Acórdão do Tribunal de Justiça da União Europeia
Processo C-21/23

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Grande Secção)

4 de outubro de 2024 (*)

« Reenvio prejudicial – Proteção de dados pessoais – Regulamento (UE) 2016/679 – Capítulo VIII – Vias de recurso – Comercialização de medicamentos por um farmacêutico através de uma plataforma em linha – Ação intentada nos tribunais cíveis por um concorrente desse farmacêutico, ao abrigo da proibição de práticas comerciais desleais, em razão da violação por esse farmacêutico das obrigações previstas no referido regulamento – Legitimidade – Artigo 4.º, ponto 15, e artigo 9.º, n.os 1 e 2 – Diretiva 95/46/CE – Artigo 8.º, n.os 1 e 2 – Conceito de “dados relativos à saúde” – Condições para o tratamento de tais dados »

No processo C‑21/23,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.º TFUE, pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), por Decisão de 12 de janeiro de 2023, que deu entrada no Tribunal de Justiça em 19 de janeiro de 2023, no processo

ND

contra

DR,

O TRIBUNAL DE JUSTIÇA (Grande Secção),

composto por: K. Lenaerts, presidente, L. Bay Larsen, vice‑presidente, K. Jürimäe, C. Lycourgos, E. Regan, F. Biltgen e N. Piçarra, presidentes de secção, S. Rodin, P. G. Xuereb, L. S. Rossi, I. Jarukaitis, N. Jääskinen e I. Ziemele (relatora), juízes,

advogado‑geral: M. Szpunar,

secretário: N. Mundhenke, administradora,

vistos os autos e após a audiência de 9 de janeiro de 2024,

vistas as observações apresentadas:

– em representação de ND, por A. Datta, M. Mogendorf e W. Spoerr, Rechtsanwälte,

– em representação de DR, por M. Bahmann, Rechtsanwalt,

– em representação do Governo Alemão, por J. Möller e P.‑L. Krüger, na qualidade de agentes,

– em representação da Comissão Europeia, por A. Bouchagiar, F. Erlbacher e H. Kranenborg, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 25 de abril de 2024,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 9.º, n.º 1, e das disposições do capítulo VIII do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, a seguir «RGPD»), bem como do artigo 8.º, n.º 1, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31).

2 Este pedido foi apresentado no âmbito de um litígio que opõe ND a DR, duas pessoas singulares que exploram, cada uma delas, uma farmácia, a respeito da comercialização por ND, através de uma plataforma em linha, de medicamentos cuja venda é reservada às farmácias.

Quadro jurídico

Direito da União

3 O artigo 8.º da Diretiva 95/46, sob a epígrafe «Tratamento de certas categorias específicas de dados», dispunha:

«1. Os Estados‑Membros proibirão o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, bem como o tratamento de dados relativos à saúde e à vida sexual.

2. O n.º 1 não se aplica quando:

a) A pessoa em causa tiver dado o seu consentimento explícito para esse tratamento, salvo se a legislação do Estado‑Membro estabelecer que a proibição referida no n.º 1 não pode ser retirada pelo consentimento da pessoa em causa

[...]»

4 Os considerandos 9 a 11, 13, 35, 51, 53, 141 e 142 do RGPD têm a seguinte redação:

«(9) Os objetivos e os princípios da Diretiva [95/46] continuam a ser válidos, mas não evitaram a fragmentação da aplicação da proteção dos dados ao nível da União, nem a insegurança jurídica ou o sentimento generalizado da opinião pública de que subsistem riscos significativos para a proteção das pessoas singulares, nomeadamente no que diz respeito às atividades por via eletrónica. As diferenças no nível de proteção dos direitos e das pessoas singulares, nomeadamente do direito à proteção dos dados pessoais no contexto do tratamento desses dados nos Estados‑Membros, podem impedir a livre circulação de dados pessoais na União. Essas diferenças podem, por conseguinte, constituir um obstáculo ao exercício das atividades económicas a nível da União, distorcer a concorrência e impedir as autoridades de cumprirem as obrigações que lhes incumbem por força do direito da União. Essas diferenças entre os níveis de proteção devem‑se à existência de disparidades na execução e aplicação da Diretiva [95/46].

(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. [...] O presente regulamento também dá aos Estados‑Membros margem de manobra para especificarem as suas regras, inclusive em matéria de tratamento de categorias especiais de dados pessoais (“dados sensíveis”). [...]

(11) A proteção eficaz dos dados pessoais na União exige o reforço e a especificação dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados pessoais, bem como poderes equivalentes para controlar e assegurar a conformidade das regras de proteção dos dados pessoais e sanções equivalentes para as infrações nos Estados‑Membros.

[...]

(13) A fim de assegurar um nível coerente de proteção das pessoas singulares no conjunto da União e evitar que as divergências constituam um obstáculo à livre circulação de dados pessoais no mercado interno, é necessário um regulamento que garanta a segurança jurídica e a transparência aos operadores económicos, incluindo as micro, pequenas e médias empresas, que assegure às pessoas singulares de todos os Estados‑Membros o mesmo nível de direitos suscetíveis de proteção judicial e imponha obrigações e responsabilidades iguais aos responsáveis pelo tratamento e aos seus subcontratantes, que assegure um controlo coerente do tratamento dos dados pessoais, sanções equivalentes em todos os Estados‑Membros, bem como uma cooperação efetiva entre as autoridades de controlo dos diferentes Estados‑Membros. [...]

[...]

(35) Deverão ser considerados dados pessoais relativos à saúde todos os dados relativos ao estado de saúde de um titular de dados que revelem informações sobre a sua saúde física ou mental no passado, no presente ou no futuro. [...]

[...]

(51) Merecem proteção específica os dados pessoais que são, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e das liberdades fundamentais, dado que o contexto do tratamento desses dados poderá implicar riscos significativos para os direitos e as liberdades fundamentais. [...] Tais dados pessoais não deverão ser objeto de tratamento, salvo se essa operação for autorizada em casos específicos definidos no presente regulamento, tendo em conta que o direito dos Estados‑Membros pode estabelecer disposições de proteção de dados específicas, a fim de adaptar a aplicação das regras do presente regulamento para dar cumprimento a uma obrigação legal, para o exercício de funções de interesse público ou para o exercício da autoridade pública de que está investido o responsável pelo tratamento. Para além dos requisitos específicos para este tipo de tratamento, os princípios gerais e outras disposições do presente regulamento deverão ser aplicáveis, em especial no que se refere às condições para o tratamento lícito. Deverão ser previstas de forma explícita derrogações à proibição geral de tratamento de categorias especiais de dados pessoais, por exemplo, se o titular dos dados der o seu consentimento expresso ou para ter em conta necessidades específicas, designadamente quando o tratamento for efetuado no exercício de atividades legítimas de certas associações ou fundações que tenham por finalidade permitir o exercício das liberdades fundamentais.

[...]

