62022CJ0203_RES
Processo C‑203/22
CK
contra
Magistrat der Stadt Wien
(pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Wien)
Acórdão do Tribunal de Justiça (Primeira Secção) de 27 de fevereiro de 2025
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 15.o, n.o 1, alínea h) — Decisões automatizadas, incluindo a definição de perfis — “Scoring” — Apreciação da solvência de uma pessoa singular — Acesso às informações úteis sobre a lógica subjacente à definição de perfis — Verificação da exatidão das informações prestadas — Diretiva (UE) 2016/943 — Artigo 2.o, ponto 1 — Segredo comercial — Dados pessoais de terceiros»
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito de acesso do titular dos dados aos seus dados em fase de tratamento — Decisões automatizadas, incluindo a definição de perfis — Direito de acesso às informações úteis sobre a lógica subjacente à definição de perfis— Alcance
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 12.o, n.o 1, artigo 15.o, n.o 1, alínea h), e n.o 3, e artigo 22.o, n.os 1 e 3]
(cf. n.os 40‑43, 47, 48, 50, 58, 59, 61, 62, 66, disp. 1)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Direito de acesso do titular dos dados aos seus dados em fase de tratamento — Decisões automatizadas, incluindo a definição de perfis — Direito de acesso às informações úteis sobre a lógica subjacente à definição de perfis — Respeito pelos direitos e liberdades de outrem — Direito à proteção dos dados pessoais de terceiros e do segredo comercial — Ponderação dos direitos e interesses em causa pela autoridade de controlo ou pelo órgão jurisdicional competentes
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerando 63 e artigo 15.o, n.o 1, alínea h); Diretiva 2016/943 do Parlamento Europeu e do Conselho, artigo 2.o, ponto 1]
(cf. n.os 72‑76, disp. 2)
Resumo
Chamado a pronunciar‑se a título prejudicial pelo Verwaltungsgericht Wien (Tribunal Administrativo de Viena, Áustria), o Tribunal de Justiça desenvolve a sua jurisprudência recente sobre os direitos das pessoas afetadas por uma definição de perfis com vista à apreciação da sua solvabilidade (
1
). Por um lado, esclarece os contornos do direito de acesso do titular dos dados às informações relativas ao tratamento dos seus dados. Por outro, pronuncia‑se sobre a ponderação desse direito com o direito à proteção dos dados de terceiros ou do segredo comercial.
Uma operadora de telecomunicações móveis recusou a CK a celebração ou a prorrogação de um contrato de telecomunicações móveis. Esta recusa teve por base uma avaliação automatizada do seu crédito, a que tinha procedido a D & B, uma empresa especializada no fornecimento dessas avaliações.
Na decisão que proferiu, a autoridade austríaca para a proteção de dados ordenou à D & B que prestasse a CK informações úteis relativas à lógica subjacente à decisão automatizada com base nos dados pessoais desta última. Por Decisão de 23 de outubro de 2019 do Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria), foi negado provimento ao recurso interposto pela D & B dessa decisão. Porém, o Magistrat der Stadt Wien (Administração Municipal da cidade de Viena, Áustria) indeferiu o pedido apresentado por CK para a execução coerciva dessa decisão judicial.
Chamado a pronunciar‑se sobre um recurso interposto por CK da decisão dessa Administração Municipal, o órgão jurisdicional de reenvio pede ao Tribunal de Justiça que clarifique o alcance das informações que devem ser prestadas ao titular dos dados para que o seu direito de acesso previsto no Regulamento Geral sobre a Proteção de Dados (
2
) seja plenamente garantido. Pede‑lhe igualmente que precise se e em que medida a exceção relativa à existência de um segredo comercial é suscetível de restringir esse direito.
Apreciação do Tribunal de Justiça
Em primeiro lugar, ao clarificar o direito da pessoa afetada por uma decisão automatizada, incluindo a definição de perfis, de aceder às «informações úteis relativas à lógica subjacente» na aceção do artigo 15.o, n.o 1, alínea h), do RGPD, o Tribunal de Justiça, com base nas diferentes versões linguísticas desta disposição, considera que a sua redação visa qualquer informação pertinente relativa ao procedimento e aos princípios da exploração, por via automatizada, de dados pessoais com o intuito de obter deles um determinado resultado.
Em seguida, o Tribunal de Justiça salienta que a interpretação contextual desta mesma disposição do RGPD corrobora a sua interpretação literal e que, por outro lado, a obrigação de transparência que se aplica a todos os dados e informações, incluindo os relacionados com a tomada de decisões automatizadas (
3
), exige que essas informações sejam fornecidas de forma concisa, transparente, compreensível e de fácil acesso.
