Acórdão do Tribunal de Justiça da União Europeia
Processo C-307/22

Edição provisória

CONCLUSÕES DO ADVOGADO‑GERAL

NICHOLAS EMILIOU

apresentadas em 20 de abril de 2023 (1)

Processo C‑307/22

FT

contra

DW

[pedido de decisão prejudicial apresentado pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha)]

«Reenvio prejudicial – Proteção de dados pessoais – Regulamento (UE) 2016/679 – Artigos 12.º, 15.º e 23.º – Direito de acesso do titular dos dados aos dados pessoais em fase de tratamento – Direito de receber uma cópia dos dados pessoais a título gratuito – Reembolso das despesas – Registo clínico do paciente – Médico responsável pelo tratamento dos dados»

I. Introdução

1. Os artigos 12.º e 15.º do Regulamento (UE) 2016/679 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (a seguir «RGPD») (2) conferem aos titulares dos dados amplos direitos de acesso aos dados pessoais que são objeto de tratamento. Nomeadamente, estas disposições exigem que os responsáveis pelo tratamento forneçam aos titulares dos dados, a título gratuito, uma cópia desses dados.

2. Podem os titulares dos dados pedir o acesso aos seus dados pessoais, com base nas disposições do RGPD, para finalidades distintas da proteção de dados? Podem os Estados‑Membros limitar o direito de obtenção de uma cópia dos dados, exigindo aos titulares dos dados que paguem, em alguns casos específicos, as despesas efetuadas pelo responsável pelo tratamento dos dados para a produção das cópias? Devem os responsáveis pelo tratamento fornecer cópias de todos os documentos que contenham dados pessoais ou podem compilar os dados pedidos pelos titulares dos dados?

3. Estas são, em substância, as principais questões suscitadas pelo pedido de decisão prejudicial apresentado pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), num processo relativo à possibilidade de um paciente obter, a título gratuito, cópias dos documentos contidos no seu registo clínico.

II. Quadro jurídico

A. Direito da União Europeia

4. Os considerandos 4, 13 e 63 do RGPD enunciam:

«(4) [...] O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdades e os princípios reconhecidos na Carta, consagrados nos Tratados, nomeadamente [...] a liberdade de empresa [...].

(13) [...] [A]s instituições e os órgãos da União, e os Estados-Membros [...] são incentivados a tomar em consideração as necessidades específicas das micro, pequenas e médias empresas no âmbito de aplicação do presente regulamento. [...]

(63) Os titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de conhecer e verificar a tomar conhecimento do tratamento e verificar a sua licitude. Aqui se inclui o seu direito de acederem a dados sobre a sua saúde, por exemplo os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados. Por conseguinte, cada titular de dados deverá ter o direito de conhecer e ser informado, nomeadamente, das finalidades para as quais os dados pessoais são tratados, quando possível do período durante o qual os dados são tratados, da identidade dos destinatários dos dados pessoais, da lógica subjacente ao eventual tratamento automático dos dados pessoais [...]. Esse direito não deverá prejudicar os direitos ou as liberdades de terceiros, [...].»

5. O artigo 12.º do RGPD, sob a epígrafe «Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados», prevê:

«1. O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.º e 14.º e qualquer comunicação prevista nos artigos 15.º a 22.º e 34.º a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples [...].

2. O responsável pelo tratamento facilita o exercício dos direitos do titular dos dados nos termos dos artigos 15.º a 22.º [...]

3. O responsável pelo tratamento fornece ao titular as informações sobre as medidas tomadas, mediante pedido apresentado nos termos dos artigos 15.º a 20.º, sem demora injustificada e no prazo de um mês a contar da data de receção do pedido. […]

[…]

5. As informações fornecidas nos termos dos artigos 13.º e 14.º e quaisquer comunicações e medidas tomadas nos termos dos artigos 15.º a 22.º e 34.º são fornecidas a título gratuito. Se os pedidos apresentados por um titular de dados forem manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo, o responsável pelo tratamento pode:

a) Exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do fornecimento das informações ou da comunicação, ou de tomada das medidas solicitadas; ou

b) Recusar‑se a dar seguimento ao pedido.

Cabe ao responsável pelo tratamento demonstrar o caráter manifestamente infundado ou excessivo do pedido.

[…]»

6. Nos termos do artigo 15.º do RGPD, sob a epígrafe «Direito de acesso do titular dos dados»:

«1. O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:

[…]

3. O responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento. Para fornecer outras cópias solicitadas pelo titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos. […]

4. O direito de obter uma cópia a que se refere o n.º 3 não prejudica os direitos e as liberdades de terceiros.»

7. O artigo 23.º, n.º 1, do RGPD, relativo às «Limitações», prevê:

«1. O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.º a 22.º [...] desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente:

[…]

e) Outros objetivos importantes do interesse público geral da União ou de um Estado‑Membro, nomeadamente [...] saúde pública [...];

[…]

i) A defesa do titular dos dados ou dos direitos e liberdades de outrem;

[…].»

B. Direito nacional

8. O § 630f, sob a epígrafe «Documentação do tratamento», do Bürgerliches Gesetzbuch (Código Civil alemão; a seguir «BGB») prevê:

«1) O responsável pelo tratamento é obrigado, para efeitos de documentação, a manter um registo clínico do paciente, em suporte papel ou eletrónico, com relação temporal direta com o tratamento. […]

2) O responsável pelo tratamento é obrigado a registar no processo clínico do paciente todas as medidas e os seus resultados que, de um ponto de vista profissional, são essenciais para o tratamento atual e futuro, em particular o historial clínico, diagnósticos, exames, resultados de exames, descobertas, terapias e seus efeitos, intervenções e seus efeitos, consentimentos e explicações. São incluídas no registo clínico do paciente as cartas médicas.

[...]»

9. O § 630g, sob a epígrafe «Acesso ao registo clínico do paciente», do BGB dispõe:

«1) A pedido do paciente ser‑lhe‑á concedido sem demora acesso ao seu registo clínico completo, desde que razões terapêuticas pertinentes ou outros direitos atendíveis de terceiros não se oponham a esse acesso. […]

2) O paciente pode também solicitar cópias do seu registo clínico em formato eletrónico. Deve reembolsar o responsável pelo tratamento dos custos incorridos.

[…]»

III. Matéria de facto, tramitação processual e questões prejudiciais

10. DW (demandante no processo principal) recebeu tratamentos dentários de FT (demandada no processo principal). Suspeitando de tratamento inadequado, DW pediu a FT que lhe fornecesse, a título gratuito, uma cópia de todos os registos clínicos que lhe diziam respeito e que estavam na posse desta última. FT considerou que só teria de fornecer uma cópia dos registos clínicos se o paciente lhe reembolsasse as despesas.

11. DW intentou uma ação contra FT no Amtsgericht (Tribunal de Primeira Instância, Alemanha), que foi julgada procedente. FT interpôs recurso para o Landgericht (Tribunal Regional, Alemanha), ao qual foi negado provimento com o fundamento de que o facto de DW ter pedido as informações para apreciar se tinha direitos fundados em responsabilidade médica não anulava os direitos de que é titular ao abrigo do artigo 15.º do RGPD.