(53) As categorias especiais de dados pessoais que merecem uma proteção mais elevada só deverão ser objeto de tratamento para fins relacionados com a saúde quando tal for necessário para atingir os objetivos no interesse das pessoas singulares e da sociedade no seu todo, nomeadamente no contexto da gestão dos serviços e sistemas de saúde [...] Por conseguinte, o presente regulamento deverá estabelecer condições harmonizadas para o tratamento de categorias especiais de dados pessoais relativos à saúde, tendo em conta necessidades específicas, designadamente quando o tratamento desses dados for efetuado para determinadas finalidades ligadas à saúde por pessoas sujeitas a uma obrigação legal de sigilo profissional. O direito da União ou dos Estados‑Membros deverá prever medidas específicas e adequadas com vista à defesa dos direitos fundamentais e dos dados pessoais das pessoas singulares. Os Estados‑Membros deverão ser autorizados a manter ou introduzir outras condições, incluindo limitações, no que diz respeito ao tratamento de dados genéticos, dados biométricos ou dados relativos à saúde. [...]

[...]

(141) Os titulares dos dados deverão ter direito a apresentar reclamação a uma única autoridade de [controlo], particularmente no Estado‑Membro da sua residência habitual, e direito a uma ação judicial efetiva, nos termos do artigo 47.º da [Carta dos Direitos Fundamentais da União Europeia, a seguir «Carta»], se considerarem que os direitos que lhes são conferidos pelo presente regulamento foram violados ou se a autoridade de controlo não responder a uma reclamação, a recusar ou rejeitar, total ou parcialmente, ou não tomar as iniciativas necessárias para proteger os seus direitos. [...]

(142) Se o titular dos dados considerar que os direitos que lhe são conferidos pelo presente regulamento foram violados, deverá ter o direito de mandatar um organismo, organização ou associação sem fins lucrativos que seja constituído ao abrigo do direito de um Estado‑Membro, cujos objetivos estatutários sejam de interesse público e que exerça a sua atividade no domínio da proteção dos dados pessoais, para apresentar uma reclamação em seu nome junto de uma autoridade de controlo, ou exercer o direito de recurso judicial em nome dos titulares dos dados ou, se tal estiver previsto no direito de um Estado‑Membro, exercer o direito à indemnização em nome dos titulares dos dados. Os Estados‑Membros podem prever que esse organismo, organização ou associação tenha o direito de apresentar no Estado‑Membro em causa uma reclamação, independentemente do mandato do titular dos dados, e o direito a um recurso judicial efetivo, se tiver razões para considerar que ocorreu uma violação dos direitos do titular dos dados por o tratamento dos dados pessoais violar o presente regulamento. Esse organismo, organização ou associação pode não ser autorizado a pedir uma indemnização em nome do titular dos dados independentemente do mandato que lhe é conferido por este.»

5 O artigo 1.º deste regulamento, sob a epígrafe «Objeto e objetivos», dispõe:

«1. O presente regulamento estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

2. O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.

3. A livre circulação de dados pessoais no interior da União não é restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais.»

6 O artigo 4.º do referido regulamento prevê:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado‑Membro;

[...]

15) “Dados relativos à saúde”, dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;

[...]

21) “Autoridade de controlo”, uma autoridade pública independente criada por um Estado‑Membro nos termos do artigo 51.º;

[...]»

7 O capítulo II do RGPD, sob a epígrafe «Princípios», inclui os artigos 5.º a 11.º deste.

8 O artigo 5.º deste regulamento enuncia os princípios relativos ao tratamento de dados pessoais, ao passo que o artigo 6.º deste regulamento estabelece as condições de licitude desse tratamento.

9 Nos termos do artigo 9.º do referido regulamento, sob a epígrafe «Tratamento de categorias especiais de dados pessoais»:

«1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

2. O disposto no n.º 1 não se aplica se se verificar um dos seguintes casos:

a) Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou mais finalidades específicas, exceto se o direito da União ou de um Estado‑Membro previr que a proibição a que se refere o n.º 1 não pode ser anulada pelo titular dos dados;

[...]

h) Se o tratamento for necessário para efeitos de medicina preventiva ou do trabalho, para a avaliação da capacidade de trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social com base no direito da União ou dos Estados‑Membros ou por força de um contrato com um profissional de saúde, sob reserva das condições e garantias previstas no n.º 3;

[...] »

10 O artigo 51.º do mesmo regulamento, sob a epígrafe «Autoridade de controlo», prevê, no seu n.º 1:

«Os Estados‑Membros estabelecem que cabe a uma ou mais autoridades públicas independentes a responsabilidade pela fiscalização da aplicação do presente regulamento, a fim de defender os direitos e liberdades fundamentais das pessoas singulares relativamente ao tratamento e facilitar a livre circulação desses dados na União (“autoridade de controlo”).»

11 O capítulo VIII do RGPD, sob a epígrafe «Vias de recurso, responsabilidade e sanções», inclui os artigos 77.º a 84.º deste.

12 O artigo 77.º deste regulamento, sob a epígrafe «Direito de apresentar reclamação a uma autoridade de controlo», dispõe, no seu n.º 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo, em especial no Estado‑Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, se o titular dos dados considerar que o tratamento dos dados pessoais que lhe diga respeito viola o presente regulamento.»

13 O artigo 78.º do referido regulamento, sob a epígrafe «Direito à ação judicial contra uma autoridade de controlo», enuncia, no seu n.º 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, todas as pessoas singulares ou coletivas têm direito à ação judicial contra as decisões juridicamente vinculativas das autoridades de controlo que lhes digam respeito.»

14 O artigo 79.º do mesmo regulamento, sob a epígrafe «Direito à ação judicial contra um responsável pelo tratamento ou um subcontratante», prevê, no seu n.º 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, nomeadamente o direito de apresentar reclamação a uma autoridade de controlo, nos termos do artigo 77.º, todos os titulares de dados têm direito à ação judicial se considerarem ter havido violação dos direitos que lhes assistem nos termos do presente regulamento, na sequência do tratamento dos seus dados pessoais efetuado em violação do referido regulamento.»

15 O artigo 80.º do RGPD, sob a epígrafe «Representação dos titulares dos dados», tem a seguinte redação:

«1. O titular dos dados tem o direito de mandatar um organismo, organização ou associação sem fins lucrativos, que esteja devidamente constituído ao abrigo do direito de um Estado‑Membro, cujos objetivos estatutários sejam do interesse público e cuja atividade abranja a defesa dos direitos e liberdades do titular dos dados no que respeita à proteção dos seus dados pessoais, para, em seu nome, apresentar reclamação, exercer os direitos previstos nos artigos 77.º, 78.º e 79.º, e exercer o direito de receber uma indemnização referido no artigo 82.º, se tal estiver previsto no direito do Estado‑Membro.

2. Os Estados‑Membros podem prever que o organismo, a organização ou a associação referidos no n.º 1 do presente artigo, independentemente de um mandato conferido pelo titular dos dados, tenham nesse Estado‑Membro direito a apresentar uma reclamação à autoridade de controlo competente nos termos do artigo 77.º e a exercer os direitos a que se referem os artigos 78.º e 79.º, caso considerem que os direitos do titular dos dados, nos termos do presente regulamento, foram violados em virtude do tratamento.»

16 O artigo 82.º deste regulamento, sob a epígrafe «Direito de indemnização e responsabilidade», dispõe, no seu n.º 1:

«Qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos.»

17 O artigo 83.º do referido regulamento, sob a epígrafe «Condições gerais para a aplicação de coimas», prevê, no seu n.º 1:

«Cada autoridade de controlo assegura que a aplicação de coimas nos termos do presente artigo relativamente a violações do presente regulamento a que se referem os n.os 4, 5 e 6 é, em cada caso individual, efetiva, proporcionada e dissuasiva.»

