–

em representação da «SS» SIA, por M. Ruķers,

–

em representação do Governo letão, inicialmente, por K. Pommere, V. Soņeca e L. Juškeviča, e, em seguida, por K. Pommere, na qualidade de agentes,

–

em representação do Governo belga, por J.‑C. Halleux e P. Cottin, na qualidade de agentes, assistidos por C. Molitor, advogado,

–

em representação do Governo helénico, por E.‑M. Mamouna e O. Patsopoulou, na qualidade de agentes,

–

em representação do Governo espanhol, inicialmente, por J. Rodríguez de la Rúa Puig e S. Jiménez García, e, em seguida, por J. Rodríguez de la Rúa Puig, na qualidade de agentes,

–

em representação da Comissão Europeia, inicialmente, por H. Kranenborg, D. Nardi e I. Rubene, e, em seguida, por H. Kranenborg e I. Rubene, na qualidade de agentes,

1

O pedido de decisão prejudicial tem por objeto a interpretação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, e retificação JO 2018, L 127, p. 2), designadamente do artigo 5.o, n.o 1, do mesmo.

2

Este pedido foi apresentado no âmbito de um litígio que opõe a «SS» SIA à Valsts ieņēmumu dienests (Autoridade Tributária, Letónia) (a seguir «Autoridade Tributária letã») a respeito de um pedido de comunicação de informações relativas a anúncios de venda de veículos publicados no sítio Internet da SS.

3

O Regulamento 2016/679, que tem por base o artigo 16.o TFUE, é aplicável, por força do seu artigo 99.o, n.o 2, a partir de 25 de maio de 2018.

4

Os considerandos 1, 4, 10, 19, 26, 31, 39, 41 e 50 desse regulamento enunciam:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

[…]

5

O artigo 2.o do Regulamento 2016/679, sob a epígrafe «Âmbito de aplicação material», dispõe:

«1.   O presente regulamento aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

2.   O presente regulamento não se aplica ao tratamento de dados pessoais:

[…]»

6

O artigo 4.o deste regulamento, sob a epígrafe «Definições», tem a seguinte redação:

«Para efeitos do presente regulamento, entende‑se por:

[…]

[…]

[…]»

7

Nos termos do artigo 5.o do referido regulamento, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais»:

«1.   Os dados pessoais são:

2.   O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.o 1 e tem de poder comprová‑lo (“responsabilidade”).»

8

O artigo 6.o do mesmo regulamento, sob a epígrafe «Licitude do tratamento», prevê:

«1.   O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.

2.   Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.o 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.

3.   O fundamento jurídico para o tratamento referido no n.o 1, alíneas c) e e), é definido:

A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.o 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. […] O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

4.   Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.o, n.o 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em conta:

9

Nos termos do artigo 13.o, n.o 3, do Regulamento 2016/679:

«Quando o responsável pelo tratamento […] tiver a intenção de proceder ao tratamento posterior dos dados pessoais para um fim que não seja aquele para o qual os dados tenham sido recolhidos, antes desse tratamento o responsável fornece ao titular dos dados informações sobre esse fim e quaisquer outras informações pertinentes, nos termos do n.o 2.»

10

O artigo 14.o deste regulamento dispõe:

«1.   Quando os dados pessoais não forem recolhidos junto do titular, o responsável pelo tratamento fornece‑lhe as seguintes informações:

[…]

[…]

5.   Os n.os 1 a 4 não se aplicam quando e na medida em que:

[…]

[…]»

11

Nos termos do artigo 23.o, n.o 1, alínea e), do referido regulamento:

«O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o e no artigo 34.o, bem como no artigo 5.o, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente:

[…]

[…]»

12

O artigo 25.o, n.o 2, do Regulamento 2016/679 dispõe:

«O responsável pelo tratamento aplica medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica‑se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. Em especial, essas medidas asseguram que, por defeito, os dados pessoais não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.»