12. No seu recurso de «Revision» interposto no Bundesgerichtshof (Supremo Tribunal de Justiça Federal), FT pediu a anulação do acórdão do Landgericht (Tribunal Regional) e a declaração de inadmissibilidade da ação de DW. Segundo o Bundesgerichtshof (Supremo Tribunal de Justiça Federal), o provimento do recurso de «Revision» depende da questão de saber se o tribunal de recurso cometeu um erro de direito ao considerar que – como afirmou DW – a ação é procedente ao abrigo das disposições do RGPD.

13. O Bundesgerichtshof (Supremo Tribunal de Justiça Federal) declara que, ao abrigo das disposições do direito nacional, FT não é obrigada a fornecer a DW cópias dos seus registos clínicos a título gratuito. No entanto, o direito de DW a que essas cópias lhe sejam fornecidas a título gratuito poderá resultar – como declarou o Landgericht (Tribunal Regional) – diretamente do artigo 15.º, n.º 3, do RGPD, lido em conjugação com o artigo 12.º, n.º 5, do mesmo regulamento. Por conseguinte, tendo dúvidas quanto à correta interpretação destas disposições, o Bundesgerichtshof (Supremo Tribunal de Justiça Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1. Deve o artigo 15.º, n.º 3, lido em conjugação com o artigo 12.º, n.º 5, do [RGPD] ser interpretado no sentido de que o responsável pelo tratamento (neste caso, o médico) não é obrigado a fornecer gratuitamente ao titular dos dados (neste caso, o paciente) uma primeira cópia dos seus dados pessoais tratados pelo responsável pelo tratamento quando o titular dos dados não pretender a cópia para as finalidades referidas no considerando 63, primeiro período, do RGPD, ou seja, a fim de tomar conhecimento do tratamento dos seus dados pessoais e verificar a sua licitude, mas para outra finalidade – não relacionada com a proteção de dados, mas igualmente legítima – neste caso, a apreciação da existência de direitos fundados em responsabilidade médica?

2. a) Em caso de resposta negativa à primeira questão: Pode considerar‑se que uma disposição nacional de um Estado‑Membro, adotada antes da entrada em vigor do RGPD, pode constituir igualmente uma limitação do direito decorrente do artigo 15.º, n.º 3, primeiro período, lido em conjugação com o artigo 12.º, n.º 5, do RGPD, à disponibilização gratuita de uma cópia dos dados pessoais tratados pelo responsável pelo tratamento, nos termos do artigo 23.º, n.º 1, alínea i), deste regulamento?

b) Em caso de resposta afirmativa à alínea a), da segunda questão: deve o artigo 23.º, n.º 1, alínea i), do RGPD ser interpretado no sentido de que os direitos e as liberdades de terceiros referidos nessa disposição abrangem igualmente o seu interesse na isenção dos custos relacionados com a obtenção de uma cópia dos dados ao abrigo do artigo 15.º, n.º 3, primeiro período, do RGPD e, em geral, de outras despesas ocasionadas pela disponibilização da cópia?

c) Em caso de resposta afirmativa à alínea b) da segunda questão: pode considerar‑se que uma regulamentação nacional que, na relação médico/paciente, prevê sempre o pagamento ao médico pelo paciente das despesas resultantes da entrega a este último de uma cópia dos seus dados pessoais constantes do registo clínico, independentemente das circunstâncias concretas de cada caso, pode constituir uma limitação dos direitos e obrigações decorrentes do artigo 15.º, n.º 3, primeiro período, lido em conjugação com o artigo 12.º, n.º 5, do RGPD, nos termos do artigo 23.º, n.º 1, alínea i), deste regulamento?

3) Em caso de resposta negativa à primeira questão e às alíneas a), b) e c) da segunda questão: na relação médico/paciente, o direito previsto no artigo 15.º, n.º 3, primeiro período, do RGPD abrange um direito à entrega de cópias de todas as partes do registo clínico do paciente que contenham os seus dados pessoais ou só visa a entrega de uma cópia dos dados pessoais do paciente enquanto tais, deixando ao médico responsável pelo tratamento dos dados a decisão sobre o modo como compilar os dados do paciente em causa?

14. O Governo letão e a Comissão apresentaram observações escritas no presente processo.

IV. Análise

A. Primeira questão: acesso aos dados para finalidades não relacionadas com a proteção de dados

15. Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta ao Tribunal de Justiça se os artigos 12.º, n.º 5, e 15.º, n.º 3, do RGPD devem ser interpretados no sentido de que impõem que o responsável pelo tratamento forneça gratuitamente ao titular dos dados uma cópia dos seus dados pessoais quando o titular dos dados não pretender a cópia para as finalidades referidas no primeiro período do considerando 63 do RGPD (nomeadamente, tomar conhecimento do tratamento dos seus dados pessoais e verificar a sua licitude), mas para uma finalidade distinta, como a apreciação da existência de direitos fundados em responsabilidade médica.

16. Em substância, a presente questão suscita o problema de saber se o titular dos dados tem o direito de receber do responsável pelo tratamento, nos termos das disposições do RGPD, uma cópia dos seus dados pessoais quando o seu pedido é apresentado para prosseguir finalidades legítimas, mas não relacionadas com a proteção de dados.

17. Na minha opinião, o direito de acesso que o RGPD concede aos titulares dos dados não depende da sua intenção de utilizar os dados em causa para finalidades relacionadas com a proteção de dados, como as enunciadas no considerando 63 do referido regulamento. Uma interpretação textual, contextual e sistémica das disposições pertinentes do RGPD milita neste sentido.

18. Antes de mais, tal restrição não pode decorrer da redação do artigo 12.º ou do artigo 15.º do RGPD. Estas duas disposições estabelecem – numa espécie de «jogo de espelhos» – a obrigação de o responsável pelo tratamento de dados fornecer, e o direito de o titular dos dados pedir, o acesso aos dados pessoais que são objeto de tratamento (3). Nenhuma destas duas disposições obriga o titular dos dados a indicar as razões do seu pedido de acesso, nem atribui ao responsável pelo tratamento o poder discricionário de exigir e de avaliar essas razões.

19. O artigo 12.º do RGPD exige que o responsável pelo tratamento «[tome] as medidas adequadas para fornecer [...] as informações [...] e qualquer comunicação» em causa e que «[facilite] o exercício dos direitos do titular dos dados» (4). Com efeito, as disposições do artigo 12.º dizem principalmente respeito à forma como e ao prazo em que o responsável pelo tratamento deve, designadamente, conceder o acesso (5). As únicas exceções à obrigação do responsável pelo tratamento de atuar com celeridade são as seguintes: (i) solicitar informações adicionais ou recusar-se a dar seguimento caso tenha dúvidas razoáveis sobre a identidade do titular dos dados (6) e (ii) exigir o pagamento de uma taxa razoável ou recusar‑se a dar seguimento em caso de pedidos manifestamente infundados ou excessivos (7).