18 O artigo 84.º deste mesmo regulamento, sob a epígrafe «Sanções», enuncia, no seu n.º 1:

«Os Estados‑Membros estabelecem as regras relativas às outras sanções aplicáveis em caso de violação do disposto no presente regulamento, nomeadamente às violações que não são sujeitas a coimas nos termos do artigo [83].º, e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas.»

19 O artigo 94.º do RGPD prevê, no seu n.º 1:

«A Diretiva [95/46] é revogada com efeitos a partir de 25 de maio de 2018.»

20 Segundo o artigo 99.º deste regulamento:

«1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

2. O presente regulamento é aplicável a partir de 25 de maio de 2018.»

Direito alemão

Lei relativa à Concorrência Desleal

21 O § 3 da Gesetz gegen den unlauteren Wettbewerb (Lei relativa à Concorrência Desleal), de 3 de julho de 2004 (BGBl. 2004 I, p. 1414), na versão aplicável ao litígio no processo principal (a seguir «UWG»), sob a epígrafe «Proibição dos comportamentos comerciais desleais», prevê, no seu n.º 1:

«As práticas comerciais desleais são ilícitas.»

22 O § 3a da UWG, sob a epígrafe «Violação do direito», tem a seguinte redação:

«Pratica um ato desleal quem infringe uma disposição legal destinada, nomeadamente, a regular o comportamento dos operadores no mercado, quando a infração é suscetível de prejudicar significativamente os interesses de consumidores, de outros operadores no mercado ou dos concorrentes.»

23 O § 8.º da UWG, sob a epígrafe «Eliminação e omissão», enuncia:

«(1) Quem praticar um ato comercial ilícito nos termos do § 3 ou do § 7 pode ser demandado em ação destinada à eliminação dos efeitos produzidos ou, em caso de risco de repetição, em ação inibitória [abstenção]. [...]

[...]

(3) São titulares dos direitos conferidos pelo n.º 1:

1. os concorrentes que comercializam ou procuram bens ou serviços de forma não negligenciável e não ocasional,

[...]»

Lei dos Medicamentos

24 A circulação de medicamentos é regulada pela Gesetz über den Verkehr mit Arzneimitteln (Lei relativa ao Comércio dos Medicamentos), de 24 de agosto de 1976 (BGBl. 1976 I, p. 2444), na versão publicada em 12 de dezembro de 2005 (BGBl. 2005 I, p. 3394), conforme aplicável aos factos do processo principal, estabelece uma distinção entre os medicamentos vendidos em farmácia e os sujeitos a receita médica, sendo estes últimos objeto do § 48, sob a epígrafe «Obrigação de prescrição».

Litígio no processo principal e questões prejudiciais

25 ND, que explora uma farmácia sob a denominação comercial «Lindenapotheke», comercializa, desde 2017, medicamentos cuja venda é reservada às farmácias, na plataforma em linha «Amazon‑Marketplace» (a seguir «Amazon»). Quando encomendam esses medicamentos em linha, os clientes de ND têm de introduzir informações, como o seu nome, o endereço de entrega e os elementos necessários para a individualização dos referidos medicamentos.

26 DR, que também explora uma farmácia, intentou no Landgericht Dessau‑Roßlau (Tribunal Regional de Dessau‑Roßlau, Alemanha) uma ação inibitória destinada a obter a condenação de ND a cessar, sob pena de sanção pecuniária compulsória, a comercialização, na Amazon, dos medicamentos cuja venda é reservada às farmácias, enquanto não estiver garantido que o cliente pode dar o seu consentimento prévio para o tratamento de dados relativos à saúde.

27 Em apoio da sua ação, DR alegou que a comercialização na Amazon de medicamentos cuja venda é reservada às farmácias era desleal, por não respeitar os requisitos legais relativos à obtenção do consentimento do cliente exigidos pela legislação relativa à proteção dos dados pessoais.

28 Por Decisão de 28 de março de 2018, o Landgericht Dessau‑Roßlau (Tribunal Regional de Dessau‑Roßlau) julgou a ação procedente.

29 ND interpôs recurso desta decisão no Oberlandesgericht Naumburg (Tribunal Regional Superior de Naumburg, Alemanha), que lhe negou provimento por Decisão de 7 de novembro de 2019.

30 O órgão jurisdicional de recurso considerou que a comercialização na Amazon de medicamentos cuja venda é reservada às farmácias constituía uma prática desleal e era, portanto, ilícita, por força do § 3, n.º 1, da UWG. Com efeito, tal comercialização de medicamentos dá origem a um tratamento de dados relativos à saúde, proibido por força do artigo 9.º, n.º 1, do RGPD, na falta de um consentimento explícito por parte dos clientes que adquirem medicamentos, em conformidade com o artigo 9.º, n.º 2, alínea a), deste regulamento. Ora, as regras previstas no referido regulamento constituem disposições legais destinadas a regulamentar o comportamento no mercado, na aceção do § 3a da UWG. Além disso, em aplicação do § 8, n.º 3, ponto 1, da UWG, DR tem o direito, enquanto concorrente, de invocar uma violação destas regras por parte de ND, através de uma ação inibitória, nos tribunais cíveis.

31 ND interpôs recurso de Revision no Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), que é o órgão jurisdicional de reenvio.

32 Este órgão jurisdicional salienta que o resultado que vier a ser dado ao litígio depende da interpretação que for dada às disposições do capítulo VIII do RGPD e do artigo 9.º, n.º 1, deste regulamento, bem como do artigo 8.º, n.º 1, da Diretiva 95/46.

33 Em primeiro lugar, o órgão jurisdicional de reenvio interroga‑se sobre a questão de saber se, desde a revogação da Diretiva 95/46, com efeitos a partir de 25 de maio de 2018, data a partir da qual se tornou aplicável o RGPD, os Estados‑Membros podem ainda prever, no direito nacional, que os concorrentes de uma empresa, como os referidos no § 8, n.º 3, ponto 1, da UWG, tenham legitimidade para fazer cessar, através de uma ação num órgão jurisdicional cível, as violações das disposições do RGPD cometidas por essa empresa, ao abrigo da proibição das práticas comerciais desleais.

34 O órgão jurisdicional de reenvio observa que esta questão suscita respostas divergentes a nível nacional. Com efeito, tal resposta não pode ser inequivocamente deduzida da redação das disposições do capítulo VIII do RGPD, nem da sistemática geral destas disposições, nem mesmo do objetivo prosseguido pelo referido regulamento.

35 Assim, antes de mais, no que respeita à redação das disposições do capítulo VIII do RGPD, o órgão jurisdicional de reenvio sublinha que estas disposições não mencionam, é certo, em nenhuma parte, a possibilidade de os concorrentes de uma empresa intentarem uma ação contra esta, em especial quando a violação da legislação sobre a proteção de dados é constitutiva de práticas comerciais desleais. Todavia, ao mesmo tempo, as referidas disposições não excluem formalmente essa possibilidade.

