Acórdão do Tribunal de Justiça da União Europeia
Processo C-17/22

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Quarta Secção)

12 de setembro de 2024 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 6.°, n.° 1, primeiro parágrafo, alíneas b), c) e f) — Licitude do tratamento — Necessidade do tratamento para a execução de um contrato no qual o titular dos dados é parte — Necessidade do tratamento para o cumprimento de uma obrigação jurídica imposta ao responsável pelo tratamento — Necessidade do tratamento para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros — Fundo de investimento constituído sob a forma de uma sociedade em comandita aberta ao investimento do público — Pedido de um sócio destinado a obter as informações de contacto dos outros sócios que detêm participações indiretas num fundo de investimento por intermédio de uma sociedade fiduciária »

Nos processos apensos C‑17/22 e C‑18/22,

que têm por objeto pedidos de decisão prejudicial apresentados, nos termos do artigo 267.° TFUE, pelo Amtsgericht München (Tribunal de Primeira Instância de Munique, Alemanha), por Decisões de 21 de dezembro de 2021, que deram entrada no Tribunal de Justiça em 7 de janeiro de 2022, nos processos

HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG

contra

Müller Rechtsanwaltsgesellschaft mbH (C‑17/22),

e

Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG

contra

WealthCap Photovoltaik 1 GmbH Co.KG,

WealthCap PEIA Komplementär GmbH,

WealthCap Investorenbetreuung GmbH (C‑18/22),

O TRIBUNAL DE JUSTIÇA (Quarta Secção),

composto por: C. Lycourgos, presidente de secção, O. Spineanu‑Matei, J.‑C. Bonichot, S. Rodin e L. S. Rossi (relatora), juízes,

advogado‑geral: J. Richard de la Tour,

secretário: I. Illéssy, administrador,

vistos os autos e após a audiência de 29 de fevereiro de 2024,

vistas as observações apresentadas:

– em representação da HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, por M. Handlos e R. Veil, Rechtsanwälte,

– em representação da Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, por U. Brinkmöller, Rechtsanwalt,

– em representação da WealthCap Photovoltaik 1 GmbH Co.KG, da WealthCap PEIA Komplementär GmbH e da WealthCap Investorenbetreuung GmbH, por N. Bartmann, U. Baumgartner e A. Höder, Rechtsanwälte,

– em representação da Comissão Europeia, por A. Bouchagiar, M. Heller e H. Kranenborg, na qualidade de agentes,

vista a decisão tomada, ouvido o advogado‑geral, de julgar a causa sem apresentação de conclusões,

profere o presente

Acórdão

1 Os pedidos de decisão prejudicial têm por objeto a interpretação do artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) e f), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Estes pedidos foram apresentados no âmbito de litígios que opõem, por um lado, a HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (a seguir «HTB») à Müller Rechtsanwaltsgesellschaft mbH (processo C‑17/22) e, por outro, a Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG a (seguir «Ökorenta») à WealthCap Photovoltaik 1 GmbH Co. KG e outros (a seguir «WealthCap») (processo C‑18/22).

Quadro jurídico

Direito da União

3 Os considerandos 1, 10, 39, 41 47 e 48 do RGPD têm a seguinte redação:

«(1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia (“Carta”) e o artigo 16.°, n.° 1, [TFUE] estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

[...]

(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União [Europeia] a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. [...]

[...]

(39) O tratamento de dados pessoais deverá ser efetuado de forma lícita e equitativa. Deverá ser transparente para as pessoas singulares que os dados pessoais que lhes dizem respeito são recolhidos, utilizados, consultados ou sujeitos a qualquer outro tipo de tratamento e a medida em que os dados pessoais são ou virão a ser tratados. [...]

[...]

(41) Caso o presente regulamento se refira a um fundamento jurídico ou a uma medida legislativa, não se trata necessariamente de um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. No entanto, esse fundamento jurídico ou essa medida legislativa deverão ser claros e precisos e a sua aplicação deverá ser previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça da União Europeia [...] e [do] Tribunal Europeu dos Direitos [Humanos].

[...]

(47) Os interesses legítimos dos responsáveis pelo tratamento, incluindo os dos responsáveis a quem os dados pessoais possam ser comunicados, ou de terceiros, podem constituir um fundamento jurídico para o tratamento, desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular, tomando em conta as expectativas razoáveis dos titulares dos dados baseadas na relação com o responsável. Poderá haver um interesse legítimo, por exemplo, quando existir uma relação relevante e apropriada entre o titular dos dados e o responsável pelo tratamento, em situações como aquela em que o titular dos dados é cliente ou está ao serviço do responsável pelo tratamento. De qualquer modo, a existência de um interesse legítimo requer uma avaliação cuidada, nomeadamente da questão de saber se o titular dos dados pode razoavelmente prever, no momento e no contexto em que os dados pessoais são recolhidos, que esses poderão vir a ser tratados com essa finalidade. Os interesses e os direitos fundamentais do titular dos dados podem, em particular, sobrepor‑se ao interesse do responsável pelo tratamento, quando os dados pessoais sejam tratados em circunstâncias em que os seus titulares já não esperam um tratamento adicional. [...] Poderá considerar‑se de interesse legítimo o tratamento de dados pessoais efetuado para efeitos de comercialização direta.

(48) Os responsáveis pelo tratamento que façam parte de um grupo empresarial ou de uma instituição associada a um organismo central poderão ter um interesse legítimo em transmitir dados pessoais no âmbito do grupo de empresas para fins administrativos internos, incluindo o tratamento de dados pessoais de clientes ou funcionários. Os princípios gerais que regem a transmissão de dados pessoais, no âmbito de um grupo empresarial, para uma empresa localizada num país terceiro mantêm‑se inalterados.»