13

Os considerandos 10 e 11 da Diretiva 2016/680 enunciam:

14

O artigo 3.o desta diretiva dispõe:

«Para efeitos da presente diretiva, entende‑se por:

[…]

7. “Autoridade competente”:

[…]»

15

Por força do artigo 15.o, n.o 6, da likums «Par nodokļiem un nodevām» (Lei Tributária, Latvijas Vēstnesis, 1995, n.o 26), na versão aplicável ao litígio no processo principal (a seguir «Lei Tributária»), o prestador de serviços de anúncios publicados na Internet está obrigado a fornecer, a pedido da Autoridade Tributária letã, as informações de que dispõe relativamente aos contribuintes que publicaram anúncios recorrendo aos seus serviços.

16

SS é um prestador de serviços de anúncios publicados na Internet estabelecido na Letónia.

17

Em 28 de agosto de 2018, a Autoridade Tributária letã dirigiu à SS um pedido de informações baseado no artigo 15.o, n.o 6, da Lei Tributária, no qual convidava esta sociedade a restabelecer o acesso dessa Autoridade Tributária aos números de chassis dos veículos objeto de anúncio publicado no portal Internet da referida sociedade, bem como aos números de telefone dos vendedores, e a fornecer‑lhe, o mais tardar até 3 de setembro de 2018, informações sobre os anúncios publicados durante o período compreendido entre 14 de julho e 31 de agosto de 2018 na secção intitulada «Veículos de passageiros» desse portal.

18

Este pedido precisava que essas informações, incluindo o endereço eletrónico do anúncio, o texto do mesmo, a marca, o modelo, o número de chassis e o preço do veículo, bem como o número de telefone do vendedor, deviam ser apresentadas por via eletrónica, num formato que permitisse a filtragem ou a seleção dos dados.

19

Além disso, na hipótese de o acesso às informações constantes dos anúncios publicados no portal Internet em causa não poder ser restabelecido, a SS era convidada a indicar o motivo e a fornecer, o mais tardar no terceiro dia de cada mês, as informações pertinentes relativas aos anúncios publicados durante o mês anterior.

20

Considerando que o pedido de comunicação da Autoridade Tributária letã não era conforme com os princípios da proporcionalidade e da minimização dos dados pessoais, consagrados pelo Regulamento 2016/679, a SS apresentou uma reclamação desse pedido ao diretor‑geral em funções da Autoridade Tributária letã.

21

Por Decisão de 30 de outubro de 2018, este indeferiu a reclamação, referindo nomeadamente que, no âmbito do tratamento de dados pessoais em causa no processo principal, a Autoridade Tributária letã exercia os poderes que lhe são conferidos por lei.

22

A SS interpôs recurso de anulação dessa decisão no administratīvā rajona tiesa (Tribunal Administrativo de Primeira Instância, Letónia). Para além dos argumentos que tinha exposto na sua reclamação, alegou que a referida decisão não indicava a finalidade específica do tratamento de dados pessoais pretendido pela Autoridade Tributária letã, nem a quantidade de dados necessários ao mesmo, em violação do artigo 5.o, n.o 1, do Regulamento 2016/679.

23

Por Sentença de 21 de maio de 2019, o administratīvā rajona tiesa (Tribunal Administrativo de Primeira Instância) negou provimento ao recurso, indicando, em substância, que a Autoridade Tributária letã tinha fundamento para pedir o acesso a informações relativas a qualquer pessoa e em quantidade ilimitada, a menos que essas informações fossem consideradas incompatíveis com as finalidades de cobrança do imposto. Por outro lado, esse órgão jurisdicional considerou que as disposições do Regulamento 2016/679 não eram aplicáveis a essa Administração.

24

A SS interpôs recurso dessa sentença no órgão jurisdicional de reenvio, alegando, por um lado, que a Autoridade Tributária letã estava sujeita às disposições do Regulamento 2016/679, e, por outro, que, ao exigir mensalmente e sem limitação no tempo uma quantidade significativa de dados pessoais relativos a um número ilimitado de anúncios, sem identificar os contribuintes relativamente aos quais seria iniciado um controlo fiscal, essa Administração violou o princípio da proporcionalidade.