36 No que respeita, em seguida, à sistemática geral das disposições do capítulo VIII do RGPD, o órgão jurisdicional de reenvio sublinha, por um lado, que, conforme o Tribunal de Justiça declarou no Acórdão de 28 de abril de 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, n.º 57), este regulamento visa assegurar uma harmonização das legislações nacionais relativas à proteção dos dados pessoais que é, em princípio, completa. Todavia, por outro lado, o facto de o artigo 77.º, n.º 1, o artigo 78.º, n.os 1 e 2, e o artigo 79.º, n.º 1, do RGPD conterem, cada um, a expressão «sem prejuízo de qualquer outra via de recurso» pode obstar a que se conclua que a fiscalização da aplicação do direito foi objeto de uma regulamentação exaustiva.

37 Por último, no que respeita ao objetivo de harmonização e, em especial, de uniformização do nível de controlo da aplicação do direito na União, prosseguido pelo RGPD, o órgão jurisdicional de reenvio sublinha, por um lado, que o facto de os concorrentes poderem ter legitimidade ativa ao abrigo do direito da concorrência e, portanto, poderem fazer aplicar as disposições do direito da proteção de dados para além dos instrumentos previstos no RGPD poderia ser contrário a esse objetivo. Além disso, não é certo que o sistema de fiscalização da aplicação do direito previsto pelo referido regulamento comporte uma lacuna que deva ser colmatada pela possibilidade reconhecida aos concorrentes de disporem de legitimidade ativa ao abrigo do direito da concorrência. Do mesmo modo, uma concorrência em matéria de fiscalização da aplicação do direito da proteção de dados, entre as autoridades de controlo, por um lado, e os tribunais cíveis, por outro, comportaria o risco de interferir nos poderes das autoridades de controlo e de conduzir a divergências, dentro da União, na fiscalização da aplicação do direito relativo à proteção de dados.

38 Por outro lado, segundo o órgão jurisdicional de reenvio, conferir legitimidade ativa aos concorrentes ao abrigo do direito da concorrência poderia constituir uma possibilidade adicional de fiscalizar a aplicação do direito, que seria desejável em virtude do princípio da efetividade («efeito útil»), para assegurar o nível mais elevado possível de proteção em matéria de dados pessoais, em conformidade com o considerando 10 do RGPD.

39 O órgão jurisdicional de reenvio esclarece que esta questão não foi clarificada pela jurisprudência do Tribunal de Justiça e que, em especial, no Acórdão de 28 de abril de 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322), o Tribunal de Justiça deixou expressamente em aberto a questão da legitimidade ativa de um concorrente.

40 Em segundo lugar, o órgão jurisdicional de reenvio interroga‑se sobre a questão de saber se os dados que os clientes devem introduzir na plataforma de venda em linha, quando encomendam medicamentos, como o seu nome, o endereço de entrega e as informações necessárias para a individualização dos medicamentos encomendados, constituem «dados relativos à saúde», na aceção do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, do RGPD.

41 Segundo o órgão jurisdicional, a resposta a esta questão não se afigura evidente no caso de os medicamentos encomendados não estarem sujeitos a receita médica. Com efeito, em tal caso, não se pode excluir que esses medicamentos não se destinem aos próprios clientes, mas a terceiros, que não são identificáveis.

42 O órgão jurisdicional de reenvio sublinha que a redação destas disposições e a do artigo 4.º, ponto 15, do RGPD, lido em conjugação com o considerando 35 deste regulamento, não permitem, por si só, responder a esta questão.

43 Todavia, no n.º 125 do Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), o Tribunal de Justiça declarou que o conceito de «categorias especiais de dados pessoais», referido no artigo 8.º, n.º 1, da Diretiva 95/46 e no artigo 9.º, n.º 1, do RGPD, deve ser interpretado de forma ampla, tendo em conta o objetivo deste regulamento, que consiste em garantir um nível elevado de proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente da sua vida privada, quanto ao tratamento de dados pessoais que lhes digam respeito. Se essa interpretação ampla deste conceito viesse a ser acolhida, poderia concluir‑se que tais informações constituem dados relativos à saúde quando não é certo, mas apenas provável, que os clientes que procedem à encomenda dos medicamentos sejam as pessoas às quais estes se destinam.

44 O órgão jurisdicional de reenvio esclarece que o direito à inibição, invocado por DR, pressupõe que o comportamento em causa de ND foi ilegal tanto no momento em que foi adotado como no momento em que se realizou a audiência no âmbito do processo de Revision, e que o primeiro desses momentos era ainda regulado pelo artigo 8.º, n.º 1, da Diretiva 95/46, ao passo que o segundo se enquadra agora no âmbito de aplicação do artigo 9.º, n.º 1, do RGPD.

45 Foi neste contexto que o Bundesgerichtshof (Supremo Tribunal de Justiça Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) As disposições do capítulo VIII do [RGPD] opõem‑se a disposições nacionais que, além dos poderes de intervenção das autoridades de supervisão responsáveis pelo controlo e pela aplicação do regulamento e das vias de recurso à disposição dos interessados, conferem aos concorrentes o poder de, em caso de violação do [RGPD], intentar uma ação cível contra o autor da violação com fundamento na proibição de práticas comerciais desleais?

2) Os dados que os clientes de um farmacêutico que atua como vendedor numa plataforma de comércio eletrónico introduzem nessa plataforma quando encomendam medicamentos de venda reservada às farmácias mas não sujeitos a receita médica (nome do cliente, endereço de entrega e informações necessárias para a individualização do medicamento encomendado de venda reservada às farmácias), constituem dados relativos à saúde na aceção do artigo 9.º, n.º 1, do [RGPD], e do artigo 8.º, n.º 1, da Diretiva [95/46]?»

Quanto às questões prejudiciais

Quanto à primeira questão

46 Com a sua primeira questão, o órgão jurisdicional de reenvio pretende saber se as disposições do capítulo VIII do RGPD devem ser interpretadas no sentido de que se opõem a uma regulamentação nacional que, paralelamente aos poderes de intervenção das autoridades de controlo responsáveis pela fiscalização e pela aplicação deste regulamento, bem como às vias de recurso à disposição dos titulares dos dados, confere aos concorrentes do autor presumível de uma violação da proteção de dados pessoais legitimidade para intentar uma ação contra este nos tribunais cíveis, devido a violações do referido regulamento e ao abrigo da proibição das práticas comerciais desleais.

47 Há que recordar, a título preliminar, que o capítulo VIII do RGPD regula, nomeadamente, as vias de recurso que permitem proteger os direitos do titular dos dados quando os dados pessoais que lhe dizem respeito foram objeto de um tratamento pretensamente contrário às disposições deste regulamento. A proteção destes direitos pode assim ser objeto de uma reclamação quer diretamente pelo titular dos dados, em aplicação dos artigos 77.º a 79.º deste regulamento, quer por uma entidade autorizada, com ou sem mandato para esse efeito, ao abrigo do artigo 80.º do referido regulamento (v., neste sentido, Acórdão de 28 de abril de 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, n.º 53).

48 Com efeito, por um lado, o artigo 77.º, n.º 1, do RGPD prevê que, sem prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm o direito de apresentar reclamação a uma autoridade de controlo. Nos termos do artigo 78.º, n.º 1, deste regulamento, todas as pessoas singulares ou coletivas têm direito à ação judicial contra as decisões juridicamente vinculativas das autoridades de controlo que lhes digam respeito, sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial. O artigo 79.º, n.º 1, do referido regulamento garante a todos os titulares de dados o direito à ação judicial, sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, incluindo o direito de apresentar reclamação a uma autoridade de controlo nos termos do artigo 77.º do mesmo regulamento.