4 O artigo 2. deste regulamento, com a epígrafe «Objeto e objetivos», dispõe, no seu n.° 2:

«O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.»

5 O artigo 4.° do referido regulamento prevê:

«Para efeitos do presente regulamento, entende‑se por:

1) “dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado‑Membro;

[...]

11) “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

[...]»

6 O artigo 5.° do mesmo regulamento, com a epígrafe «Princípios relativos ao tratamento de dados pessoais», dispõe:

«1. Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; [...]

c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

[...]

2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.° 1 e tem de poder comprová‑lo (“responsabilidade”).»

7 O artigo 6.° do RGPD, com a epígrafe «Licitude do tratamento», tem a seguinte redação:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

[...]

f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.

2. Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.° 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.

3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:

a) Pelo direito da União; ou

b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

[...] O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.»

8 O artigo 13.°, n.° 1, deste regulamento dispõe:

«Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:

[…]

c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;

d) Se o tratamento dos dados se basear no artigo 6.°, n.° 1, alínea f), os interesses legítimos do responsável pelo tratamento ou de um terceiro;

[…]»

Direito alemão

9 O artigo 161.° do Handelsgesetzbuch (Código Comercial), na sua versão aplicável aos litígios nos processos principais, prevê:

«(1) A sociedade cujo objeto consista no exercício de uma atividade comercial sob uma denominação comum é uma sociedade em comandita simples quando a responsabilidade de um ou de alguns dos sócios perante os credores da sociedade for limitada ao montante de uma determinada entrada de capital (sócios comanditários), enquanto a responsabilidade da outra parte dos sócios não é limitada (sócios comanditados).

(2) Salvo disposição em contrário na presente secção, as disposições aplicáveis às sociedades em nome coletivo aplicam‑se às sociedades em comandita simples.»

10 O artigo 162.°, n.° 1, deste código tem a seguinte redação:

«O registo da sociedade deve conter, além dos dados previstos no § 106, n.° 2, [(incluindo o apelido, nome próprio, data de nascimento e local de residência de cada sócio)], os nomes dos sócios comanditários e o montante da entrada de cada um deles. [...]»

11 O § 127a, n.os 1 e 3, da Aktiengesetz (Lei das Sociedades Anónimas), na sua versão aplicável aos litígios nos processos principais, dispõe:

«(1) Os acionistas ou associações de acionistas podem solicitar a outros acionistas, através do fórum de acionistas no Bundesanzeiger [(Diário Oficial Federal alemão)], a apresentação, conjunta ou por procuração, de um pedido ou requerimento ao abrigo da presente Lei ou o exercício do direito de voto numa assembleia geral.

[…]

(3) O convite pode referir‑se a uma exposição de motivos no sítio Internet do autor do convite e ao seu endereço eletrónico. [...]»

12 O § 33, n.° 1, primeira frase, da Wertpapierhandelsgesetz (Lei sobre o Mercado dos Valores Mobiliários), na sua versão aplicável aos litígios nos processos principais, prevê:

«Qualquer pessoa que, por aquisição, alienação ou outra forma, atinja, exceda ou desça abaixo dos 3 %, 5 %, 10 %, 15 %, 20 %, 25 %, 30 %, 50 % ou 75 % dos direitos de voto associados a ações que detenha num emitente de que a República Federal da Alemanha seja o Estado de origem (declarante) deve disso notificar sem demora o emitente e, simultaneamente, a autoridade de supervisão, o mais tardar no prazo de quatro dias de negociação, tendo em conta o § 34, n.os 1 e 2. [...]»

Litígios nos processos principais e questões prejudiciais

13 Resulta das decisões de reenvio que a HTB e a Ökorenta são sociedades de investimento que detêm, cada uma, uma participação indireta, por intermédio de uma sociedade fiduciária, em fundos de investimento. Estes fundos de investimento estão organizados sob a forma de uma sociedade em comandita, a saber, uma sociedade de pessoas, aberta ao investimento do público. A participação no capital destas sociedades em comandita é concebida como um investimento financeiro. Quando esta participação é indireta, os sócios exercem os seus direitos por intermédio de sociedades de participação fiduciárias.

14 As demandantes nos processos principais pedem às demandadas nos processos principais, que são sociedades de participação fiduciárias, a divulgação dos nomes e endereços de todos os seus sócios que detêm participações indiretas nos fundos de investimento em causa, por intermédio de sociedades fiduciárias.

15 As demandadas nos processos principais opõem‑se a essa divulgação, uma vez que consideram que os dados solicitados se destinam a servir os interesses económicos próprios das demandantes nos processos principais, que consistem em fazer publicidade aos seus próprios produtos de investimento, preocupar os investidores, ou comprar as participações destes por um preço inferior ao seu valor e obter lucro revendendo‑as. Ora, os contratos de participação e fiduciários ao abrigo dos quais os sócios das demandadas nos processos principais adquiriram participações indiretas nos fundos de investimento em causa contêm cláusulas que proíbem a comunicação dos referidos dados a outros detentores de participações.

16 As demandantes nos processos principais negam ter tais intenções e invocam o seu direito de entrarem em contacto com os outros sócios comanditários que detêm participações nos fundos de investimento em causa, nomeadamente para negociarem a aquisição das suas participações.

