Direito da União
RGPD: jurisprudência
Regulamento Geral da Proteção de Dados (RGPD)
04-05-2016
Regulamento Geral sobre a Proteção de Dados (RGPD)
Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.
/// JURISPRUDÊNCIA: 2020 ///
16-07-2020
Transferências de dados pessoais para países terceiros para fins comerciais
Acórdão do Tribunal de Justiça (Grande Secção), de 16 de julho de 2020. - «Reenvio prejudicial – Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais – Carta dos Direitos Fundamentais da União Europeia – Artigos 7.°, 8.° e 47.° – Regulamento (UE) 2016/679 – Artigo 2.º, n.º 2 – Âmbito de aplicação – Transferências de dados pessoais para países terceiros para fins comerciais – Artigo 45.° – Decisão de adequação da Comissão – Artigo 46.° – Transferências mediante garantias adequadas – Artigo 58.° – Poderes das autoridades de controlo – Tratamento dos dados transferidos pelas autoridades públicas de um país terceiro para efeitos de segurança nacional – Apreciação do caráter adequado do nível de proteção assegurado no país terceiro – Decisão 2010/87/UE – Cláusulas tipo de proteção para a transferência de dados pessoais para países terceiros – Garantias adequadas oferecidas pelo responsável pelo tratamento – Validade – Decisão de Execução (UE) 2016/1250 – Adequação da proteção assegurada pelo Escudo de Proteção da Privacidade União Europeia Estados Unidos – Validade – Queixa de uma pessoa singular cujos dados foram transferidos da União Europeia para os Estados Unidos». No processo C 311/18, que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pela High Court (Tribunal Superior, Irlanda), por Decisão de 4 de maio de 2018, que deu entrada no Tribunal de Justiça em 9 de maio de 2018, no processo Data Protection Commissioner contra Facebook Ireland Ltd, Maximillian Schrems, sendo intervenientes: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc. Digitaleurope. InfoCuria | Jurisprudência | ECLI:EU:C:2020:559.
/// JURISPRUDÊNCIA: 2022 ///
24-03-2022
Tratamento de dados pessoais - Operações de tratamento efetuadas por tribunais no exercício da sua função jurisdicional
Acórdão do Tribunal de Justiça (Primeira Secção), de 24 de março de 2022, (pedido de decisão prejudicial apresentado pelo Rechtbank Midden-Nederland — Países Baixos) — X, Z/Autoriteit Persoonsgegevens (Processo C-245/20) («Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Competência da autoridade de controlo - Artigo 55.º, n.º 3 - Operações de tratamento efetuadas por tribunais no exercício da sua função jurisdicional - Conceito - Disponibilização a um jornalista de documentos dos autos de um processo judicial que contêm dados pessoais») (2022/C 198/06). JO C 198 de 16.5.2022, p. 5.
Dispositivo
O artigo 55.º, n.º 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), deve ser interpretado no sentido de que o facto de um órgão jurisdicional disponibilizar temporariamente a jornalistas documentos dos autos de um processo judicial, que contêm dados pessoais, a fim de lhes permitir informar melhor sobre o desenrolar desse processo decorre do exercício, por esse órgão jurisdicional, da sua «função jurisdicional», na aceção desta disposição.
/// JURISPRUDÊNCIA: 2023 ///
12-01-2023
Proteção de Dados / Direito de acesso do titular aos seus próprios dados
RGPD: artigo 15.º (Direito de acesso do titular dos dados), n.º 1, alínea c)
(1) Acórdão do Tribunal de Justiça (Primeira Secção), de 12 de janeiro de 2023, (pedido de decisão prejudicial apresentado pelo Oberster Gerichtshof — Áustria) — RW/Österreichische Post AG (Processo C-154/21) (1) JO C 217, de 7.6.2021. («Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Artigo 15.º, n.º 1, alínea c) - Direito de acesso do titular aos seus próprios dados - Informações sobre os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados - Restrições») (2023/C 71/07). JO C 71 de 27.2.2023, p. 7.
Língua do processo: alemão
Órgão jurisdicional de reenvio: Oberster Gerichtshof
Partes no processo principal: Recorrente:RW / Recorrida:Österreichische Post AG
Dispositivo
O artigo 15.º, n.º 1, alínea c), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), deve ser interpretado no sentido de que:
o direito de acesso do titular dos dados aos dados pessoais que lhe dizem respeito, previsto nesta disposição, implica, quando esses dados foram ou serão divulgados aos destinatários, a obrigação por parte do responsável pelo tratamento de fornecer a esse titular a identidade concreta dos referidos destinatários, a menos que seja impossível identificar esses destinatários ou que o referido responsável pelo tratamento demonstre que os pedidos de acesso do titular dos dados são manifestamente infundados ou excessivos, na aceção do artigo 12.º, n.º 5, do Regulamento 2016/679, casos em que o responsável pelo tratamento pode indicar a esse titular apenas as categorias de destinatários em causa.
(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.
CAPÍTULO III
Direitos do titular dos dados
Secção 1
Transparência e regras para o exercício dos direitos dos titulares dos dados
Artigo 12.º
Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados
1. O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.º e 14.º e qualquer comunicação prevista nos artigos 15.º a 22.º e 34.º a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios.
2. O responsável pelo tratamento facilita o exercício dos direitos do titular dos dados nos termos dos artigos 15.º a 22.º. Nos casos a que se refere o artigo 11.º, n.º 2, o responsável pelo tratamento não pode recusar-se a dar seguimento ao pedido do titular no sentido de exercer os seus direitos ao abrigo dos artigos 15.º a 22.º, exceto se demonstrar que não está em condições de identificar o titular dos dados.