49 Por outro lado, em conformidade com o artigo 80.º, n.º 1, do RGPD, o titular dos dados tem o direito de mandatar um organismo, uma organização ou uma associação sem fins lucrativos, sob determinadas condições, para, em seu nome, apresentar reclamação ou exercer os direitos previstos nos artigos 77.º a 79.º deste regulamento. Além disso, em conformidade com o artigo 80.º, n.º 2, do referido regulamento, os Estados‑Membros podem prever que o organismo, a organização ou a associação, independentemente de um mandato conferido pelo titular dos dados, tenham, no Estado‑Membro em questão, direito a apresentar tal reclamação à autoridade de controlo e a exercer estes direitos caso considerem que os direitos do titular dos dados previstos no mesmo regulamento foram violados em virtude do tratamento dos dados pessoais que lhe dizem respeito.

50 No caso em apreço, resulta dos autos de que o Tribunal de Justiça dispõe que ND, que explora uma farmácia, comercializa, na Amazon, medicamentos cuja venda é reservada às farmácias e que, quando encomendam em linhas desses medicamentos, os clientes devem introduzir dados, como o seu nome, o endereço de entrega e as informações necessárias para a individualização dos referidos medicamentos. Todavia, a ação no processo principal não foi intentada num tribunal cível por esses clientes, que são titulares de dados na aceção do artigo 4.º, ponto 1, do RGPD, com fundamento no artigo 79.º deste regulamento, nem por um organismo, uma organização ou uma associação autorizada, com ou sem mandato recebido de um titular de dados para esse efeito, ao abrigo do artigo 80.º do referido regulamento, mas por um concorrente desse farmacêutico ao abrigo da proibição das práticas comerciais desleais, devido a violações das disposições do mesmo regulamento alegadamente cometidas pelo referido farmacêutico.

51 O processo principal suscita, portanto, a questão de saber se o RGPD se opõe a que um concorrente como DR, que não é um titular de dados na aceção do artigo 4.º, ponto 1, deste regulamento, tem legitimidade para intentar tal ação nos tribunais cíveis nacionais.

52 A este respeito, importa recordar que, para interpretar uma disposição do direito da União, há que ter em conta não só os seus termos, como também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte (Acórdão de 12 de janeiro de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, n.º 32).

53 No que respeita à redação das disposições do capítulo VIII do RGPD, há que constatar que nenhuma delas exclui expressamente a possibilidade de o concorrente de uma empresa intentar uma ação nos tribunais cíveis contra essa empresa ao abrigo da proibição das práticas comerciais desleais, devido à alegada violação, por essa empresa, das obrigações previstas neste regulamento. Pelo contrário, resulta dos termos do artigo 77.º, n.º 1, do artigo 78.º, n.º 1, e do artigo 79.º, n.º 1, do RGPD, recordados no n.º 48 do presente acórdão, que o direito de apresentar reclamação a uma autoridade de controlo, bem como o direito à ação judicial contra essa autoridade e contra um responsável pelo tratamento ou um subcontratante, referido nestas disposições, devem ser entendidos «sem prejuízo» de qualquer outra via de recurso administrativo, judicial ou extrajudicial.

54 No que respeita ao contexto em que o capítulo VIII do RGPD se insere, há que salientar que este regulamento contém, no seu capítulo II, um conjunto de disposições materiais relativas, nomeadamente, aos princípios relativos ao tratamento de dados pessoais, que figuram no seu artigo 5.º, e às condições de licitude do tratamento, enunciadas no seu artigo 6.º, que devem assegurar o pleno respeito, nomeadamente, do direito fundamental à proteção dos dados pessoais dos titulares dos dados, garantido no artigo 16.º, n.º 1, TFUE e no artigo 8.º da Carta. A inexistência, no capítulo VIII do RGPD, de disposições que prevejam a possibilidade de os concorrentes de uma empresa, que tenha alegadamente violado essas disposições materiais, intentarem uma ação inibitória dessa violação explica‑se, assim, pelo facto de só os titulares dos dados, e não esses concorrentes, serem, como o advogado‑geral salientou no n.º 80 das suas conclusões, destinatários da proteção dos dados pessoais assegurada por este regulamento.

55 No entanto, embora a violação das referidas disposições materiais seja suscetível de afetar principalmente os titulares dos dados em causa, esta violação também é suscetível de lesar terceiros, o que é ilustrado pelo facto de o artigo 82.º, n.º 1, do RGPD prever um direito a indemnização para «qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento». O Tribunal de Justiça também já teve oportunidade de declarar que a violação de uma regra relativa à proteção de dados pessoais pode implicar simultaneamente a violação de regras relativas à proteção dos consumidores ou às práticas comerciais desleais (Acórdão de 28 de abril de 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, n.º 78) e constituir um indício importante para apreciar a existência de um abuso de posição dominante na aceção do artigo 102.º TFUE [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.os 47 e 62].

56 Neste contexto, importa recordar que o acesso aos dados pessoais e a sua exploração revestem grande importância no âmbito da economia digital. Com efeito, o acesso aos dados pessoais e a possibilidade de tratar esses dados tornaram‑se um parâmetro importante da concorrência entre empresas da economia digital. Por conseguinte, para ter em conta a realidade desta evolução económica e para assegurar uma concorrência leal, pode ser necessário ter em conta as regras em matéria de proteção de dados pessoais no âmbito da aplicação do direito da concorrência e das regras relativas às práticas comerciais desleais [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.os 50 e 51].

57 Além disso, embora resulte do artigo 1.º, n.º 1, do RGPD, lido à luz, nomeadamente, dos seus considerandos 9 e 13, que este regulamento visa assegurar uma harmonização das legislações nacionais relativas à proteção dos dados pessoais que é, em princípio, completa, não deixa de ser certo que várias disposições do referido regulamento conferem expressamente aos Estados‑Membros a possibilidade de preverem regras nacionais adicionais, mais rigorosas ou derrogatórias, que lhes deixam uma margem de apreciação quanto ao modo como essas disposições podem ser aplicadas («cláusulas de abertura») (Acórdão de 28 de abril de 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, n.º 57).

58 O Tribunal de Justiça já declarou que é o que sucede com o artigo 80.º, n.º 2, do RGPD, que confere aos Estados‑Membros uma margem de apreciação relativamente à sua aplicação e que não se opõe a uma legislação nacional que permite a uma associação de defesa dos interesses dos consumidores agir judicialmente, sem que lhe tenha sido conferido um mandato para o efeito e independentemente da violação de direitos concretos dos titulares dos dados, contra o presumível autor de uma violação da proteção dos dados pessoais, invocando, nomeadamente, a violação da proibição de práticas comerciais desleais, desde que o tratamento dos dados em causa seja suscetível de afetar os direitos conferidos por esse regulamento às pessoas singulares identificadas ou identificáveis (Acórdão de 28 de abril de 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, n.os 59 e 83).