17 O órgão jurisdicional de reenvio sublinha, em substância, que, em conformidade com a jurisprudência do Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha) e do Oberlandesgericht München (Tribunal Regional Superior de Munique, Alemanha), a divulgação dos dados pessoais pedidos pelas demandantes nos processos principais pode revelar‑se obrigatória. Todavia, salienta que, uma vez que esta jurisprudência é parcialmente anterior à entrada em vigor do RGPD, pode ter de ser apreciada de forma diferente no caso em apreço, tendo em conta o artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) e f), deste regulamento, cuja interpretação é determinante para a resolução dos litígios nos processos principais.

18 Em particular, o órgão jurisdicional de reenvio refere que resulta do Despacho do Bundesgerichtshof (Supremo Tribunal de Justiça Federal) de 19 de novembro de 2019 (II ZR 263/18) que, numa sociedade de pessoas, o direito de um sócio conhecer o nome e o endereço dos outros sócios faz parte do «núcleo central indispensável dos direitos dos sócios». Isto aplica‑se igualmente aos sócios comanditários que detenham unicamente participações indiretas. Com efeito, o conhecimento de todos os outros sócios, incluindo os que detêm indiretamente participações, é necessário para o gozo efetivo dos direitos de cada sócio de uma sociedade de pessoas aberta ao investimento do público. A divulgação desses dados pessoais aos outros sócios está, assim, em conformidade com as obrigações que se impõem à sociedade por força do contrato que a constitui. A única exceção ao direito de obter tais dados, no direito alemão, consiste na proibição do abuso de direito, que obsta a que esse direito de informação seja exercido de forma ilícita ou com intenção danosa.

19 Por força da jurisprudência do Bundesgerichtshof (Supremo Tribunal de Justiça Federal), o abuso de direito está, em todo o caso, excluído quando um investidor procura entrar em contacto com outros investidores para debater com eles questões que dizem respeito à sociedade e, eventualmente, organizar uma comunidade de interesses entre os investidores. Além disso, não há motivo para recusar fornecer informações relativas a um sócio pelo facto de existir um simples risco abstrato de utilização abusiva desses dados pessoais. Por outro lado, um sócio deve poder aceder diretamente aos dados dos outros sócios da sociedade, sem depender dos órgãos dirigentes desta.

20 Resulta igualmente dessa jurisprudência que esse direito de informação não pode ser afastado por disposições contratuais, sob pena de se suprimir, de facto, um direito essencial dos sócios, a saber, o de convocar uma assembleia extraordinária dos sócios, uma vez que um sócio com uma participação menor apenas consegue obter os quóruns necessários para esse efeito se se associar a outros sócios, o que pressupõe obrigatoriamente que conheça os seus nomes e endereços [Despacho do Bundesgerichtshof (Supremo Tribunal de Justiça Federal) de 21 de setembro de 2009 (II ZR 264/08)]. Segundo a referida jurisprudência, o considerando 48 do RGPD justifica igualmente que, no âmbito de um grupo de empresas, os dados pessoais de todos os sócios possam ser transmitidos a um deles, para fins administrativos internos.

21 Segundo o órgão jurisdicional de reenvio, a jurisprudência do Bundesgerichtshof (Supremo Tribunal de Justiça Federal) consagra assim a existência, em princípio, de um direito de informação dos sócios que só é limitado pelo abuso de direito.

22 O órgão jurisdicional de reenvio faz igualmente referência ao Acórdão de 16 de janeiro de 2019 do Oberlandesgericht München (Tribunal Regional Superior de Munique) (7 U 342/18), segundo o qual o objeto principal do contrato de sociedade é o exercício dos direitos dos sócios, incluindo o de reforçar a sua posição na sociedade. A aquisição de participações sociais constitui, assim, um exercício lícito destes direitos e a divulgação de informações relativas aos outros sócios para este efeito corresponde a um interesse razoável. Ora, tal divulgação só deve ser recusada se não se destinar a satisfazer nenhum interesse razoável.

23 O órgão jurisdicional dúvida da compatibilidade da jurisprudência do Bundesgerichtshof (Supremo Tribunal de Justiça Federal) e do Oberlandesgericht München (Tribunal Regional Superior de Munique) com o direito da União Europeia, na medida em que permite uma divulgação alargada dos dados pessoais dos sócios que detêm participações indiretas num fundo de investimento, com fundamento na alegação puramente formal de um interesse dos outros sócios em obterem esses dados, por exemplo, com vista à aquisição de participações sociais.

24 Com efeito, considera que, por força do direito da União, a proteção dos dados pessoais constitui a regra, pelo que a exceção a este princípio, prevista nomeadamente no artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) e f), do RGPD, que permite autorizar a divulgação desses dados, deve assentar numa «justificação suficiente». Além disso, esse órgão jurisdicional afirma que não existe no direito alemão nenhuma obrigação jurídica de divulgar dados relativos às pessoas que detêm participações numa sociedade fiduciária. Assim, o órgão jurisdicional de reenvio interroga‑se sobre se um direito de acesso aos dados dos sócios não deve estar subordinado, por um lado, à existência de um certo limiar de participação, por analogia com o previsto no direito alemão em relação às sociedades anónimas cotadas em Bolsa, e, por outro, a uma razão concreta e precisa, relacionada com a sociedade, a respeito dos sócios da qual tais informações são pedidas.