20. O artigo 15.º do RGPD também está formulado em termos muito amplos, concedendo aos titulares dos dados formas de acesso abrangentes: obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, em caso afirmativo, receber informações pormenorizadas a esse respeito (8); e obter uma cópia dos dados pessoais que são objeto de tratamento (9). Não estão previstas quaisquer condições ou limitações expressas para o exercício, pelo titular dos dados, do seu direito de acesso ao abrigo do artigo 15.º do RGPD.

21. Esta situação difere do que está previsto noutras disposições do regulamento, relativas a outros direitos dos titulares dos dados. Por exemplo, o artigo 17.º, n.º 3, do RGPD prevê situações em que o direito a ser esquecido, previsto nos n.os 1 e 2 da mesma disposição, «não se [aplica]». O artigo 20.º do RGPD, relativo ao direito à portabilidade dos dados, tem uma estrutura semelhante, estando previstas exceções no n.º 3 desta disposição. Por sua vez, o artigo 21.º, n.º 6, do RGPD enuncia as condições em que, em determinadas circunstâncias específicas, os titulares dos dados têm o direito de exercer o seu direito de oposição, conforme previsto no n.º 1 do mesmo artigo.

22. Neste contexto, o considerando 63 não pode ser interpretado, na minha opinião, no sentido de que introduz uma condição ou uma limitação ao exercício do direito de acesso consagrado no artigo 15.º do RGPD, da qual não existe nenhum vestígio no texto desta disposição (nem no texto da «disposição gémea», o artigo 12.º do RGPD).

23. Na minha opinião, o considerando 63 visa sim sublinhar a importância do direito de acesso no âmbito do regime do RGPD. Com efeito, este direito é instrumental e indispensável para o exercício efetivo de muitos outros direitos que o RGPD confere aos titulares dos dados (10). As pessoas singulares dificilmente podem «controlar a utilização que é feita dos seus dados pessoais» – como salienta o considerando 7 do RGPD – a menos que saibam «o se, o quê e o porquê» do tratamento dos dados. Isto poderá explicar a razão pela qual o considerando 63 dispõe que os titulares dos dados devem ter o direito de acesso «a fim de tomar conhecimento do tratamento e verificar a sua licitude» (11). É possível que a redação do considerando 63 seja pouco clara, mas, na minha opinião, dele não decorre que o direito de acesso só é concedido para as finalidades nele mencionadas.

24. Saliento, de passagem, que tal condição seria muitas vezes impossível de verificar para o responsável pelo tratamento e, assim, fácil de contornar para o titular dos dados, uma vez que dependeria da intenção subjetiva da pessoa em causa (12).

25. Além disso, partilho da opinião do órgão jurisdicional de reenvio, segundo a qual uma interpretação diferente do artigo 15.º do RGPD não pode ser inferida do n.º 44 do Acórdão YS e o. (13). Nessa passagem, o Tribunal de Justiça – referindo-se às disposições da Diretiva 95/46/CE (14), precursora do RGPD – declarou que «como resulta do considerando [...] dessa diretiva, é para poder efetuar as verificações necessárias que a pessoa em causa dispõe [...] de um direito de acesso aos dados que lhe digam respeito que são objeto de tratamento» (15).

26. Ao fazê‑lo, o Tribunal de Justiça limitou‑se, em substância, a citar o texto do considerando 41 da Diretiva 95/46, cuja redação era semelhante à do considerando 63 do RGPD. Além disso – como salientou corretamente o órgão jurisdicional de reenvio – no Acórdão YS e o., o Tribunal de Justiça foi chamado a esclarecer o conceito de «dados pessoais» para determinar o alcance do acesso. A presente questão suscita um problema jurídico diferente – saber se a finalidade do acesso pretendido pode influenciar a possibilidade de o acesso ser concedido – relativamente ao qual não creio que seja possível encontrar qualquer orientação útil nesse acórdão.

27. A interpretação do artigo 15.º do RGPD proposta nas presentes conclusões é igualmente corroborada pelo artigo 8.º, n.º 2, da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»), relativo à «Proteção de dados pessoais», nos termos do qual: «Todas as pessoas têm o direito de aceder aos dados coligidos que lhes digam respeito e de obter a respetiva retificação (16).» Na Carta, o direito de acesso parece estar identificado como um direito autónomo, logicamente relacionado, mas não necessariamente dependente da capacidade ou da intenção do titular do direito de exercer outros direitos (como o direito de retificação (17)).

28. Por último, gostaria de acrescentar que esta interpretação do artigo 15.º do RGPD foi igualmente sugerida pelo Comité Europeu para a Proteção de Dados nas suas «Orientações 01/2022 sobre os direitos dos titulares dos dados – Direito de Acesso» (18). O n.º 13 dessas orientações tem a seguinte redação: «[O]s responsáveis pelo tratamento não deverão avaliar “por que motivo” o titular dos dados pede o acesso, mas apenas “o que pede” e se possuem dados pessoais relativos a essa pessoa [...]. [P]or exemplo, o responsável pelo tratamento não deve negar o acesso com base ou na suspeita de que os dados pedidos possam ser utilizados pelo titular dos dados para se defender em tribunal em caso de despedimento ou litígio comercial com o responsável pelo tratamento».

29. Curiosamente, o exemplo dado nessas orientações corresponde em grande medida aos factos do processo pendente no órgão jurisdicional de reenvio. O facto de o demandante no processo principal ter pedido acesso aos seus dados pessoais contidos no registo clínico – situação especificamente prevista no considerando 63 do RPDP (19) – para decidir se instaura um processo por negligência médica – finalidade que o órgão jurisdicional de reenvio identifica corretamente como sendo «legítima» (20) – não autoriza, por conseguinte, o responsável pelo tratamento a recusar o pedido do titular dos dados.

30. À luz do exposto, proponho que o Tribunal de Justiça responda à primeira questão prejudicial que o artigo 12.º, n.º 5, e o artigo 15.º, n.º 3, do RGPD devem ser interpretados no sentido de que impõem que o responsável pelo tratamento forneça ao titular dos dados uma cópia dos seus dados pessoais, mesmo que o titular dos dados não peça a cópia para as finalidades referidas no considerando 63 do RGPD, mas sim para uma finalidade diferente, não relacionada com a proteção de dados.

B. Segunda questão: acesso a cópias a título gratuito

31. Com a sua segunda questão, o órgão jurisdicional de reenvio pergunta ao Tribunal de Justiça, em substância, se o artigo 23.º, n.º 1, do RGPD permite que uma legislação nacional, adotada antes da entrada em vigor do RGPD, limite o direito dos titulares dos dados de receberem, a título gratuito, uma cópia dos dados pessoais tratados pelo responsável pelo tratamento, impondo aos titulares dos dados que cubram as despesas efetuadas pelo responsável pelo tratamento a esse respeito.