25

O órgão jurisdicional de reenvio indica que, no âmbito do litígio no processo principal, não se contesta que a execução do pedido de informação em causa está intrinsecamente ligada a um tratamento de dados pessoais, nem que a Autoridade Tributária letã tem o direito de obter informações que estão à disposição de um prestador de serviços de publicidade na Internet e são necessárias à execução de medidas específicas em matéria de cobrança do imposto.

26

O litígio no processo principal diz respeito à quantidade e ao tipo de informações que a Autoridade Tributária letã pode solicitar, ao caráter limitado ou ilimitado das mesmas, bem como à questão de saber se a obrigação de comunicação a que a SS está sujeita deve ser limitada no tempo.

27

Especialmente, o órgão jurisdicional de reenvio considera que lhe cabe determinar se, nas circunstâncias do processo principal, o tratamento de dados pessoais é efetuado de forma transparente em relação às pessoas em causa, se as informações especificadas no pedido de informação em causa são pedidas para finalidades determinadas, explícitas e legítimas, e se o tratamento de dados pessoais só é efetuado na medida em que seja realmente necessário ao exercício das funções da Autoridade Tributária letã, na aceção do artigo 5.o, n.o 1, do Regulamento 2016/679.

28

Para esse efeito, é necessário definir os critérios que permitem apreciar se um pedido de informação apresentado pela Autoridade Tributária letã respeita o cerne das liberdades e dos direitos fundamentais e se o pedido de comunicação em causa no processo principal pode ser considerado necessário e proporcionado numa sociedade democrática para garantir objetivos importantes da União e interesses públicos letões em matéria orçamental e fiscal.

29

Nestas condições, a Administratīvā apgabaltiesa (Tribunal Administrativo Regional, Letónia) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

30

Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se as disposições do Regulamento 2016/679 devem ser interpretadas no sentido de que está sujeita aos requisitos previstos neste regulamento, especialmente aos enunciados no seu artigo 5.o, n.o 1, a recolha, pela Autoridade Tributária de um Estado‑Membro junto de um operador económico, de informações que contenham uma quantidade significativa de dados pessoais.

31

Para responder a esta questão, importa verificar, em primeiro lugar, se esse pedido está abrangido pelo âmbito de aplicação material do Regulamento 2016/679, conforme definido no seu artigo 2.o, n.o 1, e, em segundo lugar, se não figura entre os tratamentos de dados pessoais que o artigo 2.o, n.o 2, deste regulamento exclui desse âmbito de aplicação.

32

Em primeiro lugar, nos termos do seu artigo 2.o, n.o 1, o Regulamento 2016/679 aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

33

O artigo 4.o, n.o 1, do Regulamento 2016/679 precisa que, para efeitos do regulamento, se entende por «dados pessoais» informação relativa a uma pessoa singular identificada ou identificável, ou seja, uma pessoa singular que possa ser identificada, direta ou indiretamente, especialmente por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social. O considerando 26 do referido regulamento precisa, a este respeito, que, para determinar se uma pessoa singular é identificável, importa considerar todos os meios suscetíveis de ser razoavelmente utilizados quer pelo responsável pelo tratamento quer por outra pessoa, para identificar direta ou indiretamente a pessoa singular.

34

No âmbito do litígio no processo principal, é pacífico que as informações cuja comunicação a Autoridade Tributária letã solicita constituem dados pessoais, na aceção do artigo 4.o, ponto 1, do Regulamento 2016/679.

35

Nos termos do artigo 4.o, ponto 2, deste regulamento, a recolha, a consulta, a divulgação por transmissão ou qualquer outra forma de disponibilização de dados pessoais constituem «tratamentos», na aceção do referido regulamento. Resulta da redação dessa disposição, nomeadamente da expressão «uma operação», que o legislador da União pretendeu dar ao conceito de «tratamento» um alcance amplo. Esta interpretação é corroborada pelo caráter não exaustivo, expresso pela locução «tais como», das operações mencionadas na referida disposição.