Além disso, o Tribunal de Justiça sublinha que resulta da análise das finalidades do RGPD e, em especial, das do seu artigo 15.o, n.o 1, alínea h), que o direito de obter «informações úteis relativas à lógica subjacente» a decisões automatizadas, na aceção desta disposição, deve ser entendido como um direito à explicação sobre o procedimento e os princípios concretamente aplicados para explorar, por via automatizada, os dados pessoais do titular dos dados com vista a obter um determinado resultado, como um perfil de solvência. Para permitir ao titular dos dados exercer eficazmente os direitos que lhe são reconhecidos pelo RGPD (
4
), essa explicação deve ser fornecida através de informações pertinentes e de forma concisa, transparente, inteligível e de fácil acesso. Não cumpre estes requisitos a simples comunicação de uma fórmula matemática complexa, como um algoritmo, nem a descrição detalhada de todas as etapas das decisões automatizadas, uma vez que nenhuma dessas modalidades constitui uma explicação suficientemente concisa e inteligível.
O Tribunal de Justiça conclui que as «informações úteis relativas à lógica subjacente» às decisões automatizadas, na aceção do artigo 15.o, n.o 1, alínea h), do RGPD, devem descrever o procedimento e os princípios concretamente aplicados de tal modo, que o titular dos dados possa compreender quais dos seus dados pessoais foram utilizados e de que forma no momento da decisão automatizada, sem que a complexidade das operações a realizar no âmbito de uma decisão automatizada possa exonerar o responsável pelo tratamento do seu dever de explicação.
Esclarece, no que respeita especificamente a uma definição de perfis como a do caso em apreço, que o órgão jurisdicional de reenvio pode, nomeadamente, considerar suficientemente transparente e inteligível o facto de informar o titular dos dados de como uma variação ao nível dos dados pessoais tidos em conta teria conduzido a um resultado diferente.
Em segundo lugar, no que respeita à ponderação entre o direito de acesso garantido pelo RGPD e o direito à proteção dos dados de terceiros ou do segredo comercial (
5
), o Tribunal de Justiça começa por recordar a sua jurisprudência segundo a qual um órgão jurisdicional nacional pode considerar que os dados pessoais das partes ou de terceiros lhe devem ser apresentados a fim de poder ponderar, com pleno conhecimento de causa e no respeito pelo princípio da proporcionalidade, os interesses em presença. Esta apreciação pode, se for caso disso, levá‑lo a autorizar a divulgação completa ou parcial à parte contrária dos dados pessoais que lhe foram comunicados, se considerar que essa divulgação não vai além do necessário para garantir o gozo efetivo dos direitos que os particulares retiram do artigo 47.o da Carta dos Direitos Fundamentais da União Europeia (
6
)
Em seguida, refere que esta jurisprudência é totalmente transponível para o caso de as informações a fornecer ao titular dos dados ao abrigo do direito de acesso garantido pelo artigo 15.o, n.o 1, alínea h), do RGPD serem suscetíveis de lesar os direitos e as liberdades de terceiros, nomeadamente por conterem dados pessoais de terceiros protegidos pelo referido regulamento ou um segredo comercial. Também neste caso, as referidas informações devem ser comunicadas à autoridade de controlo ou ao tribunal competentes, aos quais incumbe ponderar os direitos e os interesses envolvidos para determinar o alcance do direito de acesso do titular dos dados aos dados pessoais que lhe digam respeito.
O Tribunal de Justiça conclui que, face à necessidade de proceder casuisticamente a essa determinação, o artigo 15.o, n.o 1, alínea h), do RGPD se opõe, nomeadamente, à aplicação de uma disposição nacional que exclui, em princípio, o direito de acesso do titular dos dados quando esse acesso prejudique um segredo comercial ou empresarial do responsável pelo tratamento ou de um terceiro. A este respeito, importa recordar que um Estado‑Membro não pode prescrever, de forma definitiva, o resultado de uma ponderação casuística dos direitos e dos interesses em causa, imposta pelo direito da União (
7
).
Em conclusão, o Tribunal de Justiça declarou que o artigo 15.o, n.o 1, alínea h), do RGPD deve ser interpretado no sentido de que, na hipótese de o responsável pelo tratamento considerar que as informações a prestar ao titular dos dados em conformidade com esta disposição contêm dados de terceiros protegidos por este regulamento ou relativos a segredo comercial, esse responsável é obrigado a comunicar as informações alegadamente protegidas à autoridade de controlo ou ao órgão jurisdicional competentes, aos quais incumbe ponderar os direitos e os interesses em causa para determinar o alcance do direito de acesso do titular dos dados previsto no artigo 15.o do RGPD.
(
1
)	Acórdão de 7 de dezembro de 2023, SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Artigo 15.o, n.o 1, alínea h), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, a seguir «RGPD»).
(
3
)	Referidas no artigo 12.o, n.o 1, do RGPD.
(
4
)	Em especial, o artigo 22.o, n.o 3, do RGPD.
(
5
)	Na aceção do artigo 2.o, ponto 1, da Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, relativa à proteção de know how e de informações comerciais confidenciais (segredos comerciais) contra a sua aquisição, utilização e divulgação ilegais (JO 2016, L 157, p. 1).
(
6
)	Acórdão de 2 de março de 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, n.o 58).
(
7
)	V., neste sentido, Acórdão de 7 de dezembro de 2023, SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:957, n.o 70 e jurisprudência referida).