3. O responsável pelo tratamento fornece ao titular as informações sobre as medidas tomadas, mediante pedido apresentado nos termos dos artigos 15.º a 20.º, sem demora injustificada e no prazo de um mês a contar da data de receção do pedido. Esse prazo pode ser prorrogado até dois meses, quando for necessário, tendo em conta a complexidade do pedido e o número de pedidos. O responsável pelo tratamento informa o titular dos dados de alguma prorrogação e dos motivos da demora no prazo de um mês a contar da data de receção do pedido. Se o titular dos dados apresentar o pedido por meios eletrónicos, a informação é, sempre que possível, fornecida por meios eletrónicos, salvo pedido em contrário do titular.
4. Se o responsável pelo tratamento não der seguimento ao pedido apresentado pelo titular dos dados, informa-o sem demora e, o mais tardar, no prazo de um mês a contar da data de receção do pedido, das razões que o levaram a não tomar medidas e da possibilidade de apresentar reclamação a uma autoridade de controlo e intentar ação judicial.
5. As informações fornecidas nos termos dos artigos 13.º e 14.º e quaisquer comunicações e medidas tomadas nos termos dos artigos 15.º a 22.º e 34.º são fornecidas a título gratuito. Se os pedidos apresentados por um titular de dados forem manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo, o responsável pelo tratamento pode:
a) Exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do fornecimento das informações ou da comunicação, ou de tomada das medidas solicitadas; ou
b) Recusar-se a dar seguimento ao pedido.
Cabe ao responsável pelo tratamento demonstrar o caráter manifestamente infundado ou excessivo do pedido.
6. Sem prejuízo do artigo 11.o, quando o responsável pelo tratamento tiver dúvidas razoáveis quanto à identidade da pessoa singular que apresenta o pedido a que se referem os artigos 15.º a 21.º, pode solicitar que lhe sejam fornecidas as informações adicionais que forem necessárias para confirmar a identidade do titular dos dados.
7. As informações a fornecer pelos titulares dos dados nos termos dos artigos 13.º e 14.º podem ser dadas em combinação com ícones normalizados a fim de dar, de uma forma facilmente visível, inteligível e claramente legível, uma perspetiva geral significativa do tratamento previsto. Se forem apresentados por via eletrónica, os ícones devem ser de leitura automática.
8. A Comissão fica habilitada a adotar atos delegados nos termos do artigo 92.º, a fim de determinar quais as informações a fornecer por meio dos ícones e os procedimentos aplicáveis ao fornecimento de ícones normalizados.
Artigo 15.º
Direito de acesso do titular dos dados
1. O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:
a) As finalidades do tratamento dos dados;
b) As categorias dos dados pessoais em questão;
c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais; (...).
# # #
04-05-2023
Tratamento de dados pessoais
Dano imaterial resultante desse tratamento
Direito de indemnização
Fixação do montante da indemnização
Incompatibilidade de uma norma nacional que subordina a indemnização desse dano à superação de um limiar de gravidade
Violação do Regulamento Geral sobre a Proteção de Dados
Regulamento (UE) 2016/679: artigo 82.º, n.º 1
Acórdão do Tribunal de Justiça (Terceira Secção), de 4 de maio de 2023, (pedido de decisão prejudicial apresentado pelo Oberster Gerichtshof — Áustria) — UI/Österreichische Post AG [(Processo C-300/21 (1), Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais)] («Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Artigo 82.º, n.º 1 - Direito de indemnização do dano causado pelo tratamento de dados efetuado em violação deste regulamento - Condições do direito de indemnização - Insuficiência de uma simples violação do referido regulamento - Necessidade de um dano causado pela referida violação - Reparação de um dano imaterial resultante desse tratamento - Incompatibilidade de uma norma nacional que subordina a indemnização desse dano à superação de um limiar de gravidade - Regras para a fixação da indemnização pelos juízes nacionais») [Documento 62021CA0300] (2023/C 216/07). JO C 216 de 19.6.2023, p. 6-7.
Língua do processo: alemão
Órgão jurisdicional de reenvio: Oberster Gerichtshof
Partes no processo principal: Recorrente:UI / Recorrida:Österreichische Post AG
Dispositivo
1) O artigo 82.º, n.º 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), deve ser interpretado no sentido de que:
a simples violação das disposições deste regulamento não é suficiente para conferir um direito de indemnização.
2) O artigo 82.º, n.º 1, do Regulamento 2016/679 deve ser interpretado no sentido de que:
se opõe a uma norma ou a uma prática nacional que subordina a indemnização de um dano imaterial, na aceção desta disposição, à condição de o dano sofrido pelo titular dos dados atingir um certo grau de gravidade.
3) O artigo 82.ºdo Regulamento 2016/679 deve ser interpretado no sentido de que:
para efeitos da fixação do montante da indemnização devida a título do direito de indemnização consagrado neste artigo, os juízes nacionais devem aplicar as normas internas de cada Estado-Membro relativas ao alcance da indemnização pecuniária, desde que sejam respeitados os princípios da equivalência e da efetividade do direito da União.
# # #
04-05-2023
Tratamento de dados pessoais
Direito de acesso do titular dos dados aos seus dados em fase de tratamento
Regulamento (UE) 2016/679: artigo 15.º, n.º 3
Acórdão do Tribunal de Justiça (Primeira Secção) de 4 de maio de 2023 (pedido de decisão prejudicial apresentado pelo Bundesverwaltungsgericht — Áustria) — F.F./Österreichische Datenschutzbehörde (Processo C-487/21 (1), Österreichische Datenschutzbehörde e CRIF) («Reenvio prejudicial - Proteção de dados pessoais - Regulamento (UE) 2016/679 - Direito de acesso do titular dos dados aos seus dados em fase de tratamento - Artigo 15.º, n.º 3 - Fornecimento de uma cópia dos dados - Conceito de “cópia” - Conceito de “informações”») [Documento 62021CA0487] (2023/C 216/10). JO C 216 de 19.6.2023, p. 8-9.