25 Nestas condições, o Amtsgericht München (Tribunal de Primeira Instância de Munique, Alemanha) decidiu suspender a instância nos dois processos principais e submeter ao Tribunal de Justiça as seguintes questões prejudiciais idênticas:

«1) a) Resulta da interpretação do artigo 6.°, n.° 1, [primeiro parágrafo,] alíneas b) e f), do [RGPD] que, no caso de uma sociedade de pessoas aberta ao investimento do público, a participação no capital da sociedade enquanto sócio não gerente, não responsável pessoalmente e apenas responsável de maneira limitada é suficiente para concluir pela existência de um “interesse legítimo” em obter informações sobre todos os sócios que detêm participações indiretas por intermédio de um fiduciário, sobre os seus contactos e a sua participação no capital da sociedade de pessoas e para deduzir do contrato social uma obrigação contratual correspondente

b) ou, em tais circunstâncias, o interesse legítimo limita‑se à obtenção, por parte da sociedade, de informações sobre os detentores de participações indiretas que não têm uma responsabilidade limitada e detêm uma quota mínima pelo menos suscetível de influenciar o destino da sociedade?

2) a) É suficiente, para não exceder o limite inerente ao abuso de direito no caso de um direito ilimitado deste tipo [primeira questão, alínea a)], ou para derrogar [a] restrição a um direito limitado à informação [primeira questão, alínea b)], a intenção de estabelecer contactos para conhecer melhor a pessoa, [...] trocar opiniões ou [...] negociar a aquisição de partes sociais

b) ou deve entender‑se que o interesse na informação apenas pode ser considerado pertinente quando é exigida uma divulgação com a intenção expressa de contactar outros sócios a fim de obter uma coordenação por motivos concretos que exigem a formação de uma vontade comum no âmbito de decisões tomadas pelos sócios?»

Quanto à tramitação do processo no Tribunal de Justiça

26 Por Decisão de 23 de setembro de 2022, o presidente do Tribunal de Justiça suspendeu os presentes processos até à prolação da decisão que põe termo à instância no processo C‑252/21.

27 Em conformidade com a Decisão do presidente do Tribunal de Justiça de 7 de julho de 2023, a Secretaria notificou ao órgão jurisdicional de reenvio o Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (C‑252/21, EU:C:2023:537), convidando‑o a indicar‑lhe se, tendo em conta esse acórdão, pretendia manter os seus pedidos de decisão prejudicial, no todo ou em parte.

28 Por carta de 4 de agosto de 2023, apresentada na Secretaria do Tribunal de Justiça no mesmo dia, esse órgão jurisdicional indicou que mantinha os seus pedidos de decisão prejudicial.

Quanto às questões prejudiciais

29 Com as suas questões prejudiciais, que importa tratar em conjunto, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) e f), do RGPD deve ser interpretado no sentido de que um tratamento de dados pessoais que consiste em divulgar, a pedido de um sócio de um fundo de investimento, constituído sob a forma de uma sociedade de pessoas aberta ao investimento do público, informações sobre todos os sócios que detenham participações indiretas nesse fundo, por intermédio de sociedades fiduciárias, independentemente da importância da respetiva participação no capital do referido fundo, para entrar em contacto e negociar com eles a aquisição das suas participações sociais, ou ainda para se coordenar com estes com vista a formar uma vontade comum no âmbito de decisões dos sócios, pode ser considerado necessário para a execução de um contrato no qual os titulares dos dados são partes, na aceção desta alínea b), ou para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, na aceção desta alínea f).

30 Uma vez que os pedidos de decisão prejudicial revelam que o órgão jurisdicional de reenvio se interroga sobre a conformidade com o RGPD da obrigação de divulgação desses dados que resulta, no direito alemão, da jurisprudência dos órgãos jurisdicionais nacionais, há que reformular as questões submetidas no sentido de que se estendem à interpretação do artigo 6.°, n.° 1, primeiro parágrafo, alínea c), deste regulamento, e considerar que, com as suas questões, o órgão jurisdicional de reenvio se interroga também sobre se se pode considerar que tal divulgação procede de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito.

31 Para responder a estas questões, importa, a título preliminar, recordar que o objetivo prosseguido pelo RGPD, conforme resulta do seu artigo 1.° e dos seus considerandos 1 e 10, consiste, nomeadamente, em garantir um elevado nível de proteção das liberdades e dos direitos fundamentais das pessoas singulares, em particular do seu direito à vida privada no que diz respeito ao tratamento de dados pessoais, consagrado no artigo 8.°, n.° 1, da Carta e no artigo 16.°, n.° 1, TFUE (Acórdão de 7 de março de 2024, IAB Europe, C‑604/22, EU:C:2024:214, n.° 53 e jurisprudência referida).

32 Em conformidade com este objetivo, qualquer tratamento de dados pessoais deve, nomeadamente, ser conforme com os princípios relativos ao tratamento desse tipo de dados enunciados no artigo 5.° deste regulamento e preencher os pressupostos de licitude do tratamento enumerados no artigo 6.° do mesmo regulamento [v., neste sentido, Acórdãos de 6 de outubro de 2020, La Quadrature du Net e o., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, n.° 208, e de 11 de julho de 2024, Meta Platforms Ireland (Ação representativa), C‑757/22, EU:C:2024:598, n.° 49].

33 A este respeito, importa sublinhar que, por força do artigo 5.°, n.° 1, alínea a), do RGPD, os dados pessoais são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados.

34 Em especial, quanto aos requisitos de licitude do tratamento, como o Tribunal de Justiça declarou, o artigo 6.°, n.° 1, primeiro parágrafo, do RGPD prevê uma lista exaustiva e taxativa dos casos em que um tratamento de dados pessoais pode ser considerado lícito. Assim, para ser considerado legítimo, um tratamento deve estar abrangido por um dos casos previstos nesta disposição [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 90].