1. Princípio e exceção

32. Antes de mais, importa sublinhar que não há dúvida de que, segundo as regras do RGPD, os titulares dos dados têm, em princípio, o direito de receber do responsável pelo tratamento uma primeira cópia dos seus dados objeto de tratamento a título gratuito. Tal decorre expressamente do artigo 12.º, n.º 5, do RGPD, que dispõe que as informações fornecidas ao abrigo, nomeadamente, do seu artigo 15.º «são fornecidas a título gratuito», e que só no que respeita aos pedidos «manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo», é que o responsável pelo tratamento pode «[e]xigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do fornecimento das informações ou da comunicação, ou de tomada das medidas solicitadas».

33. Isto decorre também, embora implicitamente, do artigo 15.º, n.º 3, do RGPD, segundo o qual «[p]ara fornecer outras cópias solicitadas pelo titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos» (21). Isto significa, obviamente, que não pode ser cobrada uma taxa pela primeira cópia pedida pelo titular dos dados.

34. No entanto, segundo o artigo 23.º, n.º 1, do RGPD, o direito da União ou dos Estados‑Membros «pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.º a 22.º [...] desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar» um dos objetivos aí enumerados. Um desses objetivos é, nos termos da alínea e), a saúde pública, e outro, nos termos da alínea i), «[os] direitos e liberdades de outrem».

35. Tendo salientado este ponto, debruçar-me-ei agora sobre o problema fundamental suscitado pela presente questão, que, na minha opinião, exige uma resposta em sentido afirmativo.

2. Requisitos do artigo 23.º, n.º 1, do RGPD

36. Em primeiro lugar, é pacífico que o direito de acesso dos titulares dos dados aos seus dados pessoais – estabelecido no artigo 15.º do RGPD – é um dos direitos abrangidos pelo âmbito de aplicação do artigo 23.º, n.º 1, do RGPD e cujo alcance pode, assim, ser limitado através de uma medida legislativa da União ou de um Estado‑Membro (22).

37. Em segundo lugar, se os Estados‑Membros podem, em geral, limitar o alcance do direito de acesso, por exemplo, excluindo‑o em algumas situações ou em relação a determinados dados, devem também ser autorizados – em conformidade com a máxima a maiore ad minus (23) – a introduzir uma restrição mais limitada ao seu exercício. Com efeito, apenas uma forma de acesso é limitada (o direito de obter uma cópia dos dados), e apenas condicionando‑a ao pagamento, pelos titulares dos dados, das despesas efetuadas pelos responsáveis pelo tratamento dos dados.

38. Em terceiro lugar, uma limitação como a que está em causa – expressamente prevista num código civil ou num instrumento jurídico equivalente – está prevista «por medida legislativa», conforme exigido pelo artigo 23.º, n.º 1, do RGPD. Esta condição reflete a condição enunciada no artigo 52.º, n.º 1, da Carta, segundo o qual as limitações aos direitos fundamentais devem ser «previstas por lei».

39. Neste contexto, gostaria de acrescentar que o facto de a legislação nacional em causa ser anterior à entrada em vigor do RGPD é, na minha opinião, manifestamente irrelevante para determinar se essa legislação preenche as condições estabelecidas no artigo 23.º, n.º 1, do RGPD. Como referiu a Comissão, nem essa disposição, nem, de resto, nenhuma outra disposição do RGPD, exige que as medidas restritivas da União ou dos Estados‑Membros sejam incluídas em instrumentos legislativos de natureza ad hoc, e por maioria de razão instrumentos adotados após a entrada em vigor do RGPD. Por conseguinte, os Estados‑Membros estão autorizados a manter e introduzir limitações em conformidade com os requisitos do artigo 23.º, n.º 1, do RGPD. Uma comparação das diferentes versões linguísticas dessa disposição confirma esta interpretação (24).

40. Em quarto lugar, devido à natureza relativamente inócua da limitação em questão, mencionada no n.º 37, supra, entendo que uma legislação nacional como a que está em causa claramente não colide com a «essência» desse direito (outro requisito estabelecido tanto no artigo 23.º, n.º 1, do RGPD como no artigo 52.º, n.º 1, da Carta). Essa legislação não priva as pessoas singulares do nucleus durus do seu direito à proteção de dados. Nomeadamente, até é difícil imaginar situações – entre as regidas pela legislação nacional em causa – em que o montante dessas despesas fosse tão significativo que a obrigação dos titulares dos dados de as suportar equivaleria, na prática, a negar‑lhes o acesso.

41. Em quinto lugar, parece‑me que uma legislação nacional como a que está em causa prossegue objetivos que são admissíveis à luz do artigo 23.º, n.º 1, do RGPD e, mais amplamente, legítimos à luz do direito da União.

42. Sem prejuízo de verificação pelo órgão jurisdicional de reenvio, entendo que a legislação nacional pertinente visa desencorajar pedidos de cópias desnecessários ou irresponsáveis, a fim de (i) proteger os interesses económicos dos médicos, que são frequentemente sociedades unipessoais ou trabalham em pequenas equipas, e, ao fazê‑lo, (ii) assegurar que, no exercício das suas atividades profissionais, os médicos despendam (a maior parte) do seu tempo nas suas tarefas médicas essenciais, em vez de realizarem tarefas administrativas evitáveis.

43. O segundo objetivo está ligado à finalidade de proteger a saúde pública. Nos termos da alínea e), o artigo 23.º, n.º 1, prevê expressamente limitações necessárias à salvaguarda de «objetivos importantes do interesse público geral da União ou de um Estado‑Membro», tais como a «saúde pública». Tal disposição está em consonância com o artigo 35.º da Carta, que tem por epígrafe «Proteção da saúde», que prevê que «[t]odas as pessoas têm o direito de aceder à prevenção em matéria de saúde e de beneficiar de cuidados médicos, de acordo com as legislações e práticas nacionais. Na definição e execução de todas as políticas e ações da União é assegurado um elevado nível de proteção da saúde humana» (25).

44. O primeiro objetivo visa, na realidade, proteger um interesse (privado) de determinadas pessoas – os médicos que, na situação em causa no presente processo, atuam como responsáveis pelo tratamento de dados – e tem caráter económico. No entanto, nenhum destes elementos significa que uma limitação ao direito de acesso é, por uma questão de princípio, inaceitável.

45. Com efeito, nos termos do artigo 23.º, n.º 1, alínea i), o RGPD autoriza as limitações necessárias à salvaguarda dos «direitos e liberdades de outrem». Curiosamente, termos semelhantes figuram também no artigo 15.º, n.º 4, e no considerando 63 do RGPD, que, precisamente no que respeita ao direito de obter uma cópia dos dados que são objeto de tratamento, dispõem que esse direito não deve «prejudica[r] os direitos e as liberdades de terceiros».

46. Antes de mais, saliento que o artigo 15.º, n.º 4, o artigo 23.º, n.º 1, alínea i), e o considerando 63 do RGPD fazem referência aos «direitos e liberdades de outrem» (26) e não – como fazem outras disposições do regulamento – «de terceiros» (27). Isto também significa, logicamente, que também as limitações necessárias para proteger certos direitos do responsável pelo tratamento podem ser aceitáveis ao abrigo dessa disposição (28).

