Acórdão do Tribunal de Justiça da União Europeia
Processo C-317/25

Edição provisória

CONCLUSÕES DO ADVOGADO‑GERAL

DEAN SPIELMANN

apresentadas em 17 de setembro de 2026 (1)

Processo C‑317/25

Groupe Canal + SAS

contra

Commission nationale de l’informatique et des libertés (CNIL),

sendo interveniente:

Primeiro‑Ministro,

Syndicat professionnel Data et Marketing France (DMA France),

Association Alliance Digitale,

Syndicat Collectif pour les acteurs du marketing digital (CPA),

Association Le Groupement des éditeurs de contenus et services en ligne (GESTE)

[pedido de decisão prejudicial apresentado pelo Conseil d’État (Conselho de Estado, em formação jurisdicional, França)]

« Reenvio prejudicial — Diretiva 2002/58/CE — Tratamento de dados pessoais e proteção da privacidade no setor das comunicações eletrónicas — Artigo 13.° — Utilização do correio eletrónico para fins de comercialização direta — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) n.° 2016/679 — Artigo 4.°, ponto 11 — Consentimento do titular dos dados — Artigo 12.°, n.° 1 — Transparência das informações — Artigo 13.°, n.° 1 e artigo 14.°, n.° 1 — Obrigação de informação do responsável pelo tratamento — Dados recolhidos pelo primeiro responsável pela recolha para fins de comercialização direta por via eletrónica pelos seus “parceiros” — Consentimento do titular dos dados — Identificação dos destinatários dos dados recolhidos »

Introdução

1. O presente pedido de decisão prejudicial é apresentado pelo Conseil d’État (Conselho de Estado, em formação jurisdicional, França), no âmbito de um recurso interposto pelo Groupe Canal + SAS contra a Deliberação SAN‑2023‑015, de 12 de outubro de 2023, da Commission nationale de l’informatique et des libertés [Comissão Nacional da Informática e das Liberdades (CNIL)] (a seguir «Deliberação da CNIL») (2), que o condenou ao pagamento de uma coima por ter realizado operações de comercialização direta, na aceção do artigo 13.° da Diretiva 2002/58/CE relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (3), sem ter obtido o consentimento dos titulares dos dados. Estes, aquando da recolha dos seus dados pessoais por parte de fornecedores de acesso à Internet (a seguir «FAI»), tinham consentido na transferência dos seus dados, para fins de comunicações comerciais não solicitadas (spamming), para «parceiros» não identificados no momento da obtenção do consentimento.

2. O presente processo constitui, assim, uma oportunidade para o Tribunal de Justiça precisar em que condições um tratamento de dados pessoais posterior a outro, efetuado por um responsável pelo tratamento diferente, pode basear‑se no consentimento inicial prestado aquando da recolha destes dados.

Quadro jurídico

Direito da União

Diretiva 2002/58

3. O considerando 40 da Diretiva 2002/58 prevê que «[d]evem ser previstas medidas de proteção dos assinantes contra a invasão da sua privacidade através de chamadas não solicitadas para fins de comercialização direta, em especial através de aparelhos de chamadas automáticas, aparelhos de fax e de correio eletrónico, incluindo mensagens SMS. Essas formas de comunicações comerciais não solicitadas podem, por um lado, ser relativamente baratas e fáceis de efetuar e, por outro, acarretar um ónus e/ou custo ao destinatário. Além disso, em certos casos o seu volume pode também provocar dificuldades às redes de comunicações eletrónicas e ao equipamento terminal. No que diz respeito a essas formas de comunicações não solicitadas para fins de comercialização direta, justifica‑se que se obtenha, antes de essas comunicações serem enviadas aos destinatários, o seu consentimento prévio e explícito. O mercado único exige uma abordagem harmonizada para assegurar, a nível da Comunidade, regras simples para o comércio e os utilizadores».

4. Nos termos do artigo 2.°, segundo parágrafo, alínea f), desta diretiva, «“consentimento” por parte do utilizador ou assinante significa o consentimento dado pela pessoa a quem dizem respeito os dados, previsto na Diretiva 95/46/CE [ (4)]».

5. O artigo 13.° da diretiva, sob a epígrafe «Comunicações não solicitadas», dispõe:

«1. A utilização de sistemas de chamada automatizados sem intervenção humana (aparelhos de chamada automáticos), de aparelhos de fax ou de correio eletrónico para fins de comercialização direta apenas poderá ser autorizada em relação a assinantes que tenham dado o seu consentimento prévio.

2. Sem prejuízo do n.° 1, se uma pessoa singular ou coletiva obtiver dos seus clientes coordenadas eletrónicas de contacto para correio eletrónico, no contexto da venda de um produto ou serviço, nos termos da Diretiva 95/46/CE, essa pessoa singular ou coletiva poderá usar essas coordenadas eletrónicas de contacto para fins de comercialização direta dos seus próprios produtos ou serviços análogos, desde que aos clientes tenha sido dada clara e distintamente a possibilidade de recusarem, de forma gratuita e fácil, a utilização dessas coordenadas eletrónicas de contacto quando são recolhidos e por ocasião de cada mensagem, quando o cliente não tenha inicialmente recusado essa utilização.

[...]»

RGPD

6. O artigo 4.°, ponto 11, do RGPD define o consentimento do titular dos dados como «uma manifestação de vontade, livre, específica, informada e inequívoca, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento».

7. O artigo 5.° do RGPD, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», prevê o seguinte:

«1. Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados («licitude, lealdade e transparência»);

b) recolhidos para finalidades determinadas, explícitas e legítimas, e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades [...]»

8. Nos termos do artigo 6.° do RGPD, sob a epígrafe «Licitude do tratamento»:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) o titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

[...]»

9. O capítulo III do RGPD, que inclui os artigos 12.° a 23.° do mesmo, tem a epígrafe «Direitos do titular dos dados». O artigo 12.° deste regulamento, sob a epígrafe «Transparência das informações, das comunicações e das regras para o exercício dos direitos dos titulares dos dados», enuncia, no seu n.° 1:

«O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.° e 14.° e qualquer comunicação prevista nos artigos 15.° a 22.° e 34.° a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios».

10. O artigo 13.° do referido regulamento, sob a epígrafe «Informações a facultar quando os dados pessoais são recolhidos junto do titular», prevê o seguinte:

«1. Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:

a) A identidade e os contactos do responsável pelo tratamento e, se for caso disso, do seu representante;

[...]

c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;

[...]

e) Os destinatários ou categorias de destinatários dos dados pessoais, se os houver; [...]

[...]

3. Quando o responsável pelo tratamento [de dados] pessoais tiver a intenção de proceder ao tratamento posterior dos dados pessoais para um fim que não seja aquele para o qual os dados tenham sido recolhidos, antes desse tratamento o responsável fornece ao titular dos dados informações sobre esse fim e quaisquer outras informações pertinentes, nos termos do n.° 2.

4. Os n.os 1, 2 e 3 não se aplicam quando e na medida em que o titular dos dados já tiver conhecimento das informações».

11. O artigo 14.° do RGPD, sob a epígrafe «Informações a facultar quando os dados pessoais não são recolhidos junto do titular», tem a seguinte redação:

«1. Quando os dados pessoais não forem recolhidos junto do titular, o responsável pelo tratamento fornece‑lhe as seguintes informações:

a) A identidade e os contactos do responsável pelo tratamento e, se for caso disso, do seu representante;

[...]

c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;

[...]

2. Para além das informações referidas no n.° 1, o responsável pelo tratamento fornece ao titular as seguintes informações, necessárias para lhe garantir um tratamento equitativo e transparente:

[...]

c) A existência do direito de solicitar ao responsável pelo tratamento o acesso aos dados pessoais que lhe digam respeito, e a retificação ou o apagamento, ou a limitação do tratamento no que disser respeito ao titular dos dados, e do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados;

d) Se o tratamento dos dados se basear no artigo 6.°, n.° 1, alínea a), ou no artigo 9.°, n.° 2, alínea a), a existência do direito de retirar consentimento em qualquer altura, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado;

[...]

f) A origem dos dados pessoais e, eventualmente, se provêm de fontes acessíveis ao público;

[...]