36

No caso em apreço, a Autoridade Tributária letã exige que o operador económico em causa restabeleça o acesso dos serviços dessa Administração aos números de chassis dos veículos que são objeto de um anúncio publicado no seu portal Internet e que lhe forneça informações sobre os anúncios publicados nesse portal.

37

Tal pedido, através do qual a Autoridade Tributária de um Estado‑Membro solicita a um operador económico a comunicação e a disponibilização de dados pessoais que este último está obrigado a fornecer e disponibilizar à referida Autoridade nos termos da legislação nacional desse Estado‑Membro, dá início a um processo de «recolha» desses dados, na aceção do artigo 4.o, ponto 2, do Regulamento 2016/679.

38

Por outro lado, a comunicação e a disponibilização dos referidos dados pelo operador económico em causa implicam um «tratamento», na aceção do referido artigo 4.o, ponto 2.

39

Em segundo lugar, há que examinar se se pode considerar que a operação pela qual a Autoridade Tributária de um Estado‑Membro procura recolher junto de um operador económico os dados pessoais relativos a determinados contribuintes está excluída do âmbito de aplicação do Regulamento 2016/679 por força do artigo 2.o, n.o 2, do mesmo.

40

A este respeito, há que recordar, antes de mais, que esta disposição prevê exceções ao âmbito de aplicação deste regulamento, conforme definido no seu artigo 2.o, n.o 1, e que essas exceções devem ser objeto de interpretação estrita (Acórdão de 16 de julho de 2020, Facebook Ireland e Schrems, C‑311/18, EU:C:2020:559, n.o 84).

41

Especialmente, o artigo 2.o, n.o 2, alínea d), do Regulamento 2016/679, dispõe que este regulamento não se aplica ao tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais.

42

Como resulta do considerando 19 do referido regulamento, esta exceção é motivada pelo facto de o tratamento de dados pessoais efetuado para esses efeitos e pelas autoridades competentes ser regulado por um ato mais específico da União, a saber, a Diretiva 2016/680, que foi adotada no mesmo dia que o Regulamento 2016/679 e que define, no seu artigo 3.o, n.o 7, o que se deve entender por «autoridade competente», devendo essa definição ser aplicada, por analogia, ao artigo 2.o, n.o 2, alínea d), desse regulamento [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 69].

43

Resulta do considerando 10 da Diretiva 2016/680 que o conceito de «autoridade competente» deve ser entendido em correlação com a proteção dos dados pessoais nos domínios da cooperação judiciária em matéria penal e da cooperação policial, tendo em conta as adaptações que se podem revelar necessárias a este respeito, atendendo à especificidade dos domínios em causa. Além disso, o considerando 11 dessa diretiva precisa que o Regulamento 2016/679 se aplica ao tratamento de dados pessoais efetuado por uma «autoridade competente», na aceção do artigo 3.o, n.o 7, da referida diretiva, mas para efeitos que não sejam os nela previstos [Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 70].

44

Assim, quando pede a um operador económico que lhe comunique dados pessoais relativos a determinados contribuintes para efeitos da cobrança do imposto e da luta contra a fraude fiscal, não se afigura que a Autoridade Tributária de um Estado‑Membro possa ser considerada uma «autoridade competente», na aceção do artigo 3.o, ponto 7, da Diretiva 2016/680, nem, portanto, que esses pedidos de informações possam estar abrangidos pela exceção prevista no artigo 2.o, n.o 2, alínea d), do Regulamento 2016/679.

45

Além disso, mesmo que não esteja excluído que os dados pessoais em causa no processo principal possam ser utilizados no âmbito de processos penais que possam ser instaurados, em caso de infração no domínio fiscal, contra algumas das pessoas em causa, não se afigura que esses dados sejam recolhidos com o objetivo específico de instaurar tais processos penais ou no âmbito das atividades do Estado relativas a domínios do direito penal (v., neste sentido, Acórdão de 27 de setembro de 2017, Puškár, C‑73/16, EU:C:2017:725, n.o 40).