Língua do processo: alemão
Órgão jurisdicional de reenvio: Bundesverwaltungsgericht
Partes no processo principal: Recorrente:F.F. / Autoridade recorrida:Österreichische Datenschutzbehörde / Interveniente:CRIF GmbH
Dispositivo
1) O artigo 15.º, n.º 3, primeiro período, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)
deve ser interpretado no sentido de que:
o direito de obter do responsável pelo tratamento uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito pressupõe o direito de obter a cópia de extratos de documentos ou de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for indispensável para permitir ao titular dos dados exercer efetivamente os direitos que lhe são conferidos por este regulamento, sendo de sublinhar que devem ser tidos em conta, a este respeito, os direitos e liberdades de terceiros.
2) O artigo 15.º, n.º 3, terceiro período, do Regulamento (UE) 2016/679
deve ser interpretado no sentido de que:
o conceito de «informação» nele previsto refere-se exclusivamente aos dados pessoais cuja cópia o responsável pelo tratamento deve fornecer por força do primeiro período desse número.
# # #
04-05-2023
Tratamento de dados pessoais
Caixa de correio eletrónico dos tribunais
Direito à limitação do tratamento
Direito ao apagamento dos dados
Falta de consentimento do titular dos dados
Licitude do tratamento
Processo eletrónico relativo a um pedido de asilo elaborado por uma autoridade administrativa
Responsabilidade pelo tratamento
Regulamento 2016/679:artigos 5º, 6.º, 17.º, n.º 1, 18.º, n.º 1, 26.º e 30.º
Acórdão do Tribunal de Justiça (Quinta Secção), de 4 de maio de 2023, (pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Wiesbaden — Alemanha) — UZ/Bundesrepublik Deutschland [Processo C-60/22 (1), Bundesrepublik Deutschland (Caixa de correio eletrónico dos tribunais)] («Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Artigo 5.º- Princípios relativos ao tratamento - Responsabilidade pelo tratamento - Artigo 6.º- Licitude do tratamento - Processo eletrónico relativo a um pedido de asilo elaborado por uma autoridade administrativa - Transmissão ao órgão jurisdicional nacional competente através de uma caixa de correio eletrónico - Violação dos artigos 26.ºe 30.º- Falta de acordo que determina a responsabilidade conjunta do tratamento e a manutenção do registo das atividades de tratamento - Consequências - Artigo 17.º, n.º 1 - Direito ao apagamento dos dados (“direito a ser esquecido”) - Artigo 18.º, n.º 1 - Direito à limitação do tratamento - Conceito de “[tratamento ilícito]” - Tomada em consideração do processo eletrónico por um órgão jurisdicional nacional - Falta de consentimento do titular dos dados») [Documento 62022CA0060] (2023/C 216/24). JO C 216 de 19.6.2023, p. 18-19.
Língua do processo: alemão
Órgão jurisdicional de reenvio: Verwaltungsgericht Wiesbaden
Partes no processo principal: Recorrente:UZ / Recorrida:Bundesrepublik Deutschland
Dispositivo
1) O artigo 17.º, n.º 1, alínea d), e o artigo 18.º, n.º 1, alínea b), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
devem ser interpretados no sentido de que:
a violação, pelo responsável pelo tratamento, das obrigações previstas nos artigos 26.ºe 30.ºdeste regulamento, relativas, respetivamente, à celebração de um acordo que determina a responsabilidade conjunta do tratamento e à manutenção de um registo das atividades de tratamento, não constitui um tratamento ilícito que confere ao titular dos dados um direito ao apagamento ou à limitação do tratamento, uma vez que essa violação não implica, enquanto tal, uma violação por parte do responsável pelo tratamento do princípio da «responsabilidade» como enunciado no artigo 5.º, n.º 2, do referido regulamento, lido em conjugação com o artigo 5.º, n.º 1, alínea a), e com o artigo 6.º, n.º 1, primeiro parágrafo, deste último.
2) O direito da União deve ser interpretado no sentido de que, quando o responsável pelo tratamento de dados pessoais tenha violado as obrigações que lhe incumbem por força dos artigos 26.ºou 30.ºdo Regulamento 2016/679, a licitude da tomada em consideração desses dados por um órgão jurisdicional nacional não está sujeita ao consentimento do titular dos dados.
# # #
04-07-2023
Redes sociais em linha - Abuso de posição dominante pelo operador de uma rede desse tipo
Articulação com as competências das autoridades nacionais responsáveis pelo controlo da proteção dos dados pessoais - Conceito de “consentimento” - Regulamento Geral sobre a Proteção de Dados (RGPD)
Regulamento 2016/679, de 27 de abril:
Artigo 4.º (Definições), ponto 11 - Consentimento» do titular dos dados
Artigo 6.º (Licitude do tratamento), n.º 1, primeiro parágrafo, alíneas a) a f)
Artigo 9.º (Tratamento de categorias especiais de dados pessoais), n.ºs 1 e 2, alíneas a) e e)
Artigos 51.º (Autoridade de controlo) e seguintes
TUE: Artigo 4.º, n.º 3
(1) Acórdão do Tribunal de Justiça (Grande Secção), de 4 de julho de 2023, (pedido de decisão prejudicial apresentado pelo Oberlandesgericht Düsseldorf — Alemanha) — Meta Platforms Inc., anteriormente Facebook Inc., Meta Platforms Ireland Limited, anteriormente Facebook Ireland Ltd., Facebook Deutschland GmbH/Bundeskartellamt [Processo C-252/21 (JO C 320, de 9.8.2021), Meta Platforms e o. (Condições gerais de utilização de uma rede social)] («Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Redes sociais em linha - Abuso de posição dominante pelo operador de uma rede desse tipo - Abuso que consiste no tratamento de dados pessoais dos utilizadores dessa rede previsto pelas suas condições gerais de utilização - Competências de uma autoridade da concorrência de um Estado-Membro para declarar a não conformidade desse tratamento com este regulamento - Articulação com as competências das autoridades nacionais responsáveis pelo controlo da proteção dos dados pessoais - Artigo 4.º, n.º 3, TUE - Princípio da cooperação leal - Artigo 6.º, n.º 1, primeiro parágrafo, alíneas a) a f), do Regulamento 2016/679 - Licitude do tratamento - Artigo 9.º, n.ºs 1 e 2 - Tratamento de categorias especiais de dados pessoais - Artigo 4.º, ponto 11 - Conceito de “consentimento”») [Documento 62021CA0252] (2023/C 296/03). JO C 296 de 21.8.2023, p. 3-5.