3. O responsável pelo tratamento comunica as informações referidas nos n.os 1 e 2:

a) num prazo razoável após a obtenção dos dados pessoais, mas o mais tardar no prazo de um mês, tendo em conta as circunstâncias específicas em que estes forem tratados;

b) se os dados pessoais se destinarem a ser utilizados para fins de comunicação com o titular dos dados, o mais tardar no momento da primeira comunicação ao titular dos dados; ou

c) Se estiver prevista a divulgação dos dados pessoais a outro destinatário, o mais tardar aquando da primeira divulgação desses dados.

4. Quando o responsável pelo tratamento tiver a intenção de proceder ao tratamento posterior dos dados pessoais para um fim que não seja aquele para o qual os dados pessoais tenham sido obtidos, antes desse tratamento o responsável fornece ao titular dos dados informações sobre esse fim e quaisquer outras informações pertinentes referidas no n.° 2.

5. Os n.os 1 a 4 não se aplicam quando e na medida em que:

a) o titular dos dados já tenha conhecimento das informações;

b) Se comprove a impossibilidade de disponibilizar a informação, ou que o esforço envolvido seja desproporcionado, nomeadamente para o tratamento para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, sob reserva das condições e garantias previstas no artigo 89.°, n.° 1, e na medida em que a obrigação referida no n.° 1 do presente artigo seja suscetível de tornar impossível ou prejudicar gravemente a obtenção dos objetivos desse tratamento. Nesses casos, o responsável pelo tratamento toma as medidas adequadas para defender os direitos, liberdades e interesses legítimos do titular dos dados, inclusive através da divulgação da informação ao público;

c) A obtenção ou divulgação dos dados esteja expressamente prevista no direito da União ou do Estado‑Membro ao qual o responsável pelo tratamento estiver sujeito, prevendo medidas adequadas para proteger os legítimos interesses do titular dos dados; ou

d) Os dados pessoais devam permanecer confidenciais em virtude de uma obrigação de sigilo profissional regulamentada pelo direito da União ou de um Estado‑Membro, inclusive uma obrigação legal de confidencialidade.»

Direito francês

Code des postes et des communications électroniques (Código dos Correios e das Comunicações Eletrónicas)

12. O artigo L. 34‑5 do Code des postes et des communications électroniques (Código dos Correios e das Comunicações Eletrónicas), que transpõe para o direito interno o artigo 13.° da Diretiva 2002/58, na sua versão aplicável ao litígio no processo principal (5), dispõe o seguinte:

«É proibida a comercialização direta através de um sistema de comunicações eletrónicas automatizado, na aceção do n.° 6 do artigo L 32, de aparelho de fax ou de correio eletrónico que utiliza as coordenadas de uma pessoa singular, um subscritor ou utilizador, que não tenha dado previamente o seu consentimento para receber comercialização direta por este meio.

Para efeitos do presente artigo, entende‑se por consentimento uma manifestação de vontade, livre, específica e informada, pela qual uma pessoa aceita que os dados pessoais que lhe dizem respeito sejam utilizados para fins de comercialização direta.

Entende‑se por comercialização direta o envio de qualquer mensagem destinada a promover, direta ou indiretamente, bens, serviços ou a imagem de uma pessoa que venda bens ou preste serviços. Para efeitos do presente artigo, as chamadas e mensagens que tenham por objetivo incitar o utilizador ou o assinante a ligar para um número de valor acrescentado ou a enviar uma mensagem de texto com valor acrescentado também se enquadram no conceito de comercialização direta.

No entanto, a comercialização direta por correio eletrónico é autorizada se os dados de contacto do destinatário tiverem sido recolhidos junto deste, em conformidade com as disposições da Loi n.° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Lei n.° 78‑17, de 6 de janeiro de 1978, relativa à informática, aos ficheiros e às liberdades) [ (6)], por ocasião de uma venda ou da prestação de serviços, desde que a comercialização direta diga respeito a produtos ou serviços análogos fornecidos pela mesma pessoa singular ou coletiva e que seja oferecida ao destinatário, de forma expressa e inequívoca, a possibilidade de se opor, sem custos, salvo os relacionados com a transmissão da recusa, e de forma simples, à utilização dos seus dados de contacto no momento em que estes são recolhidos e sempre que lhe for enviado um e‑mail de comercialização direta, caso não tenha recusado desde o início tal utilização.

[...]»

Lei n.° 78‑17

13. O artigo 4.° da Loi no 78‑17 estabelece, em substância, que os dados pessoais devem ser objeto de um tratamento lícito e leal, recolhidos para finalidades determinadas, explícitas e legítimas, e não serão posteriormente tratados de forma incompatível com essas finalidades. Devem ser adequados, pertinentes, limitados ao necessário à luz das finalidades para que são tratados, e exatos.

Litígio no processo principal, questões prejudiciais e tramitação processual no Tribunal de Justiça

14. No decurso de 2021, o Groupe Canal + mandou realizar, por sua conta, operações de comercialização direta por via eletrónica junto de aproximadamente 3,9 milhões de pessoas, cujos dados pessoais tinham sido previamente obtidos por dois FAI. Para o efeito, esses FAI tinham convidado os seus assinantes a assinalar uma quadrícula num formulário de recolha, indicando o seu consentimento para a utilização dos seus dados pessoais para fins de comercialização pelos «parceiros» dos referidos FAI, sem que esses parceiros fossem identificados pelo nome no formulário de recolha nem numa lista acessível através de uma hiperligação ou por qualquer outro meio.

15. Tendo recebido várias reclamações relativas às operações de comercialização por via eletrónica realizadas pelo Groupe Canal +, a CNIL efetuou inspeções junto desta sociedade e, por deliberação de 12 de outubro de 2023, a formação restrita da CNIL concluiu que a referida sociedade tinha violado as obrigações resultantes do artigo L. 34‑5 do Code des postes et des communications électroniques (Código dos Correios e das Comunicações Eletrónicas), e do artigo 7.°, n.° 1, do RGPD uma vez que não dispunha do consentimento válido dos titulares dos dados para a realização dessas operações. Por conseguinte, considerando que o Groupe Canal + não cumpriu a obrigação de obter esse consentimento, a CNIL aplicou‑lhe uma coima administrativa no montante de 600 000 euros.

16. Mediante ação intentada em 15 de dezembro de 2023, o Groupe Canal + submeteu no Conseil d’État (Conselho de Estado, em formação jurisdicional), órgão jurisdicional de reenvio, um pedido de anulação da deliberação da CNIL, bem como a sua reforma, com vista a reduzir o montante da coima administrativa que lhe foi aplicada. No órgão jurisdicional de reenvio, o Groupe Canal + sustenta que o consentimento dos titulares dos dados, obtido pelos FAI, era suficientemente informado para que estes pudessem ser destinatários de operações de comercialização direta por via eletrónica por sua conta, dado que estes titulares dos dados já tinham prestado o seu consentimento para a utilização dos seus dados pessoais pelos parceiros dos FAI.

17. O órgão jurisdicional de reenvio interroga‑se sobre se o consentimento, que foi obtido pelos FAI, na qualidade de primeiros responsáveis pela obtenção do consentimento, com vista à utilização dos dados pessoais dos titulares dos dados para fins de comercialização direta pelos parceiros desses fornecedores, permite ao Groupe Canal + levar a cabo as suas operações de comercialização direta. Em particular, pretende saber se o Groupe Canal +, que não estava identificado nominalmente como um dos parceiros dos FAI e cuja identidade não era, por conseguinte, conhecida pelos titulares dos dados, devia ou não obter um novo consentimento específico junto destes antes de realizar as suas operações de comercialização direta. Além disso, embora o consentimento obtido pelos FAI possa ser considerado informado na aceção das disposições do RGPD e da Diretiva 2002/58, o órgão jurisdicional de reenvio interroga‑se sobre o grau de precisão do conceito de «categoria» de destinatários.