46

Por conseguinte, a recolha, pela Autoridade Tributária de um Estado‑Membro, de dados pessoais relativos aos anúncios de venda de veículos publicados no sítio Internet de um operador económico está abrangida pelo âmbito de aplicação material do Regulamento 2016/679 e, por conseguinte, deve respeitar, nomeadamente, os princípios relativos ao tratamento de dados pessoais enunciados no artigo 5.o deste regulamento.

47

Tendo em conta todas as considerações anteriores, há que responder à primeira questão que as disposições do Regulamento 2016/679 devem ser interpretadas no sentido de que a recolha, pela Autoridade Tributária de um Estado‑Membro, junto de um operador económico, de informações que contenham uma quantidade significativa de dados pessoais está sujeita aos requisitos previstos neste regulamento, especialmente aos enunciados no artigo 5.o, n.o 1, do mesmo.

48

Com a sua segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se as disposições do Regulamento 2016/679 devem ser interpretadas no sentido de que a Autoridade Tributária de um Estado‑Membro pode derrogar o disposto no artigo 5.o, n.o 1, do referido regulamento mesmo que tal direito não lhe tenha sido conferido pelo direito nacional desse Estado‑Membro.

49

A título liminar, importa recordar que, como resulta do seu considerando 10, o Regulamento 2016/679 visa, nomeadamente, assegurar um elevado nível de proteção das pessoas singulares na União.

50

Para esse efeito, os capítulos II e III do Regulamento 2016/679 enunciam, respetivamente, os princípios que regem o tratamento de dados pessoais e os direitos da pessoa em causa que qualquer tratamento de dados pessoais deve respeitar. Especialmente, qualquer tratamento de dados pessoais deve, nomeadamente, ser conforme aos princípios relativos ao tratamento desses dados enunciados no artigo 5.o do referido regulamento (v., neste sentido, Acórdão de 6 de outubro de 2020, La Quadrature du Net e o., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, n.o 208).

51

O artigo 23.o do Regulamento 2016/679 autoriza a União e os Estados‑Membros a adotarem «medidas legislativas» que limitem o alcance das obrigações e dos direitos previstos, nomeadamente, no artigo 5.o deste regulamento, na medida em que correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o do referido regulamento, desde que tal limitação respeite a essência das liberdades e dos direitos fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para garantir importantes objetivos de interesse público geral da União ou do Estado‑Membro em causa, como, nomeadamente, um interesse económico ou financeiro importante, incluindo nos domínios orçamental e fiscal.

52

A este respeito, resulta do considerando 41 do Regulamento 2016/679 que a referência, neste regulamento, a uma «medida legislativa» não implica necessariamente que seja exigida a adoção de um ato legislativo por um parlamento.

53

Dito isto, importa recordar que, como enuncia o seu considerando 4, o Regulamento 2016/679 respeita todos os direitos fundamentais e observa as liberdades e os princípios reconhecidos pela Carta, consagrados nos Tratados, entre os quais figura, nomeadamente, a proteção dos dados pessoais.

54

Ora, em conformidade com o artigo 52.o, n.o 1, primeiro período, da Carta, qualquer restrição ao exercício dos direitos e liberdades reconhecidos por esta, entre os quais figuram, nomeadamente, o direito ao respeito pela vida privada, garantido pelo artigo 7.o da Carta, e o direito à proteção dos dados pessoais, consagrado no seu artigo 8.o, deve ser prevista por lei, o que implica, especialmente, que a própria base jurídica que permite a ingerência nesses direitos deve definir o alcance da limitação do exercício do direito em causa (v., neste sentido, Acórdão de 6 de outubro de 2020, Privacy International, C‑623/17, EU:C:2020:790, n.o 65 e jurisprudência referida).

