—

em representação da Rīgas pašvaldības SIA «Rīgas satiksme» por L. Bemhens, na qualidade de agente,

—

em representação do Governo letão, por I. Kalniņš e A. Bogdanova, na qualidade de agentes,

—

em representação do Governo checo, por J. Vláčil e M. Smolek, na qualidade de agentes,

—

em representação do Governo espanhol, por M. J. García‑Valdecasas Dorrego, na qualidade de agente,

—

em representação do Governo austríaco, por G. Eberhard, na qualidade de agente,

—

em representação do Governo português, por L. Inez Fernandes, M. Figueiredo e C. Vieira Guerra, na qualidade de agentes,

—

em representação da Comissão Europeia, por D. Nardi, H. Kranenborg e I. Rubene, na qualidade de agentes,

1

O pedido de decisão prejudicial tem por objeto a interpretação do artigo 7.o, alínea f), da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31).

2

Este pedido foi apresentado no âmbito de um litígio que opõe o Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (serviço responsável pelas infrações administrativas em matéria de tráfego da Polícia de Segurança da região de Riga, Letónia) (a seguir «polícia nacional») à Rīgas pašvaldības SIA «Rīgas satiksme» (a seguir «Rīgas satiksme»), sociedade de tróleis da cidade de Riga, relativo a um pedido de comunicação dos dados de identificação do autor de um acidente.

3

O artigo 1.o da Diretiva 95/46, sob a epígrafe «Objeto da diretiva», prevê:

«1.   Os Estados‑Membros assegurarão, em conformidade com a presente diretiva, a proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento de dados pessoais.

2.   Os Estados‑Membros não podem restringir ou proibir a livre circulação de dados pessoais entre Estados‑Membros por razões relativas à proteção assegurada por força do n.o 1.»

4

O artigo 2.o desta diretiva dispõe:

«Para efeitos da presente diretiva, entende‑se por:

[…]

[…]»

5

O artigo 5.o da Diretiva 95/46 dispõe:

«Os Estados‑Membros especificarão, dentro dos limites do disposto no presente capítulo, as condições em que é lícito o tratamento de dados pessoais.»

6

No capítulo II, secção II, da Diretiva 95/46, intitulada «Princípios relativos à legitimidade do tratamento de dados», o artigo 7.o desta diretiva dispõe:

«Os Estados‑Membros estabelecerão que o tratamento de dados pessoais só poderá ser efetuado se:

7

O artigo 8.o, n.o 2, alínea e), da Diretiva 95/46 prevê que a proibição do tratamento de certo tipo de dados pessoais, como os que revelem a origem racial ou as convicções políticas, não se aplica quando o tratamento disser respeito a dados manifestamente tornados públicos pela pessoa em causa ou for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial.

8

O artigo 6.o da Fizisko personu datu aizsardzības likums (Lei de proteção dos dados pessoais), de 23 de março de 2000 (Latvijas Vēstnesis, 2000, n.o 123/124), dispõe:

«Todas as pessoas singulares têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.»

9

O artigo 7.o desta lei, que se destina a transpor o artigo 7.o da Diretiva 95/46, prevê que, salvo disposição legal em contrário, o tratamento de dados pessoais só é autorizado se se verificar, pelo menos, um dos seguintes pressupostos:

10

O artigo 12.o desta lei prevê que os dados pessoais que dizem respeito a infrações penais, a condenações em matéria penal e em matéria administrativa, bem como a decisões judiciais ou a processos judiciais, só podem ser tratados pelas pessoas previstas na lei e nos casos nela previstos.

11

Segundo o artigo 261.o do Latvijas Administratīvo pārkāpumu kodekss (Código das infrações administrativas letão), uma pessoa que tenha sofrido um prejuízo causado por uma infração pode ser reconhecida como parte lesada, no âmbito de um processo administrativo sancionatório, pelo organismo ou funcionário competentes para instruir o processo. Esta disposição prevê os direitos das partes lesadas, incluindo o direito de consultar o processo e de exercer os seus direitos processuais para obter uma indemnização.

12

Em dezembro de 2012 ocorreu um acidente de viação em Riga. Um taxista tinha estacionado o seu veículo junto ao passeio. No momento em que o trólei da Rīgas satiksme circulava junto a este táxi, o passageiro que ocupava o banco traseiro do referido táxi abriu a porta, que bateu na carroçaria do trólei, danificando‑a. O acidente deu origem à abertura de um processo e ao levantamento de um auto por infração administrativa.