18. Foi neste contexto que o Conseil d’État (Conselho de Estado, em formação jurisdicional) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Deve o [ponto] 11 do artigo 4.° do RGPD, lido em conjugação com os artigos 13.° e 14.° do RGPD, bem como com o artigo 13.° da Diretiva [2002/58/CE,] de 12 de julho de 2002, ser interpretado no sentido de que o consentimento do titular dos dados, que foi dado ao primeiro responsável pela recolha, para que os seus dados sejam utilizados por uma categoria de destinatários, como, no caso em apreço, os «parceiros» dos FAI [fornecedores de acesso à Internet], pode ser considerado um consentimento livre, específico, informado e inequívoco que permite a qualquer pessoa pertencente a esta categoria realizar operações de comercialização direta por via eletrónica, sem necessidade de solicitar um novo consentimento, ou implica a conjugação destas disposições, nessa hipótese, que qualquer destinatário dos dados pessoais recolhidos, quando a sua identidade não for do conhecimento do titular dos dados no momento em que deu o seu consentimento ao primeiro responsável pela recolha, deve obter o consentimento desse titular antes de poder junto do mesmo proceder à comercialização direta na qualidade de responsável por um novo tratamento?

2) Na hipótese de se vir a considerar que o consentimento dado pelo titular dos dados, ao primeiro responsável pela recolha, para que os seus dados sejam utilizados por uma categoria de destinatários para a realização de comercialização direta por via eletrónica, constitui um consentimento informado na aceção das disposições acima referidas, é relevante o grau de precisão do conceito de «categoria» de destinatários ou este pode, como no presente caso, remeter apenas para qualquer «parceiro» do primeiro responsável pela recolha dos dados?»

19. Foram apresentadas observações escritas pelo Groupe Canal +, bem como pela Comissão Europeia e pelos Governos Francês, Espanhol e Italiano. O Groupe Canal +, o Syndicat professionnel Data et Marketing France, a Comissão e os Governos Francês e Espanhol apresentaram alegações na audiência pública que se realizou em 2 de julho de 2026.

Análise

Quanto à primeira questão

20. O órgão jurisdicional de reenvio pretende saber se o consentimento prestado pelos assinantes dos FAI, aquando da recolha dos seus dados pessoais, permitia ao Groupe Canal+ utilizar esses dados para fins de comercialização direta junto deles, sem necessidade de solicitar, por seu turno, um novo consentimento.

21. Em substância, o Groupe Canal + sustenta que não era obrigado a obter um novo consentimento para realizar operações de comercialização direta por via eletrónica junto dos titulares dos dados. As outras partes intervenientes no processo consideram, pelo contrário, que o consentimento obtido pelos FAI, com base na simples informação das «categorias de destinatários» a quem são transmitidos os dados recolhidos por ocasião de um primeiro tratamento, não é suficiente para demonstrar a existência do consentimento necessário para o segundo tratamento, que consiste em operações de comercialização direta por via eletrónica realizadas pelo Groupe Canal +.

22. Depois de recordar as disposições aplicáveis ao litígio no processo principal, irei analisar o alcance do consentimento prestado pelos titulares dos dados aquando da recolha dos seus dados pessoais, a fim de determinar se esse consentimento poderia constituir o fundamento jurídico para a comercialização direta realizada pelo Groupe Canal+.

Recapitulação das disposições aplicáveis

– Necessidade de consentimento na aceção do artigo 13.°, n.° 1, da Diretiva 2002/58

23. Antes de mais, recordo que o litígio no processo principal diz respeito a operações de comercialização direta por parte do Groupe Canal +. O artigo 13.° da Diretiva 2002/58, sob a epígrafe «Comunicações não solicitadas», visa, nomeadamente, em conformidade com o disposto no seu considerando 40, proteger os assinantes contra a invasão da sua privacidade através de chamadas não solicitadas para fins de comercialização direta. Como mencionado no artigo 1.°, n.° 2, desta diretiva, interpretado à luz do considerando 173 do RGPD, a Diretiva 2002/58 funciona como lex specialis, complementando o RGPD (lex generalis) (7). Por conseguinte, o artigo 13.° da Diretiva 2002/58 é aplicável ao litígio no processo principal e a apreciação da licitude do tratamento que consiste na utilização, pelo Groupe Canal +, dos dados pessoais em causa deve, consequentemente, ser efetuada à luz das condições previstas nesta diretiva.

24. Em seguida, saliento que o artigo 13.°, n.° 1, da referida diretiva autoriza a utilização de vários tipos de comunicação, a saber, os sistemas de chamada automatizados sem intervenção humana (aparelhos de chamada automáticos), de aparelhos de fax ou de correio eletrónico para fins de comercialização direta apenas em relação a assinantes que tenham dado o seu consentimento prévio. Para efeitos da aplicação desta disposição, importa, portanto, verificar, em primeiro lugar, se o tipo de comunicação utilizada para fins de comercialização direta figura entre os previstos na referida disposição, em segundo lugar, se essa comunicação tem por finalidade a comercialização direta, ou seja, se prossegue um fim comercial e se dirige direta e individualmente a um consumidor e, em terceiro lugar, se a exigência de obter o consentimento prévio por parte do utilizador foi respeitada (8).

25. No caso em apreço, resulta do pedido de decisão prejudicial que as duas primeiras condições estão preenchidas. Com efeito, o órgão jurisdicional de reenvio refere‑se expressamente a «operações de comercialização direta por via eletrónica» realizadas em relação aos titulares dos dados, potenciais clientes do Groupe Canal +.

26. Por outro lado, o cerne da questão reside no consentimento prévio dos titulares dos dados, destinatários das comunicações não solicitadas para fins de comercialização.

27. A necessidade de consentimento para fundamentar o tratamento posterior para fins de comercialização direta não é contestada. A este respeito, importa precisar que as condições da exceção ao consentimento prevista no artigo 13.°, n.° 2, da diretiva 2002/58, não estão preenchidas no litígio do processo principal (9). A questão que opõe as partes é a de saber se, uma vez que a identidade do responsável pelo tratamento posterior para fins de comercialização direta não era conhecida, o consentimento prestado pelos assinantes aquando da recolha inicial era suficiente ou se deveria ser prestado um segundo consentimento, o que nos leva ao conceito de «consentimento informado».

– Consentimento informado na aceção do RGPD

28. O consentimento, na aceção da Diretiva 2002/58, e nomeadamente do seu artigo 13.°, n.° 1, deve ser entendido no sentido do consentimento previsto pelo RGPD. Com efeito, por um lado, o artigo 2.°, segundo parágrafo, alínea f), desta diretiva, interpretado à luz do seu considerando 17 (10), define o «consentimento» por parte do utilizador ou assinante como significando o «consentimento da pessoa a quem dizem respeito os dados», previsto na Diretiva 95/46 e, por outro lado, o artigo 94.°, n.° 2, do RGPD prevê que as remissões para a Diretiva 95/46, revogada pelo RGPD, são consideradas remissões para o RGPD.

29. Resulta destas disposições que o consentimento deve satisfazer os requisitos decorrentes do artigo 4.°, ponto 11, do RGPD, aplicável ratione temporis ao litígio no processo principal e que define o «consentimento do titular dos dados» no sentido de que exige uma «manifestação de vontade, livre, específica, informada e inequívoca» do titular dos dados, mediante declaração ou «ato positivo inequívoco», que constitui a sua aceitação do tratamento dos dados pessoais que lhe dizem respeito (11).

30. No caso em apreço, o caráter livre, específico e inequívoco do consentimento prestado aquando da recolha inicial não é contestado. O desacordo entre as partes centra‑se na questão de saber se o consentimento prestado pelos titulares dos dados era suficientemente informado para fundamentar o tratamento para fins de comercialização direta.

31. Recordo que a exigência de consentimento «informado», na aceção do artigo 4.°, ponto 11, do RGPD, necessário para que o tratamento de dados seja lícito, depende, designadamente, da questão de saber se esse titular obteve previamente as informações à luz de todas as circunstâncias que rodeiam o tratamento dos dados em questão a que tinha direito e que lhe permitem fazer as suas escolhas quanto à utilização dos seus dados e dar o seu consentimento, de forma «autodeterminada», com pleno conhecimento de causa (12).