55

A este respeito, o Tribunal de Justiça declarou, além disso, que a regulamentação que permite essa ingerência deve prever regras claras e precisas que regulem o alcance e a aplicação da medida em causa e imponham exigências mínimas, de modo que as pessoas cujos dados foram transferidos disponham de garantias suficientes que permitam proteger eficazmente esses dados pessoais contra os riscos de abuso [v., neste sentido, Acórdão de 2 de março de 2021, Prokuratuur (Condições de acesso aos dados relativos às comunicações eletrónicas), C‑746/18, EU:C:2021:152, n.o 48 e jurisprudência referida].

56

Por conseguinte, qualquer medida adotada ao abrigo do artigo 23.o do Regulamento 2016/679 deve, como, de resto, o legislador da União sublinhou no considerando 41 deste regulamento, ser clara e precisa e a respetiva aplicação ser previsível para os seus destinatários. Especialmente, estes últimos devem poder identificar as circunstâncias e as condições em que o alcance dos direitos que o referido regulamento lhes confere pode ser objeto de uma limitação.

57

Decorre das considerações precedentes que a Autoridade Tributária de um Estado‑Membro não pode derrogar o disposto no artigo 5.o do Regulamento 2016/679 na falta de uma base jurídica clara e precisa do direito da União ou do direito nacional, cuja aplicação é previsível para os destinatários, que preveja as circunstâncias e as condições em que o alcance das obrigações e dos direitos previstos nesse artigo 5.o pode ser limitado.

58

Por conseguinte, há que responder à segunda questão que as disposições do Regulamento 2016/679 devem ser interpretadas no sentido de que a Autoridade Tributária de um Estado‑Membro não pode derrogar o disposto no artigo 5.o, n.o 1, deste regulamento quando esse direito não lhe tenha sido conferido por uma medida legislativa, na aceção do artigo 23.o, n.o 1, do mesmo.

59

Com a terceira a nona questões, que importa examinar em conjunto, o órgão jurisdicional de reenvio pergunta, em substância, se as disposições do Regulamento 2016/679 devem ser interpretadas no sentido de que se opõem a que a Autoridade Tributária de um Estado‑Membro imponha a um prestador de serviços de anúncios publicados na Internet que lhe comunique, por um período indeterminado e sem que seja especificada a finalidade desse pedido de comunicação, informações relativas a todos os contribuintes que tenham publicado anúncios numa das secções do seu portal Internet.

60

A título liminar, importa notar que podem ocorrer dois tratamentos de dados pessoais numa situação como a que está em causa no processo principal. Como resulta dos n.os 37 e 38 do presente acórdão, trata‑se da recolha de dados pessoais efetuada pela Autoridade Tributária junto do prestador de serviços em causa e, neste âmbito, da transmissão desses dados pelo referido prestador a essa Administração.

61

Como resulta da jurisprudência referida no n.o 50 do presente acórdão, cada uma dessas operações de tratamento deve, sem prejuízo das derrogações admitidas no artigo 23.o do Regulamento 2016/679, respeitar os princípios relativos ao tratamento de dados pessoais enunciados no artigo 5.o deste regulamento, bem como os direitos da pessoa em causa que figuram nos artigos 12.o a 22.o do mesmo.

62

No caso em apreço, o órgão jurisdicional de reenvio interroga‑se, especialmente, sobre a circunstância de, por um lado, os tratamentos mencionados no n.o 60 do presente acórdão dizerem respeito a informações em quantidade ilimitada relativas a um período indeterminado e, por outro, a finalidade desses tratamentos não ser especificada no pedido de comunicação.

63

A este respeito, cumpre sublinhar, em primeiro lugar, que o artigo 5.o, n.o 1, alínea b), do Regulamento 2016/679 prevê que os dados pessoais devem ser recolhidos, designadamente, para finalidades determinadas, explícitas e legítimas.

64

Antes de mais, a exigência segundo a qual as finalidades do tratamento devem ser determinadas implica, como decorre do considerando 39 desse regulamento, que estas devem ser identificadas, o mais tardar, no momento da recolha dos dados pessoais.