47. Em seguida, a circunstância de um dos interesses protegidos pela legislação nacional em questão ter caráter económico não significa, por si só, que não possa ser suscetível de justificar limitações ao abrigo do artigo 23.º, n.º 1, do RGPD. O considerando 4 do RGPD é claro: «[o] direito à proteção de dados pessoais não é absoluto [e] deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdades e os princípios reconhecidos na Carta, consagrados nos Tratados, nomeadamente [...] a liberdade de empresa [...]» (29).

48. A este respeito, recordo que o título II da Carta («Liberdades») inclui diversos direitos de caráter económico: para além da já referida liberdade de empresa (artigo 16.º da Carta), inclui também a «Liberdade profissional e direito de trabalhar» (artigo 15.º da Carta) e o direito de propriedade (artigo 17.º da Carta). Os direitos fundamentais de caráter económico não podem ser considerados como «filhos de um deus menor», em comparação com outros direitos (civis, sociais ou políticos). Não é necessário estar familiarizado com os escritos de Ludwig von Mises (30) para perceber que todos esses direitos estão indissociavelmente ligados: o seu gozo não pode deixar de andar de mãos dadas, uma vez que retirar direitos económicos afetaria inevitavelmente a capacidade dos indivíduos de gozarem plenamente os seus direitos civis, sociais e políticos e vice‑versa.

49. Além disso, como sublinhou o órgão jurisdicional de reenvio, o considerando 13 do RGPD incentiva os Estados‑Membros a «tomar em consideração as necessidades específicas das micro, pequenas e médias empresas no âmbito de aplicação do [regulamento]». Os Estados‑Membros estão, assim, autorizados a ter em conta as caraterísticas específicas das empresas de pequenas dimensões e dos profissionais independentes, como é frequentemente o caso dos médicos.

50. Por conseguinte, não tenho dificuldade em concluir que o artigo 23.º, n.º 1, do RGPD não só permite limitações destinadas a proteger a saúde pública, como também destinadas a proteger alguns direitos económicos fundamentais das pessoas (31), incluindo os dos responsáveis pelo tratamento de dados.

51. Por último, no entanto, uma legislação nacional que limita o direito de acesso aos dados pessoais só é admissível nos termos do artigo 23.º, n.º 1, do RGPD se puder ser considerada «uma medida necessária e proporcionada» para salvaguardar um interesse público de entre os enumerados nesta disposição. Esta disposição exige assim – em consonância com um princípio consolidado – que se efetue um «teste de proporcionalidade» da limitação que exige justificação.

3. Proporcionalidade da legislação nacional

52. A fim de verificar o caráter proporcionado da limitação, há que apreciar três requisitos cumulativos. A medida deve ser adequada para garantir a realização do objetivo prosseguido («adequação») e não ir além do necessário para o alcançar («necessidade»). Além disso, a medida nacional deve ser «proporcionada stricto sensu», o que significa que deve estabelecer um justo equilíbrio entre os interesses em causa (o interesse prosseguido pelo Estado com a medida em questão e o interesse das pessoas afetadas de forma negativa) (32).

53. Na minha opinião, a questão de saber se medidas nacionais específicas que derrogam as regras gerais do direito da União cumprem o princípio da proporcionalidade é, frequentemente, uma avaliação que os órgãos jurisdicionais nacionais estão melhor posicionados para fazer. No entanto, a fim de ajudar o órgão jurisdicional de reenvio a resolver o litígio nele pendente, gostaria de acrescentar as seguintes considerações.

54. Antes de mais, parece‑me que uma legislação nacional como a que está em causa é, em princípio, adequada para alcançar os objetivos prosseguidos pelo legislador nacional, o que significa que parece capaz de dar um contributo significativo para a sua realização. Com efeito, a exigência de que os titulares dos dados paguem as despesas administrativas associadas à produção das cópias solicitadas pode efetivamente desencorajá‑los de fazer pedidos de acesso desnecessários ou irresponsáveis. Isto significa que é menos provável que os médicos tenham de utilizar o seu tempo e recursos em tarefas administrativas evitáveis.

55. Em seguida, determinar se uma legislação nacional como a que está em causa vai além do que é necessário para alcançar os seus objetivos, e/ou não consegue encontrar um justo equilíbrio entre os interesses em causa são problemas que, na minha opinião, não são tão simples e, por conseguinte, exigirão uma avaliação mais aprofundada por parte do órgão jurisdicional de reenvio.

56. A este respeito, gostaria de salientar novamente (33) o caráter relativamente inócuo da limitação em causa. Enquanto o artigo 15.º do RGPD concede diversas formas de acesso aos titulares dos dados, a legislação nacional em questão limita apenas uma dessas formas (o direito de obter uma cópia dos dados), e subordinando‑a somente à condição de os titulares dos dados pagarem as despesas efetuadas pelos responsáveis pelo tratamento a esse respeito.

57. No entanto, a Comissão manifestou algumas dúvidas sobre a necessidade da legislação nacional em questão, assinalando que esta é aplicável a todos os pedidos de acesso aos registos clínicos, independentemente do estatuto profissional e do tipo de atividade do médico em causa: pode exercer uma atividade por conta própria, por si próprio ou em consultórios com várias especialidades, ou como assalariado, por exemplo, num hospital público ou numa grande clínica privada.

58. Devo admitir que certos argumentos apresentados pela Comissão têm alguma força. Pode efetivamente suceder que nem todas as situações abrangidas pela legislação nacional em causa sejam inteiramente comparáveis para efeitos do artigo 23.º, n.º 1, alíneas e) e i), do RGPD. Por exemplo, os grandes consultórios médicos, os hospitais e as clínicas privadas têm normalmente pessoal e equipamento para executar todas as tarefas administrativas associadas à prestação de serviços médicos. Por conseguinte, não é óbvio que, também nesses casos, legislação nacional como a que está em causa desonere os médicos de terem de suportar despesas desnecessárias ou de utilizarem o seu valioso tempo no desempenho de tarefas administrativas evitáveis.

59. Além disso, ao contrário dos médicos que são obrigados a aplicar tarifas fixadas publicamente, os médicos que são livres de fixar as suas tarifas ao nível que considerem adequado podem, se o considerarem apropriado, recuperar as despesas adicionais aumentando as suas tarifas, «distribuindo» assim essas despesas por todos os seus pacientes. Por conseguinte, não há dúvida de que alguns médicos podem exigir um nível de «proteção legislativa» mais elevado do que outros.

60. Por outro lado, no entanto, não estou certo de que uma regra que trate de forma diferente os médicos e, por conseguinte, os pacientes, consoante os médicos, por exemplo (a) trabalhem por conta própria ou por conta de outrem, (b) trabalhem em – retomando os termos do considerando 13 do RGPD – «micro, pequenas e médias empresas», ou para grandes hospitais e clínicas, e/ou (c) estejam vinculados por tarifas públicas ou possam fixar livremente as suas, seja prática ou razoável e equitativa.

61. Encontrar os critérios certos para distinguir as situações em que os pacientes devem suportar as despesas das situações em que são os médicos que devem suportá‑las, a fim de melhor atingir os objetivos estabelecidos pelo legislador nacional, não é fácil. Mais importante ainda, qualquer diferenciação deste tipo introduziria uma certa complexidade (e, possivelmente, uma fonte de confusão) no que respeita a situações que, devido ao montante normalmente bastante limitado de dinheiro envolvido, são provavelmente mais facilmente regidas por uma regra clara de aplicação automática.