32. Com efeito, conforme resulta do artigo 12.° do RGPD, que é uma expressão do princípio da transparência, o responsável pelo tratamento deve tomar medidas adequadas para fornecer as informações previstas nos artigos 13.° e 14.° deste regulamento. Para este efeito, deve fornecer ao titular dos dados informação a respeito de todas as circunstâncias relacionadas com o tratamento dos dados, de modo inteligível e de fácil acesso e numa linguagem clara e simples, devendo essa pessoa, designadamente, conhecer, além do tipo de dados a tratar, a duração e as modalidades desse tratamento, bem como as finalidades que este prossegue e a identidade do responsável pelo tratamento. Tal informação deve permitir à referida pessoa determinar facilmente as consequências do consentimento que possa vir a dar e garantir que esse consentimento seja dado com pleno conhecimento de causa (13). Enquanto pedra angular do princípio da transparência, o direito à informação garante, assim, a transparência de qualquer tratamento no contexto do RGPD (14).

33. Além disso, como o Tribunal de Justiça referiu, a obrigação de informação que incumbe ao responsável pelo tratamento relativamente aos titulares afetados por um tratamento de dados pessoais constitui «o corolário do direito à informação reconhecido a esses titulares pelos artigos 12.° e 13.° do RGPD» (15).

34. Assim, a violação do direito de os titulares dos dados serem suficientemente informados sobre todas as circunstâncias que rodeiam um tratamento de dados pessoais, e, em particular, sobre a identidade do responsável pelo tratamento, é suscetível de impedir que exprimam um consentimento informado, na aceção do artigo 4.°, ponto 11, do RGPD, o que pode tornar esse tratamento ilícito, na aceção do artigo 5.°, n.° 1, deste regulamento (16). O direito à informação do titular dos dados contribui, portanto, para a existência de um consentimento suscetível de fundamentar o tratamento lícito de dados, sendo a identidade do responsável pelo tratamento em causa, a este respeito, um elemento particularmente necessário para conferir um caráter informado ao consentimento.

35. Além disso, as obrigações em matéria de obtenção do consentimento e de prestação das informações previstas para conferir um caráter informado a esse consentimento incumbem ao responsável pelo tratamento em causa, ou seja, à pessoa que «determina as finalidades e os meios [desse] tratamento» (17).

36. No quadro do processo principal, na fase de recolha de dados pessoais pelos FAI e da transmissão desses dados aos seus parceiros, o artigo 13.° do RGPD aplica‑se aos FAI no que diz respeito às obrigações de informação, permitindo que apenas sejam mencionadas categorias de destinatários (18). Os FAI não têm, portanto, a obrigação de especificar o destinatário dos dados, caso contrário a expressão «categoria de destinatários» ficaria esvaziada de sentido.

37. Em contrapartida, na fase de comercialização direta, os dados pessoais recolhidos indiretamente pelos FAI são utilizados pelo Groupe Canal + (19) e as informações a fornecer aos titulares dos dados nesta fase são as previstas no artigo 14.° do RGPD, adotado para responder às situações em que o responsável pelo tratamento não está em contacto direto com o titular dos dados (20). Nestas situações abrangidas pelo artigo 14.° do RGPD, como o Tribunal de Justiça declarou, o responsável pelo tratamento recolhe os dados pessoais a partir de outra fonte, pelo que a comunicação das informações que esta disposição visa no momento em que estas são obtidas se torna, na prática, difícil ou mesmo impossível. O caráter indireto dessa recolha justifica, assim, que esta última disposição preveja a possibilidade de «diferir o cumprimento da obrigação de informação» que incumbe ao responsável pelo tratamento (21). No entanto, a regra geral é, que o responsável pelo tratamento que tenha obtido indiretamente os dados pessoais forneça as informações num prazo razoável após a recolha dos referidos dados, mas o mais tardar no prazo de um mês, tendo em conta as circunstâncias específicas em que estes forem tratados (22). Além disso, se esses mesmos dados se destinarem a ser utilizados para fins de comunicação com o titular dos dados, o responsável pelo tratamento deve comunicar as informações, o mais tardar, no momento da primeira comunicação com o referido titular (23).

38. É neste contexto que se coloca a questão de saber se, no âmbito do litígio no processo principal, o consentimento obtido pelos FAI poderia constituir o fundamento jurídico para o tratamento posterior para fins de comercialização direta pelo Groupe Canal+, sem necessidade de obter um novo consentimento, o que implica que nos interroguemos, neste momento, sobre o alcance do consentimento obtido pelos FAI.

Quanto ao âmbito do consentimento prestado no presente caso

39. Pode considerar‑se que o facto de um assinante de um FAI assinalar numa quadrícula de um formulário, dando o seu consentimento para a utilização dos seus dados pessoais para fins de comercialização direta pelos «parceiros» desse FAI, constitui um consentimento para a transferência dos seus dados para os referidos parceiros, com vista a que estes sejam posteriormente objeto de uma atividade de comunicação com um fim comercial e dirigida direta e individualmente ao mesmo (24). Em meu entender, daqui resulta um consentimento para a transferência dos dados para fins de comercialização direta, tal como referido aquando da recolha dos seus dados pessoais.

40. No entanto, como sublinhado, designadamente, pelo Governo Francês, tal consentimento não significa necessariamente que os titulares dos dados tenham consentido que o tratamento para fins de comercialização direta seja efetuado por qualquer pessoa.

41. Ora, à semelhança da Comissão e dos Governos intervenientes, considero que, para que a referida comercialização direta tenha fundamento jurídico, esse consentimento deve, designadamente, incidir sobre a identidade do responsável pelo tratamento para fins de comercialização direta (25). Se não for esse o caso, a comercialização direta não poderá ter início sem um novo consentimento devidamente informado quanto à identidade do responsável por este tratamento para fins de comercialização direta.

42. Em meu entender, esta interpretação resulta dos termos das disposições aplicáveis, do contexto em que se inserem e dos objetivos prosseguidos pela regulamentação de que fazem parte (26).

43. Em primeiro lugar, o artigo 13.°, n.° 1, da Diretiva 2002/58 implica um consentimento prévio que, na fase da comercialização direta, deve ser analisado à luz dos requisitos do artigo 14.° do RGPD se os dados foram recolhidos de forma indireta, o que implica, nos termos da alínea a) do n.° 1 do mesmo artigo, o conhecimento da identidade do responsável por esta comercialização (27). O artigo 14.°, n.° 3, alínea b), do RGPD prevê, aliás, que, se os dados pessoais se destinarem a ser utilizados para fins de comunicação com o titular dos dados, o responsável pelo tratamento deve comunicar as informações referidas, incluindo a identidade do responsável pelo tratamento, o mais tardar no momento da primeira comunicação a esse titular.

44. Em segundo lugar, o contexto em que estas disposições se inserem confirma esta interpretação.

45. Com efeito, primeiro, resulta do considerando 42 do RGPD que, «[p]ara que o consentimento seja dado com conhecimento de causa, o titular dos dados deverá conhecer, pelo menos, a identidade do responsável pelo tratamento e as finalidades a que o tratamento se destina».

46. É certo que o Tribunal de Justiça admitiu, em determinadas cadeias de tratamentos específicas, que não era necessário reiterar o consentimento. Tal é o caso, em particular, quando a finalidade dos tratamentos sucessivos é a mesma (28). No entanto, esta solução jurisprudencial específica limita‑se ao consentimento previsto no âmbito do artigo 12.° da Diretiva 2002/58. Aliás, o Tribunal de Justiça teve o cuidado de recordar que, como enuncia o considerando 39 desta diretiva, se a parte que recolhe os dados a partir do assinante ou de terceiros a quem os mesmos tenham sido transmitidos pretender utilizá‑los para outro fim que não a publicação de uma lista telefónica pública, quer a parte que recolheu os dados, quer o terceiro a quem foram transmitidos, terá de obter novo consentimento do assinante (29).

47. Por conseguinte, entendo que a sociedade Groupe Canal + não pode utilmente invocar esta jurisprudência, que não é transponível para o litígio no processo principal. Pelo contrário, tal jurisprudência tende a corroborar a interpretação segundo a qual, nas circunstâncias do litígio no processo principal, é necessário um novo consentimento para fundamentar juridicamente o tratamento para fins de comercialização direta, uma vez que os dados pessoais são utilizados para fins diferentes daqueles para os quais foram recolhidos.

48. Segundo, os princípios da transparência e do tratamento equitativo dos dados, previstos no artigo 5.°, n.° 1, alínea a), do RGPD, interpretados à luz dos considerandos 60 e 61 deste regulamento (30), justificam, em meu entender, que os titulares dos dados sejam mantidos informados, logo que possível, das alterações que afetem a categoria dos destinatários dos seus dados. Essa informação permite, assim, garantir que o titular dos dados não deixa de se «aperceber» da eventual alteração relativa aos destinatários dos seus dados pessoais e permite‑lhe dispor de um prazo razoável para que possa avaliar a natureza e o impacto da alteração e, se for caso disso, exercer os seus direitos ao abrigo do RGPD relacionados com a alteração (por exemplo, retirar o seu consentimento ou opor‑se ao tratamento) (31).

49. Acresce que a ligação para o cancelamento da subscrição que permite a retirada do consentimento aquando da primeira comunicação, à qual o Groupe Canal + se referiu durante a audiência, insere‑se no quadro do exercício desses direitos e continua a ser necessária para esse efeito, nomeadamente nos termos do artigo 13.°, n.° 4, da Diretiva 2002/58, mas não regulariza a posteriori a inexistência do consentimento prévio relativamente à identidade do responsável pelo tratamento para fins de comercialização direta, destinado precisamente a tornar lícito este tratamento antes de este se verificar.

50. Além disso, esta atualização das informações, destinada a esclarecer o consentimento dos titulares dos dados, deverá ocorrer independentemente de qualquer pedido ativo por parte destes, com base no seu direito de acesso previsto no artigo 15.° do RGPD. A este respeito, não me parece que o argumento do Groupe Canal + relativo à diferença entre, por um lado, as obrigações em matéria de informação previstas nos artigos 13.° e 14.° do RGPD e, por outro, o papel funcional do direito de acesso previsto no artigo 15.° do RGPD (32) atenue a obrigação de informação prévia nas circunstâncias do presente caso. O direito de acesso responde a um pedido específico do titular dos dados (33), ao passo que a informação prestada nos termos dos artigos 13.° e 14.° do RGPD, que implica um comportamento ativo do responsável pelo tratamento, se destina a todos os titulares dos dados e é de caráter mais geral. Dito isto, independentemente da existência de um direito de acesso que os titulares dos dados possam optar por exercer ou não, as informações insuficientes fornecidas nos termos dos artigos 13.° ou 14.° do RGPD apenas dão origem a um consentimento de alcance limitado e que, por si só, não é suficiente para permitir o tratamento dos dados pessoais para fins de comercialização direta sem que a identidade do responsável por esse tratamento seja conhecida.

51. Terceiro, saliento que as exceções à obrigação de fornecer as informações previstas na legislação, e designadamente a identidade do responsável pelo tratamento, estão enumeradas de forma exaustiva no artigo 14.°, n.° 5, do RGPD.

52. Ora, estas exceções não são aplicáveis no presente caso.

53. Em particular, a exceção prevista no artigo 14.°, n.° 5, alínea a), do RGPD, que se refere ao caso em que os titulares dos dados já têm conhecimento da informação em causa, não é aplicável, visto que a identidade do responsável pelo tratamento para fins de comercialização direta, hipoteticamente, ainda não foi comunicada.

54. Do mesmo modo, o fornecimento de informações relativas à identidade do responsável pelo tratamento de dados para fins de comercialização direta não me parece exigir esforços desproporcionados na aceção do artigo 14.°, n.° 5, alínea b), do RGPD. Com efeito, como sugerido por certas partes intervenientes, o Groupe Canal + poderia, por via contratual, confiar aos FAI a responsabilidade de recolher o consentimento necessário para a comercialização direta, quer precisando a identidade dos destinatários, quer, caso estes ainda não sejam conhecidos no momento da recolha, por exemplo, mantendo uma lista atualizada de quaisquer alterações substanciais relativas aos tratamentos de dados pessoais ou às informações anteriormente transmitidas (34). Caso contrário, o Groupe Canal + poderia ainda obter o consentimento antes de proceder à comercialização direta propriamente dita, ou seja, o mais tardar no momento da primeira comunicação ao titular dos dados, hipótese, aliás, prevista no artigo 14.°, n.° 3, alínea b), do RGPD.

55. Em terceiro lugar, há que interpretar as disposições aplicáveis de forma coerente com os objetivos prosseguidos pela Diretiva 2002/58, como enunciados nos seus considerandos 2 e 40, que visam, nomeadamente, garantir o pleno respeito dos direitos previstos nos artigos 7.° e 8.° da Carta dos Direitos Fundamentais da União Europeia e, para esse efeito, proteger os assinantes contra qualquer violação da sua vida privada por comunicações não solicitadas efetuadas para fins de comercialização direta.

56. A este respeito, como se depreende do considerando 40 da Diretiva 2002/58, as comunicações para fins de comercialização direta efetuadas por correio eletrónico «podem ser relativamente baratas e fáceis de efetuar», ao mesmo tempo que impõem um ónus e/ou custo para o destinatário e que, por vezes, o seu volume pode também provocar dificuldades às redes de comunicações eletrónicas e ao equipamento terminal. Por conseguinte, justifica‑se particularmente que se exija que o responsável pelo tratamento para fins de comercialização direta (o remetente das comunicações diretas) tenha obtido o consentimento prévio do potencial cliente (o destinatário das comunicações diretas) antes de essas comunicações lhe serem enviadas.

57. Tendo em conta a intromissão na esfera privada que constitui a comercialização direta por mensagem eletrónica ou por outros meios de comunicação direta e individual (35), considero que a exigência de um consentimento prévio, informado quanto à identidade do responsável pelo tratamento para efeitos de comercialização direta, se impõe ainda mais antes dessa comercialização direta, sob pena de comprometer a eficácia do artigo 13.°, n.° 1, da Diretiva 2002/58 e de permitir que esta condição de licitude do tratamento para efeitos de comercialização direta seja contornada.

58. Além disso, atendendo aos desafios consideráveis relacionados com as utilizações secundárias dos dados pessoais, nomeadamente por parte dos mediadores de dados (data brokers) (36), não sou favorável a uma interpretação da legislação em matéria de consentimento que atenue a proteção dos dados pessoais a este respeito.

59. Tendo em conta estas considerações, o argumento do Groupe Canal + relativo a uma «fadiga do consentimento» (37) não é convincente e, não pode exonerar os responsáveis pelo tratamento (sejam eles os FAI aquando da transferência de dados ou o Groupe Canal + aquando da primeira comercialização direta) das suas obrigações em matéria de consentimento prévio e informado.

60. Em consequência, contrariamente ao que o Groupe Canal + defende, considero que o consentimento prestado pelos titulares dos dados aquando da primeira recolha, como não refere a identidade do responsável pelo tratamento para efeitos de comercialização direta, tem um alcance limitado que não permite ao Groupe Canal + proceder à comercialização direta sem obter um novo consentimento, o mais tardar, no momento da primeira comunicação aos titulares dos dados.

61. Por conseguinte, considero que se deve responder à primeira questão que o artigo 4.°, ponto 11, do RGPD, lido em conjugação com os artigos 13.° e 14.° deste regulamento, bem como com o artigo 13.° da Diretiva 2002/58, deve ser interpretado no sentido de que o consentimento do titular dos dados, que foi dado ao primeiro responsável pela recolha, para que os seus dados sejam utilizados por uma categoria de destinatários, designados como «parceiros» do primeiro responsável pelo tratamento, mas cuja identidade não era do conhecimento do titular dos dados no momento em que este prestou o seu consentimento ao primeiro responsável pelo tratamento, não pode ser considerado um consentimento informado permitindo a qualquer pessoa pertencente a esta categoria de destinatários realizar operações de comercialização direta por via eletrónica, sem necessidade de solicitar um novo consentimento aos titulares dos dados antes de junto destes proceder a tais operações de comercialização direta.

