Processo C‑21/23

ND

contra

DR

(pedido de decisão prejudicial apresentado pelo Bundesgerichtshof)

Acórdão do Tribunal de Justiça (Grande Secção) de 4 de outubro de 2024

«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Capítulo VIII — Vias de recurso — Comercialização de medicamentos por um farmacêutico através de uma plataforma em linha — Ação intentada nos tribunais cíveis por um concorrente desse farmacêutico, ao abrigo da proibição de práticas comerciais desleais, em razão da violação por esse farmacêutico das obrigações previstas no referido regulamento — Legitimidade — Artigo 4.o, ponto 15, e artigo 9.o, n.os 1 e 2 — Diretiva 95/46/CE — Artigo 8.o, n.os 1 e 2 — Conceito de “dados relativos à saúde” — Condições para o tratamento de tais dados»

1. Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Vias de recurso — Caráter não exaustivo — Regulamentação nacional que permite aos concorrentes do presumível autor de uma violação das obrigações previstas pelo regulamento que intente uma ação nos tribunais cíveis, com fundamento na proibição das práticas comerciais desleais — Admissibilidade

   (Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigos 77.° a 80.o)

   (cf. n.os 53‑57, 60, 62‑73, disp. 1)

2. Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Conceito de “dados relativos à saúde” — Informações relativas aos clientes de um operador de uma farmácia que põe à venda medicamentos numa plataforma em linha, prestadas quando encomendam esses medicamentos — Informações relativas ao nome desses clientes, endereço de entrega e as necessárias para a individualização dos medicamentos — Inclusão — Venda de medicamentos não sujeita a receita médica — Não incidência

   (Regulamento 2016/679 do Parlamento Europeu e do Conselho, artigo 4.o, pontos 1 e 15, e 9.°, n.o 1; Diretiva 95/46 do Parlamento Europeu e do Conselho, artigo 8.o, n.o 1)

   (cf. n.os 84, 88‑91, disp. 2)

3. Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2016/679 — Tratamento de categorias especiais de dados pessoais — Proibição — Derrogações

   (Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerando 53, artigo 9.o, n.os 1 e 2; Diretiva 95/46 do Parlamento Europeu e do Conselho, artigo 8.o, n.os 1 e 2)

   (cf. n.os 86, 87‑92, 93)

Resumo

Chamada a título prejudicial pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), a Grande Secção do Tribunal de Justiça pronuncia‑se sobre a natureza e o alcance do sistema de vias de recurso em matéria de proteção de dados ( 1 ) bem como sobre o conceito de «dados relativos à saúde» ( 2 ).

ND e DR, duas pessoas singulares, exploram cada uma uma farmácia na Alemanha. Desde 2017, ND comercializa, na plataforma em linha «Amazon‑Marketplace», medicamentos cuja venda está reservada às farmácias. Quando encomendam em linha, os clientes da ND devem introduzir informações, como o seu nome, o endereço de entrega e os elementos necessários à individualização desses medicamentos.

Baseando‑se no direito alemão em matéria de concorrência desleal ( 3 ), DR intentou contra ND uma ação inibitória nos tribunais cíveis nacionais. DR alegou que a comercialização dos medicamentos por ND era desleal devido à inobservância da exigência legal relativa à obtenção do consentimento prévio do cliente para o tratamento dos seus dados relativos à saúde.

Depois de os órgãos jurisdicionais inferiores terem julgado procedente esta ação, ND interpôs recurso de «Revision» no órgão jurisdicional de reenvio, que, por sua vez, considerou necessário submeter um pedido de decisão prejudicial ao Tribunal de Justiça.

No seu acórdão, o Tribunal de Justiça conclui pelo caráter não exaustivo do sistema de vias de recurso instituído pelo RGPD, reconhecendo que este regulamento não se opõe a que os Estados‑Membros prevejam, no direito nacional, a possibilidade de os concorrentes do presumível autor de uma violação das disposições materiais do referido regulamento contestarem judicialmente essa violação enquanto prática comercial desleal. Além disso, fornece precisões sobre os contornos do conceito de «dados relativos à saúde».

Apreciação do Tribunal de Justiça

Em primeiro lugar, o Tribunal de Justiça salienta que, embora o capítulo VIII do RGPD não preveja especificamente uma cláusula de abertura que permita expressamente aos Estados‑Membros prever essa possibilidade de recurso para os concorrentes, resulta, todavia, dos termos e do contexto das disposições deste capítulo VIII que o legislador da União não quis excluí‑la. Esta interpretação é confirmada pelos objetivos prosseguidos pelo RGPD.

Com efeito, por um lado, uma ação inibitória intentada por um concorrente contra uma empresa com fundamento na proibição das práticas comerciais desleais, devido à alegada violação das disposições materiais do RGPD, não prejudica de modo algum o sistema das vias de recurso previsto neste regulamento nem o objetivo de assegurar um nível coerente de proteção das pessoas singulares em toda a União Europeia e de evitar que divergências entravem a livre circulação de dados pessoais no mercado interno.

Neste contexto, o Tribunal de Justiça especifica que, sendo certo que tal ação é suscetível de assentar, ainda que de forma incidental, na violação das mesmas disposições do RGPD em que se pode basear uma reclamação ou uma ação judicial intentada pelos titulares dos dados ou por uma associação que represente essas pessoas ( 4 ). Todavia, ao contrário do que sucede com as vias de recurso previstas pelo RGPD, a ação inibitória intentada por um concorrente não prossegue, enquanto tal, um objetivo de proteção das liberdades e dos direitos fundamentais dos titulares dos dados no que diz respeito ao tratamento dos seus dados pessoais, mas visa assegurar uma concorrência leal, no interesse, nomeadamente, desse concorrente.

Além disso, a possibilidade de um concorrente intentar essa ação nos tribunais cíveis com fundamento na proibição das práticas comerciais desleais acresce às vias de recurso instituídas pelo RGPD, que são plenamente preservadas e podem sempre ser exercidas pelos titulares dos dados, bem como, se for caso disso, pelas associações que representam essas pessoas. Em especial, a coexistência de vias de recurso abrangidas pelo direito da proteção de dados e pelo direito da concorrência não cria um risco para a aplicação uniforme do referido regulamento.

Além disso, a invocabilidade mais ampla das disposições materiais do RGPD, por pessoas que não sejam os titulares de dados e os organismos, organizações e associações, não prejudica a realização do objetivo de assegurar um nível coerente de proteção dessas pessoas em toda a União e de evitar que as divergências entravem a livre circulação de dados pessoais no mercado interno. Com efeito, mesmo que alguns Estados‑Membros não prevejam essa possibilidade, daí não resulta, contudo, uma fragmentação da aplicação da proteção de dados na União, uma vez que as disposições materiais do RGPD se impõem da mesma forma a todas as empresas e o seu respeito é assegurado pelas vias de recurso previstas neste regulamento.

Por outro lado, no que respeita ao objetivo de assegurar uma proteção eficaz das pessoas em causa relativamente ao tratamento dos seus dados pessoais e ao efeito útil das disposições materiais do RGPD, o Tribunal de Justiça observa que, embora uma ação inibitória intentada por um concorrente do presumível autor de uma violação da proteção dos dados pessoais não vise este objetivo, mas o de assegurar uma concorrência leal, não é menos verdade que contribui incontestavelmente para o respeito destas disposições e, portanto, para reforçar os direitos das pessoas em causa e para lhes assegurar um nível elevado de proteção. De resto, tal ação inibitória de um concorrente pode revelar se, à semelhança da das associações de defesa dos interesses dos consumidores, particularmente eficaz para assegurar essa proteção, na medida em que é suscetível de prevenir um grande número de violações dos direitos dos titulares dos dados em virtude do tratamento dos seus dados pessoais ( 5 ).

Assim, o Tribunal de Justiça constata que as disposições do RGPD que visam o sistema de vias de recurso devem ser interpretadas no sentido de que não se opõem a uma regulamentação nacional que, paralelamente aos poderes de intervenção das autoridades de controlo encarregadas de fiscalizar e de fazer aplicar este regulamento, bem como às possibilidades de recurso dos titulares dos dados, confere aos concorrentes do presumível autor de uma violação da proteção dos dados pessoais legitimidade ativa contra o mesmo através de um recurso nos tribunais cíveis, por violações do referido regulamento e com fundamento na proibição de práticas comerciais desleais.

Em segundo lugar, quanto ao conceito de «dados relativos à saúde», o Tribunal de Justiça refere que estão abrangidos por este conceito os dados que um cliente introduz numa plataforma em linha quando encomenda medicamentos cuja venda está reservada às farmácias. Com efeito, estes dados são suscetíveis de revelar, através de uma operação intelectual de aproximação ou de dedução, informações sobre o estado de saúde da pessoa em causa ( 6 ), na medida em que essa encomenda implica o estabelecimento de uma ligação entre um medicamento, as suas indicações terapêuticas ou as suas utilizações, e uma pessoa singular identificada ou identificável por elementos como o nome dessa pessoa ou o endereço de entrega.

Além disso, o Tribunal de Justiça considera que é indiferente, a este respeito, que a venda dos medicamentos encomendados não esteja sujeita a receita médica e que possam, portanto, destinar‑se não ao cliente que efetua a encomenda, mas a terceiros. Assim, no caso de um utilizador de uma plataforma em linha comunicar dados pessoais no momento da encomenda de medicamentos cuja venda está reservada às farmácias sem estarem sujeitos a receita médica, o tratamento desses dados por quem explora uma farmácia que vende esses medicamentos através dessa plataforma em linha deve ser considerado um tratamento que tem por objeto dados relativos à saúde ( 7 ), uma vez que esse tratamento é suscetível de revelar informações sobre o estado de saúde de uma pessoa singular, quer essas informações digam respeito a esse utilizador ou a qualquer outra pessoa para a qual este efetua a encomenda ( 8 ).

Com efeito, uma interpretação que leve a efetuar uma distinção em função do tipo dos medicamentos em causa e do facto de a sua venda estar ou não sujeita a receita médica não é coerente com o objetivo de um nível elevado de proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento dos seus dados pessoais. Tal interpretação iria, além do mais, contra a finalidade do artigo 8.o, n.o 1, da Diretiva 95/46 e do artigo 9.o, n.o 1, do RGPD, que consiste em assegurar uma proteção acrescida contra tratamentos que, em razão da sensibilidade particular de dados que são objeto dos mesmos, podem constituir uma ingerência particularmente grave nos direitos fundamentais ao respeito da vida privada e à proteção dos dados pessoais ( 9 ). Por conseguinte, as informações que os clientes inserem quando encomendam em linha medicamentos cuja venda está reservada às farmácias sem estarem sujeitas a receita médica constituem dados relativos à saúde, ainda que apenas com uma certa probabilidade, e não com certeza absoluta, esses medicamentos se destinem a esses clientes.

O Tribunal de Justiça acrescenta que não se pode excluir que, mesmo na hipótese de tais medicamentos se destinarem a pessoas diferentes dos clientes, seja possível identificar essas pessoas e tirar conclusões sobre o seu estado de saúde. Tal poderia ser o caso, por exemplo, quando os medicamentos em questão não são entregues no domicílio do cliente que os encomendou, mas no domicílio de outra pessoa, ou quando, independentemente do endereço da entrega, o cliente se referiu, na sua encomenda ou nas suas comunicações relativas a esta, a outra pessoa identificável, como um membro da sua família.

Por último, o Tribunal de Justiça refere o facto de as informações em questão constituírem dados relativos à saúde não obsta a que possam ser objeto de um tratamento, designadamente no âmbito da gestão de serviços e dos sistemas de cuidados de saúde, se estiver preenchida uma das condições previstas a esse respeito ( 10 ). Por um lado, tal pode em especial ser o caso quando a pessoa em causa der o seu consentimento expresso a um ou mais tratamentos dos referidos dados pessoais, cujas características e finalidades específicas lhe tenham sido apresentadas de forma exata, completa e facilmente compreensível. Por outro lado, tal tratamento pode ser admissível quando for necessário para efeitos da prestação de cuidados de saúde com base no direito da União, no direito de um Estado‑Membro ou por força de um contrato com um profissional de saúde.

( 1 ) Capítulo VIII do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, a seguir «RGPD»).

( 2 ) Referidos respetivamente no artigo 8, n.1, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31), e no artigo 9.o, n.o 1, do RGPD.

( 3 ) Gesetz gegen den unlauteren Wettbewerb (Lei Contra a Concorrência Desleal), de 3 de julho de 2004 (BGBl. 2004 I, p. 1414), na versão aplicável ao litígio no processo principal.

( 4 ) Artigos 77.° a 80.° do RGPD.

( 5 ) V., neste sentido, Acórdão de 28 de abril de 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, n.os 74 e 75).

( 6 ) Na aceção do artigo 4.o, ponto 1, do RGPD.

( 7 ) Na aceção do artigo 8.o, n.o 1, da Diretiva 95/46 e do artigo 9.o, n.o 1, do RGPD.

( 8 ) V., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (C‑252/21, EU:C:2023:537, n.o 73).

( 9 ) V. Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, n.o 126 e jurisprudência referida).

( 10 ) Condições enunciadas no artigo 8.o, n.o 2, da Diretiva 95/46 e no artigo 9.o, n.o 2, do RGPD.