59 É certo que as disposições do capítulo VIII do RGPD não preveem especificamente essa cláusula de abertura que permita expressamente aos Estados‑Membros prever a possibilidade de o concorrente de uma empresa que alegadamente viola as disposições materiais deste regulamento intentar uma ação para pôr termo a essa violação.

60 Todavia, resulta dos termos e do contexto das disposições deste capítulo VIII, recordados nos n.os 53 a 58 do presente acórdão, que, com a adoção do referido regulamento, o legislador da União não pretendeu proceder a uma harmonização exaustiva das vias de recurso disponíveis em caso de violação das disposições do RGPD e, nomeadamente, não quis excluir tal possibilidade de recurso para os concorrentes do presumível autor de uma violação da proteção dos dados pessoais, com fundamento no direito nacional relativo à proibição das práticas comerciais desleais.

61 Esta interpretação é confirmada pelos objetivos prosseguidos pelo RGPD, que visa, como resulta, nomeadamente, do considerando 10 deste último, assegurar um nível de proteção coerente e elevado das pessoas singulares no que diz respeito ao tratamento de dados pessoais e eliminar os obstáculos à circulação desses dados na União. O considerando 11 deste regulamento enuncia, além disso, que a proteção eficaz destes dados exige o reforço dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados, bem como poderes equivalentes para controlar e assegurar a conformidade das regras de proteção dos dados pessoais e sanções equivalentes para as infrações nos Estados‑Membros. O considerando 13 do referido regulamento precisa que, a fim de assegurar um nível coerente de proteção das pessoas singulares no conjunto da União e evitar que as divergências constituam um obstáculo à livre circulação de dados pessoais no mercado interno, é necessário um regulamento que garanta a segurança jurídica e a transparência aos operadores económicos, que assegure às pessoas singulares de todos os Estados‑Membros o mesmo nível de direitos suscetíveis de proteção judicial e imponha obrigações e responsabilidades iguais aos responsáveis pelo tratamento e aos seus subcontratantes, que assegure um controlo coerente do tratamento dos dados pessoais, e sanções equivalentes em todos os Estados‑Membros.

62 A possibilidade de o concorrente de uma empresa intentar uma ação nos tribunais cíveis ao abrigo da proibição das práticas comerciais desleais para pôr termo a uma violação das disposições materiais do RGPD, alegadamente cometida por essa empresa, não só não prejudica esses objetivos como é, pelo contrário, suscetível de reforçar o efeito útil destas disposições e, assim, o elevado nível de proteção dos titulares dos dados relativamente ao tratamento dos seus dados pessoais, visado por este regulamento.

63 Com efeito, por um lado, uma ação inibitória intentada por um concorrente contra uma empresa ao abrigo da proibição das práticas comerciais, em razão da alegada violação das disposições materiais do RGPD, não prejudica de modo nenhum o sistema das vias de recurso previsto no capítulo VIII deste regulamento, nem o objetivo de assegurar um nível coerente de proteção das pessoas singulares no conjunto da União e evitar que as divergências constituam um obstáculo à livre circulação de dados pessoais no mercado interno.

64 É certo que tal ação é suscetível de assentar, ainda que de forma incidental, na violação das mesmas disposições do RGPD que aquelas em que se poderia basear uma reclamação ou uma ação judicial intentada, em aplicação dos artigos 77.º a 79.º deste regulamento, pelos titulares dos dados ou por um organismo, organização ou associação, na aceção do artigo 80.º do referido regulamento.

65 Todavia, em primeiro lugar, ao contrário do que sucede com os artigos 77.º a 80.º do RGPD, a ação inibitória intentada por um concorrente não prossegue, enquanto tal, um objetivo de proteção das liberdades e dos direitos fundamentais dos titulares dos dados no que diz respeito ao tratamento dos seus dados pessoais, mas visa assegurar uma concorrência leal, no interesse, nomeadamente, desse concorrente.

66 Em segundo lugar, a possibilidade de um concorrente intentar tal ação nos tribunais cíveis ao abrigo da proibição das práticas comerciais desleais acresce às vias de recurso instituídas nos artigos 77.º a 79.º do RGPD, que são plenamente preservadas e podem sempre ser exercidas pelos titulares dos dados, bem como, se for caso disso, pelos organismos, organizações ou associações, na aceção do artigo 80.º deste regulamento.

67 Em particular, como o Governo Alemão salientou, a coexistência de vias de recurso no âmbito do direito da proteção de dados e do direito da concorrência não cria riscos para a aplicação uniforme do RGPD. Neste contexto, há que salientar que resulta dos artigos 77.º a 80.º deste regulamento que este não prevê uma competência prioritária ou exclusiva nem nenhuma regra de primado da apreciação efetuada pela referida autoridade ou pelos órgãos jurisdicionais que aí são referidos quanto à existência de uma violação dos direitos conferidos pelo referido regulamento (v., neste sentido, Acórdão de 12 de janeiro de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, n.º 35). Por conseguinte, o facto de a ação inibitória ser intentada por um concorrente do presumível autor de uma violação da proteção dos dados pessoais nos tribunais cíveis não prejudica o sistema das vias de recurso, conforme concebido no capítulo VIII do RGPD. Além disso, como aquele Governo observou, a interpretação uniforme das disposições materiais deste regulamento, que são suscetíveis de ser aplicadas à mesma violação pela autoridade de controlo e pelos órgãos jurisdicionais chamados a pronunciar‑se ao abrigo dos artigos 77.º a 80.º do referido regulamento, por um lado, e pelos órgãos jurisdicionais chamados a pronunciar‑se por esse concorrente ao abrigo da proibição das práticas comerciais desleais, por outro, é assegurada pelo processo prejudicial, previsto no artigo 267.º TFUE.

68 Em terceiro lugar, como o advogado‑geral salientou, em substância, no n.º 104 das suas conclusões, a invocabilidade mais alargada das disposições materiais do RGPD, por pessoas que não os titulares dos dados e os organismos, as organizações e as associações, na aceção do artigo 80.º deste regulamento, não prejudica a realização do objetivo de assegurar um nível coerente de proteção dessas pessoas no conjunto da União e evitar que as divergências constituam um obstáculo à livre circulação de dados pessoais no mercado interno. Com efeito, ainda que alguns Estados‑Membros não prevejam essa possibilidade, daí não resulta, contudo, uma fragmentação da aplicação da proteção de dados na União, uma vez que as disposições materiais do RGPD se impõem da mesma forma a todas os responsáveis pelo tratamento, na aceção do artigo 4.º, ponto 7, deste regulamento, e o seu respeito é assegurado pelas vias de recurso previstas no referido regulamento.

69 Por outro lado, no que se refere ao objetivo que consiste em assegurar uma proteção eficaz dos titulares dos dados no que respeita ao tratamento dos seus dados pessoais e ao efeito útil das disposições materiais do RGPD, há que constatar que, embora uma ação inibitória intentada por um concorrente do presumível autor de uma violação da proteção dos dados pessoais não vise, como foi salientado no n.º 65 do presente acórdão, este objetivo, mas o de assegurar uma concorrência leal, não deixa de ser certo que contribui incontestavelmente para o respeito dessas disposições e, portanto, para reforçar os direitos dos titulares dos dados e para lhes assegurar um nível elevado de proteção (v., neste sentido, Acórdão de 28 de abril de 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, n.º 74).