62. Assim, não é necessário responder à segunda questão prejudicial. Será, portanto, a título subsidiário que seguidamente esta será abordada.

Quanto à segunda questão

63. Caso o Tribunal de Justiça não concorde com a minha proposta de resposta à primeira questão, parecem‑me possíveis duas abordagens para responder à segunda questão, relativa ao grau de precisão do conceito de «categoria» de destinatários e à sua ligação com o caráter suficientemente informado do consentimento.

64. A primeira abordagem consistiria em considerar que não existe nenhuma ligação entre, por um lado, o caráter suficientemente informado do consentimento e, por outro, o grau de precisão do conceito de «categoria» de destinatários. Nesta hipótese, a identidade do responsável pelo tratamento para fins de comercialização direta não surge como uma condição para a validade do consentimento para ser objeto desse tratamento para fins de comercialização direta. Por conseguinte, o consentimento prestado pelo titular dos dados ao responsável pela recolha inicial, no sentido de que os seus dados sejam utilizados por uma categoria de destinatários para operações de comercialização direta por via eletrónica, poderia ser considerado um consentimento suficientemente informado, independentemente do grau de precisão do conceito de «categoria» de destinatários. Poder‑se‑ia, assim, considerar que a identidade do responsável pelo tratamento para fins de comercialização direta só deveria ser conhecida para o exercício de direitos como o direito de acesso aos dados pessoais, de retificação ou de apagamento dos mesmos, ou o direito de se opor ao tratamento. O consentimento seria então considerado suficientemente informado, independentemente de a categoria de destinatários indicada ser ou não precisa. No caso em apreço, a comercialização direta poderia, assim, ser realizada pelo Groupe Canal + sem que fosse necessário um novo consentimento, independentemente da precisão da categoria de destinatários designada aquando da recolha inicial.

65. A segunda abordagem, que seria a minha preferida, poderia levar a considerar que existe uma ligação entre, por um lado, o caráter suficientemente informado do consentimento e, por outro, o grau de precisão do conceito de «categoria» de destinatários. Neste caso, mesmo não havendo informação sobre a identidade concreta do responsável pelo tratamento para fins de comercialização direta, a possibilidade da sua identificação seria, do mesmo modo, necessária para permitir a comercialização direta sem a obtenção de um novo consentimento. O grau de precisão do conceito de «categoria de destinatários» poderia, então, revelar‑se relevante.

66. Neste caso, a «categoria» de destinatários deveria ser precisada pelo responsável pela recolha inicial, de modo que, tendo em conta o contexto e as circunstâncias no momento da recolha dos seus dados, o titular dos dados pudesse razoavelmente esperar que os seus dados pessoais fossem utilizados para fins de comercialização pela pessoa que o contactasse. Ou seja, o titular dos dados não deveria ser surpreendido pela comercialização direta proveniente do Groupe Canal + e deveria saber que deu o seu consentimento para tal aquando da recolha dos seus dados pessoais pelo seu FAI, tendo em conta, por exemplo, a precisão da categoria de destinatários mencionada ou o contexto da recolha dos dados e a atividade do responsável pela recolha inicial (neste caso, os FAI) (38).

67. Ora, no caso em apreço, o conceito de «parceiros» dos FAI continua a ser, no que diz respeito à «categoria» de destinatários, um conceito muito vago no contexto da recolha de dados pessoais pelos FAI. Contrariamente ao que é defendido pelo Groupe Canal +, considero que a utilização do termo «parceiro», mesmo interpretado à luz da finalidade de comercialização direta por via eletrónica, não é suficiente para informar o titular dos dados de forma que se possa considerar que este deu o seu consentimento com pleno conhecimento de causa para ser contactado pelo Groupe Canal +. Mesmo admitindo que os assinantes dos FAI possam ter uma ideia do que o Groupe Canal+ designa por «ecossistema comercial» do seu fornecedor, tal não me parece permitir precisar o conceito de «parceiro», nem identificar o que o facto de ser «parceiro» do referido fornecedor pode abranger em termos de bens ou serviços em questão (39). A única indicação é que se trata de uma entidade que mantém uma relação contratual e comercial com o FAI, o que constitui uma categoria, certamente não infinita, mas, ainda assim, indefinida. Com efeito, por hipótese, a transferência de dados do FAI para o destinatário implica, na maioria das vezes, uma relação desse tipo.

68. Além disso, no contexto do litígio no processo principal, este conceito de «parceiro» parece‑me tão indefinido que, ao dar o seu consentimento na fase da recolha, o assinante do FAI deveria, pelo contrário, esperar ser informado de forma mais precisa sobre a identidade deste parceiro na altura oportuna, ou seja, aquando da transferência dos seus dados para o referido parceiro e, o mais tardar, antes da comercialização direta. Saliento, aliás, que, segundo o Grupo de Trabalho «Artigo 29.°», quando apenas são comunicadas «categorias de destinatários», as informações devem ser tão específicas quanto possível e indicar, por exemplo, o tipo de destinatário em função das atividades que este realiza, a indústria, o setor e o subsetor, bem como a localização dos destinatários em causa (40).

69. Em meu entender, daí decorre que, se se aceitar que o consentimento dado em relação a uma «categoria de destinatários» pode constituir fundamento jurídico para a comercialização direta por parte de um desses destinatários sem que este seja identificado, a sua identificação, na altura oportuna, como destinatário dos FAI que efetuam a recolha inicial, deveria, do mesmo modo, ser razoavelmente possível (41). Assim, quanto maior for a imprecisão relativa a estas categorias de destinatários na fase da recolha inicial, menos provável será que tal dê origem a um consentimento suscetível de fundamentar a utilização dos dados pessoais recolhidos para um tratamento para fins de comercialização direta por outro responsável pelo tratamento.

70. Nas circunstâncias do litígio no processo principal, considero que o conceito de «parceiro» dos FAI que são os primeiros responsáveis pela recolha dos dados não pode dar origem à «cadeia de consentimentos» invocada pelo Groupe Canal+. No âmbito desta segunda abordagem, a obtenção de um novo consentimento que permita identificar o destinatário dos dados continuaria, portanto, a ser necessária antes da utilização dos dados pessoais em causa para fins de comercialização direta.

Conclusão

71. Atendendo a todas as considerações que precedem, proponho ao Tribunal de Justiça, por um lado, que declare que não há lugar a resposta à segunda questão prejudicial colocada pelo Conseil d’État (França) e, por outro lado, que responda à primeira questão da seguinte forma:

O artigo 4.°, ponto 11, do Regulamento (UE) n.° 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE, lido em conjugação com os artigos 13.° e 14.° do mesmo regulamento, bem como com o artigo 13.° da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas),

deve ser interpretado no sentido de que:

o consentimento do titular dos dados, que foi dado ao primeiro responsável pela recolha, para que os seus dados sejam utilizados por uma categoria de destinatários designados como «parceiros» do primeiro responsável pelo tratamento, mas cuja identidade não era do conhecimento do titular dos dados no momento em que este prestou o seu consentimento ao primeiro responsável pelo tratamento, não pode ser considerado um consentimento informado que permite a qualquer pessoa pertencente a esta categoria de destinatários realizar operações de comercialização direta por via eletrónica, sem necessidade de solicitar um novo consentimento aos titulares dos dados antes de proceder a tais operações de comercialização direta junto dos mesmos

1 Língua original: francês.

2 Disponível no seguinte endereço: https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000048222771.

3 Diretiva do Parlamento Europeu e do Conselho, de 12 de julho de 2002 (JO 2002, L 201, p. 37). A proposta de regulamento «ePrivacy» foi abandonada [v. anexos da Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões. Programa de trabalho da Comissão para 2025. Avançar em conjunto: uma União mais audaciosa, simples e mais rápida [COM(2025) 45 final], p. 26, n.° 29].

