konsulting» OOD, uma sociedade de responsabilidade limitada de direito búlgaro inscrita no registo comercial na sequência da apresentação de um contrato de sociedade. Este contrato, tornado público pela Agentsia po vpisvaniyata (Agência de Registos, Bulgária) (a seguir «Agência») tal como tinha sido apresentado, contém vários dados pessoais dos associados, incluindo os seus apelidos, nomes próprios, números de bilhete de identidade, endereços e assinaturas.
Em 2021, OL pediu à Agência que eliminasse os dados pessoais que lhe diziam respeito constantes desse contrato. A recusa desta Agência em deferir esse pedido foi objeto de dois recursos interpostos por OL no Administrativen sad Dobrich (Tribunal Administrativo de Dobrich, Bulgária). Por Sentença de 5 de maio de 2022, este último órgão jurisdicional condenou a Agência a indemnizar OL por danos imateriais ao abrigo do RGPD (
3
). Não satisfeita com esta decisão, a Agência interpôs recurso de cassação para o órgão jurisdicional de reenvio.
Interrogando‑se sobre a conciliação que deve ser efetuada entre a regulamentação relativa ao direito à proteção de dados pessoais e a que garante a publicidade e o acesso a determinados atos das sociedades, o órgão jurisdicional de reenvio submeteu um pedido de decisão prejudicial ao Tribunal de Justiça.
Apreciação do Tribunal de Justiça
Em primeiro lugar, no que respeita ao alcance da publicidade voluntária das indicações, incluindo dos dados pessoais constantes dos atos das sociedades, o Tribunal de Justiça salienta que a disposição da Diretiva 2017/1132 que visa a publicidade voluntária dos atos e indicações relativos à sociedade (
4
) apenas diz respeito às suas traduções, sem, todavia, se referir ao seu conteúdo. Por conseguinte, não pode ser interpretada no sentido de que impõe qualquer obrigação relativa à publicidade de dados cuja publicidade não é exigida por outras disposições do direito da União nem pelo direito do Estado‑Membro em causa, mas que figuram num ato sujeito à publicidade obrigatória prevista nessa diretiva (
5
). Assim, esta disposição não impõe a um Estado‑Membro uma obrigação de permitir a publicidade, no registo comercial, de um contrato de sociedade sujeito à publicidade obrigatória prevista nesta diretiva e que contém outros dados pessoais diferentes dos dados pessoais mínimos exigidos, cuja publicidade não é exigida pelo direito desse Estado‑Membro.
Em segundo lugar, o Tribunal de Justiça salienta que a autoridade encarregada da manutenção do registo comercial de um Estado‑Membro que aí publica os dados pessoais constantes de um contrato de sociedade sujeito à publicidade obrigatória prevista na Diretiva 2017/1132 e transmitido no âmbito de um pedido de inscrição da sociedade nesse registo, é tanto «destinatária» desses dados como, nomeadamente na medida em que os disponibiliza ao público, «responsável pelo tratamento» dos referidos dados (
6
), mesmo que esse contrato contenha dados não exigidos por esta diretiva ou pelo direito desse Estado‑Membro.
Neste contexto, o Tribunal de Justiça observa que, nos termos da Diretiva 2017/1132, compete aos Estados‑Membros determinar, nomeadamente, que categorias de informações relativas à identidade das pessoas ligadas às sociedades, e, em especial, que tipos de dados pessoais, são objeto de publicidade obrigatória, no respeito do direito da União.
O Tribunal de Justiça refere também que, ao transcrever e ao conservar dados pessoais recebidos no âmbito de um pedido de inscrição de uma sociedade no registo comercial de um Estado‑Membro, comunicando‑os, se for caso disso, mediante pedido a terceiros e publicando‑os no boletim nacional, ou por uma medida de efeito equivalente, a autoridade encarregada da manutenção deste registo efetua tratamentos de dados pessoais relativamente aos quais é o «responsável pelo tratamento». Com efeito, esses tratamentos de dados pessoais são distintos e posteriores à comunicação dos dados pessoais efetuada pelo requerente dessa inscrição e recebida por essa autoridade. Além disso, esta última procede sozinha aos referidos tratamentos, em conformidade com as finalidades e as modalidades fixadas pela Diretiva 2017/1132 e pela legislação do Estado‑Membro que transpõe esta diretiva.
Em terceiro lugar, no que respeita ao eventual direito ao apagamento de que dispõe a pessoa em questão (
7
), o Tribunal de Justiça procede, num primeiro momento, ao exame dos motivos de licitude que podem ser abrangidos pelo tratamento dos seus dados pessoais.
Por um lado, quanto à questão de saber se o tratamento é necessário para o cumprimento de uma obrigação legal decorrente do direito da União ou do direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito (
8
), o Tribunal de Justiça salienta que a Diretiva 2017/1132 não impõe o tratamento sistemático de dados pessoais contidos num ato sujeito à publicidade obrigatória previsto nesta diretiva. Pelo contrário, qualquer tratamento de dados pessoais efetuado no âmbito desta diretiva deve cumprir plenamente as exigências decorrentes do RGPD. Assim, incumbe aos Estados‑Membros assegurar a conciliação dos objetivos de segurança jurídica e de proteção dos interesses de terceiros, prosseguidos pela Diretiva 2017/1132, e dos direitos consagrados pelo RGPD.