70 De resto, tal ação inibitória de um concorrente pode revelar‑se, à semelhança da das associações de defesa dos interesses dos consumidores, particularmente eficaz para assegurar essa proteção, na medida em que é suscetível de prevenir um grande número de violações dos direitos dos titulares dos dados em virtude do tratamento dos seus dados pessoais (v., neste sentido, Acórdão de 28 de abril de 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, n.º 75).

71 Daqui resulta que a interpretação adotada no n.º 60 do presente acórdão é conforme com os requisitos que decorrem do artigo 16.º, n.º 1, TFUE e do artigo 8.º da Carta e, assim, com o objetivo prosseguido pelo RGPD que consiste em assegurar uma proteção eficaz das liberdades e dos direitos fundamentais das pessoas singulares, bem como, nomeadamente, em assegurar um elevado nível de proteção do direito de qualquer pessoa à proteção dos dados pessoais que lhe digam respeito (v., neste sentido, Acórdão de 28 de abril de 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, n.º 73).

72 No caso em apreço, cabe ao órgão jurisdicional de reenvio verificar se a alegada violação das disposições materiais do RGPD em causa no processo principal, desde que seja demonstrada, também constitui uma violação da proibição das práticas comerciais desleais conforme prevista pela regulamentação nacional pertinente.

73 Tendo em conta as considerações precedentes, há que responder à primeira questão que as disposições do capítulo VIII do RGPD devem ser interpretadas no sentido de que não se opõem a uma regulamentação nacional que, paralelamente aos poderes de intervenção das autoridades de controlo responsáveis pela fiscalização e pela aplicação deste regulamento, bem como às vias de recurso à disposição dos titulares dos dados, confere aos concorrentes do presumível autor de uma violação da proteção de dados pessoais legitimidade para intentar uma ação contra este nos tribunais cíveis, devido a violações do referido regulamento e ao abrigo da proibição das práticas comerciais desleais.

Quanto à segunda questão

74 Com a sua segunda questão, o órgão jurisdicional de reenvio pretende saber, em substância, se o artigo 8.º, n.º 1, da Diretiva 95/46 e o artigo 9.º, n.º 1, do RGPD devem ser interpretados no sentido de que, numa situação na qual o operador de uma farmácia comercializa, através de uma plataforma em linha, medicamentos cuja venda é reservada às farmácias, as informações que os clientes desse operador inserem quando encomendam em linha os medicamentos, como o seu nome, o endereço de entrega e as informações necessárias para a individualização dos medicamentos, constituem dados relativos à saúde, na aceção destas disposições, inclusivamente quando a venda desses medicamentos não esteja sujeita a receita médica.

75 O artigo 8.º, n.º 1, da Diretiva 95/46 e o artigo 9.º, n.º 1, do RGPD, que têm um alcance semelhante para efeitos da interpretação que o Tribunal de Justiça vier a fazer (Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, n.os 58 e 117) e são relativos, como indica a epígrafe desses artigos, aos tratamentos relativos a «categorias especiais» de dados pessoais, estabelecem o princípio da proibição desses tratamentos. Com efeito, como o considerando 51 deste regulamento enuncia expressamente, merecem proteção específica os dados pessoais que são, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e das liberdades fundamentais, dado que o contexto do tratamento desses dados poderá implicar riscos significativos para esses direitos e liberdades.

76 Entre estas categorias especiais de dados pessoais, cuja lista é apresentada no artigo 8.º, n.º 1, da Diretiva 95/46 e no artigo 9.º, n.º 1, do RGPD, figuram os dados relativos à saúde. Tais dados incluem, em conformidade com o artigo 4.º, ponto 15, deste regulamento, lido em conjugação com o seu considerando 35, todos os dados pessoais que revelem informações sobre o estado de saúde física ou mental de uma pessoa singular, no passado, no presente ou no futuro, incluindo dados relativos à prestação a essa pessoa de serviços de saúde.

77 Além disso, resulta nomeadamente do artigo 4.º, ponto 1, do RGDP que o conceito de «dados pessoais» visa informação relativa a uma pessoa singular identificada ou identificável e que, para ser qualificada de «identificável», basta que o titular dos dados possa ser identificado, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social.

78 Assim, quando os dados sobre a compra dos medicamentos permitam tirar conclusões sobre o estado de saúde de uma pessoa identificada ou identificável, devem ser considerados dados relativos à saúde, na aceção do artigo 4.º, ponto 15, do RGPD.

79 No caso em apreço, resulta dos autos de que o Tribunal de Justiça dispõe que, ao quando encomendam em linha na Amazon medicamentos cuja venda é reservada às farmácias, os clientes de ND inserem informações como o seu nome, o endereço de entrega e os elementos de individualização dos medicamentos. Tais informações constituem seguramente «dados pessoais», uma vez que se referem a pessoas singulares identificadas ou identificáveis.

80 Nestas condições, há que determinar se tais dados são suscetíveis de revelar informações sobre o estado de saúde dessas pessoas, na aceção do artigo 4.º, ponto 15, do RGPD e, por conseguinte, constituem dados relativos à saúde, na aceção do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, deste regulamento.

81 A este respeito, o Tribunal de Justiça já declarou que, à luz do objetivo da Diretiva 95/46 e do RGPD, que consiste em garantir um elevado nível de proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente da sua vida privada, no que diz respeito ao tratamento dos seus dados pessoais, o conceito de «dados relativos à saúde» referido no artigo 9.º, n.º 1, deste regulamento, que corresponde ao conceito de «dados relativos à saúde» previsto no artigo 8.º, n.º 1, desta diretiva, deve ser interpretado de forma ampla (v., neste sentido, Acórdãos de 6 de novembro de 2003, Lindqvist, C‑101/01, EU:C:2003:596, n.º 50, e de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, n.º125).

82 Em especial, estas disposições não podem ser interpretadas no sentido de que o tratamento de dados pessoais suscetíveis de revelar, de modo indireto, informações sensíveis relativas a uma pessoa singular está isento do regime de proteção reforçada previsto por essas disposições, caso contrário seriam postas em causa a eficácia desse regime e a proteção dos direitos e liberdades fundamentais das pessoas singulares que este se destina a assegurar (Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, n.º 127).

83 Por conseguinte, para que dados pessoais possam ser qualificados de dados relativos à saúde, na aceção do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, do RGPD, basta que sejam suscetíveis de revelar, através de uma operação intelectual de aproximação ou de dedução, informações sobre o estado de saúde do titular dos dados (v., neste sentido, Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, n.º 123).

84 Ora, os dados que um cliente insere numa plataforma em linha, quando encomenda medicamentos cuja venda é reservada às farmácias, são suscetíveis de revelar, através de uma operação intelectual de aproximação ou de dedução, informações sobre o estado de saúde do titular dos dados, na aceção do artigo 4.º, ponto 1, do RGPD, na medida em que essa encomenda implica o estabelecimento de um nexo entre um medicamento, as suas indicações terapêuticas ou utilizações, e uma pessoa singular identificada ou identificável por elementos como o nome dessa pessoa ou o endereço de entrega.

85 O órgão jurisdicional de reenvio interroga‑se, todavia, sobre a questão de saber se o facto de a venda dos medicamentos encomendados não estar sujeita a receita médica é pertinente, uma vez que, nesse caso, esses medicamentos podem não ser destinados ao cliente que faz a encomenda, mas a terceiros.