65

Em seguida, as finalidades do tratamento devem ser explícitas, o que significa que devem ser enunciadas claramente.

66

Por último, essas finalidades devem ser legítimas. Por conseguinte, importa que assegurem um tratamento lícito, na aceção do artigo 6.o, n.o 1, do referido regulamento.

67

Os tratamentos referidos no n.o 60 do presente acórdão são iniciados pelo pedido de comunicação de dados pessoais que a Autoridade Tributária letã envia ao prestador de serviços de anúncios publicados na Internet. A este respeito, afigura‑se que, por força do artigo 15.o, n.o 6, da Lei Tributária, este prestador está obrigado a deferir esse pedido.

68

À luz das considerações enunciadas nos n.os 64 e 65 do presente acórdão, é necessário que as finalidades desses tratamentos estejam claramente enunciadas naquele pedido.

69

Desde que as finalidades assim enunciadas no referido pedido sejam necessárias ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investida a Autoridade Tributária, esta circunstância basta, como decorre do artigo 6.o, n.o 1, primeiro parágrafo, proémio e alínea e), do Regulamento 2016/679, lido em conjugação com o artigo 6.o, n.o 3, segundo parágrafo, deste regulamento, para que os referidos tratamentos satisfaçam igualmente a exigência de licitude recordada no n.o 66 do presente acórdão.

70

A este respeito, importa recordar que a cobrança do imposto e a luta contra a fraude fiscal devem ser consideradas funções de interesse público, na aceção do artigo 6.o, n.o 1, primeiro parágrafo, alínea e), do Regulamento 2016/679 (v., por analogia, Acórdão de 27 de setembro de 2017, Puškár, C‑73/16, EU:C:2017:725, n.o 108).

71

Daqui resulta que, num caso em que a comunicação dos dados pessoais em causa não se baseia diretamente na disposição legal que constitui o seu fundamento, mas resulta de um pedido da autoridade pública competente, é necessário que esse pedido especifique quais são as finalidades específicas dessa recolha de dados à luz das funções de interesse público ou do exercício da autoridade pública, a fim de permitir ao destinatário do referido pedido assegurar‑se de que a transmissão dos dados pessoais em causa é lícita e aos órgãos jurisdicionais nacionais efetuar uma fiscalização da legalidade dos tratamentos em causa.

72

Em segundo lugar, em conformidade com o artigo 5.o, n.o 1, alínea c), do Regulamento 2016/679, os dados pessoais devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados.

73

A este respeito, importa recordar que, segundo jurisprudência constante, as derrogações e as restrições ao princípio da proteção desses dados devem ser efetuadas na estrita medida do necessário [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 110 e jurisprudência referida].

74

Daqui resulta que o responsável pelo tratamento, incluindo quando atua no âmbito das funções de interesse público de que foi investido, não pode proceder, de forma generalizada e indiferenciada, à recolha de dados pessoais e deve abster‑se de recolher dados que não são estritamente necessários à luz das finalidades do tratamento.

75

No caso em apreço, importa salientar que, como resulta dos n.os 17 a 19 do presente acórdão, a Autoridade Tributária letã pediu ao operador económico em causa que lhe fornecesse dados relativos aos anúncios de venda de veículos de passageiros publicados no seu sítio Internet entre 14 de julho e 31 de agosto de 2018 e, no caso de o acesso a essas informações não poder ser restabelecido, que lhe fornecesse, o mais tardar no terceiro dia de cada mês, os dados relativos aos anúncios de venda de veículos particulares publicados no seu sítio Internet durante o mês anterior, sem indicar neste último pedido um limite temporal.

76

Tendo em conta as considerações efetuadas no n.o 74 do presente acórdão, incumbe ao órgão jurisdicional de reenvio verificar se a finalidade da recolha desses dados pode ser alcançada sem que a Autoridade Tributária letã disponha potencialmente dos dados relativos a todos os anúncios de venda de veículos de passageiros publicados no sítio Internet do referido operador e, nomeadamente, se é possível que essa Administração vise determinados anúncios através de critérios específicos.

77

Neste contexto, importa sublinhar que, em conformidade com o princípio da responsabilidade enunciado no artigo 5.o, n.o 2, do Regulamento 2016/679, o responsável pelo tratamento deve poder demonstrar que respeita os princípios relativos ao tratamento dos dados pessoais enunciados no n.o 1 desse artigo.

78

Por conseguinte, é à Autoridade Tributária letã que incumbe demonstrar que, em conformidade com o artigo 25.o, n.o 2, daquele regulamento, procurou minimizar, tanto quanto possível, a quantidade de dados pessoais a recolher.

79

No que respeita à circunstância de o pedido de comunicação apresentado pela Autoridade Tributária letã não prever, na hipótese de o prestador de serviços de anúncios em causa não ter procedido ao restabelecimento do acesso aos anúncios publicados no período especificado no pedido, nenhum limite temporal, há que recordar que, tendo em conta o princípio da minimização dos dados, o responsável pelo tratamento está igualmente obrigado a limitar ao estritamente necessário, à luz do objetivo do tratamento previsto, o período de recolha dos dados pessoais em causa.

80

Por conseguinte, o período sobre o qual incide a recolha não pode exceder a duração estritamente necessária para alcançar o objetivo de interesse geral visado.

81

Como resulta do n.o 77 do presente acórdão, o ónus da prova a este respeito incumbe à Autoridade Tributária letã.

82

No entanto, a circunstância de os referidos dados serem recolhidos sem que a Autoridade Tributária letã tenha definido, no próprio pedido de comunicação, um limite temporal para esse tratamento não permite, enquanto tal, considerar que a duração do tratamento excede a duração estritamente necessária para alcançar o objetivo pretendido.

83

Neste contexto, importa, no entanto, recordar que, para cumprir o requisito da proporcionalidade a que o artigo 5.o, n.o 1, alínea c), do Regulamento 2016/679 dá expressão [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 98 e jurisprudência referida], a regulamentação que serve de base ao tratamento deve prever regras claras e precisas que regulem o âmbito e a aplicação da medida em causa e impor requisitos mínimos, de modo que as pessoas cujos dados foram conservados disponham de garantias suficientes que permitam proteger eficazmente esses dados pessoais contra os riscos de abuso. Esta regulamentação deve ser vinculativa no direito interno e, particularmente, indicar em que circunstâncias e em que condições uma medida que prevê o tratamento de tais dados pode ser adotada, garantindo assim que a ingerência seja limitada ao estritamente necessário (acórdão de 6 de outubro de 2020, Privacy International, C‑623/17, EU:C:2020:790, n.o 68 e jurisprudência referida).

84

Daqui resulta que a regulamentação nacional que regula um pedido de comunicação como o que está em causa no processo principal deve basear‑se em critérios objetivos para definir as circunstâncias e as condições em que um prestador de serviços em linha está obrigado a transmitir dados pessoais relativos aos seus utilizadores (v., neste sentido, Acórdão de 6 de outubro de 2020, Privacy International, C‑623/17, EU:C:2020:790, n.o 78 e jurisprudência referida).

85

Tendo em conta todas as considerações anteriores, há que responder à terceira a nona questões que as disposições do Regulamento 2016/679 devem ser interpretadas no sentido de que não se opõem a que a Autoridade Tributária de um Estado‑Membro imponha a um prestador de serviços de anúncios publicados na Internet que lhe comunique informações relativas aos contribuintes que publicaram anúncios numa das secções do seu portal Internet, desde que, nomeadamente, esses dados sejam necessários à luz das finalidades específicas para as quais são recolhidos e o período de recolha dos referidos dados não exceda a duração estritamente necessária para alcançar o objetivo de interesse geral pretendido.

86

Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Quinta Secção) declara: