–

em representação da Digi Távközlési és Szolgáltató Kft., por R. Hatala e A. D. László, ügyvédek,

–

em representação da Nemzeti Adatvédelmi és Információszabadság Hatóság, por G. Barabás, consultor jurídico, assistido por G. J. Dudás e Á. Hargita, ügyvédek,

–

em representação do Governo húngaro, por Zs. Biró‑Tóth e M. Z. Fehér, na qualidade de agentes,

–

em representação do Governo checo, por T. Machovičová, M. Smolek e J. Vláčil, na qualidade de agentes,

–

em representação do Governo português, por P. Barros da Costa, L. Inez Fernandes, I. Oliveira, M. J. Ramos e C. Vieira Guerra, na qualidade de agentes,

–

em representação da Comissão Europeia, por V. Bottka e H. Kranenborg, na qualidade de agentes,

1

O pedido de decisão prejudicial tem por objeto a interpretação do artigo 5.o, n.o 1, alíneas b) e e), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, e retificação JO 2018, L 127, p. 2).

2

Este pedido foi apresentado no âmbito de um litígio que opõe a Digi Távközlési és Szolgáltató Kft. (a seguir «Digi»), um dos principais fornecedores de serviços Internet e de televisão na Hungria, à Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoridade Nacional para a Proteção de Dados e da Liberdade de Informação, a seguir «Autoridade»), a respeito de uma violação de dados pessoais contidos numa base de dados da Digi.

3

Os considerandos 10 e 50 do Regulamento 2016/679 enunciam:

[…]

4

O artigo 4.o do Regulamento 2016/679, sob a epígrafe «Definições», dispõe:

«Para efeitos do presente regulamento entende‑se por:

[…]

[…]»

5

Nos termos do artigo 5.o do referido regulamento, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais»:

«1.   Os dados pessoais são:

2.   O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.o 1 e tem de poder comprová‑lo (“responsabilidade”).»

6

O artigo 6.o do referido regulamento, sob a epígrafe «Licitude do tratamento», prevê:

«1.   O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

[…]

4.   Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.o, n.o 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em conta:

7

A Digi é um dos principais fornecedores de serviços de Internet e de televisão na Hungria.

8

Em abril de 2018, na sequência de uma falha técnica que afetou o funcionamento de um servidor, a Digi criou uma base de dados dita de «teste» (a seguir «base de dados de teste»), na qual copiou os dados pessoais de cerca de um terço dos seus clientes particulares, os quais eram conservados noutra base de dados, denominada «digihu», suscetível de ser ligada ao sítio www.digi.hu, que continha os dados atualizados das pessoas que se tinham inscrito para receber o boletim informativo da Digi, para efeitos de marketing direto, bem como os dados de administrador de sistema que davam acesso à interface do sítio na Internet.

9

Em 23 de setembro de 2019, a Digi teve conhecimento de que um «pirata informático ético» tinha tido acesso aos dados pessoais detidos por ela de cerca de 322000 pessoas. Este acesso foi assinalado à Digi pelo próprio «pirata informático ético», que lhe enviou, como demonstração, um dos registos da base de dados de teste. A Digi corrigiu a falha que tinha permitido este acesso e celebrou um acordo de confidencialidade com essa pessoa, à qual ofereceu uma recompensa.

10

Em 25 de setembro de 2019, depois de eliminar a base de dados de teste, a Digi notificou a violação de dados pessoais à Autoridade, que abriu um inquérito.

11

Por Decisão de 18 de maio de 2020, a Autoridade concluiu que a Digi tinha violado o artigo 5.o, n.o 1, alíneas b) e e), do Regulamento 2016/679, na medida em que, depois de ter efetuado os testes necessários e corrigido a falha, não tinha eliminado imediatamente a base de dados de teste, pelo que um grande número de dados pessoais tinha sido conservado nesta base de dados sem nenhuma finalidade durante cerca de 18 meses, num ficheiro suscetível de permitir a identificação dos titulares dos dados. Por conseguinte, a Autoridade ordenou à Digi que examinasse todas as suas bases de dados e aplicou‑lhe uma coima no montante de 100000000 forintes húngaros (HUF) (cerca de 248000 euros).

12

A Digi impugnou a legalidade dessa decisão no órgão jurisdicional de reenvio.

