62023CC0021
CONCLUSÕES DO ADVOGADO‑GERAL
MACIEJ SZPUNAR
apresentadas em 25 de abril de 2024 (
1
)
Processo C‑21/23
ND
contra
DR
[pedido de decisão prejudicial apresentado pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha)]
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Vias de recurso — Delimitação das vias de recurso — Tratamento de categorias especiais de dados pessoais — Conceito de “dados relativos à saúde”»
I. Introdução
1.
O presente processo tem por objeto a interpretação de várias disposições do Regulamento (UE) 2016/679 (
2
) (a seguir «RGPD») no que respeita, por um lado, ao sistema de vias de recurso instituído por este regulamento e, por outro, à categoria de dados de especial sensibilidade que são os «dados relativos à saúde».
2.
O pedido de decisão prejudicial inscreve‑se no contexto de uma ação inibitória, baseada na proibição, no direito nacional, de atos de concorrência desleal e intentada por uma empresa para pôr termo à comercialização na Internet, por um dos seus concorrentes, de medicamentos não sujeitos a receita médica. O alegado ato de concorrência desleal consiste, segundo essa empresa, na inobservância das exigências decorrentes do RGPD no que respeita ao tratamento de «dados relativos à saúde».
3.
Começarei a minha análise pela segunda questão prejudicial, que permitirá ao Tribunal de Justiça esclarecer os contornos do conceito de «dados relativos à saúde» que determina a aplicação ou não de um regime de proteção reforçado.
4.
Com efeito, se não for possível qualificar os dados em causa no presente processo de «dados relativos à saúde», na aceção do artigo 9.o, n.o 1, do RGPD, isso levará a que não se verifique o alegado ato de concorrência desleal. Assim, deixará de ser útil responder à primeira questão prejudicial, que tem por objeto a questão de saber se o sistema de vias de recurso instituído pelo RGPD permite a existência, em direito nacional, de uma ação baseada na violação das regras relativas à proibição dos atos de concorrência desleal, através da qual o demandante invoca a violação das disposições materiais do RGPD.
II. Quadro jurídico
A. Direito da União
1.
Diretiva 95/46/CE
5.
A Diretiva 95/46/CE (
3
) prevê, no seu artigo 8.o, n.o 1:
«Os Estados‑Membros proibirão o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, bem como o tratamento de dados relativos à saúde e à vida sexual.»
2.
RGPD
6.
Os considerandos 9, 10, 13, 35, 51 e 142 do RGPD têm a seguinte redação:
«(9)
Os objetivos e os princípios da [Diretiva 95/46] continuam a ser válidos, mas não evitaram a fragmentação da aplicação da proteção dos dados ao nível da União, nem a insegurança jurídica ou o sentimento generalizado da opinião pública de que subsistem riscos significativos para a proteção das pessoas singulares, nomeadamente no que diz respeito às atividades por via eletrónica. As diferenças no nível de proteção dos direitos e das pessoas singulares, nomeadamente do direito à proteção dos dados pessoais no contexto do tratamento desses dados nos Estados‑Membros, podem impedir a livre circulação de dados pessoais na União. Essas diferenças podem, por conseguinte, constituir um obstáculo ao exercício das atividades económicas a nível da União, distorcer a concorrência e impedir as autoridades de cumprirem as obrigações que lhes incumbem por força do direito da União. Essas diferenças entre os níveis de proteção devem‑se à existência de disparidades na execução e aplicação da [Diretiva 95/46].
(10)
A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. […]
[…]
(13)
A fim de assegurar um nível coerente de proteção das pessoas singulares no conjunto da União e evitar que as divergências constituam um obstáculo à livre circulação de dados pessoais no mercado interno, é necessário um regulamento que garanta a segurança jurídica e a transparência aos operadores económicos, incluindo as micro, pequenas e médias empresas, que assegure às pessoas singulares de todos os Estados‑Membros o mesmo nível de direitos suscetíveis de proteção judicial e imponha obrigações e responsabilidades iguais aos responsáveis pelo tratamento e aos seus subcontratantes, que assegure um controlo coerente do tratamento dos dados pessoais, sanções equivalentes em todos os Estados‑Membros, bem como uma cooperação efetiva entre as autoridades de controlo dos diferentes Estados‑Membros. […]
[…]
(35)
Deverão ser considerados dados pessoais relativos à saúde todos os dados relativos ao estado de saúde de um titular de dados que revelem informações sobre a sua saúde física ou mental no passado, no presente ou no futuro. O que precede inclui informações sobre a pessoa singular recolhidas durante a inscrição para a prestação de serviços de saúde, ou durante essa prestação, conforme referido na [Diretiva 2011/24/UE (
4
)], a essa pessoa singular; qualquer número, símbolo ou sinal particular atribuído a uma pessoa singular para a identificar de forma inequívoca para fins de cuidados de saúde; as informações obtidas a partir de análises ou exames de uma parte do corpo ou de uma substância corporal, incluindo a partir de dados genéticos e amostras biológicas; e quaisquer informações sobre, por exemplo, uma doença, deficiência, um risco de doença, historial clínico, tratamento clínico ou estado fisiológico ou biomédico do titular de dados, independentemente da sua fonte, por exemplo, um médico ou outro profissional de saúde, um hospital, um dispositivo médico ou um teste de diagnóstico in vitro.
[…]
(51)
Merecem proteção específica os dados pessoais que sejam, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e liberdades fundamentais, dado que o contexto do tratamento desses dados poderá implicar riscos significativos para os direitos e liberdades fundamentais. […] Tais dados pessoais não deverão ser objeto de tratamento, salvo se essa operação for autorizada em casos específicos definidos no presente regulamento, tendo em conta que o direito dos Estados‑Membros pode estabelecer disposições de proteção de dados específicas, a fim de adaptar a aplicação das regras do presente regulamento para dar cumprimento a uma obrigação legal, para o exercício de funções de interesse público ou para o exercício da autoridade pública de que está investido o responsável pelo tratamento. Para além dos requisitos específicos para este tipo de tratamento, os princípios gerais e outras disposições do presente regulamento deverão ser aplicáveis, em especial no que se refere às condições para o tratamento lícito. Deverão ser previstas de forma explícita derrogações à proibição geral de tratamento de categorias especiais de dados pessoais, por exemplo, se o titular dos dados der o seu consentimento expresso ou para ter em conta necessidades específicas, designadamente quando o tratamento for efetuado no exercício de atividades legítimas de certas associações ou fundações que tenham por finalidade permitir o exercício das liberdades fundamentais.
[…]
(142)
Se o titular dos dados considerar que os direitos que lhe são conferidos pelo presente regulamento foram violados, deverá ter o direito de mandatar um organismo, organização ou associação sem fins lucrativos que seja constituído ao abrigo do direito de um Estado‑Membro, cujos objetivos estatutários sejam de interesse público e que exerça a sua atividade no domínio da proteção dos dados pessoais, para apresentar uma reclamação em seu nome junto de uma autoridade de controlo, ou exercer o direito de recurso judicial em nome dos titulares dos dados ou, se tal estiver previsto no direito de um Estado‑Membro, exercer o direito à indemnização em nome dos titulares do[s] dados. Os Estados‑Membros podem prever que esse organismo, organização ou associação tenha o direito de apresentar no Estado‑Membro em causa uma reclamação, independentemente do mandato do titular dos dados, e o direito a um recurso judicial efetivo, se tiver razões para considerar que ocorreu uma violação dos direitos do titular dos dados por o tratamento dos dados pessoais violar o presente regulamento. Esse organismo, organização ou associação pode não ser autorizado a pedir uma indemnização em nome do titular dos dados independentemente do mandato que lhe é conferido por este.»
7.
O artigo 1.o deste regulamento, sob a epígrafe «Objeto e objetivos», dispõe:
«1.   O presente regulamento estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
2.   O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.
3.   A livre circulação de dados pessoais no interior da União não é restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais.»
8.
O artigo 4.o do referido regulamento prevê:
«Para efeitos do presente regulamento, entende‑se por:
1)
“Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
[…]
15)
“Dados relativos à saúde”, dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;
[…]»
9.
Nos termos do artigo 9.o do mesmo regulamento, sob a epígrafe «Tratamento de categorias especiais de dados pessoais»:
«1.   É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.