35 Tendo em conta as especificidades dos litígios nos processos principais, importa, além disso, salientar que este artigo 6.°, n.° 1, primeiro parágrafo, não impõe, por si só, uma obrigação, mas se limita a exprimir uma faculdade de efetuar um tratamento de dados pessoais nos casos que enumera (v., por analogia, Acórdão de 4 de maio de 2017, Rīgas satiksme C‑13/16, EU:C:2017:336, n.° 26).

36 Nos termos do artigo 6.°, n.° 1, primeiro parágrafo, alínea a), do RGPD, o tratamento de dados pessoais é lícito se e na medida em que o titular dos dados tiver dado o seu consentimento para uma ou mais finalidades específicas. Não tendo esse consentimento sido prestado, ou quando esse consentimento não tenha sido dado de forma livre, específica, informada e inequívoca na aceção do artigo 4.°, ponto 11, deste regulamento, esse tratamento é, não obstante, justificado quando cumpre um dos requisitos de necessidade mencionados no artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) a f), do referido regulamento.

37 Neste contexto, as justificações previstas nesta última disposição, uma vez que permitem tornar lícito um tratamento de dados pessoais efetuado sem o consentimento do titular dos dados, devem ser objeto de uma interpretação restritiva [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 93 e jurisprudência referida].

38 Além disso, como o Tribunal de Justiça declarou, quando seja possível constatar que um tratamento de dados pessoais é necessário à luz de uma das justificações previstas no artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) a f), do RGPD, não há que determinar se esse tratamento está igualmente abrangido por outra dessas justificações [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 94 e jurisprudência referida].

39 O Tribunal de Justiça declarou igualmente que, em conformidade com o artigo 5.° do RGPD, é sobre o responsável pelo tratamento que recai o ónus de provar que esses dados são recolhidos, nomeadamente, para finalidades determinadas, explícitas e legítimas e que são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados. Por outro lado, em conformidade com o artigo 13.°, n.° 1, alínea c), deste regulamento, quando os dados pessoais forem recolhidos junto do titular, incumbe ao responsável pelo tratamento informá‑lo das finalidades do tratamento a que os dados pessoais se destinam, bem como do fundamento jurídico para esse tratamento [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 95].

40 No caso em apreço, resulta dos autos de que dispõe o Tribunal de Justiça que os sócios que detêm participações indiretas, por intermédio de sociedades fiduciárias, nos fundos de investimento em causa não deram o seu consentimento, na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea a), do RGPD, para as demandadas nos processos principais divulgarem os seus dados pessoais a terceiros, nomeadamente à HTB e à Ökorenta.

41 Nestas condições, para responder às questões submetidas, importa verificar se as disposições do artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) e f), deste regulamento, especificamente referidas nos pedidos de decisão prejudicial, podem ser invocadas para justificar a eventual divulgação desses dados a esses terceiros.

42 No que se refere, em primeiro lugar, ao artigo 6.°, n.° 1, primeiro parágrafo, alínea b), do RGPD, este prevê que o tratamento de dados pessoais é lícito se for «necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados».

43 A este respeito, o Tribunal de Justiça já declarou que, para que um tratamento de dados pessoais seja considerado necessário para a execução de um contrato, na aceção desta disposição, deve ser objetivamente indispensável para realizar uma finalidade que faça parte integrante da prestação contratual destinada ao titular dos dados. O responsável pelo tratamento deve, assim, estar em condições de demonstrar de que forma o objeto principal do contrato não poderia ser alcançado sem o tratamento em causa [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 98].

44 Com efeito, como o Tribunal de Justiça também declarou, o elemento determinante para efeitos da aplicação da justificação prevista no artigo 6.°, n.° 1, primeiro parágrafo, alínea b), do RGPD é que o tratamento de dados pessoais efetuado pelo responsável pelo tratamento seja necessário para permitir a execução correta do contrato celebrado entre este e o titular dos dados e, deste modo, que não existam outras soluções exequíveis e menos intrusivas [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 99].

45 No caso em apreço, resulta das decisões de reenvio que os contratos de participação e fiduciário em causa no processo principal, ao abrigo dos quais foram adquiridas participações indiretas nos fundos de investimento em causa, preveem expressamente a proibição de comunicar os dados relativos aos investidores indiretos a outros detentores de participações.

46 A este respeito, importa salientar que a característica essencial da aquisição de uma participação indireta, por intermédio de uma sociedade fiduciária, num fundo de investimento aberto ao investimento do público é precisamente o anonimato dos sócios, incluindo nas relações entre os próprios sócios. Por outras palavras, é tendo em conta o tratamento confidencial dos seus dados pelo fundo de investimento que as pessoas optam por um investimento financeiro nesse fundo sob a forma de uma participação detida por intermédio de uma sociedade de participação fiduciária.

47 Portanto, e sem prejuízo de verificação pelo órgão jurisdicional de reenvio, um tratamento de dados pessoais que consiste na divulgação de informações relativas aos sócios que detêm, por intermédio de uma sociedade fiduciária, participações indiretas num fundo de investimento aberto ao investimento do público não pode ser considerado «necessário para a execução de um contrato», na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea b), do RGPD, quando o contrato subjacente à aquisição dessa participação exclui expressamente a divulgação desses dados a outros detentores de participações.

48 Em segundo lugar, no que se refere ao artigo 6.°, n.° 1, primeiro parágrafo, alínea f), do RGPD, este prevê que o tratamento de dados pessoais só é lícito se e na medida em que for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção desses dados pessoais.