62. Como o Tribunal de Justiça declarou, não pode ser negada aos Estados‑Membros a possibilidade de prosseguirem objetivos de interesse público através da introdução de regras gerais e simples que serão facilmente compreendidas e aplicadas pelos utilizadores, e facilmente geridas e controladas pelas autoridades competentes (34). De um modo mais geral, como referi em conclusões recentes, os Estados‑Membros não podem ser obrigados a adotar medidas alternativas quando tais medidas são de viabilidade ou eficácia incerta, ou resultariam num encargo (organizativo ou financeiro) intolerável para os Estados‑Membros em questão (35).

63. Por último, não se pode excluir o efeito perverso de uma regra de alcance mais limitado do que a que está em questão: poderia encorajar os pacientes a irem a clínicas maiores (que fornecem gratuitamente cópias dos registos clínicos) em vez de irem a consultórios médicos mais pequenos (que exigem um pagamento adicional por essas cópias).

64. Com efeito, a equidade geral ou, dito de outra forma, a razoabilidade de regras alternativas também pode ser posta em causa. Se for apreciada do ponto de vista dos médicos, uma regra feita à medida que apenas protege os médicos independentes e as pequenas práticas dessas despesas pode parecer razoável: protege os profissionais «mais frágeis». No entanto, se for avaliada do ponto de vista dos pacientes, a mesma medida pode parecer diferente. Com efeito, os pacientes que procuram serviços médicos em grandes hospitais e clínicas, em especial aqueles em que os médicos são livres de fixar as suas tarifas ao nível que considerem adequado, são os que beneficiam dessa regra. Isto aconteceria apesar do facto de (i) esses pacientes poderem frequentemente ser mais abastados do que os que recorrem a médicos independentes locais, e (ii) as despesas efetuadas com as cópias dos registos clínicos poderem constituir uma parte muito pequena (possivelmente negligenciável) dos custos globais que suportam pelos serviços médicos, ao contrário do que sucede com os pacientes que procuram serviços médicos no sistema nacional de saúde (geralmente sem despesas ou mediante o pagamento de taxas nominais). Assim, poder‑se‑ia argumentar que a proteção dos «profissionais mais frágeis» seria efetuada à custa dos «consumidores mais frágeis».

65. À luz das considerações precedentes, contrariamente à Comissão, não estou convencido de que a abordagem única escolhida pelo legislador alemão vá além do que é necessário para alcançar os objetivos prosseguidos pela legislação nacional em questão. Não consegui identificar nenhuma medida alternativa que seja menos restritiva em relação ao direito à proteção dos dados das pessoas singulares e ao mesmo tempo igualmente eficaz para salvaguardar os interesses que a legislação nacional em questão se destina a proteger.

66. Também não vejo qualquer elemento que sugira que o legislador alemão não encontrou o equilíbrio certo entre os vários interesses em causa.

67. É certo que pode afirmar-se que o equilíbrio entre os vários interesses em causa no que diz respeito ao fornecimento de cópias de dados pessoais foi feito pelo legislador da União: o responsável pelo tratamento deve fornecer a primeira cópia a título gratuito, e pode exigir o pagamento de uma taxa apenas para cópias excessivas e/ou adicionais. No entanto, a redação aberta do artigo 23.º, n.º 1, e do considerando 13 do RGPD não se presta a tal leitura restritiva. O considerando 63, que se refere especificamente ao direito de acesso dos titulares dos dados relativos à «sua saúde», também não inclui nenhuma referência específica a esse respeito.

68. Mais importante ainda, não se pode ignorar que, no domínio da proteção e da melhoria da saúde humana, a União apenas dispõe de uma competência de apoio (36). O Tribunal de Justiça tem declarado reiteradamente que cabe aos Estados‑Membros decidir o nível a que pretendem assegurar a proteção da saúde pública, bem como o modo como esse nível deve ser alcançado. Dado que tal nível pode variar de um Estado‑Membro para outro, há que reconhecer aos Estados‑Membros uma margem de apreciação (37).

69. Tendo ponderado os vários interesses em jogo, o legislador alemão decidiu que, no que diz respeito aos pedidos de cópias de registos clínicos apresentados pelos pacientes aos médicos, havia motivos para considerar que as despesas efetuadas deviam ser suportadas pelos titulares dos dados e não pelos responsáveis pelo tratamento. Penso que se trata de uma decisão política que, não sendo manifestamente irracional ou privada de plausibilidade, se enquadra na margem de apreciação do Estado‑Membro em causa. Em todo o caso, a fiscalização desta escolha é da competência do órgão jurisdicional de reenvio e não do Tribunal de Justiça.

70. Dito isto, existe seguramente um elemento que, na minha opinião, o órgão jurisdicional de reenvio deve verificar. Em situações como as regidas pela legislação nacional em causa, considero imperativo que as despesas para as quais os médicos podem pedir o reembolso aos pacientes sejam estritamente limitadas aos custos reais de produção e disponibilização das cópias pedidas. Isto significa que as despesas recuperáveis são apenas as relacionadas com o material (tais como papel, toner para impressoras ou fotocopiadoras, e/ou dispositivos USB, etc.) e com a mão‑de‑obra necessária para esse fim. Estas despesas não podem, na minha opinião, incluir qualquer lucro para os profissionais (38). Dado o atual estado de digitalização de documentos e arquivos, ficaria surpreendido (e, assim, desconfiado) se o montante normalmente cobrado pelos médicos para esse fim excedesse um punhado de euros.

71. À luz das considerações expostas, proponho ao Tribunal de Justiça que responda à segunda questão prejudicial no sentido de que o artigo 23.º, n.º 1, do RGPD, permite uma legislação nacional que impõe que os pacientes que pedem cópias dos seus dados pessoais contidos nos registos clínicos reembolsem os médicos pelas despesas efetuadas, desde que a limitação ao direito de acesso é, tendo em conta todas as circunstâncias pertinentes, necessária e proporcionada aos objetivos de proteção da saúde pública e da liberdade de empresa dos médicos. Em especial, cabe ao órgão jurisdicional de reenvio verificar se as despesas cujo reembolso os médicos podem pedir aos pacientes estão estritamente limitadas às despesas reais efetuadas a esse respeito.

C. Terceira questão: conceito de «cópia dos dados»

72. Por último, com a sua terceira questão, o órgão jurisdicional de reenvio pergunta ao Tribunal de Justiça se, no âmbito de uma relação médico/paciente, a frase «cópia dos dados pessoais em fase de tratamento» que figura no artigo 15.º, n.º 3, primeiro período, deve ser interpretada no sentido de que confere ao titular dos dados um direito geral de receber uma cópia integral dos documentos incluídos no seu registo clínico.

73. O principal problema suscitado pela presente questão foi abordado – na minha opinião de forma convincente – pelo advogado‑geral G. Pitruzzella nas suas recentes conclusões no processo F.F. (39).