Língua do processo: alemão
Órgão jurisdicional de reenvio: Oberlandesgericht Düsseldorf
Partes no processo principal: Recorrentes: Meta Platforms Inc., anteriormente Facebook Inc., Meta Platforms Ireland Limited, anteriormente Facebook Ireland Ltd., Facebook Deutschland GmbH / Recorrido: Bundeskartellamt, sendo interveniente: Verbraucherzentrale Bundesverband eV
Dispositivo
1) Os artigos 51.º e seguintes do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), e o artigo 4.º, n.º 3, TUE
devem ser interpretados no sentido de que:
sob reserva do cumprimento da sua obrigação de cooperação leal com as autoridades de controlo, uma autoridade da concorrência de um Estado-Membro pode constatar, no âmbito do exame de um abuso de posição dominante por parte de uma empresa, na aceção do artigo 102.º TFUE, que as condições gerais de utilização dessa empresa relativas ao tratamento de dados pessoais e à sua aplicação não estão em conformidade com este regulamento, quando essa constatação seja necessária para demonstrar a existência de tal abuso.
À luz desta obrigação de cooperação leal, a autoridade nacional da concorrência não se pode afastar de uma decisão da autoridade nacional de controlo competente ou da autoridade de controlo principal competente relativa a essas condições gerais ou a condições gerais semelhantes. Quando tenha dúvidas a respeito do alcance dessa decisão, quando as referidas condições ou condições semelhantes sejam, ao mesmo tempo, objeto de um exame por parte dessas autoridades, ou ainda quando, não tendo as referidas autoridades realizado uma investigação ou tomado uma decisão, a autoridade da concorrência considerar que as condições em causa não estão em conformidade com o Regulamento 2016/679, a autoridade nacional da concorrência deve consultar essas mesmas autoridades de controlo e solicitar a sua cooperação, para dissipar as suas dúvidas ou para determinar se deve aguardar por uma decisão destas últimas antes de iniciar a sua própria apreciação. Não havendo objeções ou não sendo apresentada resposta num prazo razoável, a autoridade nacional da concorrência pode prosseguir a sua própria investigação.
2) O artigo 9.º, n.º 1, do Regulamento 2016/679
deve ser interpretado no sentido de que:
no caso de um utilizador de uma rede social em linha consultar sítios Internet ou aplicações relacionadas com uma ou várias das categorias referidas nesta disposição e, se for caso disso, neles inserir dados, registando-se ou efetuando encomendas em linha, o tratamento de dados pessoais pelo operador dessa rede social em linha, que consista na recolha, através de interfaces integradas, de cookies ou de tecnologias de registo semelhantes, dos dados resultantes da consulta desses sítios e dessas aplicações, bem como dos dados inseridos pelo utilizador, no cruzamento do conjunto desses dados com a conta da rede social desse utilizador e na utilização dos referidos dados por esse operador, deve ser considerado um «tratamento de categorias especiais de dados pessoais», na aceção da referida disposição, que é em princípio proibido, sob reserva das exceções previstas neste artigo 9.o, n.o 2, quando esse tratamento de dados permita revelar informações abrangidas por uma dessas categorias, independentemente de essas informações dizerem respeito a um utilizador dessa rede ou a qualquer outra pessoa singular.
3) O artigo 9.º, n.º 2, alínea e), do Regulamento 2016/679
deve ser interpretado no sentido de que:
quando um utilizador de uma rede social em linha consulta sítios Internet ou aplicações relacionadas com uma ou várias das categorias referidas no artigo 9.º, n.º 1, deste regulamento, não torna manifestamente públicos, na aceção da primeira destas disposições, os dados relativos a essa consulta, recolhidos pelo operador dessa rede social em linha através de cookies ou de tecnologias de registo semelhantes.
Quando insere dados em tais sítios Internet ou em tais aplicações ou quando ativa botões de seleção integrados nesses sítios e nessas aplicações, como os botões «gosto» ou «partilhar» ou os botões que permitem ao utilizador identificar-se nesses sítios ou nessas aplicações utilizando as credenciais de conexão associadas à sua conta de utilizador da rede social, o seu número de telefone ou o seu endereço de correio eletrónico, esse utilizador só torna manifestamente públicos, na aceção deste artigo 9.o, n.o 2, alínea e), os dados assim inseridos ou resultantes da ativação desses botões no caso de ter manifestado expressamente a sua escolha prévia, eventualmente com base numa parametrização individual efetuada com pleno conhecimento de causa, de tornar os dados que lhe dizem respeito publicamente acessíveis a um número ilimitado de pessoas.
4) O artigo 6.º, n.º 1, primeiro parágrafo, alínea b), do Regulamento 2016/679
deve ser interpretado no sentido de que:
o tratamento de dados pessoais efetuado por um operador de uma rede social em linha, que consista na recolha de dados dos utilizadores dessa rede provenientes de outros serviços do grupo a que pertence esse operador ou provenientes da consulta por esses utilizadores de sítios Internet ou de aplicações de terceiros, no cruzamento desses dados com a conta da rede social dos referidos utilizadores e na utilização dos referidos dados, só pode ser considerado necessário para a execução de um contrato do qual os titulares de dados são partes, na aceção desta disposição, se esse tratamento for objetivamente indispensável para realizar uma finalidade que faça parte integrante da prestação contratual destinada a esses mesmos utilizadores, de modo que o objeto principal do contrato não poderia ser alcançado sem esse tratamento.