49 Como o Tribunal de Justiça já declarou, a referida disposição prevê três requisitos cumulativos para que um tratamento de dados pessoais seja lícito, a saber: primeiro, a prossecução de interesses legítimos pelo responsável pelo tratamento ou por terceiros; segundo, a necessidade do tratamento dos dados pessoais para a realização do interesse legítimo prosseguido e; terceiro, o requisito de os interesses ou direitos e liberdades fundamentais da pessoa a quem a proteção de dados diz respeito não prevalecerem [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 106 e jurisprudência referida].

50 No que respeita, primeiro, ao requisito relativo à prossecução de um «interesse legítimo», importa sublinhar que, na falta de definição deste conceito pelo RGPD, como o Tribunal de Justiça já declarou, um amplo leque de interesses é, em princípio, suscetível de ser considerado legítimo [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Liberação de remanescente da dívida), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 76].

51 No que respeita, segundo, ao requisito relativo à necessidade do tratamento dos dados pessoais para a realização do interesse legítimo prosseguido, este impõe ao órgão jurisdicional de reenvio que verifique se o interesse legítimo do tratamento dos dados prosseguido não pode ser razoavelmente alcançado de modo igualmente eficaz através de outros meios menos lesivos das liberdades e dos direitos fundamentais dos titulares dos dados, em especial dos direitos ao respeito pela vida privada e à proteção de dados pessoais garantidos pelos artigos 7.° e 8.° da Carta [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Liberação de remanescente da dívida), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 77 e jurisprudência referida].

52 Neste contexto, há igualmente que recordar que o requisito relativo à necessidade do tratamento deve ser examinado conjuntamente com o denominado princípio da «minimização dos dados» consagrado no artigo 5.°, n.° 1, alínea c), do RGPD, segundo o qual os dados pessoais devem ser «adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados» [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 109 e jurisprudência referida].

53 Por último, no que respeita, terceiro, ao requisito de que os interesses ou as liberdades e os direitos fundamentais do titular dos dados não prevaleçam sobre o interesse legítimo do responsável pelo tratamento ou de terceiros, o Tribunal de Justiça já declarou que este implica uma ponderação dos direitos e dos interesses opostos em causa que depende, em princípio, das circunstâncias concretas do caso específico e, por conseguinte, cabe ao órgão jurisdicional de reenvio efetuar essa ponderação tendo em conta essas circunstâncias específicas [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 110 e jurisprudência referida].

54 Além disso, o considerando 47 do RGPD refere que os interesses e os direitos fundamentais do titular dos dados podem, em particular, sobrepor‑se ao interesse do responsável pelo tratamento, quando os dados pessoais sejam tratados em circunstâncias em que os seus titulares já não esperam razoavelmente tal tratamento [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 112].

55 Embora caiba, em definitivo, ao órgão jurisdicional de reenvio apreciar se, no que respeita ao tratamento de dados pessoais em causa nos litígios nos processos principais, os três requisitos recordados no n.° 49 do presente acórdão estão preenchidos, o Tribunal de Justiça, decidindo a título prejudicial, pode prestar esclarecimentos destinados a guiar esse órgão jurisdicional nessa determinação [Acórdãos de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 96, e de 7 de dezembro de 2023, SCHUFA Holding (Liberação de remanescente da dívida), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 81 e jurisprudência referida].

56 No caso em apreço, no que se refere, primeiro, ao requisito relativo à prossecução de interesses legítimos pelo responsável pelo tratamento ou por terceiros, na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea f), do RGPD, o órgão jurisdicional de reenvio faz referência ao interesse de um terceiro, a saber, o interesse de um sócio que detém uma participação indireta num fundo de investimento constituído sob a forma de uma sociedade em comandita aberta ao investimento do público, na obtenção de dados pessoais relativos aos outros sócios indiretos dessa sociedade para entrar em contacto com estes últimos ou negociar com eles a aquisição de participações sociais, ou ainda para se coordenar com estes para efeitos da formação de uma vontade comum no âmbito de decisões a tomar pelo conjunto dos sócios.

57 Há que declarar que tal interesse é, em princípio, suscetível de constituir, para efeitos da divulgação de dados pessoais, um interesse legítimo na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea f), do RGPD, tendo em conta, nomeadamente, o estatuto dessa sociedade, conforme decorre do direito nacional do Estado‑Membro em causa, e independentemente da importância do montante da participação e dos poderes detidos na sociedade pelo sócio que está na origem do pedido de divulgação. Todavia, compete ao órgão jurisdicional de reenvio apreciar, caso a caso, a existência desse interesse tendo em conta o quadro jurídico aplicável e o conjunto das circunstâncias do processo.

58 Na hipótese de tal interesse legítimo ser caracterizado, importa ainda, para que a prossecução desse interesse possa permitir um tratamento de dados pessoais, ao abrigo do artigo 6.°, n.° 1, primeiro parágrafo, alínea f), do RGPD, que o responsável pelo tratamento respeite todas as outras obrigações que lhe incumbem por força deste regulamento.