74. Nesse processo, o órgão jurisdicional de reenvio pediu esclarecimentos ao Tribunal de Justiça sobre o alcance do direito de acesso concedido aos titulares dos dados pelo artigo 15.º do RGPD. Para responder a essa questão, o advogado-geral G. Pitruzzella analisou, nomeadamente, o conceito de «cópia» na aceção do artigo 15.º, n.os 3 e 4, do RGPD. Seguindo uma interpretação literal, contextual e teleológica da disposição, chegou às seguintes conclusões, que são pertinentes para o presente processo.

75. Em primeiro lugar, o conceito de «cópia», constante do artigo 15.º, n.os 3 e 4 do RGPD, deve ser entendido como «uma reprodução certificada sob forma inteligível dos dados pessoais pedidos pelo respetivo titular, num formato concreto e permanente, que permita à pessoa em causa o efetivo exercício do direito de aceder aos seus dados pessoais, tendo pleno conhecimento de todos os seus dados pessoais em fase de tratamento». Acrescentou que «a forma exata da cópia é determinada com base nas especificidades de cada caso e, nomeadamente, no tipo de dados pessoais cujo acesso se pede e nas necessidades do titular dos dados» (40).

76. Em segundo lugar, o artigo 15.º, n.º 3, do RGPD «não confere ao titular dos dados o direito geral de receber uma cópia parcial ou completa do documento que contém os seus dados pessoais ou, se os dados pessoais forem tratados numa base de dados, um extrato dessa base de dados». Dito isto, também deixou claro que «esta disposição não exclui [...] que excertos de documentos, ou documentos completos ou extratos de bases de dados, possam ter de ser fornecidos ao titular se tal for necessário para assegurar a plena inteligibilidade dos dados pessoais objeto de tratamento cujo acesso é pedido» (41).

77. Por razões de economia processual, não reproduzo aqui as razões que o levaram a tomar essa posição. Basta dizer que partilho inteiramente da sua opinião a esse respeito. Afinal, o RGPD não é um ato legislativo sobre o acesso a documentos, mas sobre a proteção de dados. Por conseguinte, o seu principal objetivo é assegurar o acesso aos dados e não aos documentos que contêm dados. Ainda que em alguns casos o último possa necessariamente implicar o primeiro, nem sempre é assim.

78. Dito isto, parece‑me que, de acordo com o princípio da transparência (42) e com o requisito de que as informações sejam fornecidas de «forma concisa, transparente, inteligível e de fácil acesso» (43), é possível que, no que diz respeito aos documentos contidos nos registos clínicos, o direito de obter uma cópia dos dados que são objeto de tratamento possa muitas vezes exigir o direito de receber uma cópia (parcial ou integral) dos documentos originais. Em especial quando se trata dos resultados de análises ou testes (que normalmente incluem numerosos dados técnicos e/ou imagens), penso que permitir aos médicos (ou ao seu pessoal) resumir ou compilar esses dados, a fim de os fornecer de forma agregada, pode criar o risco de certos dados relevantes serem omitidos (44) ou relatados erroneamente (45) ou, em qualquer caso, tornar mais difícil para os titulares dos dados (nomeadamente, os pacientes) a verificação da sua exatidão e exaustividade.

79. É provavelmente por este motivo que, como já foi referido, o considerando 63 do RGPD refere expressamente que o direito de acesso aos dados pessoais «inclui o [...] direito [dos titulares de dados] de acederem a dados sobre a sua saúde, por exemplo os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados».

80. Assim, afigura‑se que o próprio legislador da União salientou a importância de que o acesso das pessoas singulares aos dados pessoais relativos à sua saúde seja não só facilmente inteligível, mas também tão completo e exato quanto possível. Ao mesmo tempo, é evidente que os registos clínicos podem conter uma variedade de documentos que não incluem dados pessoais dos pacientes (por exemplo, artigos científicos relativos a patologias ou tratamentos médicos). Obviamente, os pacientes não têm o direito de aceder à informação contida nesses artigos e, por conseguinte, não têm o direito de ter uma cópia da mesma com base no RGPD.

81. A este respeito, saliento que a legislação nacional em causa – cuja reforma está, tanto quanto sei, a ser discutida pelas autoridades nacionais competentes (46) – pode estar a conceder aos pacientes um direito de acesso aos registos clínicos e, em especial, de obtenção de cópias dos documentos neles incluídos, que vá além do reconhecido pelo RGPD.

82. Não vejo qualquer razão para isto não ser possível à luz do direito da União, uma vez que se enquadra num domínio jurídico que não está regulamentado a nível da União. Além disso, tanto quanto consigo vislumbrar, não existem questões evidentes de conflito com as regras do RGPD. No entanto, não preciso de salientar que um direito de acesso aos registos clínicos que vá além do reconhecido pelo RGPD seria, nessa medida, regido apenas pela legislação nacional. Isto significa que é ao legislador nacional que cabe determinar o alcance desse direito (por exemplo, o tipo de documentos em causa) e a forma como o acesso deve ser fornecido (por exemplo, a título gratuito ou contra o reembolso das despesas efetuadas).

83. Por conseguinte, proponho que o Tribunal de Justiça responda à terceira questão no sentido de que, no âmbito de uma relação médico/paciente, a frase «cópia dos dados pessoais em fase de tratamento» que figura no artigo 15.º, n.º 3, do RGPD não pode ser interpretada no sentido de que confere ao titular de dados um direito geral de receber uma cópia integral dos documentos incluídos no seu registo clínico. Tal não exclui que o responsável pelo tratamento possa ter de fornecer aos titulares dos dados uma cópia parcial ou integral de determinados documentos. É o que acontece quando é necessária uma cópia do documento para assegurar que os dados fornecidos são inteligíveis e que o titular dos dados é capaz de verificar que os dados fornecidos são completos e exatos.

V. Conclusão

84. Em conclusão, proponho que o Tribunal de Justiça responda às questões prejudiciais colocadas pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha) o seguinte:

O artigo 12.º, n.º 5, e o artigo 15.º, n.º 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados) devem ser interpretados no sentido de que impõem que o responsável pelo tratamento forneça ao titular dos dados uma cópia dos seus dados pessoais, mesmo que o titular dos dados não peça a cópia para as finalidades referidas no considerando 63 do RGPD, mas para finalidades diferentes, não relacionadas com a proteção de dados.

O artigo 23.º, n.º 1, do RGPD permite uma legislação nacional que impõe que os pacientes que pedem cópias dos seus dados pessoais contidos nos registos clínicos reembolsem os médicos pelas despesas efetuadas, desde que a limitação ao direito de acesso seja, tendo em conta todas as circunstâncias pertinentes, considerada necessária e proporcionada aos objetivos de proteção da saúde pública e da liberdade de empresa dos médicos. Em especial, cabe ao órgão jurisdicional de reenvio verificar se as despesas cujo reembolso os médicos podem pedir aos pacientes estão estritamente limitadas às despesas reais efetuadas a esse respeito.