5) O artigo 6.º, n.º 1, primeiro parágrafo, alínea f), do Regulamento 2016/679
deve ser interpretado no sentido de que:
o tratamento de dados pessoais efetuado por um operador de uma rede social em linha, que consista na recolha de dados dos utilizadores dessa rede provenientes de outros serviços do grupo a que pertence esse operador ou provenientes da consulta por esses utilizadores de sítios Internet ou de aplicações de terceiros, no cruzamento desses dados com a conta da rede social dos referidos utilizadores e na utilização dos referidos dados, só pode ser considerado necessário para efeitos dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por um terceiro, na aceção desta disposição, desde que o referido operador tenha indicado aos utilizadores cujos dados foram recolhidos um interesse legítimo prosseguido pelo seu tratamento, que esse tratamento seja efetuado na estrita medida do necessário para a realização desse interesse legítimo e que resulte de uma ponderação dos interesses opostos, à luz de todas as circunstâncias pertinentes, que os interesses ou os direitos ou as liberdades fundamentais desses utilizadores não prevalecem sobre o referido interesse legítimo do responsável pelo tratamento ou de um terceiro.
6) O artigo 6.º, n.º 1, primeiro parágrafo, alínea c), do Regulamento 2016/679
deve ser interpretado no sentido de que:
o tratamento de dados pessoais efetuado por um operador de uma rede social em linha, que consiste na recolha de dados dos utilizadores dessa rede provenientes de outros serviços do grupo a que pertence esse operador ou provenientes da consulta por esses utilizadores de sítios Internet ou de aplicações de terceiros, no cruzamento desses dados com a conta da rede social dos referidos utilizadores e na utilização dos referidos dados, é justificado, ao abrigo desta disposição, quando for efetivamente necessário para o cumprimento de uma obrigação jurídica à qual o responsável pelo tratamento está sujeito, por força de uma disposição do direito da União ou do direito do Estado-Membro em causa, quando esse fundamento jurídico responda a um objetivo de interesse público e seja proporcionado ao objetivo legítimo prosseguido e quando esse tratamento seja efetuado na estrita medida do necessário.
7) O artigo 6.º, n.º 1, primeiro parágrafo, alíneas d) e e), do Regulamento 2016/679
deve ser interpretado no sentido de que:
o tratamento de dados pessoais efetuado por um operador de uma rede social em linha, que consiste na recolha de dados dos utilizadores dessa rede provenientes de outros serviços do grupo a que pertence esse operador ou provenientes da consulta por esses utilizadores de sítios Internet ou de aplicações de terceiros, no cruzamento desses dados com a conta da rede social dos referidos utilizadores e na utilização dos referidos dados, não pode, em princípio e sob reserva de verificação a efetuar pelo órgão jurisdicional de reenvio, ser considerado necessário à defesa de interesses vitais do titular dos dados ou de outra pessoa singular, na aceção da alínea d), ou ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento, na aceção da alínea e).
8) O artigo 6.º, n.º 1, primeiro parágrafo, alínea a), e o artigo 9.º, n.º 2, alínea a), do Regulamento 2016/679
devem ser interpretados no sentido de que:
a circunstância de o operador de uma rede social em linha ocupar uma posição dominante no mercado das redes sociais em linha não obsta, enquanto tal, a que os utilizadores dessa rede possam validamente consentir, na aceção do artigo 4.o, ponto 11, deste regulamento, no tratamento dos seus dados pessoais, a ser efetuado por esse operador. Não obstante, esta circunstância constitui um elemento importante para determinar se o consentimento foi efetivamente dado de forma válida e, nomeadamente, livre, o que incumbe ao referido operador provar.
(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.
# # #
05-12-2023
Tratamento de dados pessoais
Conceitos de “tratamento” e “responsável pelo tratamento” - Desenvolvimento de uma aplicação informática móvel
Regulamento (UE) 2016/679: Artigo 4.º (Definições), pontos 2 e 7 - Artigo 26.º (Responsáveis conjuntos pelo tratamento) - Artigo 83.º (Condições gerais para a aplicação de coimas)
Acórdão do Tribunal de Justiça (Grande Secção), de 5 de dezembro de 2023, (pedido de decisão prejudicial apresentado pelo Vilniaus apygardos administracinis teismas — Lituânia) — Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos/Valstybinė duomenų apsaugos inspekcija (Processo C-683/21 (1), Nacionalinis visuomenės sveikatos centras) («Reenvio prejudicial - Proteção de dados pessoais - Regulamento (UE) 2016/679 - Artigo 4.º, pontos 2 e 7 - Conceitos de “tratamento” e “responsável pelo tratamento” - Desenvolvimento de uma aplicação informática móvel - Artigo 26.º- Responsabilidade conjunta do tratamento - Artigo 83.º- Aplicação de coimas - Condições - Exigência do caráter intencional ou negligente da violação - Responsabilidade do responsável pelo tratamento pelo tratamento de dados pessoais efetuado por um subcontratante») (C/2024/914) JO C, C/2024/914, 29.01.2024, p. 1-2.
Língua do processo: lituano
Órgão jurisdicional de reenvio
Vilniaus apygardos administracinis teismas
Partes no processo principal
Recorrente:Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
Recorrido:Valstybinė duomenų apsaugos inspekcija
sendo intervenientes:UAB «IT sprendimai sėkmei», Lietuvos Respublikos sveikatos apsaugos ministerija
Dispositivo
1) O artigo 4.º, ponto 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)
deve ser interpretado no sentido de que:
pode ser considerada responsável pelo tratamento, na aceção desta disposição, uma entidade que encarregou uma empresa de desenvolver uma aplicação informática móvel e que, nesse contexto, participou na determinação das finalidades e dos meios do tratamento dos dados pessoais realizado através desta aplicação, ainda que esta entidade não tenha procedido, ela própria, a operações de tratamento de tais dados, não tenha dado explicitamente o seu acordo para a realização das operações concretas desse tratamento ou para a disponibilização ao público da referida aplicação móvel e não tenha adquirido esta mesma aplicação móvel, a menos que, antes dessa disponibilização ao público, a referida entidade se tenha expressamente oposto a ela e ao tratamento dos dados pessoais que daí resultou.