59 Segundo, no que se refere ao requisito relativo à necessidade desse tratamento para a realização do referido interesse e, em particular, à existência de meios menos lesivos dos direitos e das liberdades fundamentais dos titulares dos dados e igualmente adequados, é importante observar que seria possível, nomeadamente, que um sócio de um fundo de investimento que pretendesse obter informações relativas a outro sócio que detém uma participação indireta nesse fundo por intermédio de uma sociedade fiduciária pedisse diretamente ao referido fundo ou a esta sociedade que transmitisse o seu pedido ao sócio em causa, com a finalidade de o conhecer ou entrar em contacto com ele. Em seguida, este último poderia decidir livremente se pretende entrar em contacto com o sócio requerente ou se prefere não dar seguimento a esse pedido e manter o seu anonimato. Tal solução poderia ser aplicada igualmente no caso de o sócio requerente pretender iniciar com outro sócio negociações com vista à aquisição das participações deste último ou a coordenar‑se com este para efeitos da formação de uma vontade comum no âmbito de decisões a tomar pelo conjunto dos sócios.

60 Por outro lado, esta solução permitiria ao sócio visado pelo pedido de informação, em conformidade com o princípio da minimização dos dados, evocado no n.° 52 do presente acórdão, manter o controlo sobre o tratamento dos seus dados pessoais e limitar, assim, a sua divulgação a outro sócio ao que é efetivamente necessário e pertinente à luz das finalidades para as quais os referidos dados são pedidos e tratados.

61 Por conseguinte, não se pode excluir que um procedimento como o descrito no número anterior do presente acórdão possa ser considerado uma medida que comporta uma menor ingerência no direito à proteção da confidencialidade dos dados pessoais do respetivo titular, permitindo simultaneamente ao responsável pelo tratamento prosseguir, de maneira igualmente eficaz, o interesse legítimo do terceiro em causa, o que cabe, todavia, ao órgão jurisdicional de reenvio verificar.

62 Terceiro, no que se refere à ponderação dos interesses que incumbe ao órgão jurisdicional de reenvio efetuar à luz das circunstâncias específicas do caso concreto, esse órgão jurisdicional deve ter em conta, designadamente, as expectativas razoáveis do titular dos dados, o alcance do tratamento em causa e o impacto deste sobre essa pessoa [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 116].

63 Daqui resulta que, no âmbito de tal ponderação, por um lado, não se pode, em princípio, excluir que a divulgação de dados pessoais dos sócios, mesmo indiretos, de uma sociedade de pessoas a outros sócios possa servir, eventualmente, os interesses económicos de cada um deles e, por conseguinte, também os interesses dos sócios indiretos a cujos dados pessoais esses outros sócios pretendem ter acesso.

64 Por outro lado, também não se pode excluir que o interesse dos sócios, que detêm uma participação indireta num fundo de investimento, em que os seus dados pessoais permaneçam confidenciais possa prevalecer sobre o dos outros sócios que pretendem obter as suas informações de contacto. Nesta perspetiva, há que atribuir especial importância ao facto de ser provável, tendo em conta, nomeadamente, as disposições contratuais mencionadas no n.° 45 do presente acórdão, que os sócios indiretos desse fundo de investimento não podiam razoavelmente esperar, no momento da recolha dos seus dados pessoais, que estes seriam divulgados a terceiros, no caso em apreço, a outros sócios indiretos do referido fundo de investimento.

65 Resulta de todas as considerações precedentes, e sem prejuízo da apreciação do órgão jurisdicional de reenvio, que se afigura duvidoso que um tratamento de dados pessoais, como a divulgação das informações solicitadas pelas demandantes nos processos principais, possa ser justificado a título de um interesse legítimo, na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea f), do RGPD.

66 Em terceiro lugar, no que se refere ao artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, este prevê que um tratamento de dados pessoais é lícito se for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito.

67 O artigo 6.°, n.° 3, do RGPD precisa designadamente, a este respeito, que o tratamento deve ter por fundamento o direito da União ou o direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito e que este fundamento jurídico deve responder a um objetivo de interesse público e ser proporcionado ao objetivo legítimo prosseguido [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 128].

68 Além disso, como enuncia o considerando 41 deste regulamento, caso este se refira a um fundamento jurídico ou a uma medida legislativa, não se trata necessariamente de um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. No entanto, esse fundamento jurídico ou essa medida legislativa deverão ser claros e precisos e a sua aplicação deverá ser previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça e do Tribunal Europeu dos Direitos Humanos.

69 No caso em apreço, por um lado, o direito da União não prevê nenhuma obrigação de os fundos de investimento ou as sociedades de participação fiduciárias, como as que estão em causa nos processos principais, procederem à divulgação dos dados pessoais dos sócios que detenham participações indiretas nesses fundos.

70 Por outro lado, decorre dos pedidos de decisão prejudicial que tal obrigação pode, no entanto, ser deduzida, sem prejuízo das verificações que cabe ao órgão jurisdicional de reenvio efetuar a este respeito, da jurisprudência do Bundesgerichtshof (Supremo Tribunal de Justiça Federal) e do Oberlandesgericht München (Tribunal Regional Superior de Munique), nos termos da qual as cláusulas contratuais que garantem a confidencialidade das informações de contacto dos sócios indiretos de uma sociedade de pessoas aberta ao investimento do público, como as que estão em causa nos processos principais, deveriam ser consideradas nulas, pelo que haveria que divulgar os dados pessoais dos sócios que detêm participações indiretas num fundo de investimento constituído sob a forma de uma sociedade em comandita aberta ao investimento do público.

71 A este respeito, importa salientar que, em conformidade com o mencionado no n.° 68 do presente acórdão, não se pode excluir que o «direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito», na aceção do artigo 6.°, n.° 3, alínea b), do RGPD, abrange igualmente a jurisprudência nacional.