13

Por considerar, inicialmente, que o referido acidente era imputável ao taxista, a Rīgas satiksme pediu uma indemnização à companhia que assegurava a responsabilidade civil do proprietário ou do utilizador legítimo do táxi em causa. No entanto, esta companhia de seguros informou a Rīgas satiksme de que não pagaria uma indemnização uma vez que o acidente tinha ocorrido devido ao comportamento do passageiro do táxi e não do taxista. Especificou que a Rīgas satiksme podia fazer valer as suas pretensões contra este passageiro no âmbito de um processo de direito civil.

14

A Rīgas satiksme pediu então à polícia nacional informações sobre a pessoa que tinha sido sancionada administrativamente pelo acidente, que lhe fosse facultada a cópia das declarações do taxista e do passageiro sobre as circunstâncias do acidente, bem como o nome e o apelido, o número de identificação e o endereço do passageiro do táxi. A Rīgas satiksme indicou à polícia nacional que as informações solicitadas seriam utilizadas exclusivamente para a propositura de uma ação cível.

15

A polícia nacional respondeu, tendo apenas deferido parcialmente o pedido da Rīgas satiksmes, uma vez que facultou o nome e o apelido do passageiro do táxi, mas negou‑se a facultar o número do documento de identificação e o endereço dessa pessoa. Também não forneceu à Rīgas satiksmes a cópia das declarações prestadas pelas pessoas envolvidas no acidente.

16

A decisão da polícia nacional assenta no facto de que só as partes num processo administrativo sancionatório podem obter as informações que lhes dizem respeito. Ora, a Rīgas satiksme não é parte no processo em causa. Com efeito, nos termos do Código das infrações administrativas letão, nos processos administrativos sancionatórios, o estatuto de vítima é reconhecido, a pedido expresso do interessado, pelo organismo ou funcionário competentes para instruir o processo. No caso em apreço, a Rīgas satiksme não exerceu este direito.

17

A Rīgas satiksme impugnou no administratīvā rajona tiesa (Tribunal de Contencioso Administrativo de Primeira Instância, Letónia) a decisão da polícia nacional, na medida em que esta se negou a revelar o número do documento de identificação e o endereço do passageiro envolvido no acidente. Por decisão de 16 de maio de 2014, esse tribunal deu provimento ao recurso da Rīgas satiksme e determinou que a polícia nacional entregasse as informações relativas ao número de identificação e ao endereço do local de residência desse passageiro.

18

A polícia nacional interpôs recurso de cassação para o órgão jurisdicional de reenvio. Este pediu um parecer à Datu valsts inspekcija (Agência de proteção de dados, Letónia), que referiu, na sua resposta de 13 de outubro de 2015, que o artigo 7.o, n.o 6, da Lei de proteção dos dados pessoais não pode constituir a base jurídica para a comunicação dos dados pessoais no litígio no processo principal, uma vez que o Código das infrações administrativas letão prevê a quem é que a polícia nacional pode fornecer informações relativas a um processo. Assim, segundo a Agência de proteção de dados, o fornecimento de dados pessoais de processos administrativos sancionatórios só pode realizar‑se em conformidade com os n.os 3 e 5 desse artigo nos casos previstos na mesma lei. O artigo 7.o da referida lei não obriga, mas apenas permite que o responsável, no caso em apreço a polícia nacional, proceda ao tratamento dos dados.

19

A Agência de proteção de dados referiu que a Rīgas satiksme tem ao seu dispor duas vias para obter essas informações. Pode apresentar ao Registo Civil um pedido fundamentado ou instaurar uma ação com base nos artigos 98.o a 100.o da Lei do Processo Civil para efeitos de obtenção de elementos de prova, requerendo ao juiz que ordene à polícia nacional a divulgação dos dados pessoais de que a Rīgas satiksme necessita para instaurar a ação cível contra a pessoa em causa.