86 A este respeito, há que salientar que, para efeitos da aplicação do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, do RGPD, importa verificar, no caso de um tratamento de dados pessoais efetuado pelo operador de uma farmácia no âmbito de uma atividade exercida através de uma plataforma em linha, se esses dados permitem revelar informações abrangidas por uma das categorias referidas nessas disposições, quer essas informações digam respeito a um utilizador dessa plataforma ou a qualquer outra pessoa singular. Em caso afirmativo, esse tratamento de dados pessoais é então proibido, sob reserva das derrogações previstas no n.º 2 das referidas disposições [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.º 68].

87 Esta proibição de princípio é independente da questão de saber se a informação revelada pelo tratamento em causa é ou não exata e se esse operador atua com o objetivo de obter informações abrangidas por uma das categorias especiais previstas no artigo 8.º, n.º 1, da Diretiva 95/46 e no artigo 9.º, n.º 1, do RGPD. Com efeito, tendo em conta os riscos significativos para os direitos e liberdades fundamentais dos titulares dos dados, gerados por qualquer tratamento de dados pessoais abrangidos por estas categorias, as referidas disposições têm por objetivo proibir esses tratamentos, independentemente da sua finalidade declarada e da exatidão das informações em questão [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.os 69 e 70].

88 Daqui resulta que, no caso de um utilizador de uma plataforma em linha transmitir dados pessoais quando encomenda medicamentos cuja venda é reservada às farmácias, sem que esteja sujeita a receita médica, o tratamento desses dados pelo operador de uma farmácia, que vende esses medicamentos através dessa plataforma em linha, deve ser considerado um tratamento que tem por objeto dados relativos à saúde, na aceção do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, do RGPD, uma vez que esse tratamento de dados é suscetível de revelar informações sobre o estado de saúde de uma pessoa singular, independentemente de essas informações dizerem respeito a esse utilizador ou a qualquer outra pessoa para a qual este efetua a encomenda [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.º 73].

89 Com efeito, uma interpretação destas disposições que levasse a estabelecer uma distinção em função do tipo dos medicamentos em causa e do facto de a sua venda estar ou não sujeita a receita médica não seria coerente com o objetivo de um nível elevado de proteção, recordado no n.º 81 do presente acórdão. Tal interpretação iria, além do mais, contra a finalidade do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, do RGPD, que consiste em assegurar uma proteção acrescida contra tratamentos que, em razão da sensibilidade particular dos dados que deles são objeto, são suscetíveis de constituir, como resulta nomeadamente do considerando 51 do RGPD, uma ingerência particularmente grave nos direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais, garantidos pelos artigos 7.º e 8.º da Carta (Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, n.º 126 e jurisprudência referida).

90 Por conseguinte, as informações que os clientes de um operador de uma farmácia inserem quando encomendam em linha medicamentos cuja venda é reservada às farmácias, sem que esteja sujeita a receita médica, constituem dados relativos à saúde, na aceção do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, do RGPD, ainda que exista apenas uma certa probabilidade, e não uma certeza absoluta, de esses medicamentos se destinarem a esses clientes.

91 De resto, não se pode excluir, mesmo na hipótese de esses medicamentos se destinarem a pessoas diferentes dos clientes, que seja possível identificar essas pessoas e retirar conclusões sobre o seu estado de saúde. Poderia ser esse o caso, por exemplo, quando os medicamentos em questão não são entregues no domicílio do cliente que os encomendou, mas no domicílio de outra pessoa, ou quando, independentemente do endereço da entrega, o cliente se referiu, na sua encomenda ou nas suas comunicações relativas a esta, a outra pessoa identificável, como um membro da sua família. Do mesmo modo, quando a encomenda exige a identificação e/ou o registo do cliente, por exemplo através da criação de uma conta de cliente ou da adesão deste a um programa de fidelidade, não se pode excluir que as informações introduzidas pelo cliente neste contexto possam ser utilizadas para retirar conclusões não apenas sobre o estado de saúde desse cliente, como também sobre o de outra pessoa, nomeadamente em conjugação com as informações relativas aos medicamentos encomendados.

92 Por último, como foi recordado no n.º 86 do presente acórdão, o facto de informações como as que estão em causa no processo principal constituírem dados relativos à saúde, na aceção do artigo 8.º, n.º 1, da Diretiva 95/46 e do artigo 9.º, n.º 1, do RGPD, não obsta, como resulta nomeadamente do considerando 53 deste último, a que possam ser objeto de tratamento, nomeadamente no contexto da gestão dos serviços e sistemas de saúde ou de ação social, se estiver preenchida uma das condições enunciadas no n.º 2 destas disposições.

93 Pode ser esse o caso, em particular, por um lado, se, em conformidade com a alínea a) deste n.º 2, e sob reserva da exceção aí prevista, o titular dos dados der o seu consentimento explícito para um ou mais tratamentos dos referidos dados pessoais cujas características e finalidades específicas lhe tenham sido apresentadas de forma exata, completa e facilmente compreensível. Por outro lado, esse tratamento pode ser admissível ao abrigo do artigo 9.º, n.º 2, alínea h), do RGPD, se esse tratamento for necessário para efeitos de prestação de cuidados ou tratamentos de saúde com base no direito da União, no direito de um Estado‑Membro ou por força de um contrato com um profissional de saúde.

94 Tendo em conta o que precede, há que responder à segunda questão que o artigo 8.º, n.º 1, da Diretiva 95/46 e o artigo 9.º, n.º 1, do RGPD devem ser interpretados no sentido de que, numa situação na qual o operador de uma farmácia comercializa, através de uma plataforma em linha, medicamentos cuja venda é reservada às farmácias, as informações que os clientes desse operador inserem quando encomendam em linha os medicamentos, como o seu nome, o endereço de entrega e as informações necessárias para a individualização dos medicamentos, constituem dados relativos à saúde, na aceção destas disposições, inclusivamente quando a venda desses medicamentos não esteja sujeita a receita médica.

Quanto às despesas

95 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Grande Secção) declara:

1) As disposições do capítulo VIII do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

devem ser interpretadas no sentido de que:

não se opõem a uma regulamentação nacional que, paralelamente aos poderes de intervenção das autoridades de controlo responsáveis pela fiscalização e pela aplicação deste regulamento, bem como às vias de recurso à disposição dos titulares dos dados, confere aos concorrentes do presumível autor de uma violação da proteção de dados pessoais legitimidade para intentar uma ação contra este nos tribunais cíveis, em razão de violações do referido regulamento e ao abrigo da proibição das práticas comerciais desleais.

2) O artigo 8.º, n.º 1, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e o artigo 9.º, n.º 1, do Regulamento 2016/679,

devem ser interpretados no sentido de que:

numa situação na qual o operador de uma farmácia comercializa, através de uma plataforma em linha, medicamentos cuja venda é reservada às farmácias, as informações que os clientes desse operador inserem quando encomendam em linha os medicamentos, como o seu nome, o endereço de entrega e as informações necessárias para a individualização dos medicamentos, constituem dados relativos à saúde, na aceção destas disposições, inclusivamente quando a venda desses medicamentos não esteja sujeita a receita médica.

Assinaturas

* Língua do processo: alemão.