Processo C‑231/22

État belge

contra

Autorité de protection des données

[pedido de decisão prejudicial, apresentado pela Cour d’appel de Bruxelles (Tribunal de Recurso de Bruxelas, Bélgica)]

Acórdão do Tribunal de Justiça (Terceira Secção) de 11 de janeiro de 2024

«Reenvio prejudicial — Aproximação das legislações — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados) — Regulamento (UE) 2016/679 — Artigo 4.o, ponto 7 — Conceito de “responsável pelo tratamento” — Jornal oficial de um Estado‑Membro — Obrigação de publicar, tal como são comunicados, atos das sociedades preparados por estas ou pelos seus representantes legais — Artigo 5.o, n.o 2 — Tratamento sucessivo, por várias pessoas ou entidades distintas, dos dados pessoais que figuram nesses atos — Determinação das responsabilidades»

1. Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Conceito de responsável pelo tratamento — Jornal oficial de um Estado‑Membro que assegura a publicação dos atos e documentos oficiais preparados por terceiros e que não tem poder de apreciação quanto ao conteúdo dos mesmos — Inclusão — Requisito — Determinação das finalidades e dos meios de tratamento de dados pessoais por esse jornal oficial no direito nacional — Modalidades — Irrelevância da falta de personalidade jurídica

   (Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 4.o, ponto 7)

   (cf. n.os 28, 30, 34‑39, disp. 1)

2. Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Princípios relativos ao tratamento — Determinação dos responsáveis pelo respeito desses princípios em caso de tratamento sucessivo dos mesmos dados — Responsabilidade do jornal oficial de um Estado‑Membro que assegura a publicação os atos e documentos oficiais preparados por terceiros e que tem a qualidade de responsável pelo tratamento — Alcance — Responsabilidade individual do jornal oficial — Responsabilidade conjunta com outras entidades — Requisito — Determinação das finalidades e dos meios que unem as diferentes operações de tratamento e das obrigações respetivas dos responsáveis conjuntos pelo tratamento no direito nacional — Modalidades

   (Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 4.°, ponto 7, 5.°, n.os 1 e 2, e 26.°, n.o 1)

   (cf. n.os 42‑45, 49, 50, 52, disp. 2)

Resumo

Chamado a pronunciar‑se a título prejudicial pela cour d’appel de Bruxelles (Tribunal de Recurso de Bruxelas, Bélgica), o Tribunal de Justiça clarifica, por um lado, os contornos do conceito de «responsável pelo tratamento» e, por outro, os limites das obrigações de um responsável pelo tratamento, quando os tratamentos que tenham por objeto os mesmos dados pessoais são efetuados por entidades sucessivas.

Em 12 de fevereiro de 2019, o Moniteur belge, que assegura na Bélgica a produção e a difusão de um vasto leque de publicações oficiais e públicas em papel e por via eletrónica, publicou um excerto de uma deliberação de uma sociedade relativa a uma redução do seu capital. Este excerto, redigido pelo notário de um sócio da sociedade e transmitido ao tribunal competente, que, por sua vez, o comunicou para publicação à direção desse jornal oficial, continha dados pessoais desse sócio.

Após ter verificado que a passagem onde figuravam os seus dados tinha sido incluída no excerto na sequência de um erro cometido pelo notário, a pessoa em causa pediu a supressão da mesma com fundamento no seu direito ao apagamento ( 1 ). Todavia, o seu pedido foi indeferido pelo service public fédéral Justice (Serviço Público Federal da Justiça, a seguir «SPF Justice»), sob cuja dependência se encontra a Direção do Moniteur belge. Na sequência desse indeferimento, essa pessoa apresentou uma queixa contra o SPF Justice à Autorité de protection des données (Autoridade de Proteção de Dados, Bélgica, a seguir «APD»). Por Decisão de 23 de março de 2021, a APD instou o SPF Justice a dar seguimento ao pedido de apagamento o mais rapidamente possível. O Estado belga interpôs então recurso na cour d’appel de Bruxelles (Tribunal de Recurso de Bruxelas) com vista a obter a anulação da decisão da APD.

Neste contexto, a cour d’appel de Bruxelles interrogou o Tribunal de Justiça sobre as questões de saber se o Moniteur belge pode ser qualificado de «responsável pelo tratamento» ( 2 ) e se deve ser considerado o único responsável pelo respeito dos princípios relativos ao tratamento dos dados ( 3 ) ou se essa responsabilidade incumbe também cumulativamente às entidades que trataram a montante os dados que figuram na passagem em causa.

Apreciação do Tribunal de Justiça

Em primeiro lugar, quanto à questão de saber se a agência ou o organismo encarregado do jornal oficial de um Estado‑Membro como o Moniteur belge pode ser qualificado de «responsável pelo tratamento» na aceção do RGPD, o Tribunal precisa que, tendo em conta a definição ampla deste conceito, a determinação das finalidades e dos meios do tratamento, bem como, se for caso disso, a designação do responsável pelo tratamento pelo direito nacional podem ser não só explícitas mas também implícitas. Neste último caso, exige‑se, no entanto, que esta determinação decorra de maneira suficientemente certa do papel, da missão e das atribuições atribuídas à agência ou ao organismo em causa.

O Tribunal de Justiça refere que, no caso em apreço, o direito belga determinou, pelo menos implicitamente, as finalidades e os meios do tratamento dos dados pessoais efetuado pelo Moniteur belge. Daqui resulta que este último pode ser considerado o «responsável pelo tratamento».

O Tribunal sublinha que esta conclusão não é posta em causa pela circunstância de o Moniteur belge não ser dotado de personalidade jurídica nem pelo facto de, por força do direito nacional, não controlar, antes da sua publicação, os dados pessoais que figuram nos atos e documentos que recebe.

Embora seja verdade que esse organismo deve publicar o documento em causa conforme este lhe é comunicado, só ele assume essa tarefa e, em seguida, difunde o ato ou o documento em causa. Por um lado, a publicação desses atos e desses documentos sem possibilidade de controlo ou de alteração do seu conteúdo está intrinsecamente ligada às finalidades e aos meios de tratamento determinados pelo direito nacional. Com efeito, o papel desse jornal oficial limita‑se a informar o público da existência desses atos e desses documentos, tal como lhe são transmitidos sob a forma de cópia em conformidade com o direito nacional aplicável, de modo a torná‑los oponíveis a terceiros. Por outro lado, seria contrário ao objetivo do artigo 4.o, ponto 7, do RGPD excluir do conceito de «responsável pelo tratamento» o jornal oficial de um Estado‑Membro pelo facto de este último não exercer controlo sobre os dados pessoais que figuram nas suas publicações.

Em segundo lugar, no que respeita à questão de saber se um organismo como o Moniteur belge deve ser considerado o único responsável pelo respeito dos princípios relativos ao tratamento dos dados pessoais visados pelo RGPD ( 4 ), o Tribunal de Justiça observa que o tratamento confiado ao Moniteur belge é simultaneamente posterior ao tratamento efetuado pelo notário e pela secretaria do tribunal competente e é tecnicamente diferente do tratamento efetuado por essas duas entidades na medida em que se lhe vem acrescentar. Com efeito, as operações efetuadas pelo Moniteur belge são‑lhe confiadas pela legislação nacional e implicam, designadamente, a transformação numérica dos dados que figuram nos atos ou extratos de atos que lhe são submetidos, a sua publicação, a sua disponibilização a um grande público e a sua conservação. Por conseguinte, deve ser considerado responsável pelo cumprimento de todas as obrigações impostas ao responsável pelo tratamento pelo RGPD.

Além disso, o Tribunal de Justiça recorda que o artigo 4.o, ponto 7, do RGPD prevê não só que as finalidades e os meios de um tratamento de dados pessoais podem ser determinados conjuntamente por várias pessoas enquanto responsáveis pelo tratamento, mas também que o direito nacional pode determinar essas finalidades e esses meios e designar o responsável pelo tratamento ou os critérios específicos aplicáveis à sua designação. Assim, no âmbito de uma cadeia de tratamentos efetuados por diferentes pessoas ou entidades e que tenham por objeto os mesmos dados pessoais, o direito nacional pode determinar as finalidades e os meios de todos os tratamentos efetuados sucessivamente por essas diferentes pessoas ou entidades, de modo a que estas sejam conjuntamente consideradas responsáveis pelo tratamento.

O Tribunal de Justiça sublinha que, por força do RGPD ( 5 ), a responsabilidade conjunta de vários intervenientes numa cadeia de tratamento dos mesmos dados pessoais pode ser estabelecida pelo direito nacional desde que as diferentes operações de tratamento sejam unidas por finalidades e meios determinados por esse direito e que este defina as obrigações respetivas de cada um dos responsáveis conjuntos pelo tratamento. Tal determinação das finalidades e dos meios que unem os diferentes tratamentos efetuados por vários agentes de uma cadeia e das respetivas obrigações pode ser efetuada não só de forma direta mas também de forma indireta pelo direito nacional, desde que, neste último caso, se possa deduzir de forma suficientemente explícita das disposições legais que regem as pessoas ou as entidades em causa, bem como o tratamento dos dados pessoais que operam no âmbito da cadeia de tratamento imposta por esse direito.

Assim, o Tribunal de Justiça conclui que o serviço ou o organismo encarregado do jornal oficial de um Estado‑Membro, qualificado de «responsável pelo tratamento», é o único responsável pelo respeito dos princípios previstos no RGPD no que respeita às operações de tratamento de dados pessoais que é obrigado a efetuar por força do direito nacional, a menos que desse direito decorra uma responsabilidade conjunta com outras entidades relativamente a essas operações.

( 1 ) Previsto no artigo 17.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

( 2 ) Na aceção do artigo 4.o, ponto 7, do RGPD.

( 3 ) Nos termos do artigo 5.o, n.o 2, do RGPD.

( 4 ) Princípios estabelecidos sob a forma de obrigações no artigo 5.o, n.o 1, do RGPD.

( 5 ) De acordo com a leitura conjugada do artigo 26.o, n.o 1, e do artigo 4.o, ponto 7, do RGPD.