2.   O disposto no n.o 1 não se aplica se se verificar um dos seguintes casos:
a)
Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou mais finalidades específicas, exceto se o direito da União ou de um Estado‑Membro previr que a proibição a que se refere o n.o 1 não pode ser anulada pelo titular dos dados;
[…]
h)
Se o tratamento for necessário para efeitos de medicina preventiva ou do trabalho, para a avaliação da capacidade de trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social com base no direito da União ou dos Estados‑Membros ou por força de um contrato com um profissional de saúde, sob reserva das condições e garantias previstas no n.o 3;
[…]»
10.
Os artigos 77.o a 84.o figuram no capítulo VIII do RGPD, intitulado «Vias de recurso, responsabilidade e sanções».
11.
O artigo 77.o deste regulamento, sob a epígrafe «Direito de apresentar reclamação a uma autoridade de controlo», dispõe, no seu n.o 1:
«Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo, em especial no Estado‑Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, se o titular dos dados considerar que o tratamento dos dados pessoais que lhe diga respeito viola o presente regulamento.»
12.
O artigo 78.o do referido regulamento, sob a epígrafe «Direito à ação judicial contra uma autoridade de controlo», enuncia, no seu n.o 1:
«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, todas as pessoas singulares ou coletivas têm direito à ação judicial contra as decisões juridicamente vinculativas das autoridades de controlo que lhes digam respeito.»
13.
O artigo 79.o do mesmo regulamento, sob a epígrafe «Direito à ação judicial contra um responsável pelo tratamento ou um subcontratante», prevê, no seu n.o 1:
«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, nomeadamente o direito de apresentar reclamação a uma autoridade de controlo, nos termos do artigo 77.o, todos os titulares de dados têm direito à ação judicial se considerarem ter havido violação dos direitos que lhes assistem nos termos do presente regulamento, na sequência do tratamento dos seus dados pessoais efetuado em violação do referido regulamento.»
14.
O artigo 80.o do RGPD, sob a epígrafe «Representação dos titulares dos dados», enuncia:
«1.   O titular dos dados tem o direito de mandatar um organismo, organização ou associação sem fins lucrativos, que esteja devidamente constituído ao abrigo do direito de um Estado‑Membro, cujos objetivos estatutários sejam do interesse público e cuja atividade abranja a defesa dos direitos e liberdades do titular dos dados no que respeita à proteção dos seus dados pessoais, para, em seu nome, apresentar reclamação, exercer os direitos previstos nos artigos 77.o, 78.o e 79.o, e exercer o direito de receber uma indemnização referido no artigo 82.o, se tal estiver previsto no direito do Estado‑Membro.
2.   Os Estados‑Membros podem prever que o organismo, a organização ou a associação referidos no n.o 1 do presente artigo, independentemente de um mandato conferido pelo titular dos dados, tenham nesse Estado‑Membro direito a apresentar uma reclamação à autoridade de controlo competente nos termos do artigo 77.o e a exercer os direitos a que se referem os artigos 78.o e 79.o, caso considerem que os direitos do titular dos dados, nos termos do presente regulamento, foram violados em virtude do tratamento.»
15.
O artigo 82.o deste regulamento, sob a epígrafe «Direito de indemnização e responsabilidade», dispõe, no seu n.o 1:
«Qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos.»
16.
O artigo 84.o do referido regulamento, sob a epígrafe «Sanções», enuncia, no seu n.o 1:
«Os Estados‑Membros estabelecem as regras relativas às outras sanções aplicáveis em caso de violação do disposto no presente regulamento, nomeadamente às violações que não são sujeitas a coimas nos termos do artigo [83.o], e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas.»
B. Direito alemão
1.
Lei contra a Concorrência Desleal
17.
O § 3 da Gesetz gegen den unlauteren Wettbewerb (Lei relativa à Concorrência Desleal), de 3 de julho de 2004 (
5
), na versão aplicável ao litígio no processo principal (a seguir «Lei relativa à Concorrência Desleal»), sob a epígrafe «Proibição dos comportamentos comerciais desleais», prevê, no seu n.o 1. que «[a]s práticas comerciais desleais são ilícitas».
18.
O § 3a desta lei, sob a epígrafe «Violação do direito», tem a seguinte redação:
«Pratica um ato desleal quem infringe uma disposição legal destinada, nomeadamente, a regular o comportamento dos operadores no mercado, quando a infração é suscetível de prejudicar significativamente os interesses de consumidores, de outros operadores no mercado ou dos concorrentes.»
19.
O § 8 da referida lei, sob a epígrafe «Eliminação e omissão», enuncia:
«(1)   Quem praticar um ato comercial ilícito nos termos do § 3 ou do § 7 pode ser demandado em ação destinada à eliminação dos efeitos produzidos ou, em caso de risco de repetição, em ação inibitória [abstenção]. […]
[…]
(3)   São titulares dos direitos conferidos pelo n.o 1:
1.
os concorrentes que comercializam ou procuram bens ou serviços de forma não negligenciável e não ocasional,
[…]»
2.
Lei dos Medicamentos
20.
A circulação de medicamentos é regulada pela Arzneimittelgesetz (Lei dos Medicamentos), de 24 de agosto de 1976, na sua versão publicada em 12 de dezembro de 2005 (
6
), com a última redação que lhe foi dada pelo § 8c da Lei de 20 de dezembro de 2022 (
7
). Esta lei estabelece uma distinção entre os medicamentos vendidos em farmácia, a que se refere os §§ 43 (sob a epígrafe «Obrigação de dispensa em farmácia») a 47, e os medicamentos sujeitos a receita médica, a que se refere o § 48 (sob a epígrafe «Obrigação de prescrição»).
III. Factos do processo principal, tramitação processual e questões prejudiciais
21.
ND e DR exploram ambos farmácias. O demandante no processo principal, ND, é, além disso, titular de uma autorização de venda por correspondência e comercializa também os seus produtos, incluindo medicamentos de venda reservada às farmácias, através da Amazon Marketplace (a seguir «Amazon»), uma plataforma de comércio eletrónico através da qual os vendedores podem propor para venda produtos diretamente aos consumidores.
22.
O demandante no processo principal, DR, intentou uma ação inibitória, pedindo a proibição, por ND, da comercialização na plataforma de venda em linha Amazon de medicamentos de venda reservada às farmácias. Segundo DR, essa comercialização constitui um ato comercial desleal uma vez que conduz ND a infringir uma disposição legal, na aceção do § 3a da Lei relativa à Concorrência Desleal, a saber, nomeadamente, o artigo 9.o do RGPD relativo à obtenção do consentimento prévio e expresso do cliente para o tratamento dos seus dados pessoais relativos à saúde.
23.
O Landgericht Dessau‑Roßlau (Tribunal Regional de Dessau‑Roßlau, Alemanha) julgou a ação procedente. Posteriormente, o Oberlandesgericht Naumburg (Tribunal Regional Superior de Naumburg, Alemanha) negou provimento ao recurso interposto por ND, declarando que a comercialização por este último, na Amazon, de medicamentos cuja venda está reservada às farmácias é contrária à Lei relativa à Concorrência Desleal. Com efeito, segundo este órgão jurisdicional, esta comercialização constitui um tratamento de dados relativos à saúde, na aceção do artigo 9.o, n.o 1, do RGPD, que os clientes não consentiram expressamente. Ora, as disposições do RGPD devem ser consideradas regras de comportamento no mercado na aceção do direito nacional da concorrência, pelo que, enquanto concorrente, DR tem o direito de intentar uma ação inibitória com fundamento no direito nacional da concorrência, invocando a violação por ND das disposições deste regulamento.
24.
ND interpôs recurso de «Revision» perante o órgão jurisdicional de reenvio, o Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), no qual mantém o seu pedido de improcedência da ação inibitória.
25.
Segundo o órgão jurisdicional de reenvio, o resultado do recurso de «Revision» depende da interpretação tanto do capítulo VIII do RGPD como do artigo 9.o deste regulamento, bem como do artigo 8.o, n.o 1, da Diretiva 95/46.
26.
Com efeito, por um lado, este órgão jurisdicional sublinha que importa determinar se o demandante no processo principal, enquanto concorrente, tem legitimidade para intentar uma ação nos tribunais cíveis contra quem violou o RGPD, com fundamento na proibição das práticas comerciais desleais. O órgão jurisdicional de reenvio precisa que se trata de uma questão controversa à qual se pode responder que as regras constantes do RGPD destinadas a fazer aplicar as suas disposições são exaustivas, pelo que está excluída a legitimidade ativa dos concorrentes ao abrigo do direito da concorrência. No entanto, também é possível defender que as disposições do RGPD destinadas à fiscalização da aplicação do direito não são exaustivas, e que os concorrentes dispõem, portanto, da qualidade necessária para fazer valer, através de uma ação, direitos inibitórios, invocando a violação deste regulamento.
27.
Por outro lado, o órgão jurisdicional de reenvio sustenta que importa determinar se os dados que os clientes devem introduzir ao encomendar em linha medicamentos de venda reservada aos farmacêuticos mas não sujeitos a receita médica, constituem dados de saúde, na aceção do artigo 9.o, n.o 1, do RGPD e, anteriormente, do artigo 8.o, n.o 1, da Diretiva 95/46, visto que o direito à cessação só existe se o comportamento de ND tiver sido ilegal tanto no momento em que foi adotado como quando da audiência de «Revision».
28.
Foi neste contexto que o Bundesgerichtshof (Supremo Tribunal de Justiça Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:
«1)
As disposições do capítulo VIII do [RGPD] opõem‑se a disposições nacionais que, além dos poderes de intervenção das autoridades de supervisão responsáveis pelo controlo e pela aplicação do regulamento e das vias de recurso à disposição dos interessados, conferem aos concorrentes o poder de, em caso de violação do [RGPD], intentar uma ação cível contra o autor da violação com fundamento na proibição de práticas comerciais desleais?
2)
Os dados que os clientes de um farmacêutico que atua como vendedor numa plataforma de comércio eletrónico introduzem nessa plataforma quando encomendam medicamentos de venda reservada às farmácias, mas não sujeitos a receita médica (nome do cliente, endereço de entrega e informações necessárias para a individualização do medicamento encomendado de venda reservada às farmácias), constituem dados relativos à saúde na aceção do artigo 9.o, n.o 1, do [RGPD], e do artigo 8.o, n.o 1, da Diretiva [95/46]?»
29.
O presente pedido de decisão prejudicial deu entrada no Tribunal de Justiça em 19 de janeiro de 2023. As partes no processo principal, o Governo Alemão e a Comissão Europeia apresentaram observações escritas. Estas mesmas partes fizeram‑se representar na audiência realizada em 9 de janeiro de 2024.
IV. Análise
30.
No presente processo, DR alega que ND violou o artigo 9.o do RGPD ao tratar os dados dos clientes que encomendaram em linha medicamentos não sujeitos a receita médica sem cumprir os requisitos legais relativos à obtenção do consentimento explícito dos clientes para o tratamento desses dados.
31.
Com a sua primeira questão prejudicial, o órgão jurisdicional de reenvio pergunta, em substância, se as disposições do capítulo VIII do RGPD devem ser interpretadas no sentido de que se opõem a regras nacionais que reconhecem às empresas o direito de invocar, com fundamento na proibição dos atos de concorrência desleal, violações das disposições materiais do RGPD alegadamente cometidas pelos seus concorrentes. Na sua segunda questão prejudicial, este órgão jurisdicional interroga o Tribunal de Justiça sobre a questão de saber se o artigo 9.o do RGPD deve ser interpretado no sentido de que os dados em causa constituem dados de saúde e estão, portanto, abrangidos pelas categorias especiais de dados a que se refere esta disposição (
8
).
32.
Antes de mais, como já referi, saliento que, em caso de resposta negativa à segunda questão, não há que responder à primeira questão, uma vez que essa resposta do Tribunal de Justiça será suficiente para que o órgão jurisdicional de reenvio decida o litígio nele pendente. Nestas condições, parece‑me oportuno começar a minha análise das questões prejudiciais pela segunda questão.
A. Quanto à segunda questão prejudicial
33.
Com a sua segunda questão prejudicial, o órgão jurisdicional de reenvio pergunta, em substância, se os dados dos clientes de um farmacêutico transmitidos durante a encomenda numa plataforma de venda em linha de medicamentos de venda reservada às farmácias mas não sujeitos a receita médica constituem «dados relativos à saúde», na aceção do artigo 9.o, n.o 1, do RGPD.
34.
Devo desde já precisar que o conceito de «dados relativos à saúde» que figura no artigo 9.o, n.o 1, do RGPD é definido no artigo 4.o, ponto 15, deste regulamento. A resposta à segunda questão prejudicial pressupõe, assim, uma interpretação conjunta destas duas disposições.
1.
Quanto à interpretação do conceito de «dados relativos à saúde» à luz da jurisprudência existente
35.
Nos termos do artigo 4.o, ponto 15, do RGPD, constituem «dados relativos à saúde», dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde.
36.
Esta definição é, além disso, sustentada pelo considerando 35 do RGPD. O Tribunal de Justiça sublinhou na sua jurisprudência que «[este considerando] enuncia que deveriam ser considerados dados pessoais relativos à saúde todos os dados relativos ao estado de saúde da pessoa em questão que “revelem” informações sobre a sua saúde física ou mental no passado, no presente ou no futuro» (
9
).
37.
Decorre, portanto, da redação do artigo 4.o, ponto 15, do RGPD, precisado pelo seu considerando 35 deste regulamento, que o elemento determinante para estabelecer que determinados dados pessoais constituem dados relativos à saúde é a possibilidade de, a partir dos dados em questão, extrair conclusões sobre o estado de saúde do seu titular. Por outras palavras, os «dados relativos à saúde» não se limitam aos dados médicos ou diretamente relacionados com problemas de saúde, mas incluem igualmente qualquer dado que permita tirar conclusões quanto ao estado de saúde do titular dos dados, quer se trate de um estado patológico ou fisiológico.
38.
Isso é confirmado à luz do objetivo prosseguido no artigo 9.o do RGPD. Assim, o Tribunal de Justiça sublinhou, na sua jurisprudência, que a finalidade desta disposição é assegurar uma proteção acrescida contra tratamentos que, em razão da sensibilidade particular de dados que são objeto desses tratamentos, podem constituir, conforme também resulta do considerando 51 do RGPD, uma ingerência particularmente grave nos direitos fundamentais ao respeito da vida privada e à proteção dos dados pessoais, garantidos pelos artigos 7.o e 8.o da Carta dos Direitos Fundamentais da União Europeia (
10
).
39.
A sensibilidade particular dos dados relativos à saúde explica‑se, efetivamente, pelo facto de incidirem sobre informações da esfera mais íntima das pessoas e poderem expor a sua vulnerabilidade. Esta sensibilidade particular e, em consequência, a sua necessidade particular de proteção são aliás reconhecidas não apenas no direito da União, mas também na jurisprudência do Tribunal Europeu dos Direitos Humanos, que sublinha que «[o] respeito do caráter confidencial das informações sobre a saúde constitui um princípio essencial do sistema jurídico de todas as Partes Contratantes na Convenção [para a Proteção dos Direitos Humanos e das Liberdades Fundamentais, assinada em Roma, a 4 de novembro de 1950]» (
11
).
40.
Importa, portanto, à luz deste objetivo, segundo a jurisprudência do Tribunal de Justiça, dar uma interpretação ampla ao conceito de «categorias especiais de dados pessoais» a que pertencem os dados relativos à saúde, para abranger não só os dados intrinsecamente sensíveis, mas também os dados que revelem indiretamente, no termo de uma operação intelectual de dedução ou de aproximação, informações desta natureza (
12
).
41.
A este respeito, saliento que o Comité Europeu para a Proteção de Dados instituído nos artigos 68.o e seguintes do RGPD adota igualmente essa conceção do conceito de «dados relativos à saúde», sublinhando que não é apenas a natureza intrínseca da informação que determina a sua qualificação como «dados relativos à saúde», mas também as circunstâncias que envolvem a sua recolha e o seu tratamento, e dá, a este título, diferentes exemplos. Segundo este comité, constituem, portanto, «dados relativos à saúde» as informações constantes de uma ficha clínica, as informações que revelam o estado de saúde através do seu cruzamento com outros dados, ou ainda os dados que se convertem em dados de saúde devido à sua utilização num contexto específico, como as informações relativas a uma viagem e processadas por um profissional de saúde para fazer um diagnóstico (
13
). Em contrapartida, não constituem «dados relativos à saúde» os dados recolhidos por uma aplicação que permite medir o número de passos efetuados pelo titular dos dados, quando a aplicação não possa relacionar estes dados com outros dados do mesmo titular e quando os dados recolhidos não sejam tratados num contexto médico (
14
).
42.
Por conseguinte, decorre claramente do artigo 4.o, ponto 15, e do artigo 9.o do RGPD, conforme interpretados na jurisprudência, que devem ser considerados «dados relativos à saúde», na aceção destas disposições, os dados suscetíveis de permitir extrair conclusões quanto ao estado de saúde do titular dos dados.
43.
Saliento, portanto, que, à primeira vista, é inegável que a encomenda em linha de medicamentos não sujeitos a receita médica pressupõe o tratamento de dados dos quais é possível deduzir certas informações relativas à saúde ou, pelo menos, fornece certos indícios que lhe dizem respeito, visto que essa encomenda implica uma ligação entre a compra de um medicamento, produto relativo à saúde por excelência, e a identidade do seu comprador. No entanto, a meu ver, pelas razões que passo a expor, resulta das informações transmitidas ao Tribunal de Justiça pelo órgão jurisdicional de reenvio que esta ligação é demasiado ténue e os indícios que daí resultam demasiado imprecisos ou hipotéticos para que os dados em causa possam ser qualificados de «dados relativos à saúde», na aceção do artigo 4.o, ponto 15, e do artigo 9.o do RGPD.
2.
Quanto ao requisito de um determinado grau de certeza relativamente às conclusões que possam ser extraídas sobre o estado de saúde do titular dos dados
44.
Devo fornecer algumas precisões sobre esta interpretação do conceito de «dados relativos à saúde», em particular, e do conceito de «categoria especial de dados», em geral.
45.
Por um lado, parece‑me que, com base nestes elementos de interpretação, um produto encomendado em linha pode ser considerado suscetível de revelar informações gerais sobre o estado de saúde de uma pessoa mas também, como decorre do artigo 9.o do RGPD, a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou ainda a orientação sexual de uma pessoa. Em meu entender, é possível deduzir dos bens encomendados em linha determinadas informações relativas a estes diferentes elementos no que diz respeito ao titular dos dados.
46.
Vários exemplos permitem‑me sustentar a minha afirmação. A encomenda do livro de uma personalidade política pode potencialmente indicar a adesão às ideias que esta defende, a encomenda de uma peça de vestuário pode ser o sinal das convicções religiosas de um indivíduo, ou ainda a encomenda de material erótico pode constituir um indício da orientação sexual da pessoa. Sob pena de submeter ao regime previsto no artigo 9.o, n.o 2, do RGPD uma grande parte do tratamento dos dados relativos ao comércio em linha, parece‑me, portanto, necessário afinar ainda mais a interpretação do conceito de «dados relativos à saúde» no sentido de que as conclusões que possam ser extraídas dos dados relativos a uma encomenda não devem ser apenas potenciais. Por outras palavras, a meu ver, as informações reveladas pelos dados em causa sobre o estado de saúde do titular dos dados não podem ser simples suposições, mas devem apresentar um determinado grau de certeza.
47.
Por outro lado, entendo que, exceto nos casos em que os dados são intrinsecamente «dados relativos à saúde», a questão de saber se os dados podem ser assim qualificados depende das circunstâncias de cada caso. Mais precisamente, as conclusões que é possível extrair desses dados parecem‑me depender do contexto em que são recolhidos e do tratamento que lhes é dado. Como sublinha o Comité Europeu para a Proteção de Dados criado nos termos do disposto nos artigos 68.o e seguintes do RGPD, dados à primeira vista estranhos ao domínio médico, como as informações relativas a uma viagem, podem, no entanto, ser considerados «dados relativos à saúde» quando são analisados num contexto médico e associados a outras informações, a fim de estabelecer, no exemplo referido, uma potencial contaminação por uma bactéria ou um vírus presente numa determinada região.
48.
Em especial, sublinho que a identidade do responsável pelo tratamento dos dados é um elemento particularmente pertinente a este respeito. Com efeito, se os dados forem tratados por um órgão de saúde, parece‑me poder constituir um indício de que esses dados são efetivamente «dados relativos à saúde». Em contrapartida, os mesmos dados podem ser qualificados de forma diferente devido ao facto de não serem tratados por um estabelecimento de saúde e não podem estar associados a outros dados da pessoa em causa. Por outras palavras, o mesmo dado pode revelar mais informações sobre o estado de saúde de uma pessoa quando é tratado por uma instituição de saúde que dispõe das competências para o interpretar ou de outros dados relativos à pessoa do que quando é tratado por um órgão externo a este setor.
49.
Nestas condições, considero que cabe ao órgão jurisdicional de reenvio proceder a um exame tanto da substância dos dados em causa como de todas as circunstâncias que envolvam o respetivo tratamento, a fim de determinar se é possível deduzir, com um determinado grau de certeza, informações relativas ao estado de saúde do titular dos dados.
50.
Atendendo aos elementos constantes da decisão do órgão jurisdicional de reenvio, parece‑me, contudo, possível fornecer precisões destinadas a orientá‑lo na resolução do litígio no processo principal (
15
).
3.
Quanto aos elementos pertinentes para o exame pelo órgão jurisdicional de reenvio da possibilidade de deduzir informações sobre o estado de saúde do titular dos dados
51.
Em primeiro lugar, no que respeita aos produtos objeto da encomenda, sublinho que os medicamentos em questão, a saber, medicamentos não sujeitos a receita médica, não se destinam, em princípio, ao tratamento de um estado particular, mas podem ser utilizados de forma mais geral para tratar afeções do quotidiano de que padeça qualquer pessoa e que não são sintomáticas de uma patologia ou de um estado de saúde preciso. Além disso, estes medicamentos são também frequentemente comprados a título preventivo, para tê‑los à disposição em caso de necessidade ou, por exemplo, antes de uma saída da residência habitual. A título ilustrativo, uma encomenda de paracetamol não permite inferir o estado preciso de uma pessoa, uma vez que esta molécula é indicada para o tratamento de uma variedade de dores e de estados febris e faz frequentemente parte dos medicamentos de que as pessoas dispõem no seu domicílio, independentemente de qualquer necessidade particular.
52.
Em segundo lugar, como salienta ND, o facto de uma pessoa encomendar em linha um medicamento não sujeito a receita médica não implica necessariamente que essa pessoa, cujos dados são tratados, irá ser o seu utilizador, e não outra pessoa da sua casa ou do seu círculo. Com efeito, é frequente que uma encomenda num sítio de venda em linha seja efetuada por uma pessoa titular de uma conta nesse sítio em nome e por conta de uma pessoa não titular de uma conta. Na falta de receita médica que designe pelo nome a pessoa a quem o medicamento se destina e da qual se possa presumir que o utilizador do medicamento e o comprador são a mesma pessoa, não é possível inferir da encomenda de um produto livremente acessível em linha que este se destina a ser utilizado pelo comprador e exclusivamente por este. Daqui resulta que nenhuma conclusão quanto ao estado de saúde da pessoa cujos dados são tratados pode ser razoavelmente extraída desses dados, para que possam ser qualificados de «dados relativos à saúde».
53.
Isto é tanto mais assim quanto, em terceiro lugar e sem prejuízo das verificações que incumbem ao órgão jurisdicional de reenvio, uma pessoa pode efetuar uma encomenda através da Internet sem que seja necessário fornecer dados precisos sobre a sua identidade, especialmente quando o produto não é entregue na morada mas através de um ponto de entrega, e que nenhum outro dado de identificação civil é exigido para efeitos de faturação.
54.
Por conseguinte, considero que há que responder à segunda questão prejudicial no sentido de que os dados dos clientes de um farmacêutico transmitidos durante a encomenda numa plataforma de venda em linha de medicamentos de venda reservada às farmácias mas não sujeitos a receita médica não constituem «dados relativos à saúde», na aceção do artigo 4.o, ponto 15, e do artigo 9.o do RGPD, quando deles só possam ser extraídas conclusões hipotéticas ou imprecisas sobre o estado de saúde da pessoa que efetua a encomenda em linha, o que cabe ao órgão jurisdicional de reenvio verificar.
55.
Quanto ao mais, devo ainda precisar que, a meu ver, interpretar o conceito de «dados relativos à saúde» no sentido de incluir os dados transmitidos durante a encomenda numa plataforma de venda em linha de medicamentos de venda reservada às farmácias mas não sujeitos a receita médica, é suscetível, paradoxalmente, de levar a revelar mais informações sensíveis devido ao regime de proteção reforçada previsto no artigo 9.o, n.o 2, do RGPD. Com efeito, o pedido de consentimento expresso para o tratamento de dados já identificados como sensíveis poderia in fine incitar o comprador a revelar a identidade do utilizador final do produto. Nesta situação, poderiam ser extraídas conclusões mais certeiras quanto ao estado de saúde dessa pessoa.
B. Quanto à primeira questão prejudicial
56.
À luz da resposta que proponho que seja dada à segunda questão prejudicial, não há, a meu ver, que responder à primeira questão prejudicial. Por razões de exaustividade, tendo em conta a apreciação que caberá ao órgão jurisdicional de reenvio efetuar, analisarei, contudo, esta questão, através da qual o órgão jurisdicional de reenvio pergunta, em substância, se as disposições do capítulo VIII do RGPD devem ser interpretadas no sentido de que se opõem a regras nacionais que reconheçam às empresas o direito de invocar, com fundamento na proibição dos atos de concorrência desleal, violações das disposições materiais deste regulamento alegadamente cometidas pelos seus concorrentes.
57.
As partes deram respostas diametralmente opostas a esta questão. Por um lado, segundo a Comissão e ND, o sistema das vias de recurso instituído pelas disposições do capítulo VIII deste regulamento, interpretado à luz dos objetivos do RGPD, deve ser concebido como um sistema exaustivo, que exclui qualquer possibilidade de os Estados‑Membros preverem vias de recurso alternativas no direito nacional.
58.
Por outro lado, segundo o Governo Alemão, o sistema de vias de recurso instituído pelas disposições do capítulo VIII do RGPD deve ser concebido como um conjunto mínimo de vias de recurso que pode ser completado pelos Estados‑Membros. O caráter não exaustivo deste sistema é justificado pelo facto de o RGPD ter igualmente por objetivo proteger as condições de concorrência e impedir as distorções que possam resultar de diferenças de nível de proteção dos dados e pelo facto de a possibilidade de um concorrente invocar a violação por outro concorrente das disposições materiais do RGPD reforçar o caráter operacional deste regulamento.
59.
As partes articularam, portanto, as suas observações em torno da questão de saber se o sistema de vias de recurso previsto pelo RGPD devia ser concebido como um sistema de harmonização exaustiva, o que condicionaria, segundo elas, a possibilidade de os Estados‑Membros preverem no seu direito nacional recursos alternativos aos estabelecidos neste regulamento.
60.
No entanto, embora a determinação do caráter exaustivo ou não do sistema de vias de recurso seja um elemento pertinente para responder de forma útil à primeira questão prejudicial, parece‑me, pelas razões que passo a expor, que esta análise exige, primeiro, que se examine a questão subjacente da identificação das pessoas que beneficiam da proteção concedida pelas normas, tanto materiais como processuais, do RGPD. Com efeito, no caso de se dever considerar que as empresas responsáveis pelo tratamento dos dados são titulares dos direitos conferidos pelo RGPD, sou de opinião que este regulamento deve ser interpretado no sentido de exigir que o direito nacional preveja vias de recurso para fazer valer esses direitos. Iniciarei, portanto, a minha análise por este ponto, antes de responder à questão de saber se o sistema de recursos instituído pelo RGPD deve ser concebido como um sistema exaustivo, no sentido em que exclui a possibilidade concedida no direito nacional a uma empresa de intentar uma ação inibitória, com fundamento na proibição de atos de concorrência desleal, contra um concorrente, invocando a violação por este das disposições do regulamento.
1.
Identificação dos titulares dos direitos conferidos pelo RGPD
61.
Antes de mais, tratarei de precisar a necessidade dessa identificação, procedendo à mesma em seguida e expondo, por último, a incidência da identificação dos titulares dos dados como únicos beneficiários dos direitos conferidos pelo RGPD na resposta à primeira questão prejudicial.
a)
Quanto à necessidade de determinar os titulares dos direitos protegidos pelo RGPD
62.
A necessidade, para responder à questão prejudicial, de identificar os titulares dos direitos protegidos pelo RGPD, antes de tratar a questão do caráter exaustivo do sistema de vias de recurso instituído por este regulamento, explica‑se, a meu ver, de duas maneiras.
1) A obrigação de os Estados‑Membros preverem ações para invocar um direito conferido pelo direito da União
63.
Saliento que é constante na jurisprudência que, do mesmo modo que cria encargos para os particulares, o direito da União é também destinado a instituir direitos que se incluem no seu património jurídico (
16
), sublinhando o Tribunal de Justiça que estes direitos nascem, nomeadamente, em razão das obrigações impostas tanto aos particulares como aos Estados‑Membros e às instituições da União (
17
). Com efeito, qualquer obrigação imposta a uma pessoa singular ou coletiva tem, regra geral, o efeito correlativo de conferir um direito a outra pessoa.
64.
Além disso, é pacífico que qualquer direito conferido a um particular pelo direito da União implica igualmente a existência de uma ação destinada precisamente a invocar esse direito, entendendo‑se que, na falta de regras específicas do direito da União para o efeito, cabe aos Estados‑Membros assegurar o respeito pelos direitos em causa no âmbito de ações de direito interno (
18
). Com efeito, decorre claramente da jurisprudência que incumbe aos órgãos jurisdicionais nacionais proteger os direitos que as disposições do direito da União conferem aos particulares (
19
).
65.
Se, como sustenta o Governo Alemão, o RGPD devesse ser interpretado no sentido de que protege, além dos titulares dos dados, as condições de concorrência no mercado e, portanto, in fine, as empresas, deveria considerar‑se que este regulamento cria direitos que se incluem no património jurídico destas últimas (
20
).
66.
Nestas condições, na falta de disposições expressas do direito da União para o efeito, o respeito pelos direitos que seriam conferidos às empresas pelo RGPD deveria poder ser assegurado através das ações previstas pelos Estados‑Membros.
67.
Daqui resultaria que, sem que fosse necessário analisar o caráter exaustivo ou não do sistema de vias de recurso instituído pelo RGPD, haveria que responder à primeira questão prejudicial no sentido de que o capítulo VIII deste regulamento deve ser interpretado, não no sentido de que não se opõe a que os Estados‑Membros possam prever a faculdade de um concorrente intentar uma ação contra outra empresa, na qual invoca uma violação do referido regulamento, mas, mais ainda, no sentido de que exige que o respeito pelas suas disposições possa ser assegurado no âmbito de uma ação intentada por uma empresa contra um concorrente, na qual é invocada a violação por este último dessas disposições (
21
).
68.
Por conseguinte, em meu entender, a resposta à primeira questão prejudicial está efetivamente condicionada pela identificação dos titulares dos direitos conferidos pelo RGPD.
2) A dupla dimensão da exaustividade de um sistema de vias de recurso
69.
O próprio conceito de «exaustividade de um sistema de vias de recurso» pode abranger duas dimensões distintas, o que pressupõe uma análise diferente e a necessidade de previamente identificar as pessoas titulares dos direitos cujo respeito é assegurado por este sistema.
70.
A primeira dimensão diz respeito ao caráter exaustivo do sistema de vias de recurso em relação a qualquer outra ação destinada à proteção do mesmo direito. Por outras palavras, está em causa a exaustividade dos recursos previstos pelo direito da União para a proteção dos direitos que as suas normas conferem aos particulares. O Tribunal de Justiça já se pronunciou, na sua jurisprudência, sobre a incidência do caráter exaustivo dos recursos previstos pelo direito da União para a proteção de um direito ele próprio previsto pelo direito da União. A título de exemplo, o Tribunal de Justiça declarou, assim, de forma constante que um regime de responsabilidade harmonizado de modo exaustivo pelo direito da União pode, todavia, coexistir com um regime alternativo de responsabilidade previsto no direito nacional assente nos mesmos factos e no mesmo fundamento, se o regime alternativo não prejudicar o regime harmonizado nem os seus objetivos e o seu efeito útil (
22
). O caráter exaustivo de um sistema de vias de recurso previsto pelo direito da União não basta, portanto, por si só, para excluir a possibilidade de um Estado‑Membro prever no direito nacional uma ação alternativa com fundamento no mesmo direito, desde que estejam reunidas determinadas condições.
71.
A segunda dimensão do conceito de «exaustividade de um sistema de vias de recurso» previsto no direito da União é mais ampla e diz respeito à exaustividade em relação a qualquer outra ação instaurada por pessoas que não sejam diretamente titulares de direitos conferidos pelo direito da União, mas que invoquem, no entanto, estes direitos no âmbito de uma ação prevista no direito nacional. Esta conceção da exaustividade de um sistema de recurso instituído pelo direito da União exige, portanto, uma análise diferente (
23
).
72.
Assim, mais uma vez, para se proceder a uma análise pertinente do eventual caráter exaustivo do sistema de vias de recurso previsto no RGPD, importa, previamente, determinar os titulares dos direitos conferidos por este regulamento, o que procurarei fazer nos desenvolvimentos que se seguem.
b)
Quanto à identificação dos titulares dos direitos protegidos pelo RGPD
73.
O âmbito pessoal da proteção conferida pelo RGPD deve, em meu entender, ser determinado à luz tanto dos objetivos como do conteúdo deste regulamento.
74.
No que se refere, antes de mais, aos objetivos do RGPD, o Governo Alemão alega, a este respeito, que este regulamento visa, além do objetivo de assegurar um nível elevado e coerente de proteção das pessoas singulares, estabelecer condições de concorrência iguais.
75.
É certo que o considerando 9 do RGPD evoca o facto de as diferenças de proteção do direito à proteção dos dados pessoais no contexto do seu tratamento poderem distorcer a concorrência. No entanto, a meu ver, esta precisão não pode ser interpretada no sentido de que a garantia de uma concorrência livre e não distorcida é um objetivo do RGPD. O facto de as disparidades das legislações entre os Estados‑Membros no que respeita às normas impostas às empresas conduzirem a distorções da concorrência parece‑me ser uma mera constatação, que não é específica do RGPD. Uma vez que disposições materiais enquadram a ação das empresas no mercado de forma mais estrita num Estado‑Membro do que noutro, daí resulta necessariamente uma certa vantagem concorrencial para as empresas ativas neste último Estado‑Membro relativamente às estabelecidas no primeiro, que qualquer texto de harmonização é suscetível de suprir.
76.
Esta interpretação parece‑me confirmada pela referência, no considerando 9 do RGPD, à necessidade de garantir «a livre circulação de dados pessoais na União», potencialmente ameaçada devido à disparidade dos quadros jurídicos nacionais.
77.
Além disso, como salientou a Comissão na audiência, o considerando 9 do RGPD não se refere à concorrência existente entre as empresas, mas, sobretudo, à concorrência entre as empresas de dois Estados‑Membros diferentes induzida por quadros jurídicos diferentes. Por outras palavras, trata‑se essencialmente de garantir condições de concorrência iguais nos diferentes Estados‑Membros sujeitando as empresas a normas harmonizadas, ainda que estas normas contribuam incidentalmente para que nenhuma empresa beneficie de uma vantagem concorrencial em relação a outras empresas num mesmo Estado‑Membro.
78.
Por conseguinte, em meu entender, o RGPD não prossegue o objetivo de assegurar uma concorrência livre e não falseada no mercado interno.
79.
Em seguida, saliento que nenhuma das disposições materiais do RGPD visa assegurar uma concorrência entre empresas livre e não falseada e fazer destas as destinatárias da proteção instituída por este regulamento. Pelo contrário, destinam‑se essencialmente a impor obrigações às empresas responsáveis pelo tratamento de dados. Embora seja verdade, como já referi, que qualquer obrigação imposta a uma pessoa singular ou coletiva tem necessariamente como efeito correlativo conferir um direito a outra pessoa, os únicos beneficiários dos direitos em causa não são, contudo, as empresas, mas as pessoas cujos dados são tratados por estas. O título do RGPD é sugestivo a este respeito, uma vez que se refere apenas à proteção das pessoas singulares.
80.
Por último, no que respeita às disposições processuais do capítulo VIII do RGPD, sublinho, como já salientei, que estas só abrem vias de recurso aos titulares dos dados e às entidades encarregadas de os representar. Esta limitação das pessoas que podem, ao abrigo das disposições do RGPD, agir judicialmente, invocando uma violação da proteção dos seus dados pessoais, parece‑me indicar claramente que são as únicas destinatárias desta proteção. Com efeito, a meu ver, seria incoerente fazer igualmente do RGPD um instrumento de proteção dos direitos dos concorrentes sem que este regulamento preveja um recurso para permitir a estes últimos intentarem uma ação por violação desses direitos, quando tais recursos estão expressamente previstos no que respeita à proteção dos direitos dos titulares dos dados.
81.
Por conseguinte, considero que as empresas não são destinatárias da proteção prevista no RGPD, uma vez que este regulamento apenas confere direitos aos titulares dos dados.
c)
Quanto à incidência da interpretação do RGPD enquanto norma de proteção apenas dos titulares dos dados
82.
A interpretação do RGPD segundo a qual as disposições deste regulamento não conferem direitos às empresas mas unicamente aos titulares dos dados leva‑me a várias conclusões.
83.
Em primeiro lugar, conforme referi, esta interpretação exclui, a meu ver, que se considere que o respeito pelas disposições do RGPD deve poder ser assegurado no âmbito de uma ação intentada por uma empresa contra um concorrente em que seja invocada a sua violação por este último.
84.
Em segundo lugar, uma vez que o círculo dos beneficiários dos direitos conferidos pelo RGPD está limitado apenas aos titulares dos direitos, a jurisprudência do Tribunal de Justiça relativa à possibilidade de os Estados‑Membros preverem, no direito nacional, ações adicionais destinadas aos titulares desses direitos, se estas ações não prejudicarem o sistema de recursos harmonizado nem os seus objetivos (
24
), não me parece diretamente transponível para a situação em causa. No entanto, essa jurisprudência pode, como demonstrarei, servir de base para a análise desta situação.
85.
Com efeito, segundo esta aceção do conceito de «exaustividade de um sistema de recursos», importa determinar se o sistema de recursos instituído pelo RGPD deve ser entendido como um sistema exaustivo no sentido de que se opõe a que outras vias de recurso além das previstas neste regulamento possam ser abertas, no direito nacional, em benefício dos titulares dos dados.
86.
Ora, no processo principal, está em causa uma ação intentada por uma empresa que não figura entre os titulares dos direitos conferidos pelo RGPD.
87.
Nestas condições, tendo em conta que o RGPD não confere nenhum direito às empresas e aos seus concorrentes, só é pertinente a questão de saber se o sistema de vias de recurso instituído pelo RGPD deve ser entendido como um sistema exaustivo no sentido de que este regulamento exclui igualmente que as empresas invoquem uma violação das suas disposições no âmbito de ações previstas no direito nacional, o que procurarei, em seguida, determinar.
2.
A possibilidade de ações baseadas no direito nacional intentadas por pessoas não titulares dos direitos conferidos pelo RGPD
88.
A questão de saber se as disposições relativas ao sistema de vias de recurso previsto no RGPD se opõem a que as empresas invoquem uma violação das disposições deste regulamento no âmbito de ações previstas no direito nacional parece‑me necessitar de uma resposta em duas fases.
89.
Com efeito, a resposta a esta questão pressupõe que se examine, por um lado, a possibilidade de as empresas invocarem as disposições do RGPD sem serem titulares dos direitos conferidos por estas e, por outro, as condições de interação dessas ações com o sistema de vias de recurso previsto neste regulamento.
90.
No que respeita, em primeiro lugar, à invocabilidade, pelas empresas, das disposições do RGPD, saliento que esta é, no âmbito das ações baseadas no direito nacional como a que está em causa no processo principal, apenas incidental. Mais precisamente, a empresa intenta uma ação com fundamento no direito nacional, a saber, a proibição dos atos de concorrência desleal. O caráter desleal do ato em causa decorre, portanto, de uma violação do RGPD. Por outras palavras, a ação não se baseia na violação das disposições do RGPD, mas toma em consideração essa violação de modo incidental (
25
).
91.
Ora, esta tomada em consideração incidental já foi aceite pelo Tribunal de Justiça, embora num contexto diferente. Com efeito, o Tribunal de Justiça declarou, no Acórdão Meta Platforms e o. (Condições gerais de utilização de uma rede social), que «a não conformidade com o [RGPD] de um tratamento de dados efetuado por uma empresa em posição dominante [é] suscetível de constituir um abuso dessa posição» (
26
) e que, de modo geral, é necessário incluir «as regras em matéria de proteção de dados pessoais do quadro jurídico a tomar em consideração pelas autoridades da concorrência quando do exame de um abuso de posição dominante» (
27
). Por outras palavras, o Tribunal de Justiça admite que uma violação do direito da concorrência seja constituída devido a uma violação das disposições do RGPD.
92.
Embora esta declaração não tenha sido efetuada no âmbito de um litígio entre particulares, mas no âmbito do exame de uma prática anticoncorrencial por uma autoridade nacional da concorrência, não vejo nenhuma razão para limitar a esta hipótese a possibilidade de uma tomada em consideração incidental da violação das disposições do RGPD.
93.
Com efeito, por um lado, no que respeita ao direito da concorrência, uma vez aceite esta tomada em consideração em matéria de public enforcement, parece‑me necessário torná‑la igualmente possível no que respeita ao private enforcement e, portanto, no que respeita a litígios entre particulares que não tenham como fundamento principal a violação de um direito conferido pelo RGPD, exceto se se considerar que os particulares não podem obter a reparação do dano causado por uma infração ao direito da concorrência ainda que declarada por uma autoridade da concorrência.
94.
Por outro lado, como salientou o advogado‑geral J. Richard de la Tour, a proteção dos dados pessoais é suscetível de ter «ramificações […] noutros domínios, relativos, nomeadamente, ao direito do trabalho, ao direito da concorrência ou ao direito dos consumidores» (
28
). Parece‑me que esta influência do RGPD noutros domínios deve levar a aceitar a tomada em consideração das disposições deste regulamento no âmbito de ações que tenham como fundamento principal disposições que lhe são estranhas.
95.
No que respeita, em segundo lugar, à questão da interação de ações nacionais que impliquem a tomada em consideração incidental das disposições do RGPD com o sistema de recursos instituído por este regulamento, considero que tais ações só devem ser admitidas se não prejudicarem o sistema de recurso do referido regulamento ou a realização dos seus objetivos.
96.
Estas condições foram desenvolvidas na jurisprudência no que diz respeito à exaustividade de um sistema de recursos harmonizado em relação a ações nacionais baseadas no mesmo direito (
29
). Assim, parecem‑me, a fortiori, dever estar preenchidas quando estiverem em causa regras nacionais que reconheçam às empresas o direito de intentar uma ação não com base no mesmo direito, mas com fundamento no direito nacional, invocando, no entanto, violações das disposições materiais do RGPD alegadamente cometidas por outra empresa.
97.
Importa, portanto, verificar se, no caso em apreço, estas condições estão preenchidas.
98.
Antes de mais, no que respeita à questão de saber se uma ação inibitória intentada por uma empresa contra um concorrente na qual é invocada a violação, por este, das disposições do RGPD prejudica o sistema de vias de recurso previsto no capítulo VIII deste regulamento, considero que a resposta é negativa. Com efeito, estas vias de recurso permitem aos titulares dos dados, ou aos organismos, organizações ou associações sem fins lucrativos por eles mandatados, apresentar uma reclamação a uma autoridade de controlo (artigo 77.o), interpor recurso de uma decisão de uma autoridade de controlo (artigo 78.o), intentar uma ação contra um responsável pelo tratamento ou um subcontratante (artigo 79.o) ou obter do responsável pelo tratamento ou do subcontratante uma indemnização pelos danos causados por violação do regulamento (artigo 82.o).
99.
Por outras palavras, como sublinha o Tribunal de Justiça na sua jurisprudência, o capítulo VIII do RGPD «regula […] as vias de recurso que permitem proteger os direitos do titular dos dados quando os dados pessoais que lhe dizem respeito foram objeto de um tratamento pretensamente contrário às disposições do referido regulamento», podendo a proteção desses direitos «ser objeto de uma reclamação quer diretamente pelo titular dos dados quer por uma entidade autorizada, com ou sem mandato para esse efeito» (
30
).
100.
Nestas condições, é certo que a ação que uma empresa pode intentar contra um concorrente a invocar uma violação por este do RGPD, se baseia‑se em última análise na violação de uma mesma disposição, mas não prossegue o mesmo objetivo, nem opõe as mesmas partes. Por outras palavras, uma ação desse tipo prevista no direito nacional não se destina a assegurar o respeito dos direitos conferidos aos titulares dos dados.
101.
Daqui resulta, em meu entender, que as vias de recurso abertas aos titulares dos dados pelo sistema de vias de recurso instituído pelo RGPD são preservadas e podem, mesmo quando uma empresa intenta uma ação contra um concorrente, continuar a ser exercidas.
102.
A este respeito, devo também precisar que não vejo em que medida, como sustenta a Comissão, essas ações são suscetíveis de comprometer o sistema público de controlo da aplicação do direito estabelecido pelo RGPD, uma vez que este regulamento já prevê expressamente, a par desse sistema público, a possibilidade de o titular dos dados invocar os direitos conferidos pelo RGPD no âmbito de processos judiciais.
103.
Em seguida, no que se refere aos objetivos prosseguidos pelo RGPD, resulta do seu considerando 10 que este regulamento visa, nomeadamente, assegurar tanto um nível de proteção elevado das pessoas singulares como a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais.
104.
Não me parece que a realização destes objetivos se veja ameaçada pela possibilidade dada a uma empresa de intentar uma ação inibitória, com fundamento na proibição dos atos de concorrência desleal, contra um concorrente, invocando a violação, por este, das disposições do RGPD. Por um lado, o elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais parece‑me alcançado, ou mesmo reforçado, pela possibilidade alargada a uma empresa de invocar a violação das disposições materiais do RGPD por um concorrente. Por outro lado, a invocabilidade mais alargada destas disposições, por pessoas que não os titulares dos dados, não prejudica a realização do objetivo de uma proteção coerente e homogénea na União. Com efeito, mesmo que alguns Estados‑Membros não prevejam essa possibilidade, daí não resulta, contudo, uma fragmentação da aplicação da proteção de dados na União, uma vez que as disposições materiais do RGPD se impõem da mesma forma a todas as empresas e o seu respeito é assegurado pelas vias de recurso previstas neste regulamento.
105.
Por último, no que respeita ao efeito útil do RGPD, longe de ser posto em causa devido à possibilidade dada a uma empresa de intentar uma ação inibitória contra um concorrente na qual é invocada uma violação do RGPD, parece‑me, como referi, reforçado pelo facto de o respeito pelas disposições deste regulamento poder igualmente ser assegurado no âmbito de processos judiciais distintos dos previstos pelo sistema de vias de recurso instituído pelo regulamento.
106.
Nestas condições, considero que uma ação inibitória intentada por uma empresa contra um concorrente na qual é invocada a violação, por este, das disposições do RGPD pode coexistir com as vias de recurso instituídas no capítulo VIII do RGPD, quando não prejudique as mesmas nem comprometa os objetivos e o efeito útil deste regulamento.
107.
Por conseguinte, proponho que o Tribunal de Justiça declare que as disposições do capítulo VIII do RGPD não se opõem a regras nacionais que reconheçam às empresas o direito de invocar, com fundamento na proibição dos atos de concorrência desleal, violações das disposições materiais deste regulamento alegadamente cometidas pelos seus concorrentes.
V. Conclusão
108.
Tendo em conta todas as considerações precedentes, proponho que se responda às questões prejudiciais submetidas pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha) do seguinte modo:
O artigo 4.o, ponto 15, e o artigo 9.o, n.o 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)
devem ser interpretados no sentido de que:
os dados dos clientes de um farmacêutico transmitidos durante uma encomenda numa plataforma de venda em linha de medicamentos de venda reservada às farmácias mas não sujeitos a receita médica não constituem «dados relativos à saúde».
(
1
)	Língua original: francês.
(
2
)	Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1).
(
3
)	Diretiva do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31).
(
4
)	Diretiva do Parlamento Europeu e do Conselho, de 9 de março de 2011, relativa ao exercício dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços (JO 2011, L 88, p. 45).
(
5
)	BGBl. 2004 I, p. 1414.
(
6
)	BGBl. 2005 I, p. 3394.
(
7
)	BGBl. 2022 I, p. 2793.
(
8
)	Sublinho, a este respeito, que o órgão jurisdicional de reenvio interroga igualmente o Tribunal de Justiça sobre o conceito de «dados relativos à saúde», na aceção do artigo 8.o, n.o 1, da Diretiva 95/46. No entanto, entendo que não há que estabelecer uma distinção entre esta disposição e o artigo 9.o, n.o 1, do RGPD, porque se deve considerar que estas disposições revestem alcance semelhante para efeitos de interpretação pelo Tribunal de Justiça no âmbito do presente processo. V., sobre este ponto, Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, n.o 58). Referir‑me‑ei, portanto, na minha análise apenas ao artigo 9.o, n.o 1, do RGPD, sendo esta igualmente válida para o artigo 8.o, n.o 1, da Diretiva 95/46.
(
9
)	Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, n.o 124).
(
10
)	Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, n.o 126).
(
11
)	TEDH, 25 de fevereiro de 1997, Z c. Finlândia (CE:ECHR:1997:0225 JUD002200993, n.o 95). O Tribunal Europeu dos Direitos Humanos salienta, além disso, que a proteção acrescida dos dados de saúde é «capital não apenas para proteger a vida privada dos doentes, mas também para preservar a sua confiança no corpo médico e nos serviços de saúde em geral».
(
12
)	Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, n.o 123).
(
13
)	Diretrizes 03/2020 do Comité Europeu para a Proteção de Dados sobre o tratamento de dados relativos à saúde para efeitos de investigação científica no contexto do surto de COVID‑19, p. 5.
(
14
)	V. Bygrave, L.A., e Tosoni, L., «Article 4(15)», The EU General Data Protection Regulation (GDPR), a Commentary, Kuner, C., Bygrave, L.A., e Docksey, C. (ed.), Oxford University Press, 2020, p. 222.
(
15
)	Acórdão de 24 de fevereiro de 2022, Glavna direktsia Pozharna bezopasnost i zashtita na naselenieto (C‑262/20, EU:C:2022:117, n.o 71).
(
16
)	Acórdãos de 19 de novembro de 1991, Francovich e o. (C‑6/90 e C‑9/90, EU:C:1991:428, n.o 31), e de 20 de setembro de 2001, Courage e Crehan (C‑453/99, EU:C:2001:465, n.o 19).
(
17
)	Acórdão de 20 de setembro de 2001, Courage e Crehan (C‑453/99, EU:C:2001:465, n.o 19).
(
18
)	V., sobre este ponto, Van Gerven, W., «Of Rights, Remedies and Procedures», Common Market Law Review, vol. 37, n.o 3, 2000, pp. 501 a 536.
(
19
)	Acórdão de 20 de setembro de 2001, Courage e Crehan (C‑453/99, EU:C:2001:465, n.o 25).
(
20
)	Acórdãos de 19 de novembro de 1991, Francovich e o. (C‑6/90 e C‑9/90, EU:C:1991:428, n.o 31), e de 20 de setembro de 2001, Courage e Crehan (C‑453/99, EU:C:2001:465, n.o 19).
(
21
)	Foi já adotada uma solução semelhante pelo Tribunal de Justiça no que respeita, nomeadamente, ao Regulamento (CEE) n.o 1035/72 do Conselho, de 18 de maio de 1972, que estabelece a organização comum de mercado no setor das frutas e produtos hortícolas (JO 1972, L 118, p. 1; EE 03 F5 p. 258). Baseava‑se exclusivamente no facto de este texto se destinar, igualmente, a assegurar a lealdade do comércio e a transparência dos mercados, pelo que uma ação cível intentada por uma empresa contra um concorrente com o objetivo de fazer cumprir as obrigações previstas por este regulamento reforçava o caráter operacional da regulamentação comunitária. Por outras palavras, o Regulamento n.o 1035/72 era interpretado no sentido de que impunha às empresas o cumprimento das regras da organização comum de mercado, para que estas beneficiassem de relações comerciais baseadas numa concorrência leal, tornando‑as assim beneficiárias dos direitos decorrentes das obrigações que lhes são igualmente impostas. V. Acórdão de 17 de setembro de 2002, Muñoz e Superior Fruiticola (C‑253/00, EU:C:2002:497, n.os 29 e 31).
(
22
)	Acórdãos de 21 de dezembro de 2011, Dutrueux (C‑495/10, EU:C:2011:869, n.os 29 e 30), e de 16 de março de 2023, Beobank (C‑351/21, EU:C:2023:215, n.o 38).
(
23
)	Esta dupla dimensão da exaustividade de um sistema de vias de recurso dependente da identificação dos titulares de um direito decorrente do direito da União parece estar refletida, na jurisprudência do Tribunal de Justiça, no Acórdão de 2 de setembro de 2021, CRCAM (C‑337/20, EU:C:2021:671). Neste acórdão, o Tribunal de Justiça apreciou a compatibilidade com a Diretiva 2007/64/CE do Parlamento Europeu e do Conselho, de 13 de novembro de 2007, relativa aos serviços de pagamento no mercado interno, que altera as Diretivas 97/7/CE, 2002/65/CE, 2005/60/CE e 2006/48/CE e revoga a Diretiva 97/5/CE (JO 2007, L 319, p. 1, e retificação no JO 2009, L 187, p. 5) de um regime de responsabilidade nacional que permite que o fiador de um utilizador de serviços de pagamento invoque, em razão do incumprimento pelo prestador de serviços de pagamento das suas obrigações decorrentes desta diretiva, a responsabilidade civil deste prestador, em conformidade com um regime de responsabilidade contratual de direito comum. O Tribunal de Justiça iniciou a sua análise observando que a referida diretiva estabelece direitos, não em relação ao fiador, mas apenas relativamente aos prestadores de serviços de pagamento e aos utilizadores destes serviços, antes de apreciar se o regime de responsabilidade instituído pela mesma diretiva se opõe a um regime alternativo baseado no direito nacional.
(
24
)	Acórdãos de 21 de dezembro de 2011, Dutrueux (C‑495/10, EU:C:2011:869, n.os 29 e 30), e de 16 de março de 2023, Beobank (C‑351/21, EU:C:2023:215, n.o 38).
(
25
)	A este respeito, sublinho que, no caso de a violação de uma disposição do RGPD poder ser considerada uma prática comercial desleal, na aceção da Diretiva 2005/29/CE do Parlamento Europeu e do Conselho, de 11 de maio de 2005, relativa às práticas comerciais desleais das empresas face aos consumidores no mercado interno e que altera a Diretiva 84/450/CEE do Conselho, as Diretivas 97/7/CE, 98/27/CE e 2002/65/CE e o Regulamento (CE) 2006/2004 do Parlamento Europeu e do Conselho (JO 2005, L 149, p. 22), esta diretiva deveria, a meu ver, aplicar‑se, em todas as suas disposições, incluindo a necessidade de os Estados‑Membros preverem, por força do artigo 11.o da diretiva, disposições que permitam aos concorrentes intentar uma ação judicial contra tais práticas comerciais desleais.
(
26
)	Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (C‑252/21, EU:C:2023:537, n.o 43).
(
27
)	Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (C‑252/21, EU:C:2023:537, n.o 51).
(
28
)	Conclusões do advogado‑geral J. Richard de la Tour no processo Meta Platforms Ireland (C‑319/20, EU:C:2021:979, n.o 51).
(
29
)	Acórdãos de 21 de dezembro de 2011, Dutrueux (C‑495/10, EU:C:2011:869, n.os 29 e 30), e de 16 de março de 2023, Beobank (C‑351/21, EU:C:2023:215, n.o 38). V., igualmente, n.o 71 das presentes conclusões.
(
30
)	Acórdão de 28 de abril de 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, n.o 53).