72 No entanto, como resulta do considerando 41 deste regulamento, exige‑se que essa jurisprudência seja clara e precisa e que a sua aplicação seja previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça.

73 Além disso, em conformidade com a jurisprudência recordada no n.° 67 do presente acórdão, é ainda necessário que essa jurisprudência constitua um fundamento jurídico que responda a um objetivo de interesse público, que seja proporcionada a este objetivo e que o tratamento em causa seja efetuado na estrita medida do necessário, o que incumbe ao órgão jurisdicional de reenvio verificar [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social) (C‑252/21, EU:C:2023:537, n.os 134 e 138]

74 Assim, caberá a esse órgão jurisdicional determinar, nomeadamente, se não existem medidas que, ao mesmo tempo que permitem garantir a transparência entre os sócios de sociedades de pessoas, conforme parece decorrer do direito alemão, como exposto nos n.os 18 a 22 do presente acórdão, seriam menos lesivas da proteção dos dados pessoais confidenciais dos sócios indiretos de sociedades em comandita abertas ao investimento do público do que a obrigação de divulgar esses dados a qualquer outro sócio que o solicite.

75 Atendendo ao exposto, há que responder às questões submetidas que o artigo 6.°, n.° 1, primeiro parágrafo, alínea b), do RGPD deve ser interpretado no sentido de que um tratamento de dados pessoais que consiste em divulgar, a pedido de um sócio de um fundo de investimento, constituído sob a forma de uma sociedade de pessoas aberta ao investimento do público, informações sobre todos os sócios que detenham participações indiretas nesse fundo, por intermédio de sociedades fiduciárias, independentemente da importância da respetiva participação no capital do referido fundo, para entrar em contacto e negociar com eles a aquisição das suas participações sociais, ou ainda para se coordenar com estes com vista a formar uma vontade comum no âmbito de decisões dos sócios, só pode ser considerado necessário, na aceção desta disposição, para a execução do contrato ao abrigo do qual esses sócios adquiriram essas participações, na condição de esse tratamento ser objetivamente indispensável para realizar uma finalidade que faz parte integrante da prestação contratual destinada a esses mesmos sócios, de tal modo que o objeto principal do contrato não poderia ser alcançado sem esse tratamento. Assim não será se esse contrato excluir expressamente a divulgação desses dados pessoais a outros detentores de participações.

76 O artigo 6.°, n.° 1, primeiro parágrafo, alínea f), do RGPD deve ser interpretado no sentido de que tal tratamento só pode ser considerado necessário para efeitos dos interesses legítimos prosseguidos por terceiros, na aceção desta disposição, na condição de esse tratamento ser estritamente necessário para a realização de tal interesse legítimo e de, tendo em conta o conjunto das circunstâncias pertinentes, os interesses ou as liberdades e os direitos fundamentais dos referidos sócios não prevalecerem sobre esse interesse legítimo.

77 O artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD deve ser interpretado no sentido de que o referido tratamento de dados pessoais é justificado, ao abrigo desta disposição, quando for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito, por força do direito do Estado‑Membro em causa, conforme clarificado pela jurisprudência desse Estado‑Membro, na condição de essa jurisprudência ser clara e precisa, de a sua aplicação ser previsível para os seus destinatários e de responder a um objetivo de interesse público e ser proporcionada a esse objetivo.

Quanto às despesas

78 Revestindo o processo, quanto às partes nas causas principais, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Quarta Secção) declara:

1) O artigo 6.°, n.° 1, primeiro parágrafo, alínea b), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que:

um tratamento de dados pessoais que consiste em divulgar, a pedido de um sócio de um fundo de investimento, constituído sob a forma de uma sociedade de pessoas aberta ao investimento do público, informações sobre todos os sócios que detenham participações indiretas nesse fundo, por intermédio de sociedades fiduciárias, independentemente da importância da respetiva participação no capital do referido fundo, para com eles entrar em contacto e negociar a aquisição das suas participações sociais, ou ainda para se coordenar com estes com vista a formar uma vontade comum no âmbito de decisões dos sócios, só pode ser considerado necessário, na aceção desta disposição, para a execução do contrato ao abrigo do qual esses sócios adquiriram essas participações, na condição de esse tratamento ser objetivamente indispensável para realizar uma finalidade que faz parte integrante da prestação contratual destinada a esses mesmos sócios, de tal modo que o objeto principal do contrato não poderia ser alcançado sem esse tratamento. Assim não será se esse contrato excluir expressamente a divulgação desses dados pessoais a outros detentores de participações.

2) O artigo 6.°, n.° 1, primeiro parágrafo, alínea f), do Regulamento 2016/679

deve ser interpretado no sentido de que:

tal tratamento só pode ser considerado necessário para efeitos dos interesses legítimos prosseguidos por terceiros, na aceção desta disposição, na condição de esse tratamento ser estritamente necessário para a realização de tal interesse legítimo e de, tendo em conta o conjunto das circunstâncias pertinentes, os interesses ou as liberdades e os direitos fundamentais dos referidos sócios não prevalecerem sobre esse interesse legítimo.

3) O artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do Regulamento 2016/679

deve ser interpretado no sentido de que:

o referido tratamento de dados pessoais é justificado, ao abrigo desta disposição, quando for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito, por força do direito do Estado‑Membro em causa, conforme clarificado pela jurisprudência desse Estado‑Membro, na condição de essa jurisprudência ser clara e precisa, de a sua aplicação ser previsível para os seus destinatários e de responder a um objetivo de interesse público e ser proporcionada a esse objetivo.

Assinaturas

* Língua do processo: alemão