2) Os artigos 4.º, ponto 7, e 26.º, n.º 1, do Regulamento 2016/679
deve ser interpretado no sentido de que:
a qualificação de duas entidades como sendo responsáveis conjuntas pelo tratamento não pressupõe nem a existência de um acordo entre essas entidades quanto à determinação das finalidades e dos meios do tratamento dos dados pessoais em causa, nem a existência de um acordo que fixe as condições relativas à responsabilidade conjunta do tratamento.
3) O artigo 4.º, ponto 2, do Regulamento 2016/679
deve ser interpretado no sentido de que:
constitui um «tratamento», na aceção desta disposição, a utilização de dados pessoais para efeitos de testes informáticos de uma aplicação móvel, a menos que tais dados tenham sido tornados anónimos de modo que a pessoa à qual tais dados dizem respeito não seja ou já não seja identificável ou que estejam em causa dados fictícios que não dizem respeito a uma pessoa singular existente.
4) O artigo 83.ºdo Regulamento 2016/679
deve ser interpretado no sentido de que:
por um lado, só pode ser aplicada uma coima ao abrigo desta disposição se se demonstrar que o responsável pelo tratamento cometeu, intencionalmente ou por negligência, uma violação referida nos n.ºs 4 a 6 deste artigo,
e, por outro, tal coima pode ser aplicada a um responsável pelo tratamento relativamente a operações de tratamento de dados pessoais realizadas por um subcontratante por sua conta, salvo se, no âmbito dessas operações este subcontratante tiver realizado tratamentos para finalidades que lhe são próprias ou tiver tratado esses dados de maneira incompatível com o quadro ou com as modalidades de tratamento conforme tinham sido determinadas pelo responsável pelo tratamento, ou de tal forma que não se possa razoavelmente considerar que a pessoa responsável teria dado o seu consentimento.
ELI: http://data.europa.eu/eli/C/2024/914/oj
ISSN 1977-1010 (electronic edition)
# # #
05-12-2023
Tratamento de dados pessoais
Conceito de “responsável pelo tratamento” - Poderes de correção das autoridade de controlo
Regulamento (UE) 2016/679: Artigo 4.º (Definições), ponto 7 - Artigo 58.º (Poderes), n.º 2 - Artigo 83.º (Condições gerais para a aplicação de coimas)
Acórdão do Tribunal de Justiça (Grande Secção), de 5 de dezembro de 2023, (pedido de decisão prejudicial apresentado pelo Kammergericht Berlin — Alemanha) — Deutsche Wohnen SE/Staatsanwaltschaft Berlin (Processo C-807/21 (1), Deutsche Wohnen) («Reenvio prejudicial - Proteção de dados pessoais - Regulamento (UE) 2016/679 - Artigo 4.º, ponto 7 - Conceito de “responsável pelo tratamento” - Artigo 58.º, n.º 2 - Poderes das autoridades de controlo para aplicar medidas de correção - Artigo 83.º- Aplicação de coimas a uma pessoa coletiva - Condições - Margem de manobra dos Estados-Membros - Exigência do caráter intencional ou negligente da infração») (C/2024/915). JO C, C/2024/915, 29.01.2024, p.1.
Língua do processo: alemão
Órgão jurisdicional de reenvio: Kammergericht Berlin
Partes no processo principal: Recorrente:Deutsche Wohnen SE / Recorrido:Staatsanwaltschaft Berlin
Dispositivo
1) O artigo 58.º, n.º 2, alínea i), e o artigo 83.º, n.ºs1 a 6, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
devem ser interpretado no sentido de que:
se opõem a uma regulamentação nacional por força da qual só pode ser aplicada uma coima a uma pessoa coletiva na sua qualidade de responsável pelo tratamento por uma infração prevista neste artigo 83.º, n.ºs 4 a 6, na medida em que essa infração tenha sido previamente imputada a uma pessoa singular identificada.
2) O artigo 83.ºdo Regulamento 2016/679
deve ser interpretado no sentido de que:
só pode ser aplicada uma coima nos termos desta disposição se se demonstrar que o responsável pelo tratamento, que é simultaneamente uma pessoa coletiva e uma empresa, cometeu, intencionalmente ou por negligência, uma infração prevista nos n.ºs 4 a 6 deste artigo.
ELI: http://data.europa.eu/eli/C/2024/915/oj
ISSN 1977-1010 (electronic edition)
# # #
07-12-2023
Tratamento de dados pessoais
Decisão individual automatizada - Capacidade de uma pessoa para cumprir as suas obrigações de pagamento no futuro (“scoring”) - Sociedades que fornecem informações comerciais
Regulamento (UE) 2016/679: artigo 22.º
(1) Acórdão do Tribunal de Justiça (Primeira Secção), de 7 de dezembro de 2023, (pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Wiesbaden — Alemanha) — OQ/Land Hessen [Processo C-634/21 (1), SCHUFA Holding (Scoring)] («Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Artigo 22.º- Decisão individual automatizada - Sociedades que fornecem informações comerciais - Determinação automatizada de um valor de probabilidade relativamente à capacidade de uma pessoa para cumprir as suas obrigações de pagamento no futuro (“scoring”) - Utilização deste valor de probabilidade por terceiros») (C/2024/913). JO C, C/2024/913, 29.01.2024, p. 1.
Língua do processo: alemão
Órgão jurisdicional de reenvio: Verwaltungsgericht Wiesbaden
Partes no processo principal: Demandante:OQ
Demandado:Land Hessen
Sendo interveniente:SCHUFA Holding AG
Dispositivo
O artigo 22.º, n.º 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
deve ser interpretado no sentido de que:
a determinação automatizada, por uma sociedade que fornece informações comerciais, de um valor de probabilidade baseado em dados pessoais relativos a uma pessoa sobre a capacidade desta para cumprir as suas obrigações de pagamento no futuro constitui uma «decisão individual automatizada», na aceção desta disposição, quando o facto de um terceiro, ao qual o referido valor de probabilidade é comunicado, estabelecer, executar ou cessar uma relação contratual com essa pessoa depende de forma determinante desse valor de probabilidade.
ELI: http://data.europa.eu/eli/C/2024/913/oj
ISSN 1977-1010 (electronic edition)
(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.
Artigo 22.º
Decisões individuais automatizadas, incluindo definição de perfis
1. O titular dos dados tem o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar.
2. O n.º 1 não se aplica se a decisão:
a) For necessária para a celebração ou a execução de um contrato entre o titular dos dados e um responsável pelo tratamento;
b) For autorizada pelo direito da União ou do Estado-Membro a que o responsável pelo tratamento estiver sujeito, e na qual estejam igualmente previstas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular dos dados; ou
c) For baseada no consentimento explícito do titular dos dados.
3. Nos casos a que se referem o n.º 2, alíneas a) e c), o responsável pelo tratamento aplica medidas adequadas para salvaguardar os direitos e liberdades e legítimos interesses do titular dos dados, designadamente o direito de, pelo menos, obter intervenção humana por parte do responsável, manifestar o seu ponto de vista e contestar a decisão.
4. As decisões a que se refere o n.º 2 não se baseiam nas categorias especiais de dados pessoais a que se refere o artigo 9.º, n.º 1, a não ser que o n.º 2, alínea a) ou g), do mesmo artigo sejam aplicáveis e sejam aplicadas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular.
# # #
07-12-2023
Tratamento de dados pessoais
Interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros - Direito ao apagamento em caso de tratamento ilícito de dados pessoais - Direito à ação judicial contra uma autoridade de controlo - Sociedades que fornecem informações comerciais
Regulamento (UE) 2016/679: Artigo 5.º (Princípios relativos ao tratamento de dados pessoais), n.º 1 - Artigo 6.º (Licitude do tratamento), n.º 1, primeiro parágrafo, alínea f) - Artigo 17.º (Direito ao apagamento dos dados («direito a ser esquecido»)), n.º 1, alínea d) - Artigo 40.º (Códigos de conduta) - Artigo 78.º (Direito à ação judicial contra uma autoridade de controlo), n.º 1
Acórdão do Tribunal de Justiça (Primeira Secção), de 7 de dezembro de 2023, (pedidos de decisão prejudicial apresentados pelo Verwaltungsgericht Wiesbaden — Alemanha) — UF (C-26/22), AB (C-64/22)/Land Hessen [Processos apensos C-26/22 e C-64/22 (1), SCHUFA Holding (Libertação da dívida remanescente) e o.] («Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Artigo 5.º, n.º 1, alínea a) - Princípio da “licitude” - Artigo 6.º, n.º 1, primeiro parágrafo, alínea f) - Necessidade do tratamento para efeitos dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros - Artigo 17.º, n.º 1, alínea d) - Direito ao apagamento em caso de tratamento ilícito de dados pessoais - Artigo 40.º- Códigos de conduta - Artigo 78.º, n.º 1 - Direito à ação judicial contra uma autoridade de controlo - Decisão tomada pela autoridade de controlo sobre uma reclamação - Alcance da fiscalização jurisdicional dessa decisão - Sociedades que fornecem informações comerciais - Conservação de dados provenientes de um registo público relativos à remissão da dívida remanescente a favor de uma pessoa - Duração da conservação») (C/2024/917). JO C, C/2024/917, 29.01.2024, p. 1-2.
Língua do processo: alemão
Órgão jurisdicional de reenvio
Verwaltungsgericht Wiesbaden
Partes no processo principal
Recorrentes:UF (C-26/22), AB (C-64/22)
Recorrido:Land Hessen
sendo interveniente: SCHUFA Holding AG
Dispositivo
1) O artigo 78.º, n.º 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
deve ser interpretado no sentido de que:
uma decisão sobre uma reclamação adotada por uma autoridade de controlo está sujeita a uma fiscalização jurisdicional plena.
2) O artigo 5.º, n.º 1, alínea a), do Regulamento 2016/679, lido em conjugação com o artigo 6.º, n.º 1, primeiro parágrafo, alínea f), deste regulamento,
deve ser interpretado no sentido de que:
se opõe a uma prática de sociedades privadas que fornecem informações comerciais que consiste em conservar, nas suas próprias bases de dados, informações provenientes de um registo público relativas à concessão de uma remissão da dívida remanescente a favor de pessoas singulares para poderem fornecer informações sobre a solvabilidade dessas pessoas, durante um período que vai além do prazo durante o qual os dados são conservados no registo público.
3) O artigo 17.º, n.º 1, alínea c), do Regulamento 2016/679
deve ser interpretado no sentido de que:
o titular dos dados tem o direito de obter do responsável pelo tratamento o apagamento, sem demora injustificada, dos dados pessoais que lhe digam respeito quando o titular dos dados se oponha ao tratamento em conformidade com o artigo 21.º, n.º 1, deste regulamento e não existam razões imperiosas e legítimas suscetíveis de justificar, a título excecional, o tratamento em causa.
4) O artigo 17.º, n.º 1, alínea d), do Regulamento 2016/679
deve ser interpretado no sentido de que:
o responsável pelo tratamento é obrigado a apagar, sem demora injustificada, os dados pessoais que tenham sido objeto de tratamento ilícito.