No âmbito de uma relação médico/paciente, a frase «cópia dos dados pessoais em fase de tratamento» que figura no artigo 15.º, n.º 3, do RGPD não pode ser interpretada no sentido de que confere ao titular de dados um direito geral de receber uma cópia integral dos documentos incluídos no seu registo clínico. No entanto, o responsável pelo tratamento deve fornecer ao titular dos dados uma cópia parcial ou integral dos documentos, quando tal seja necessário para assegurar que os dados fornecidos são inteligíveis e que o titular dos dados é capaz de verificar que os dados fornecidos são completos e exatos.

1 Língua original: inglês.

2 Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (JO 2016, L 119, p. 1).

3 O âmbito de aplicação do artigo 12.º do RGPD é, no entanto, mais amplo do que o do artigo 15.º do RGPD, uma vez que diz respeito às obrigações do responsável pelo tratamento não só ao abrigo do artigo 15.º, mas também ao abrigo de outras disposições do mesmo regulamento.

4 N.os 1 e 2 do referido artigo (o sublinhado é meu).

5 V., nomeadamente, n.os 3 e 4 do referido artigo.

6 N.º 6 do referido artigo.

7 N.º 5 do referido artigo.

8 N.º 1 do referido artigo.

9 N.º 3 do referido artigo.

10 Neste sentido, v., por analogia, Acórdão de 20 de dezembro de 2017, Nowak (C‑434/16, EU:C:2017:994, n.º 57).

11 O sublinhado é meu.

12 De igual modo, seria impossível impedir os titulares dos dados, uma vez obtidos os dados pessoais ao abrigo do RGPD para efeitos de proteção de dados, processarem posteriormente o responsável pelo tratamento para outras finalidades.

13 Acórdão de 17 de julho de 2014 (C-141/12 e C-372/12, EU:C:2014:2081).

14 Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995 L 281, p. 31). Esta diretiva foi revogada com efeitos a partir de 25 de maio de 2018 pelo artigo 94.º do RGPD.

15 O sublinhado é meu.

16 O sublinhado é meu.

17 Previsto no artigo 16.º do RGPD.

18 Orientações adotadas em 28 de janeiro de 2022 e publicadas no seu sítio Internet.

19 Como referido no n.º 4, supra, este considerando dispõe que «o direito [dos titulares dos dados] de aceder aos dados pessoais […] inclui o seu direito de acederem a dados sobre a sua saúde, por exemplo os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados». V., igualmente, artigos 4.º, n.º 4, 13.º e 15.º do RGPD.

20 Conforme salientou o órgão jurisdicional de reenvio, a finalidade para a qual o demandante no processo principal solicitou o acesso aos seus dados pessoais não pode ser considerada geradora de um «abuso de direito» que, segundo jurisprudência constante do Tribunal de Justiça, impediria esse demandante de invocar os direitos que lhe são conferidos pelo direito da União. V., nomeadamente, Acórdão de 27 de outubro de 2022, Climate Corporation Emissions Trading (C-641/21, EU:C:2022:842, n.º 39 e a jurisprudência referida).

21 O sublinhado é meu. V., igualmente, considerando 59 do RGPD.

22 V., supra, n.º 7 das presentes conclusões.

23 A máxima significa, literalmente, «do maior para o menor»: se lhe for permitido fazer mais, por maioria de razão pode fazer menos.

24 V., por exemplo, a versão inglesa («Union or Member State law […] may restrict by way of a legislative measure»), a versão alemã («Durch Rechtsvorschriften der Union oder der Mitgliedstaaten […] können […] im Wege von Gesetzgebungsmaßnahmen beschränkt werden»), a versão francesa («Le droit de l'Union ou le droit de l'État membre […] peuvent, par la voie de mesures législatives»), a versão italiana («Il diritto dell'Unione o dello Stato membro […] può limitare, mediante misure legislative»), a versão espanhola («El Derecho de la Unión o de los Estados miembros […] podrá limitar, a través de medidas legislativas»), e a versão grega («Το δίκαιο της ένωσης ή του κράτους-μέλους […] μπορεί να περιορίζει μέσω νομοθετικού μέτρου»).

25 No mesmo sentido, o artigo 8.º, n.º 2, da Convenção Europeia dos Direitos Humanos dispõe que as interferências de uma autoridade pública no exercício do direito ao respeito pela vida privada e familiar – que, por força da referida convenção, abrange aspetos da proteção de dados – podem ser admitidas quando a lei o exigir e forem necessárias no interesse, nomeadamente, da «proteção da saúde».

26 O sublinhado é meu. Isto é verdade para a maioria das versões linguísticas do regulamento

27 Nomeadamente, o artigo 6.º, n.º 1, alínea f), o artigo 13.º, n.º 1, alínea d), e o artigo 14.º, n.º 2, alínea b), do RGPD. V., igualmente, a definição de «terceiro» constante do artigo 4.º, n.º 10, do RGPD.

28 No mesmo sentido, Gawronski, M. (ed.), Guide to the GDPR, Wolters Kluwer, 2019, p. 138.

29 O sublinhado é meu.

30 V., nomeadamente, von Mises, L., Human Action: A Treatise on Economics, Yale University Press, publicado pela primeira vez em 1949.

31 V., por analogia, Acórdão de 12 de janeiro de 2023, TP (Editor audiovisual para a televisão pública) (C‑356/21, EU:C:2023:9, n.os 73 e 74).

32 V., neste sentido, Acórdão de 6 de outubro de 2020, Comissão/Hungria (Ensino superior) (C‑66/18, EU:C:2020:792, n.os 178 e 179 e jurisprudência referida).

33 V., supra, n.os 37 e 40 das presentes conclusões.

34 V. Acórdão de 29 de junho de 2017, Comissão/Portugal (C‑126/15, EU:C:2017:504, n.º 84 e jurisprudência referida).

35 Conclusões no processo Comissão/Polónia (C-601/21, EU:C:2023:151, n.º 65).

36 Artigo 6.°, alínea a), TFUE.

37 V., por exemplo, Acórdão de 19 de outubro de 2016, Deutsche Parkinson Vereinigung (C‑148/15, EU:C:2016:776, n.º 30 e jurisprudência referida).

38 A este respeito, é lamentável que o Governo alemão não tenha apresentado observações no âmbito do presente processo.

39 C-487/21, EU:C:2022:1000.

40 Ibid., n.º 70.

41 Ibid.

42 V., nomeadamente, considerandos 39 e 58 e artigo 5.º, n.º 1, alínea a), do RGPD.

43 Artigo 12.º, n.° 1, do RGPD.

44 Por exemplo, a identidade do laboratório e/ou médico que efetuou a análise, o tipo de máquina ou técnica utilizada para a análise, etc., pode por vezes parecer (e possivelmente é) pouco relevante quando o acesso é solicitado, enquanto mais tarde, em algumas circunstâncias, pode revelar‑se importante para uma avaliação adequada dos dados.

45 Isto pode facilmente acontecer quando, por exemplo, são copiados grandes conjuntos de dados numéricos.

46 V., por exemplo, «Lauterbachs “Turbo”‑Plan für digitale Patientenakten», Frankfurter Allgemeine, 9 de março de 2023.