Por conseguinte, não se pode considerar que a disponibilização ao público, em linha, no registo comercial, de dados pessoais não exigidos pela Diretiva 2017/1132 ou pela legislação nacional em causa no processo principal, que figura num contrato de sociedade sujeito à publicidade obrigatória prevista por esta diretiva e transmitidos à Agência, se justifique pela exigência de assegurar a publicidade dos atos referidos nessa diretiva, e que, por isso, resulte de uma obrigação legal prevista pelo direito da União. Além disso, a licitude do tratamento em causa também não parece basear‑se, sob reserva de verificação pelo órgão jurisdicional de reenvio, numa obrigação jurídica prevista pelo direito nacional.
Por outro lado, quanto à necessidade do tratamento em causa para o exercício de funções de interesse público (
9
), o Tribunal de Justiça observa que esse tratamento se afigura, é certo, realizado no âmbito dessas funções. No entanto, parece ir além do que é necessário para realizar os objetivos de interesse geral prosseguidos.
A este respeito, o Tribunal de Justiça salienta que a exigência de preservar a integridade e a fiabilidade dos atos das sociedades sujeitos à publicidade obrigatória prevista na Diretiva 2017/1132, que impõe a publicação desses atos tal como foram transmitidos às autoridades responsáveis pela manutenção do registo comercial, não pode sistematicamente prevalecer sobre o direito à proteção de dados pessoais, sob pena de tornar a sua proteção ilusória. Em especial, esta exigência não pode impor a manutenção da disponibilização ao público, em linha, nesse registo, de dados pessoais não exigidos por essa diretiva ou pelo direito nacional, quando a Agência pode fazer ela própria a cópia expurgada dos dados não exigidos do ato da sociedade em questão, prevista por esse direito, com vista a essa disponibilização.
Num segundo momento, o Tribunal de Justiça sublinha que, na hipótese de o órgão jurisdicional de reenvio concluir, no termo da sua apreciação, pela licitude do tratamento em questão, incumbe à Agência, enquanto responsável pelo tratamento, apagar os dados em questão sem demora injustificada.
Todavia, se esse órgão jurisdicional concluir que esse tratamento é efetivamente necessário para o exercício de funções de interesse público, nomeadamente na medida em que a disponibilização ao público, em linha, no registo comercial, de dados não exigidos pela Diretiva 2017/1132 ou pela legislação nacional era necessária para evitar atrasar a inscrição da sociedade em questão, no interesse da proteção de terceiros, há que proceder à análise da existência de razões imperiosas e legítimas suscetíveis de prevalecer sobre os interesses, direitos e liberdades da pessoa em questão e de se opor ao pedido de apagamento (
10
).
Assim, o Tribunal de Justiça constata que a Diretiva 2017/1132 e o RGPD devem ser interpretados no sentido de que se opõem a uma regulamentação ou a uma prática de um Estado‑Membro que leva a autoridade encarregada da manutenção do registo comercial desse Estado‑Membro a recusar qualquer pedido de apagamento dos dados pessoais, não exigidos por esta diretiva ou pelo direito do referido Estado‑Membro, que figura num contrato de sociedade publicado nesse registo, quando uma cópia desse contrato que oculta esses dados não tiver sido fornecida a essa autoridade contrariamente às modalidades processuais previstas por essa regulamentação.
Em último lugar, pronunciando‑se sobre o regime de responsabilidade ao abrigo do RGPD e, mais concretamente, sobre o impacto, neste âmbito, de um parecer emitido pela autoridade de controlo de um Estado‑Membro, o Tribunal de Justiça sublinha que, por força do RGPD (
11
), a emissão de tal parecer faz parte dos poderes consultivos e não dos poderes de autorização da autoridade de controlo. Além disso, os termos utilizados indicam que este parecer não é, ao abrigo do direito da União, juridicamente vinculativo. Assim, o parecer em causa não pode, por si só, comprovar a inexistência de imputabilidade do dano ao próprio responsável pelo tratamento nem, por isso, ser suficiente para o isentar da responsabilidade prevista no RGPD. Por conseguinte, tal parecer não é suficiente para isentar de responsabilidade a autoridade encarregada da manutenção do registo comercial de um Estado‑Membro que tem a qualidade de responsável pelo tratamento.
(
1
)	Diretiva (UE) 2017/1132 do Parlamento Europeu e do Conselho, de 14 de junho de 2017, relativa a determinados aspetos do direito das sociedades (JO 2017, L 69, p. 46).
(
2
)	Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).
(
3
)	Ao abrigo do artigo 82.o do RGPD.
(
4
)	O artigo 21.o, n.o 2, da Diretiva 2017/1132.
(
5
)	Por força do artigo 14.o da Diretiva 2017/1132
(
6
)	Respetivamente, na aceção do artigo 4.o, ponto 7, e do artigo 4.o, ponto 9, do RGPD.
(
7
)	Nos termos do artigo 17.o do RGPD.
(
8
)	Motivo de licitude constante do artigo 6.o, n.o 1, primeiro parágrafo, alínea c), do RGPD.
(
9
)	Motivo de licitude constante do artigo 6.o, n.o 1, primeiro parágrafo, alínea c), do RGPD.
(
10
)	Nos termos do artigo 17.o, n.o 1, alínea c), conjugado com o artigo 21.o, n.o 1, do RGPD.
(
11
)	Artigo 58.o, n.o 3, alínea b), do RGPD.