ELI: http://data.europa.eu/eli/C/2024/917/oj
ISSN 1977-1010 (electronic edition)
/// JURISPRUDÊNCIA: 2025 ///
###
09-01-2025
Tratamento de dados pessoais
Minimização dos dados - Dados relativos ao género e à identidade de género - Venda em linha de títulos de transporte - Direito de oposição
Regulamento (UE) 2016/679 - Artigo 5.º, n.º 1, alínea c) - Artigo 6.º, n.º 1 - Artigo 21.º
Acórdão do Tribunal de Justiça (Primeira Secção), de 9 de janeiro de 2025, (pedido de decisão prejudicial apresentado pelo Conseil d'État – França) – Mousse/Commission nationale de l'informatique et des libertés (CNIL), SNCF Connect (Processo C-394/23 (1), Mousse) (Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Artigo 5.º, n.º 1, alínea c) - Minimização dos dados - Artigo 6.º, n.º 1 - Licitude do tratamento - Dados relativos ao género e à identidade de género - Venda em linha de títulos de transporte - Artigo 21.º- Direito de oposição) (C/2025/1201). JO C, C/2025/1201, 3.3.2025, p. 1-2.
Língua do processo: francês
Órgão jurisdicional de reenvio: Conseil d'État
Partes no processo principal: Recorrente:Mousse / Recorridas:Commission nationale de l'informatique et des libertés (CNIL), SNCF Connect
Dispositivo
1) O artigo 6.º, n.º 1, primeiro parágrafo, alíneas b) e f), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), lido em conjugação com o artigo 5.º, n.º 1, alínea c), deste regulamento,
deve ser interpretado no sentido de que:
— o tratamento de dados pessoais relativos ao género dos clientes de uma empresa de transporte, que tenha por finalidade uma personalização da comunicação comercial baseada na respetiva identidade de género, não se afigura nem objetivamente indispensável nem essencial para permitir a execução correta de um contrato e, por conseguinte, não pode ser considerado necessário para a execução desse contrato;
— o tratamento de dados pessoais relativos ao género dos clientes de uma empresa de transporte, que tenha por finalidade uma personalização da comunicação comercial baseada na respetiva identidade de género, não pode ser considerado necessário para efeitos dos interesses legítimos prosseguidos pelo responsável por este tratamento ou por terceiros, quando:
— o interesse legítimo prosseguido não foi indicado a estes clientes aquando da recolha destes dados; ou
— o referido tratamento não se verificar dentro dos limites do estritamente necessário para a realização deste interesse legítimo; ou
— à luz de todas as circunstâncias pertinentes, as liberdades e os direitos fundamentais dos referidos clientes sejam suscetíveis de prevalecer sobre o referido interesse legítimo, nomeadamente em razão de um risco de discriminação em função da identidade de género.
2) O artigo 6.º, n.º 1, primeiro parágrafo, alínea f), do Regulamento 2016/679
deve ser interpretado no sentido de que:
para apreciar a necessidade de um tratamento de dados pessoais nos termos desta disposição, não há que ter em consideração a eventual existência de um direito de oposição do titular dos dados, ao abrigo do artigo 21.º, n.º 1, deste regulamento.
ELI: http://data.europa.eu/eli/C/2025/1201/oj
ISSN 1977-1010 (electronic edition)
(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Versão consolidada atual: 04/05/2016
###
09-01-2025
Tratamento de dados pessoais
Atribuições da autoridade de controlo - Conceitos de «pedido» e de «pedidos excessivos» - Conceito de «reclamação»
Regulamento (UE) 2016/679 - Artigo 57.º, n.º 1, alínea f), e n.º 4 - Artigo 77.º, n.º 1
Acórdão do Tribunal de Justiça (Primeira Secção), de 9 de janeiro de 2025, (pedido de decisão prejudicial apresentado pelo Verwaltungsgerichtshof – Áustria) – Österreichische Datenschutzbehörde/F R [Processo C-416/23(1), Österreichische Datenschutzbehörde (Pedidos excessivos)] (Reenvio prejudicial - Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais - Regulamento (UE) 2016/679 - Artigo 57.°, n.º 1, alínea f), e n.º 4 - Atribuições da autoridade de controlo - Conceitos de «pedido» e de «pedidos excessivos» - Exigência de pagamento de uma taxa razoável ou indeferimento dos pedidos manifestamente infundados ou excessivos - Critérios passíveis de orientar a escolha da autoridade de controlo - artigo 77.º, n.º 1 - Conceito de «reclamação») (C/2025/1202). JO C, C/2025/1202, 3.3.2025, p. 1.
Língua do processo: alemão
Órgão jurisdicional de reenvio
Verwaltungsgerichtshof
Partes no processo principal: Recorrente:Österreichische Datenschutzbehörde / Recorrido:F R, sendo interveniente:Bundesministerin für Justiz
Dispositivo
1) O artigo 57.º, n.º 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),
deve ser interpretado no sentido de que:
o conceito de «pedidos», referido neste artigo, inclui as reclamações mencionadas no artigo 57.°, n.º 1, alínea f), e no artigo 77.°, n.º 1, deste regulamento.
2) O artigo 57.°, n.º 4, do Regulamento 2016/679
deve ser interpretado no sentido de que:
os pedidos não podem ser qualificados de «excessivos», na aceção do artigo 57.°, n.º 4, deste regulamento, apenas devido ao seu número durante um determinado período, estando o exercício da faculdade prevista nesta disposição sujeito à demonstração, pela autoridade de controlo, da existência de uma intenção abusiva por parte da pessoa que apresentou esses pedidos.
3) O artigo 57.°, n.º 4, do Regulamento 2016/679
deve ser interpretado no sentido de que:
a autoridade de controlo, quando confrontada com pedidos excessivos, pode, mediante decisão fundamentada, escolher entre exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou indeferir esses pedidos, tomando em consideração o conjunto das circunstâncias pertinentes e assegurando que a opção escolhida é adequada, necessária e proporcionada.
(1) JO C, C/2023/12.
ELI: http://data.europa.eu/eli/C/2025/1202/oj
ISSN 1977-1010 (electronic edition)
(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Versão consolidada atual: 04/05/2016
______________________________________________________
BIBLIOTECA DA ORDEM DOS ADVOGADOS
Catálogo da Biblioteca | boa@cg.oa.pt | Informação Jurídica
2025-01-09 / 16:08