20

O órgão jurisdicional de reenvio tem dúvidas quanto à eficácia das vias referidas pela Agência de proteção de dados para a obtenção dessas informações. A este respeito, especifica, por um lado, que, se um pedido dirigido ao Registo Civil apenas referir o nome e o apelido do passageiro do táxi, é possível que este passageiro não possa ser individualizado sem o seu número de identificação, pois o mesmo nome e apelido podem ser partilhados por várias pessoas. Por outro lado, o órgão jurisdicional de reenvio considera que, à luz das disposições nacionais relativas à apresentação de provas, para que possa instaurar uma ação cível, o demandante deve, pelo menos, ter conhecimento do local de residência do demandado.

21

A este respeito, o órgão jurisdicional de reenvio considera haver dúvidas quanto à interpretação do conceito de «necessidade» referido no artigo 7.o, alínea f), desta diretiva.

22

Nestas condições, o Augstākās tiesas Administratīvo lietu departaments (Supremo Tribunal, Secção de Contencioso Administrativo, Letónia) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

23

Com as suas questões, que há que analisar em conjunto, o órgão jurisdicional de reenvio pergunta se o artigo 7.o, alínea f), da Diretiva 95/46 deve ser interpretado no sentido de que impõe a obrigação de comunicar dados pessoais a um terceiro a fim de lhe permitir instaurar uma ação de indemnização num tribunal cível por danos causados pela pessoa interessada na proteção desses dados e se o facto de essa pessoa ser menor pode ser relevante para a interpretação desta disposição.

24

No processo principal, é pacífico que o número de identificação e o endereço do passageiro do táxi, de que a Rīgas satiksme pede a comunicação, constituem informações relativas a uma pessoa singular identificada ou identificável e, por conseguinte, «dados pessoais» na aceção do artigo 2.o, alínea a), da Diretiva 95/46. É igualmente pacífico que a polícia nacional, a quem é dirigido este pedido, é responsável pelo tratamento destes dados e, designadamente, pela respetiva comunicação eventual, na aceção do artigo 2.o, alínea d), desta diretiva.

25

Em conformidade com o artigo 5.o da Diretiva 95/46, cabe aos Estados‑Membros especificar, dentro dos limites do disposto nesta diretiva, as condições em que é lícito o tratamento de dados pessoais. O artigo 7.o da referida diretiva, que enuncia os princípios relativos à legitimação desse tratamento, dispõe a este respeito que «[o]s Estados‑Membros estabelecerão que [este] só poderá ser efetuado» na presença de uma das hipóteses enumeradas exaustivamente por esta disposição. Nos termos deste artigo 7.o, alínea f), tal tratamento pode ser efetuado se for necessário para prosseguir interesses legítimos do responsável pelo tratamento ou do terceiro ou terceiros a quem os dados sejam comunicados, desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais da pessoa em causa, protegidos ao abrigo do n.o 1 do artigo 1.o da Diretiva 95/46.

26

Assim, resulta da sistemática da Diretiva 95/46 e da redação do seu artigo 7.o que o artigo 7.o, alínea f), da Diretiva 95/46 não prevê, em si mesmo, uma obrigação, mas expressa uma faculdade de efetuar o tratamento de dados, como a comunicação a um terceiro de dados necessários para a realização de um interesse legítimo por ele prosseguido. Como observou o advogado‑geral nos n.os 43 a 46 das suas conclusões, essa interpretação pode igualmente ser deduzida de outros instrumentos do direito da União que digam respeito aos dados pessoais (v., neste sentido, no que se refere ao tratamento dos dados pessoais no setor das comunicações eletrónicas, acórdão de 29 de janeiro de 2008, Promusicae, C‑275/06, EU:C:2008:54, n.os 54 e 55).

27

Todavia, há que observar que o artigo 7.o, alínea f), da Diretiva 95/46 não se opõe a essa comunicação no caso de ser efetuada com base no direito nacional, respeitando os requisitos previstos nesta disposição.

28

A este respeito, o artigo 7.o, alínea f), da Diretiva 95/46 prevê três requisitos cumulativos para que um tratamento de dados pessoais seja lícito, a saber, em primeiro lugar, a prossecução de interesses legítimos do responsável pelo tratamento ou do terceiro ou terceiros a quem os dados sejam comunicados, em segundo lugar, a necessidade do tratamento dos dados pessoais para a realização do interesse legítimo e, em terceiro lugar, o requisito de os direitos e as liberdades fundamentais da pessoa a que a proteção de dados diz respeito não prevalecerem.