13

Este salienta que os dados pessoais copiados pela Digi para a base de dados de teste foram recolhidos para a celebração e execução dos contratos de subscrição e que a licitude da recolha inicial dos dados pessoais não foi posta em causa pela Autoridade. Todavia, interroga‑se sobre a questão de saber se copiar, noutra base de dados, os dados inicialmente recolhidos, teve como consequência alterar a finalidade da recolha inicial e do seu tratamento. Acrescenta que tem igualmente que determinar se a criação de uma base de dados de teste e a continuação, nessa outra base, do tratamento dos dados dos clientes são compatíveis com as finalidades da recolha inicial. Considera que o princípio da «limitação das finalidades», como enunciado no artigo 5.o, n.o 1, alínea b), do Regulamento 2016/679, não lhe permite determinar os sistemas internos em que o responsável pelo tratamento tem o direito de tratar os dados recolhidos de modo lícito, nem saber se este pode copiar esses dados para uma base de dados de teste sem alterar a finalidade da recolha inicial dos dados.

14

Na hipótese de a criação da base de dados de teste ser incompatível com a finalidade da recolha inicial, o órgão jurisdicional de reenvio pergunta igualmente se, uma vez que a finalidade do tratamento dos dados dos clientes numa outra base de dados não é a correção de erros mas a celebração dos contratos, o prazo de conservação necessário deve, por força do princípio da «limitação da conservação» que figura no artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679, corresponder ao período necessário para a correção dos erros ou ao período necessário para a execução das obrigações contratuais.

15

Nestas condições, o Fővárosi Törvényszék (Tribunal de Budapeste‑Capital, Hungria) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

16

A Autoridade e o Governo húngaro manifestaram dúvidas quanto à admissibilidade das questões prejudiciais, com o fundamento de que as questões não correspondem aos factos do litígio no processo principal e não são diretamente pertinentes para a respetiva resolução.

17

A este respeito, em primeiro lugar, importa recordar que resulta de jurisprudência constante do Tribunal de Justiça que o juiz nacional, a quem foi submetido o litígio e que deve assumir a responsabilidade pela decisão judicial a tomar, tem competência exclusiva para apreciar, tendo em conta as especificidades do processo, tanto a necessidade de uma decisão prejudicial para poder proferir a sua decisão como a pertinência das questões que submete ao Tribunal de Justiça. Consequentemente, desde que as questões submetidas sejam relativas à interpretação ou à validade de uma regra do direito da União, o Tribunal de Justiça é, em princípio, obrigado a pronunciar‑se. Daqui se conclui que as questões submetidas pelos órgãos jurisdicionais nacionais gozam de uma presunção de pertinência. O Tribunal de Justiça só pode recusar pronunciar‑se sobre uma questão prejudicial submetida por um órgão jurisdicional nacional se se afigurar que a interpretação solicitada não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, se o problema for hipotético ou ainda se o Tribunal de Justiça não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às referidas questões (Acórdão de 16 de julho de 2020, Facebook Ireland e Schrems, C‑311/18, EU:C:2020:559, n.o 73, assim como jurisprudência referida).

18

No caso em apreço, o órgão jurisdicional de reenvio é chamado a pronunciar‑se sobre um recurso de anulação de uma decisão que sanciona a Digi, na sua qualidade de responsável pelo tratamento, por ter violado o princípio da «limitação das finalidades» e o princípio da «limitação da conservação», previstos, respetivamente, nas alíneas b) e e) do artigo 5.o, n.o 1, do Regulamento 2016/679, por não ter eliminado uma base de dados que continha dados pessoais que permitiam a identificação dos titulares dos dados. Ora, as questões prejudiciais têm precisamente por objeto a interpretação destas disposições, pelo que não se pode considerar que a interpretação solicitada do direito da União não tem relação com a realidade ou com o objeto do litígio no processo principal ou é de natureza hipotética. Além disso, a decisão de reenvio contém elementos de facto e de direito suficientes para responder utilmente às questões submetidas pelo órgão jurisdicional de reenvio.

19

Em segundo lugar, importa recordar que, no âmbito do processo previsto no artigo 267.o TFUE, que se baseia numa nítida separação de funções entre os tribunais nacionais e o Tribunal de Justiça, o juiz nacional tem competência exclusiva para interpretar e aplicar disposições de direito nacional, ao passo que o Tribunal de Justiça apenas está habilitado a pronunciar‑se sobre a interpretação ou a validade de um diploma da União, a partir dos factos que lhe são indicados pelo órgão jurisdicional nacional (Acórdão de 5 de maio de 2022, Zagrebačka banka, C‑567/20, EU:C:2022:352, n.o 45 e jurisprudência referida).

20

Por conseguinte, há que rejeitar a argumentação relativa à inadmissibilidade das questões prejudiciais que a Autoridade e o Governo húngaro baseiam, em substância, no facto de, no seu entender, as questões prejudiciais não corresponderem aos factos do litígio do processo principal.

21

Daqui resulta que as questões prejudiciais são admissíveis.

22

Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 5.o, n.o 1, alínea b), do Regulamento 2016/679 deve ser interpretado no sentido de que o princípio da «limitação das finalidades», previsto nesta disposição, se opõe a que o responsável pelo tratamento registe e conserve, numa base de dados criada para realizar testes e corrigir erros, de dados pessoais previamente recolhidos e conservados noutra base de dados.

23

Conforme jurisprudência constante, a interpretação de uma disposição do direito da União exige que se tenha em conta não só os seus termos mas também o contexto em que se insere e os objetivos e a finalidade prosseguidos pelo ato de que faz parte (Acórdão de 1 de agosto de 2022, Hold Alapkezelő, C‑352/20, EU:C:2022:606, n.o 42 e jurisprudência referida).

24

A este respeito, em primeiro lugar, cabe salientar que o artigo 5.o, n.o 1, do Regulamento 2016/679 fixa os princípios relativos ao tratamento de dados pessoais, que se impõem ao responsável pelo tratamento e cujo cumprimento este deve poder comprovar, em conformidade com o princípio da responsabilidade enunciado no n.o 2 deste artigo.

25

Em especial, nos termos do artigo 5.o, n.o 1, alínea b), deste regulamento, que enuncia o princípio da «limitação das finalidades», os dados pessoais devem, por um lado, ser recolhidos para finalidades determinadas, explícitas e legítimas e, por outro, não serem posteriormente tratados de modo incompatível com essas finalidades.

26

Resulta, assim, da redação desta disposição que a mesma comporta duas exigências, uma relativa às finalidades da recolha inicial dos dados pessoais e a outra relativa ao tratamento posterior desses dados.

27

Em primeiro lugar, no que respeita à exigência de que os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas, resulta da jurisprudência do Tribunal de Justiça que esta implica, antes de mais, que as finalidades do tratamento dos dados pessoais sejam identificadas o mais tardar no momento da sua recolha, em seguida, que as finalidades desse tratamento sejam enunciadas claramente e, por último, que as finalidades do referido tratamento assegurem, nomeadamente, um tratamento lícito desses dados, na aceção do artigo 6.o, n.o 1, do Regulamento 2016/679 [v., neste sentido, Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.os 64 a 66].

28

No caso em apreço, decorre da redação da primeira questão e dos fundamentos da decisão de reenvio que os dados pessoais em causa no processo principal foram recolhidos para finalidades determinadas, explícitas e legítimas, precisando ainda o órgão jurisdicional de reenvio que a recolha desses dados foi realizada para a celebração e a execução pela Digi de contratos de subscrição com os seus clientes, em conformidade com o artigo 6.o, n.o 1, alínea b), do Regulamento 2016/679.

29

Em segundo lugar, no que respeita à exigência de que os dados pessoais não devem ser objeto de um tratamento posterior incompatível com essas finalidades, há que salientar, por um lado, que o registo e a conservação, pelo responsável pelo tratamento, numa base de dados criada de novo, de dados pessoais conservados noutra base de dados constitui um «tratamento posterior» desses dados.

30

Com efeito, o conceito de «tratamento» é definido de modo amplo no artigo 4.o, ponto 2, do Regulamento 2016/679 como abrangendo qualquer operação ou conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como, nomeadamente, a recolha, o registo e a conservação desses dados.

31

Além disso, em conformidade com o sentido habitual do termo «posterior» na linguagem corrente, qualquer tratamento de dados pessoais que é ulterior ao tratamento inicial constituído pela recolha inicial desses dados constitui um tratamento «posterior» dos referidos dados, independentemente da finalidade desse tratamento posterior.

32

Por outro lado, importa salientar que o artigo 5.o, n.o 1, alínea b), do Regulamento 2016/679 não contém indicações sobre as condições em que um tratamento posterior de dados pessoais pode ser considerado compatível com as finalidades da recolha inicial desses dados.

33

Contudo, o contexto em que se insere esta disposição fornece, em segundo lugar, precisões úteis a este respeito.