4 Diretiva do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31). Esta diretiva foi substituída pelo Regulamento (UE) n.° 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE (JO 2016, L 119, p. 1; a seguir «RGPD»), cujo artigo 94.°, sob a epígrafe «Revogação da Diretiva 95/46/CE», enuncia, no n.° 2, que as remissões para a diretiva revogada são consideradas remissões para o presente regulamento.

5 Conforme alterado pelo artigo 8.° da Lei n.° 2020‑901 de 24 de julho de 2020 (JORF de 25 de julho de 2020, n.° 181).

6 JORF de 7 de janeiro de 1978, n.° 6 (a seguir «Lei n.° 78‑17)

7 V. Acórdão de 13 de novembro de 2025, Inteligo Media (C‑654/23, EU:C:2025:871, n.os 66 a 68). V., também, Comité Europeu para a Proteção de Dados (CEPD), Parecer n.° 5/2019, de 12 de março de 2019, sobre a interação entre a Diretiva Privacidade Eletrónica e o RGPD, particularmente em matéria de competência, atribuições e poderes das autoridades de proteção de dados, p. 12 e seg., disponível no seguinte endereço: https://www.edpb.europa.eu/system/files/documents/files/file1/201905_edpb_opinion_eprivacydir_gdpr_interplay_fr.pdf.

8 V. Acórdão de 25 de novembro de 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C‑102/20, EU:C:2021:954, n.° 37). No que diz respeito à definição, que «tem um sentido lato e pretende ser neutra no plano tecnológico», do conceito de «correio eletrónico», v. Grupo de Trabalho «Artigo 29.°», Parecer n.° 5/2004, de 27 de fevereiro de 2004, sobre as comunicações não solicitadas para fins de comercialização no âmbito do artigo 13.° da Diretiva 2002/58/CE, WP 90, n.° 3.1, disponível no seguinte endereço: https://ec.europa.eu/justice/article‑29/documentation/opinion‑recommendation/files/2004/wp90_fr.pdf.

9 A exceção à regra do consentimento prévio justifica‑se pelo facto de que, no contexto de uma relação comercial existente, é razoável permitir a utilização de coordenadas eletrónicas do contacto para a oferta de produtos ou serviços análogos, e exclusivamente para tal oferta, mas apenas por parte da mesma empresa que obteve os elementos da comunicação junto do cliente em conformidade com a Diretiva 95/46/CE (v. considerando 41 da Diretiva 2002/58). Ora, não é esse o caso no processo principal, uma vez que as operações de comercialização direta não são realizadas pelos FAI que recolhem os dados pela primeira vez com vista à proposta de produtos ou serviços análogos. Por conseguinte, a exceção ao consentimento, prevista no artigo 13.°, n.° 2, desta diretiva, não é aplicável.

10 Este considerando refere que, para efeitos da presente diretiva, o consentimento por parte do utilizador ou assinante, independentemente de este ser uma pessoa singular ou coletiva, deve ter a mesma aceção que o consentimento da pessoa a quem os dados dizem respeito conforme definido e especificado na Diretiva 95/46.

11 Esta disposição do RGPD pôde, assim, ser considerada mais exigente do que a que resultava da Diretiva 95/46, cujo artigo 2.°, alínea h), definia os termos «consentimento da pessoa em causa» como referindo‑se a «qualquer manifestação de vontade, livre, específica e informada, pela qual a pessoa em causa aceita que os dados pessoais que lhe dizem respeito sejam objeto de tratamento [de dados pessoais]» [(v. Acórdão de 1 de outubro de 2019, Planet49 (C‑673/17, EU:C:2019:801, n.° 61)]. V., também, CEPD, Diretrizes 5/2020, de 4 de maio de 2020, relativas ao consentimento na aceção do Regulamento (UE) n.° 2016/679, versão 1.1, n.° 1, disponível no seguinte endereço: https://www.edpb.europa.eu/documents/guideline/guidelines‑052020‑on‑consent‑under‑regulation‑2016679_fr.

12 V. Acórdãos de 11 de julho de 2024, Meta Platforms Ireland (Ação representativa) (C‑757/22, a seguir «Acórdão Meta Platforms Ireland», EU:C:2024:598, n.° 60), e, por analogia, de 4 de setembro de 2025, CEPD/CRU (Conceito de dados pessoais) (C‑413/23 P, EU:C:2025:645, n.° 106).

13 V., neste sentido, Acórdãos de 11 de novembro de 2020, Orange Romania (C‑61/19, EU:C:2020:901, n.° 40), e Meta Platforms Ireland (n.os 55, 56, 59 e 60). Quanto à estreita ligação entre a proteção de dados e a transparência, sublinhada pelo artigo 12.° do RGPD, v. Bygrave, L. A., e Tosoni, L., «Article 4(11). Consent», em Kuner, C., Bygrave, L. A., Docksey, C., e Drechsler, L. (eds.), The EU General Data Protection Regulation (RGPD). A Commentary, Oxford University Press, Oxford, 2020, p. 184. V., também, Tambou, O., Manuel de droit européen de la protection des données à caractère personnel, Bruylant, Bruxelas, 2020, p. 129, n.° 141 e seg., p. 134, n.° 144, e Dix, A., «Art. 12. Transparent information, communication and modalities for the exercise of the rights of the data subject», em General Data Protection Regulation. Article‑by‑Article Commentary, Nomos, Baden‑Baden, 2023, pág. 434 a 447.

14 V. Conclusões do advogado‑geral Cruz Villalón no processo Bara e o. (C‑201/14, EU:C:2015:461, n.° 74) e Conclusões da advogada‑geral Medina no processo Storstockholms Lokaltrafik (C‑422/24, EU:C:2025:623, n.° 1).

15 V. Acórdão Meta Platforms Ireland (n.° 58).

16 V. Acórdão Meta Platforms Ireland (n.° 59).

17 É definido como tal pelo artigo 4.°, n.° 7, do RGPD. V., também, no que diz respeito à responsabilidade conjunta, Acórdão de 29 de julho de 2019, Fashion ID (C‑40/17, EU:C:2019:629, n.° 106).

18 Nesta fase, nem sempre é possível identificar o destinatário, pelo que o conceito de «categoria de destinatários» permite obter um consentimento mais abrangente.

19 A questão dos subcontratantes do Groupe Canal + que realizam, por sua conta, esta comercialização direta não está aqui em causa.

20 V. Acórdão de 18 de dezembro de 2025, Storstockholms Lokaltrafik (C‑422/24, a seguir «Acórdão Storstockholms Lokaltrafik», EU:C:2025:980, n.° 39). V. também, quanto ao âmbito de aplicação do artigo 14.° do RGPD, Acórdão de 28 de novembro de 2024, Másdi (C‑169/23, EU:C:2024:988, n.° 55).

21 V. Acórdão Storstockholms Lokaltrafik (n.° 39).

22 V. artigo 14.°, n.° 3, alínea a), do RGPD. V., também, Grupo de Trabalho do «Artigo 29.°», Orientações relativas à transparência na aceção do Regulamento (UE) n.° 2016/679, de 11 de abril de 2018, WP 260, rev. 01, n.° 28 (a seguir «Orientações relativas à transparência»), disponíveis no seguinte endereço: https://www.edpb.europa.eu/documents/guideline/article‑29‑working‑party‑guidelines‑on‑transparency‑under‑regulation‑2016679_fr.

23 V. artigo 14.°, n.° 3, alínea b), do RGPD.

24 V., quanto ao conceito de «comercialização direta», Acórdão de 25 de novembro de 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C‑102/20, EU:C:2021:954, n.° 47). V., também, quanto ao caráter abrangente do conceito de «comercialização direta», Grupo de Trabalho «Artigo 29.°», Parecer n.° 5/2004, de 27 de fevereiro de 2004, relativo às comunicações de comercialização direta não solicitadas nos termos do artigo 13.° da Diretiva 2002/58/CE, WP 90, ponto 3.3.

25 V. CEPD, Diretrizes 5/2020, de 4 de maio de 2020, relativas ao consentimento na aceção do Regulamento (UE) n.° 2016/679, versão 1.1, n.° 65, segundo o qual «se o consentimento pretendido puder ser invocado por múltiplos responsáveis (conjuntos) pelo tratamento ou se os dados puderem ser transferidos ou tratados por outros responsáveis pelo tratamento que pretendam invocar o consentimento original, estas organizações devem ser todas identificadas».

26 V., quanto a este método de interpretação do Tribunal de Justiça, nomeadamente, Acórdão Storstockholms Lokaltrafik (n.° 28 e jurisprudência aí referida).

27 V., a este respeito, observações feitas nos n.os 31 a 35 das presentes conclusões.

28 V. Acórdãos de 5 de maio de 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, n.os 64 a 66), e de 27 de outubro de 2022, Proximus (Listas eletrónicas públicas) (C‑129/21, EU:C:2022:833, n.os 48 a 50).

29 V. Acórdão de 27 de outubro de 2022, Proximus (Listas eletrónicas públicas) (C‑129/21, EU:C:2022:833, n.° 50).

30 O considerando 60 do RGPD prevê, nomeadamente, que o princípio do tratamento leal e transparente «[exige] que o titular dos dados seja informado da operação de tratamento de dados e das suas finalidades. O responsável pelo tratamento deverá fornecer ao titular as informações adicionais necessárias para assegurar um tratamento equitativo e transparente tendo em conta as circunstâncias e o contexto específicos em que os dados pessoais forem tratados. [...]». O considerando 61 deste regulamento precisa, nomeadamente, que «[a]s informações sobre o tratamento de dados pessoais relativos ao titular dos dados deverão ser‑lhe fornecidas no momento da sua recolha junto do titular dos dados ou, se os dados pessoais tiverem sido obtidos a partir de outra fonte, dentro de um prazo razoável, consoante as circunstâncias. Sempre que os dados pessoais forem suscetíveis de ser legitimamente comunicados a outro destinatário, o titular dos dados deverá ser informado aquando da primeira comunicação dos dados pessoais a esse destinatário. Sempre que o responsável pelo tratamento tiver a intenção de tratar os dados pessoais para outro fim que não aquele para o qual tenham sido recolhidos, antes desse tratamento o responsável pelo tratamento deverá fornecer ao titular dos dados informações sobre esse fim e outras informações necessárias.» (itálico nosso).

31 V., por analogia, Acórdão de 1 de outubro de 2015, Bara e o. (C‑201/14, EU:C:2015:638, n.° 34), no qual o Tribunal de Justiça sublinha que a exigência de tratamento leal dos dados pessoais obriga, por exemplo, uma Administração Pública a informar as pessoas visadas da transmissão desses dados a outra Administração Pública «com vista ao seu tratamento por esta última na sua qualidade de destinatária dos referidos dados» (itálico nosso). V., também, n.° 30 das Orientações relativas à transparência.

32 Com efeito, o artigo 15.° do RGPD desempenha um «papel funcional» e instrumental para o exercício de outras prerrogativas do titular dos dados previstas no RGPD [v. Conclusões do advogado‑geral Pitruzzella no processo Österreichische Post (Informações relativas aos destinatários dos dados pessoais) (C‑154/21, EU:C:2022:452, n.° 33); v., igualmente neste sentido, Acórdãos de 12 de janeiro de 2023, Österreichische Post (Informações relativas aos destinatários dos dados pessoais) (C‑154/21, EU:C:2023:3, n.os 38 e 39), bem como de 22 de junho de 2023, Pankki S (C‑579/21, EU:C:2023:501, n.° 58].

33 Alguns autores referiram‑se, assim, à transparência «passiva» por parte do responsável pelo tratamento no âmbito do artigo 15.° do RGPD, na medida em que o pedido incumbe ao titular dos dados [v. Zanfir‑Fortuna, G., «Article 15. Right of access by the data subject», em Kuner, C., Bygrave, L. A., Docksey, C. e Drechsler, L. (org.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, pág. 449 a 467]. O direito à informação está «no cerne do mecanismo de proteção», uma vez que o titular dos dados não pode exercer os seus direitos (e nomeadamente o direito de acesso previsto no artigo 15.° do RGPD) quando desconhece se é ou não objeto de tratamento (v. Castets‑Renard, C., «Titre 1 — Protection des données personnelles», em Droit du marché unique numérique et intelligence artificielle, Bruylant, Bruxelas, 2020, 1.ª ed., p. 221 a 300, em especial p. 270, n.° 341).

34 A deliberação da CNIL também refere esta possibilidade no seu n.° 27, onde menciona uma lista exaustiva e atualizada «disponibilizada às pessoas no momento da recolha do seu consentimento, por exemplo, diretamente no suporte de recolha ou, caso esta seja demasiado extensa, através de uma hiperligação que remeta para a referida lista e para as políticas de privacidade dos prestadores de serviços e fornecedores».

35 V., a este respeito, Conclusões do advogado‑geral Richard de la Tour no processo StWL Städtische Werke Lauf a.d. Pegnitz (C‑102/20, EU:C:2021:518, n.° 57).

36 V., nomeadamente, Ruschemeier, H., «Data Brokers and European Digital Legislation», EDPL, vol. 9, n.° 1, 2023, pág. 27 a 38.

37 Trata‑se, neste caso, do cansaço do utilizador que, devido ao excesso de solicitações, acaba por dar o seu consentimento de forma mecânica, sem refletir, ou, pelo contrário, por desistir de prosseguir com a utilização do site. V., a este respeito, nomeadamente, a iniciativa da Comissão intitulada «Compromisso contra os cookies» (Cookies Pledge), que visa, em particular, reduzir a necessidade de os consumidores aceitarem ou recusarem constantemente os cookies e outros rastreadores, disponível no seguinte endereço: https://commission.europa.eu/topics/consumers/consumer‑rights‑and‑complaints/enforcement‑consumer‑protection/cookie‑pledge_en.

38 Inspiro‑me aqui no n.° 49 do Relatório explicativo do Conselho da Europa sobre o protocolo de alteração à Convenção para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados Pessoais, de 10 de outubro de 2018, designada «Convenção 108+», de 18 de maio de 2018, no que diz respeito ao facto de, para determinar se as finalidades de um tratamento posterior são compatíveis com aquelas para as quais os dados pessoais foram inicialmente recolhidos, o responsável pelo tratamento, «após ter cumprido todos os requisitos relacionados com a licitude do tratamento inicial, deve ter em conta, designadamente: qualquer ligação entre essas finalidades e as finalidades do tratamento posterior previsto; o contexto em que os dados pessoais foram recolhidos, em particular as expectativas razoáveis dos titulares dos dados, em função da sua relação com o responsável pelo tratamento, quanto à utilização posterior dos referidos dados; a natureza dos dados pessoais; as consequências para os titulares dos dados decorrentes do tratamento posterior previsto; e a existência de garantias adequadas, tanto no âmbito do tratamento inicial como do tratamento posterior previsto» (o sublinhado é meu) (disponível no seguinte endereço: https://rm.coe.int/16808ac91b).

39 As reclamações que estiveram na origem do litígio no processo principal constituem prova disso.

40 V., a este respeito, Diretrizes sobre a transparência, em especial, quadro em anexo.

41 A comparação efetuada pelo Groupe Canal + entre o utilizador da Internet e o consumidor médio europeu, razoavelmente atento e informado, poderá revelar‑se pertinente [v., neste sentido, Conclusões do advogado‑geral Szpunar no processo Planet49 (C‑673/17, EU:C:2019:246, n.° 113); v. igualmente, quanto às interações entre a proteção dos dados pessoais e o direito do consumo, Conclusões do advogado‑geral Richard de la Tour no processo Meta Platforms Ireland (C‑319/20, EU:C:2021:979, n.os 80 e 81)], sublinhando‑se o elevado nível de proteção do consumidor face ao profissional.