29

No que se refere ao requisito da prossecução de um interesse legítimo, como salientou o advogado‑geral nos n.os 65, 79 e 80 das suas conclusões, não há dúvida de que o interesse de um terceiro em obter uma informação de ordem pessoal sobre uma pessoa que danificou os seus bens para instaurar uma ação contra essa pessoa constitui um interesse legítimo (v., neste sentido, acórdão de 29 de janeiro de 2008, Promusicae, C‑275/06, EU:C:2008:54, n.o 53). Esta análise é confirmada pelo artigo 8.o, n.o 2, alínea e), da Diretiva 95/46, que prevê que a proibição do tratamento de certos tipos de dados pessoais, como os respeitantes à origem racial ou às convicções políticas, não se aplica, designadamente, quando o tratamento é necessário à declaração, ao exercício ou à defesa de um direito num processo judicial.

30

No que se refere ao requisito da necessidade do tratamento dos dados, há que recordar que as derrogações e as restrições ao princípio da proteção dos dados pessoais devem ocorrer na estrita medida do necessário (acórdãos de 9 de novembro de 2010, Volker und Markus Schecke e Eifert, C‑92/09 e C‑93/09, EU:C:2010:662, n.o 86; de 7 de novembro de 2013, IPI, C‑473/12, EU:C:2013:715, n.o 39; e de 11 de dezembro de 2014, Ryneš, C‑212/13, EU:C:2014:2428, n.o 28). A este respeito, há que constatar que, segundo as indicações dadas pelo órgão jurisdicional de reenvio, a comunicação meramente do nome e do apelido da pessoa que é autora do dano não permite identificá‑la com precisão suficiente para poder instaurar contra ela uma ação. Assim, afigura‑se necessário para esse efeito obter igualmente o endereço e/ou o número de identificação dessa pessoa.

31

Por último, no que respeita ao requisito de uma ponderação dos direitos e dos interesses opostos em causa, este depende, em princípio, das circunstâncias concretas do caso específico (v., neste sentido, acórdãos de 24 de novembro de 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 e C‑469/10, EU:C:2011:777, n.o 40, e de 19 de outubro de 2016, Breyer, C‑582/14, EU:C:2016:779, n.o 62).

32

A este respeito, o Tribunal de Justiça declarou que é possível tomar em consideração o facto de a gravidade da violação dos direitos fundamentais da pessoa em causa pelo referido tratamento poder variar em função da possibilidade de aceder aos dados em causa em fontes acessíveis ao público (v., neste sentido, acórdão de 24 de novembro de 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 e C‑469/10, EU:C:2011:777, n.o 44).

33

No que se refere à segunda parte da questão prejudicial como reformulada no n.o 23 do presente acórdão, há que salientar que a idade da pessoa em causa pode constituir um dos elementos a ter em conta no âmbito dessa ponderação. Todavia, há que declarar que, como salientou o advogado‑geral nos n.os 82 a 84 das suas conclusões, e sem prejuízo das verificações a efetuar a este respeito pelo juiz nacional, não se afigura justificado, em condições como as que estão em causa no processo principal, recusar a uma parte lesada a comunicação dos dados pessoais necessária à propositura de uma ação de indemnização contra o autor do dano ou, se for o caso, contra as pessoas que exerçam o poder parental, por esse autor ser menor.

34

Resulta de todas as considerações precedentes que o artigo 7.o, alínea f), da Diretiva 95/46 deve ser interpretado no sentido de que não impõe a obrigação de comunicar dados pessoais a um terceiro a fim de lhe permitir instaurar uma ação de indemnização num tribunal cível por um dano causado pela pessoa interessada na proteção desses dados. Todavia, o artigo 7.o, alínea f), desta diretiva não se opõe a tal comunicação com base no direito nacional.

35

Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Segunda Secção) declara:

O artigo 7.o, alínea f), da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, deve ser interpretado no sentido de que não impõe a obrigação de comunicar dados pessoais a um terceiro a fim de lhe permitir instaurar uma ação de indemnização num tribunal cível por um dano causado pela pessoa interessada na proteção desses dados. Todavia, o artigo 7.o, alínea f), desta diretiva não se opõe a tal comunicação com base no direito nacional.