34

Com efeito, resulta de uma leitura conjugada do artigo 5.o, n.o 1, alínea b), do artigo 6.o, n.o 1, alínea a), e do artigo 6.o, n.o 4, do Regulamento 2016/679 que a questão da compatibilidade do tratamento posterior dos dados pessoais com as finalidades para as quais esses dados foram inicialmente recolhidos só se coloca na hipótese de as finalidades do referido tratamento posterior não serem idênticas às finalidades da recolha inicial.

35

Além disso, resulta deste artigo 6.o, n.o 4, lido à luz do considerando 50 do referido regulamento, que, quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros, é necessário, a fim de determinar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, ter em conta, primeiro, a eventual existência de uma ligação entre as finalidades para as quais os dados pessoais foram recolhidos e as finalidades do tratamento posterior pretendido; segundo, o contexto em que os dados pessoais foram recolhidos, em particular no que respeita à relação entre os titulares dos dados e o responsável pelo seu tratamento; terceiro, a natureza dos dados pessoais; quarto, as eventuais consequências do tratamento posterior pretendido para os titulares dos dados e, por último, quinto, a existência de salvaguardas adequadas, tanto no âmbito do tratamento inicial como do tratamento posterior previsto.

36

Como salientou o advogado‑geral, em substância, nos n.os 28, 59 e 60 das suas conclusões, esses critérios traduzem a necessidade de uma ligação concreta, lógica e suficientemente estreita entre as finalidades da recolha dos dados e o tratamento posterior desses dados, e permitem assegurar que esse tratamento posterior não se afasta das expectativas legítimas dos clientes quanto à utilização posterior dos seus dados.

37

Estes critérios permitem, aliás, em terceiro lugar, como sublinhou o advogado‑geral, em substância, no n.o 27 das suas conclusões, delimitar a reutilização de dados pessoais anteriormente recolhidos, assegurando um equilíbrio entre, por um lado, a necessidade de previsibilidade e de segurança jurídica relativamente às finalidades do tratamento de dados pessoais anteriormente recolhidos e, por outro, o reconhecimento de uma certa flexibilidade em benefício do responsável pelo tratamento na gestão desses dados, contribuindo assim para a realização do objetivo que consiste em assegurar um nível de proteção coerente e elevado das pessoas singulares, enunciado no considerando 10 do Regulamento 2016/679.

38

Assim, tendo em conta os critérios mencionados no n.o 35 do presente acórdão e atendendo a todas as circunstâncias que caracterizam o caso em apreço, incumbe ao órgão jurisdicional nacional determinar, quer as finalidades da recolha inicial dos dados pessoais, quer as do tratamento posterior desses dados e, na hipótese de as finalidades desse tratamento posterior serem diferentes das finalidades dessa recolha, verificar se o tratamento posterior dos referidos dados é compatível com as finalidades da referida recolha inicial.

39

Dito isto, o Tribunal de Justiça, decidindo a título prejudicial, pode prestar esclarecimentos destinados a guiar o órgão jurisdicional nacional na sua decisão (v., neste sentido, Acórdão de 7 de abril de 2022, Fuhrmann‑2, C‑249/21, EU:C:2022:269, n.o 32).

40

No presente caso, em primeiro lugar, como foi recordado no n.o 13 do presente acórdão, resulta da decisão de reenvio que os dados pessoais foram inicialmente recolhidos pela Digi, responsável pelo tratamento, para a celebração e a execução de contratos de subscrição com os seus clientes particulares.

41

Em segundo lugar, as partes no processo principal não estão de acordo quanto à finalidade específica do registo e da conservação, pela Digi, na base de dados de teste, dos dados pessoais em causa. Com efeito, enquanto a Digi alega que a criação da base de dados de teste tinha por finalidade específica garantir o acesso aos dados dos clientes até que os erros fossem corrigidos, pelo que esta finalidade seria idêntica às finalidades prosseguidas pela recolha inicial desses dados, a Autoridade sustenta que a finalidade específica do tratamento posterior era diferente dessas finalidades, uma vez que consistia na realização de testes e na correção de erros.

42

A este respeito, há que recordar que resulta da jurisprudência referida no n.o 19 do presente acórdão que, no âmbito do processo previsto no artigo 267.o TFUE, baseado numa nítida separação de funções entre os órgãos jurisdicionais nacionais e o Tribunal de Justiça, o juiz nacional tem competência exclusiva para interpretar e aplicar disposições de direito nacional, ao passo que o Tribunal de Justiça apenas está habilitado a pronunciar‑se sobre a interpretação ou a validade de um diploma da União, a partir dos factos que lhe são indicados pelo órgão jurisdicional nacional.

43

Ora, decorre da decisão de reenvio que a base de dados de teste foi criada pela Digi para poder proceder a testes e corrigir erros, pelo que é à luz destas finalidades que incumbe ao órgão jurisdicional de reenvio apreciar a compatibilidade do tratamento posterior com as finalidades da recolha inicial, que consiste na celebração e execução de contratos de subscrição.

44

Em terceiro lugar, no que se refere a esta apreciação, importa salientar que a realização de testes e a correção de erros que afetam a base de dados dos clientes apresentam uma ligação concreta com a execução dos contratos de subscrição dos clientes particulares, na medida em que esses erros são suscetíveis de ser prejudiciais para a prestação do serviço contratualmente previsto, e para a qual os dados foram inicialmente recolhidos. Com efeito, como salientou o advogado‑geral no n.o 60 das suas conclusões, esse tratamento não se afasta das expectativas legítimas desses clientes quanto à utilização posterior dos seus dados pessoais. De resto, não resulta da decisão de reenvio que a totalidade ou parte desses dados fossem sensíveis ou que o tratamento posterior dos mesmos, enquanto tal, tivesse tido consequências prejudiciais para os clientes ou não tenha sido acompanhado de salvaguardas adequadas, o que, em todo o caso, incumbe ao órgão jurisdicional de reenvio verificar.

45

Resulta das considerações precedentes que há que responder à primeira questão que o artigo 5.o, n.o 1, alínea b), do Regulamento 2016/679 deve ser interpretado no sentido de que o princípio da «limitação das finalidades», previsto nesta disposição, não se opõe a que o responsável pelo tratamento registe e conserve, numa base de dados criada para realizar testes e corrigir erros, dados pessoais previamente recolhidos e conservados noutra base de dados, quando esse tratamento posterior é compatível com as finalidades específicas para as quais esses dados pessoais foram inicialmente recolhidos, o que importa determinar à luz dos critérios referidos no artigo 6.o, n.o 4, deste regulamento.

46

A título preliminar, há que salientar que a segunda questão do órgão jurisdicional de reenvio, que tem por objeto a conformidade com o princípio da «limitação da conservação», que figura no artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679, da conservação, pela Digi, na base de dados de teste, de dados pessoais dos seus clientes, só é submetida por esse órgão jurisdicional em caso de resposta afirmativa à primeira questão, como reformulada, ou seja, na hipótese de essa conservação não ser compatível com o princípio da «limitação das finalidades», previsto no artigo 5.o, n.o 1, alínea b) desse regulamento.

47

Todavia, por um lado, como salientou o advogado‑geral no n.o 24 das suas conclusões, os princípios relativos ao tratamento dos dados pessoais enunciados no artigo 5.o do Regulamento 2016/679 são aplicáveis cumulativamente. Por conseguinte, a conservação de dados pessoais deve respeitar não só o princípio da «limitação das finalidades» mas também o da «limitação da conservação».

48

Por outro lado, importa recordar que, como decorre do considerando 10 do Regulamento 2016/679, este visa nomeadamente assegurar um nível de proteção elevado das pessoas singulares na União e, para esse fim, assegurar uma aplicação coerente e homogénea das regras de proteção das liberdades e dos direitos fundamentais dessas pessoas no que diz respeito ao tratamento de dados pessoais em toda a União.

49

Para esse efeito, os capítulos II e III deste regulamento enunciam, respetivamente, os princípios que regem o tratamento de dados pessoais e os direitos dos titulares dos dados que qualquer tratamento de dados pessoais deve respeitar. Especialmente, qualquer tratamento de dados pessoais deve, por um lado, ser conforme aos princípios relativos ao tratamento desses dados enunciados no artigo 5.o do referido regulamento, e, por outro lado, à luz em especial do princípio da licitude do tratamento, previsto no n.o 1, alínea a), deste artigo, cumprir um dos princípios relativos à licitude do tratamento, enumerados no artigo 6.o do mesmo regulamento [v., neste sentido, Acórdãos de 22 de junho de 2021, Latvijas Republikas Saeima (pontos de penalização), C‑439/19, EU:C:2021:504, n.o 96, e de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.o 50].

50

Tendo em conta estas considerações, mesmo que, no plano formal, o órgão jurisdicional de reenvio só tenha submetido a segunda questão em caso de resposta afirmativa à primeira questão como reformulada, tal circunstância não obsta a que o Tribunal de Justiça lhe forneça todos os elementos de interpretação do direito da União que possam ser úteis para a apreciação do processo que lhe foi submetido (v., neste sentido, Acórdão de 17 de março de 2022, Daimler, C‑232/20, EU:C:2022:196, n.o 49) e, portanto, responder a esta segunda questão.

51

Nestas condições, há que considerar que, com esta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679 deve ser interpretado no sentido de que o princípio da «limitação da conservação», previsto nesta disposição, se opõe a que o responsável pelo tratamento conserve, numa base de dados criada para realizar testes e corrigir erros, dados pessoais previamente recolhidos para outras finalidades, durante um período superior ao necessário à realização desses testes e à correção desses erros.

52

Em primeiro lugar, importa salientar que, nos termos do artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679, os dados pessoais devem ser conservados de modo a permitir a identificação dos titulares dos dados durante um período que não exceda o necessário para a realização das finalidades para que são tratados.

53

Decorre assim, sem ambiguidade, da redação deste artigo que o princípio da «limitação da conservação» exige que o responsável pelo tratamento possa comprovar, em conformidade com o princípio da responsabilidade recordado no n.o 24 do presente acórdão, que os dados pessoais só são conservados durante o período necessário para a realização das finalidades para que foram recolhidos ou para que foram posteriormente tratados.

54

Daqui resulta que, mesmo um tratamento inicialmente lícito de dados se pode tornar, com o tempo, incompatível com Regulamento 2016/679 quando esses dados já não sejam necessários para a realização dessas finalidades [Acórdão de 24 de setembro de 2019, GC e o. (Supressão de referências de dados sensíveis), C‑136/17, EU:C:2019:773, n.o 74] e que os dados devem ser eliminados após a realização dessas finalidades (v., neste sentido, Acórdão de 7 de maio de 2009, Rijkeboer, C‑553/07, EU:C:2009:293, n.o 33).

55

Em segundo lugar, esta interpretação está em conformidade com o contexto em que se insere o artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679.

56

A este respeito, foi recordado no n.o 49 do presente acórdão que qualquer tratamento de dados pessoais deve ser conforme com os princípios relativos ao tratamento de dados enunciados no artigo 5.o do referido regulamento e satisfazer uma das condições relativas à licitude do tratamento enumeradas no artigo 6.o do mesmo regulamento.

57

Ora, por um lado, como decorre deste artigo 6.o, quando o titular dos dados não tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas, em conformidade com o artigo 6.o, n.o 1, alínea a), do Regulamento 2016/679, o tratamento deve, como resulta das alíneas b) a f) do referido número, cumprir uma exigência de necessidade.

58

Por outro lado, essa exigência de necessidade resulta igualmente do princípio da «minimização dos dados», previsto no artigo 5.o, n.o 1, alínea c), do referido regulamento, nos termos do qual os dados pessoais devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados.

59

Em terceiro lugar, esta interpretação é conforme com o objetivo prosseguido pelo artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679, que, como foi recordado no n.o 48 do presente acórdão, consiste nomeadamente em assegurar um nível de proteção elevado das pessoas singulares na União no que diz respeito ao tratamento de dados pessoais.

60

No caso em apreço, a Digi alegou que foi por descuido que os dados pessoais de uma parte dos seus clientes particulares conservados na base de dados de teste não foram apagados, após a realização dos testes e a correção dos erros.

61

A este respeito, basta salientar que este argumento não é pertinente para apreciar se os dados foram conservados durante um período superior ao necessário para a realização das finalidades para que foram posteriormente tratados, em violação do princípio da «limitação da conservação», previsto no artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679.

62

Resulta de todas as considerações precedentes que há que responder à segunda questão que o artigo 5.o, n.o 1, alínea e), do Regulamento 2016/679 deve ser interpretado no sentido de que o princípio da «limitação da conservação», previsto nesta disposição, se opõe a que o responsável pelo tratamento conserve, numa base de dados criada para realizar testes e corrigir erros, de dados pessoais previamente recolhidos para outras finalidades, durante um período superior ao necessário à realização desses testes e à correção desses erros.

63

Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara: