Acórdão do Tribunal de Justiça da União Europeia
Processo C-416/23

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Primeira Secção)

9 de janeiro de 2025 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 57.°, n.° 1, alínea f), e n.° 4 — Atribuições da autoridade de controlo — Conceitos de “pedido” e de “pedidos excessivos” — Exigência de pagamento de uma taxa razoável ou indeferimento dos pedidos manifestamente infundados ou excessivos — Critérios passíveis de orientar a escolha da autoridade de controlo — artigo 77.°, n.° 1 — Conceito de “reclamação” »

No processo C‑416/23,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Verwaltungsgerichtshof (Supremo Tribunal Administrativo, Áustria), por Decisão de 27 de junho de 2023, que deu entrada no Tribunal de Justiça em 6 de julho de 2023, no processo

Österreichische Datenschutzbehörde

contra

F R,

sendo interveniente:

Bundesministerin für Justiz,

O TRIBUNAL DE JUSTIÇA (Primeira Secção),

composto por: T. von Danwitz, vice‑presidente do Tribunal de Justiça, exercendo funções de presidente da Primeira Secção, A. Kumin e I. Ziemele (relatora), juízes,

advogado‑geral: J. Richard de la Tour,

secretário: A. Calot Escobar,

vistos os autos,

vistas as observações apresentadas:

– em representação da Österreichische Datenschutzbehörde, por M. Schmidl, na qualidade de agente,

– em representação de F R, por C. Wirthensohn, Rechtsanwalt,

– em representação da Bundesministerin für Justiz, por E. Riedl, na qualidade de agente,

– em representação do Governo Austríaco, por A. Posch, J. Schmoll e C. Gabauer, na qualidade de agentes,

– em representação do Governo Checo, por M. Smolek, T. Suchá e J. Vláčil, na qualidade de agentes,

– em representação da Comissão Europeia, por A. Bouchagiar, F. Erlbacher e H. Kranenborg, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 5 de setembro de 2024,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 57.°, n.° 4, e do artigo 77.°, n.° 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe F R, um particular, à Österreichische Datenschutzbehörde (Autoridade de Proteção de Dados, Áustria) (a seguir «DSB») a respeito do indeferimento por esta última da reclamação apresentada contra uma alegada violação do direito de acesso de F R aos seus dados pessoais.

Quadro jurídico

Direito da União

3 Nos termos dos considerandos 10, 11, 59, 63 e 129 do RGPD:

«(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. [...]

(11) A proteção eficaz dos dados pessoais na União exige o reforço e a especificação dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados pessoais [...].

[...]

(59) Deverão ser previstas regras para facilitar o exercício pelo titular dos dados dos direitos que lhe são conferidos ao abrigo do presente regulamento, incluindo procedimentos para solicitar e, sendo caso disso, obter a título gratuito, em especial, o acesso a dados pessoais, a sua retificação ou o seu apagamento e o exercício do direito de oposição. [...]

[...]

(63) Os titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de […] tomar conhecimento do tratamento e verificar a sua licitude. [...] Quando o responsável proceder ao tratamento de grande quantidade de informação relativa ao titular dos dados, deverá poder solicitar que, antes de a informação ser fornecida, o titular especifique a que informações ou a que atividades de tratamento se refere o seu pedido.

[...]

(129) [...] Os poderes das autoridades de controlo deverão ser exercidos em conformidade com as garantias processuais adequadas previstas no direito da União e do Estado‑Membro, com imparcialidade, com equidade e num prazo razoável. Em particular, cada medida deverá ser adequada, necessária e proporcionada a fim de garantir a conformidade com o presente regulamento, tendo em conta as circunstâncias de cada caso concreto, respeitar o direito de todas as pessoas a serem ouvidas antes de ser tomada qualquer medida individual que as prejudique, e evitar custos supérfluos e inconvenientes excessivos para as pessoas em causa. [...]»

4 O artigo 12.° do RGPD, sob a epígrafe «Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados», enuncia, nos seus n.os 2 e 5:

«2. O responsável pelo tratamento facilita o exercício dos direitos do titular dos dados nos termos dos artigos 15.° a 22.° Nos casos a que se refere o artigo 11.°, n.° 2, o responsável pelo tratamento não pode recusar‑se a dar seguimento ao pedido do titular no sentido de exercer os seus direitos ao abrigo dos artigos 15.° a 22.°, exceto se demonstrar que não está em condições de identificar o titular dos dados.

[...]

5. As informações fornecidas nos termos dos artigos 13.° e 14.° e quaisquer comunicações e medidas tomadas nos termos dos artigos 15.° a 22.° e 34.° são fornecidas a título gratuito. Se os pedidos apresentados por um titular de dados forem manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo, o responsável pelo tratamento pode:

a) Exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do fornecimento das informações ou da comunicação, ou de tomada das medidas solicitadas; ou

b) Recusar‑se a dar seguimento ao pedido.

Cabe ao responsável pelo tratamento demonstrar o caráter manifestamente infundado ou excessivo do pedido.»

5 O artigo 15.° do RGPD, sob a epígrafe «Direito de acesso do titular dos dados», prevê, no seu n.° 1:

«O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:

a) As finalidades do tratamento dos dados;

[...]

c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados [...];

[...]»

6 O artigo 52.° do RGPD, sob a epígrafe «Independência», dispõe, no seu n.° 4:

«Os Estados‑Membros asseguram que cada autoridade de controlo disponha dos recursos humanos, técnicos e financeiros, instalações e infraestruturas necessários à prossecução eficaz das suas atribuições e ao exercício dos seus poderes, incluindo as executadas no contexto da assistência mútua, da cooperação e da participação no Comité.»

7 O artigo 57.° do RGPD, sob a epígrafe «Atribuições», tem a seguinte redação:

«1. Sem prejuízo de outras atribuições previstas nos termos do presente regulamento, cada autoridade de controlo, no território respetivo:

a) Controla e executa a aplicação do presente regulamento;

[...]

e) Se lhe for solicitado, presta informações a qualquer titular de dados sobre o exercício dos seus direitos nos termos do presente regulamento e, se necessário, coopera com as autoridades de controlo de outros Estados‑Membros para esse efeito;

f) Trata as reclamações apresentadas por qualquer titular de dados, ou organismo, organização ou associação nos termos do artigo 80.°, e investigar, na medida do necessário, o conteúdo da reclamação e informar o autor da reclamação do andamento e do resultado da investigação num prazo razoável, em especial se forem necessárias operações de investigação ou de coordenação complementares com outra autoridade de controlo;

[...]

2. As autoridades de controlo facilitam a apresentação das reclamações previstas no n.° 1, alínea f), tomando medidas como disponibilizar formulários de reclamação que possam também ser preenchidos eletronicamente, sem excluir outros meios de comunicação.

3. A prossecução das atribuições de cada autoridade de controlo é gratuita para o titular dos dados e, sendo caso disso, para o encarregado da proteção de dados.

4. Quando os pedidos forem manifestamente infundados ou excessivos, particularmente devido ao seu caráter recorrente, a autoridade de controlo pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou pode indeferi‑los. Cabe à autoridade de controlo demonstrar o caráter manifestamente infundado ou excessivo dos pedidos.»

8 O artigo 77.° do RGPD, sob a epígrafe «Direito de apresentar reclamação a uma autoridade de controlo», enuncia, no seu n.° 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo, em especial no Estado‑Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, se o titular dos dados considerar que o tratamento dos dados pessoais que lhe diga respeito viola o presente regulamento.»

Direito austríaco

9 O § 24 da Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Lei Federal relativa à Proteção das Pessoas Singulares em matéria de Tratamento de Dados Pessoais), de 17 de agosto de 1999 (BGBl. I, 165/1999), na sua versão aplicável aos factos no processo principal, sob a epígrafe «Reclamação à Autoridade de Proteção de Dados», enuncia, nos seus n.os 1, 5 e 8:

«O titulares dos dados tem direito a apresentar reclamação à Autoridade de Proteção de Dados se considerar que o tratamento dos dados pessoais que lhe diz respeito viola o RGPD, ou o artigo 1.° ou o artigo 2.°, primeira parte principal.

[...]

(5) As reclamações que se revelem fundadas devem ser deferidas. Caso se constate uma infração por uma entidade privada, deve ser‑lhe imposto o cumprimento dos pedidos formulados pelo reclamante, no sentido do acesso, da retificação, do apagamento, da limitação ou da transmissão de dados, na medida necessária à eliminação da infração que tiver sido verificada. As reclamações que não se revelem fundadas devem ser indeferidas.

[...]

(8) O titular dos dados pode recorrer ao Tribunal Administrativo se a Autoridade de Proteção de Dados não tratar a reclamação ou não o informar sobre o andamento ou o resultado da reclamação no prazo de três meses.»

Litígio no processo principal e questões prejudiciais

10 Em 17 de fevereiro de 2020, F R apresentou uma reclamação à DSB ao abrigo do artigo 77.°, n.° 1, do RGPD, por violação do artigo 15.° deste regulamento, com o fundamento de que uma sociedade, com a qualidade de responsável pelo tratamento, não tinha respondido ao seu pedido de acesso aos seus dados pessoais no prazo de um mês.

11 Por Decisão de 22 de abril de 2020, a DSB, com base no artigo 57.°, n.° 4, do RGPD, indeferiu a reclamação, por a considerar excessiva. A este respeito, indicou nomeadamente que, num intervalo de cerca de 20 meses, o interessado lhe tinha apresentado 77 reclamações semelhantes contra diferentes responsáveis pelo tratamento. Além disso, F R contactou regularmente a DSB por telefone para expor factos adicionais e apresentar pedidos suplementares.

12 F R impugnou esta decisão no Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria).

13 Por Acórdão de 22 de dezembro de 2022, este órgão jurisdicional julgou procedente a impugnação e anulou a decisão da DSB. Este órgão jurisdicional declarou, em substância, que o caráter excessivo de um pedido, na aceção do artigo 57.°, n.° 4, do RGPD, pressupõe não só uma repetição frequente dos pedidos, mas também um caráter manifestamente vexatório ou abusivo dos mesmos. Ora, os fundamentos apresentados pela DSB para indeferir a reclamação apresentada por F R não revelam o caráter abusivo do seu pedido. Por outro lado, de acordo com o mesmo órgão jurisdicional, a autoridade de controlo confrontada com pedidos excessivos não pode escolher, conforme a sua conveniência, entre as duas opções previstas nesta disposição, ou seja, exigir o pagamento de uma taxa razoável ou indeferir estes pedidos. A escolha entre estas duas opções decorre de uma margem de apreciação cujo exercício a autoridade de controlo deve justificar. Ora, essa fundamentação não existe no caso em apreço.

14 Chamado a pronunciar‑se pela DSB em sede de recurso de «Revision» desse acórdão, o Verwaltungsgerichtshof (Supremo Tribunal Administrativo, Áustria), que é o órgão jurisdicional de reenvio, interroga‑se, em primeiro lugar, sobre se o conceito de «pedido», referido no artigo 57.°, n.° 4, do RGPD, abrange as reclamações apresentadas ao abrigo do artigo 77.°, n.° 1, deste regulamento.

15 A este respeito, o órgão jurisdicional de reenvio salienta que é certo que, na enumeração das atribuições das autoridades de controlo que figura no artigo 57.°, n.° 1, do RGPD, o conceito de «[pedidos]» é utilizado exclusivamente na alínea e) desta disposição, para designar as solicitações de informação dirigidas pelos titulares dos dados a essas autoridades no que respeita ao exercício dos direitos que lhes são conferidos por este regulamento. Todavia, não se pode deduzir desta circunstância que o artigo 57.°, n.° 4, do referido regulamento só se pode aplicar ao tratamento desses pedidos. Pelo contrário, o contexto em que se inscreve esta última disposição, que estabelece uma exceção ao princípio da gratuitidade, permite antes concluir que o conceito de «pedido» a que se refere também abrange as reclamações, uma vez que o tratamento destas constitui a missão principal das autoridades de controlo e que é necessário dispensar estas autoridades do tratamento das reclamações manifestamente infundadas ou excessivas.

16 No entanto, de acordo com o órgão jurisdicional de reenvio, tal interpretação teria como consequência restringir a obrigação que incumbe às autoridades de controlo de tratar as reclamações, à luz do artigo 57.°, n.° 1, alínea f), do RGPD, e poderia estar em contradição com os objetivos prosseguidos por este regulamento, nomeadamente o de assegurar um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais na União.

17 Contudo, o órgão jurisdicional de reenvio considera que, se essa interpretação fosse acolhida, a limitação introduzida pelo artigo 57.°, n.° 4, do RGPD ao direito de apresentar uma reclamação seria proporcionada. Com efeito, a aplicação desta disposição pressupõe que a autoridade de controlo demonstre o caráter manifestamente infundado ou excessivo da reclamação. Além disso, a decisão dessa autoridade de exigir o pagamento de uma taxa razoável ou de indeferir a reclamação está sujeita à fiscalização jurisdicional prevista no artigo 78.°, n.° 1, deste regulamento.

18 Em segundo lugar, no caso de o artigo 57.°, n.° 4, do RGPD dever ser interpretado no sentido de que é aplicável às reclamações referidas no artigo 77.°, n.° 1, deste regulamento, o órgão jurisdicional de reenvio interroga‑se sobre o alcance do conceito de «pedido excessivo», na aceção do artigo 57.°, n.° 4, do referido regulamento. Em especial, esse órgão jurisdicional observa que, embora a referida disposição mencione expressamente, a título de exemplo de «pedidos excessivos», o caso dos pedidos «com caráter recorrente», não deixa de ser verdade que, enquanto exceção à obrigação de qualquer autoridade de controlo de tratar as reclamações, a possibilidade de recusar o tratamento de uma reclamação deve ser interpretada de forma estrita, uma vez que essa possibilidade conduziria a uma violação significativa da proteção prevista pelo RGPD para as pessoas singulares no que diz respeito ao tratamento de dados pessoais e se afastaria, assim, dos objetivos prosseguidos por este regulamento.

19 Neste contexto, o órgão jurisdicional de reenvio pretende saber se o número de reclamações apresentadas a uma autoridade de controlo durante um determinado período é suficiente para concluir que uma reclamação é excessiva, independentemente das circunstâncias específicas de cada uma dessas reclamações individuais e sem ter em conta os responsáveis pelo tratamento abrangidos pelas referidas reclamações, ou se há que ter em conta outras circunstâncias que permitam demonstrar a existência de uma intenção abusiva.

20 Em terceiro lugar, o órgão jurisdicional de reenvio considera que a aplicação do artigo 57.°, n.° 4, do RGPD também suscita questões quanto às consequências jurídicas a retirar em caso de pedidos manifestamente infundados ou excessivos. Com efeito, não resulta claramente da redação desta disposição se as autoridades de controlo são livres de escolher uma ou outra das duas opções nela previstas, ou seja, exigir o pagamento de uma taxa razoável para o tratamento da reclamação ou indeferi‑la imediatamente. O órgão jurisdicional de reenvio salienta que a doutrina está dividida a este respeito.

21 Foi nestas circunstâncias que o Verwaltungsgerichtshof (Supremo Tribunal Administrativo) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1. O conceito de “pedidos”, na aceção do artigo 57.°, n.° 4, do [RGPD], deve ser interpretado no sentido de abranger “reclamações”, na aceção do artigo 77.°, n.° 1, do RGPD?

Em caso de resposta afirmativa à primeira questão:

2. Deve o artigo 57.°, n.° 4, do RGPD ser interpretado no sentido de que basta, para que se verifiquem “pedidos excessivos”, que o titular de dados apresente dentro de um determinado período de tempo um determinado número de pedidos (in casu, reclamações, na aceção do artigo 77.°, n.° 1, do RGPD) a uma autoridade de controlo, independentemente de estarem em causa diferentes situações de facto e/ou de os pedidos (in casu, reclamações) se reportarem a diferentes responsáveis pelo tratamento, ou é necessário que, além do caráter recorrente dos pedidos (in casu, reclamações) se constate, ainda, existir intenção abusiva, por parte do titular de dados?

3) Deve o artigo 57.°, n.° 4, do RGPD ser interpretado no sentido de que a autoridade de controlo, perante pedidos (in casu, reclamações) “manifestamente infundados ou excessivos”, pode optar livremente entre, por um lado, exigir o pagamento de uma taxa razoável, tendo em conta os custos administrativos da tramitação, e, por outro, indeferi‑los liminarmente? Em caso negativo, quais são as circunstâncias e os critérios que a autoridade de controlo tem de tomar em consideração? Em particular, a autoridade de controlo tem a obrigação de dar prevalência à exigência de pagamento de uma taxa razoável, por se tratar de uma medida menos gravosa, sendo que só se a exigência de pagamento de taxa se revelar insuficiente como medida de combate aos pedidos (in casu, reclamações) manifestamente infundados ou excessivos, é que pode indeferir liminarmente o pedido?»

Quanto às questões prejudiciais

Quanto à primeira questão

22 Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta se o artigo 57.°, n.° 4, do RGPD deve ser interpretado no sentido de que o conceito de «pedidos», referido neste artigo, abrange as «reclamações» referidas no artigo 77.°, n.° 1, deste regulamento.

23 A título preliminar, há que salientar que o conceito de «reclamação» também figura no artigo 57.°, n.° 1, alínea f), do RGPD. Nestas circunstâncias, para dar uma resposta útil ao órgão jurisdicional de reenvio, há que considerar que, com a sua primeira questão, esse órgão jurisdicional pergunta, em substância, se o artigo 57.°, n.° 4, deste regulamento deve ser interpretado no sentido de que o conceito de «pedidos», que dele consta, abrange as «reclamações» mencionadas no artigo 57.°, n.° 1, alínea f), e no artigo 77.°, n.° 1, do referido regulamento.

24 Para interpretar uma disposição do direito da União, há que ter em conta não só os seus termos, de acordo com o seu sentido habitual na linguagem corrente, mas também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte [Acórdãos de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.° 19 e jurisprudência referida; de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 48 e jurisprudência referida; e de 30 de abril de 2024, Trade Express‑L e DEVNIA TSIMENT, C‑395/22 e C‑428/22, EU:C:2024:374, n.° 65 e jurisprudência referida].

25 No que respeita, em primeiro lugar, à redação do artigo 57.°, n.° 1, alínea f), do RGPD, este prevê que cada autoridade de controlo, no território respetivo «[t]rata as reclamações apresentadas por qualquer titular de dados […] e investiga[…], na medida do necessário, o conteúdo da reclamação e informa[…] o autor da reclamação do andamento e do resultado da investigação num prazo razoável, em especial se forem necessárias operações de investigação ou de coordenação complementares com outra autoridade de controlo».

26 Por seu turno, o artigo 57.°, n.° 4, do RGPD prevê que, «[q]uando os pedidos forem manifestamente infundados ou excessivos, particularmente devido ao seu caráter recorrente, a autoridade de controlo pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou pode indeferi‑los» e que «[c]abe à autoridade de controlo demonstrar o caráter manifestamente infundado ou excessivo dos pedidos».

27 No que diz respeito à redação do artigo 77.°, n.° 1, do RGPD, este dispõe que, «[s]em prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo, em especial no Estado‑Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, se o titular dos dados considerar que o tratamento dos dados pessoais que lhe diga respeito viola [este] regulamento».

28 Assim, nenhuma das disposições mencionadas nos n.os 25 a 27 do presente acórdão define expressamente o conceito de «pedidos», na aceção do artigo 57.°, n.° 4, do RGPD.

29 A este respeito, há que observar, como o advogado‑geral salientou no n.° 23 das suas conclusões, que, de acordo com o seu sentido habitual na linguagem corrente, o conceito de «pedidos», é particularmente amplo, uma vez que engloba potencialmente toda a solicitação formulada por uma pessoa ou entidade.

30 Há, portanto, que concluir que a redação das disposições referidas nos n.os 25 a 27 do presente acórdão permite considerar que as reclamações apresentadas ao abrigo do artigo 77.°, n.° 1, do RGPD estão abrangidas pelo conceito de «pedidos», na aceção do artigo 57.°, n.° 4, deste regulamento.

31 Em segundo lugar, esta análise textual é corroborada pelo contexto em que se inserem estas disposições. A este respeito, o artigo 57.° do RGPD descreve as atribuições das autoridades de controlo e estabelece as condições em que estas devem ser exercidas. Assim, em especial, este artigo 57.° prevê, primeiro, no seu n.° 1, alínea a), que cada autoridade controla e executa a aplicação desse regulamento, segundo, no seu n.° 1, alínea e), presta informações a qualquer titular de dados sobre o exercício dos seus direitos nos termos do referido regulamento e, se necessário, coopera com as autoridades de controlo de outros Estados‑Membros para esse efeito, e, terceiro, no seu n.° 2, facilitam a apresentação das reclamações previstas no n.° 1, alínea f), tomando medidas como disponibilizar formulários de reclamação que possam também ser preenchidos eletronicamente, sem excluir outros meios de comunicação.

32 Além disso, o artigo 57.°, n.° 3, do RGPD enuncia o princípio de que a prossecução das atribuições de cada autoridade de controlo é gratuita para o titular dos dados e, sendo caso disso, para o encarregado da proteção de dados.

33 Por conseguinte, ao prever a possibilidade de as autoridades de controlo, quando confrontadas com pedidos manifestamente infundados ou excessivos, exigirem o pagamento de uma taxa razoável tendo em conta os custos administrativos ou os indeferirem, o artigo 57.°, n.° 4, deste regulamento prevê uma exceção ao princípio da gratuidade consagrado no artigo 57.°, n.° 3, do referido regulamento, que deve ser interpretada de forma estrita.

34 Assim, como o advogado‑geral salientou, em substância, nos n.os 28 a 30 das suas conclusões, na medida em que o tratamento, pelas autoridades de controlo, dos pedidos que lhes são submetidos constitui a regra, essas autoridades só devem estar habilitadas a exercer a faculdade prevista no artigo 57.°, n.° 4, do RGPD em casos excecionais.

35 Ora, não se pode deduzir destas disposições que o artigo 57.°, n.° 4, do RGPD, ao utilizar o conceito de «pedidos», apenas deve ser aplicado aos pedidos a que se refere o artigo 57.°, n.° 1, alínea e), deste regulamento. Com efeito, o artigo 57.°, n.° 3, do referido regulamento aplica‑se a todas as atribuições das autoridades de controlo, incluindo o tratamento das reclamações, previsto no artigo 57.°, n.° 1, alínea f), do mesmo regulamento.

36 Neste contexto, o artigo 57.°, n.° 4, do RGPD, na medida em que prevê uma exceção ao princípio da gratuitidade das atribuições exercidas pelas autoridades de controlo, sem limitar esta exceção a certas atribuições específicas dessas autoridades de controlo, também deve aplicar‑se ao tratamento das reclamações previsto no artigo 57.°, n.° 1, alínea f), deste regulamento, tanto mais que esta última tarefa constitui uma atribuição essencial das referidas autoridades de controlo. Além disso, a autoridade de controlo em causa deve proceder ao tratamento destas reclamações com toda a diligência exigida [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 56 e jurisprudência referida].

37 Em contrapartida, uma interpretação segundo a qual o conceito de «pedidos» a que se refere o artigo 57.°, n.° 4, do RGPD só deve abranger os pedidos que integram o âmbito do artigo 57.°, n.° 1, alínea e), deste regulamento e não as reclamações a que se refere o artigo 57.°, n.° 1, alínea f), e o artigo 77.°, n.° 1, do mencionado regulamento privaria a primeira dessas disposições de grande parte do seu efeito útil e seria contrária à proteção efetiva dos direitos garantidos pelo mesmo regulamento (v., neste sentido, Acórdão de 12 de janeiro de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, n.° 47).

38 Em terceiro lugar, esta interpretação contextual está em conformidade com os objetivos do RGPD. A este respeito, importa salientar que este regulamento tem por finalidade, como indicam os seus considerandos 10 e 11, assegurar um nível de proteção coerente e elevado das pessoas singulares na União e o reforço e a especificação dos direitos dos titulares dos dados [Acórdão de 26 de outubro de 2023, FT (Cópias do registo clínico), C‑307/22, EU:C:2023:811, n.° 47].

39 Assim, o procedimento de reclamação é concebido como um mecanismo capaz de salvaguardar de maneira eficaz os direitos e interesses dos titulares dos dados [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 58 e jurisprudência referida]. A este respeito, a obrigação de as autoridades de controlo facilitarem o procedimento de reclamação e o princípio da gratuitidade das atribuições que lhes incumbem, previstos no artigo 57.°, n.os 2 e 3, do RGPD, destinam‑se a permitir que qualquer interessado possa exigir às autoridades de controlo o cumprimento dos direitos que para ele decorrem deste regulamento.

40 Neste contexto, como o advogado‑geral salientou no n.° 41 das suas conclusões, a prossecução do objetivo de assegurar um nível de proteção coerente e elevado das pessoas singulares na União exige que se garanta o bom funcionamento das autoridades de controlo, evitando que este seja dificultado com a apresentação de reclamações manifestamente infundadas ou excessivas, na aceção do artigo 57.°, n.° 4, do RGPD. Esta disposição oferece, assim, às autoridades de controlo a possibilidade de tratarem melhor essas reclamações, diminuindo o encargo que estas podem representar para as referidas autoridades. A este respeito, quando uma autoridade de controlo for confrontada com reclamações manifestamente infundadas ou excessivas, a possibilidade de exigir o pagamento de uma taxa razoável ou de indeferir essas reclamações pode assegurar um elevado nível de proteção dos dados pessoais.

41 Atendendo às considerações precedentes, há que responder à primeira questão que o artigo 57.°, n.° 4, do RGPD deve ser interpretado no sentido de que o conceito de «pedidos», referido neste artigo, inclui as reclamações mencionadas no artigo 57.°, n.° 1, alínea f), e no artigo 77.°, n.° 1, deste regulamento.

Quanto à segunda questão

42 Com a segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 57.°, n.° 4, do RGPD deve ser interpretado no sentido de que a mera circunstância de ter sido apresentado um grande número de pedidos pode bastar para que sejam qualificados de «excessivos», na aceção desta disposição, ou, por outro lado, se essa qualificação pressupõe uma intenção abusiva por parte da pessoa que apresentou esses pedidos.

43 A este respeito, em primeiro lugar, não havendo uma definição do conceito de «pedidos excessivos» no RGPD, há que fazer referência, à luz da jurisprudência recordada no n.° 24 do presente acórdão, ao sentido habitual deste conceito na linguagem corrente. Ora, o adjetivo «excessivo» designa algo que excede o que é considerado normal ou razoável, ou que ultrapassa o que é desejável ou permitido.

44 Em segundo lugar, resulta da redação do artigo 57.°, n.° 4, do RGPD que os pedidos são suscetíveis de ser «excessivos» nomeadamente quando apresentam um caráter repetitivo. Contudo, a interpretação literal desta disposição não permite determinar se esse caráter repetitivo e, por conseguinte, o simples número de pedidos apresentados são suficientes para justificar essa qualificação. Assim, tendo em conta esta jurisprudência, há que analisar o alcance da referida disposição à luz do contexto em que se insere e dos objetivos prosseguidos pela regulamentação de que faz parte.

45 No que diz respeito ao contexto, importa recordar, primeiro, que o artigo 12.° do RGPD enuncia obrigações de caráter geral que incumbem ao responsável pelo tratamento no que toca à transparência das informações e das comunicações, bem como as regras para o exercício dos direitos dos titulares dos dados. Nos termos do segundo parágrafo, primeiro período, deste artigo, o responsável pelo tratamento deve facilitar o exercício dos direitos do titular dos dados nos termos dos artigos 15.° a 22.° do referido regulamento.

46 Segundo, o artigo 15.° do RGPD, que faz parte da secção 2 do seu capítulo III, que trata da informação e acesso aos dados pessoais, completa o quadro de transparência estabelecido por este regulamento, ao conceder ao titular dos dados um direito de acesso aos seus dados pessoais e um direito de informação sobre o tratamento dos mesmos.

47 Este artigo 15.° do RGPD deve ser lido à luz do considerando 63, primeiro período, deste regulamento, segundo o qual os titulares de dados deverão ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de tomar conhecimento do tratamento e verificar a sua licitude. A este respeito, se essa pessoa tiver apresentado vários pedidos de acesso a um ou vários responsáveis pelo tratamento sem ter obtido resposta, o número de reclamações apresentadas à autoridade de controlo pode ser semelhante ao número de indeferimentos opostos por esses responsáveis pelo tratamento à referida pessoa. Nestas circunstâncias, a fixação de um limiar quantitativo absoluto, além do qual as referidas reclamações poderiam automaticamente ser qualificadas de excessivas poderia violar os direitos garantidos pelo referido regulamento.

48 A este respeito, como referido nos n.os 33, 34 e 36 do presente acórdão, o exercício da faculdade prevista no artigo 57.°, n.° 4, do RGPD, uma vez que constitui uma exceção ao princípio da gratuitidade das atribuições prosseguidas pelas autoridades de controlo, referido no artigo 57.°, n.° 3, deste regulamento, deve, portanto, ser excecional [v., por analogia, Acórdãos de 5 de abril de 2022, Commissioner of An Garda Síochána e o., C‑140/20, EU:C:2022:258, n.° 40, e de 8 de novembro de 2022, Deutsche Umwelthilfe (Homologação de veículos a motor), C‑873/19, EU:C:2022:857, n.° 87 e jurisprudência referida]. Só pode intervir em caso de abuso de direito [v., por analogia, Acórdão de 26 de outubro de 2023, FT (Cópias do registo clínico), C‑307/22, EU:C:2023:811, n.° 31], sem que o número de reclamações apresentadas possa, por si só, constituir um critério suficiente para demonstrar a existência desse abuso.

49 Com efeito, o artigo 57.°, n.° 4, do RGPD está de acordo com a jurisprudência constante do Tribunal de Justiça segundo a qual existe, no direito da União, um princípio geral de direito nos termos do qual os litigantes não podem invocar de maneira fraudulenta ou abusiva as normas do direito da União (Acórdão de 21 de dezembro de 2023, BMW Bank e o., C‑38/21, C‑47/21 e C‑232/21, EU:C:2023:1014, n.° 281 e jurisprudência referida).

50 Neste contexto, quando a autoridade de controlo pretende fazer uso da faculdade prevista no artigo 57.°, n.° 4, do RGPD, deve demonstrar, perante o conjunto das circunstâncias pertinentes de cada caso, a existência de uma intenção abusiva por parte do titular dos dados, não sendo suficiente, por si só, o número de reclamações apresentadas por este titular. Ora, a existência de uma intenção abusiva pode ser declarada quando uma pessoa apresenta reclamações sem que isso seja objetivamente necessário para a proteção dos direitos que lhe são conferidos por esse regulamento.

51 A este respeito, importa ainda recordar que, nos termos do artigo 52.°, n.° 4, do RGPD, os Estados‑Membros devem assegurar que cada autoridade de controlo disponha dos recursos humanos, técnicos e financeiros, instalações e infraestruturas necessários à prossecução eficaz das suas atribuições e ao exercício dos seus poderes. Daqui resulta que esses recursos devem ser adaptados à utilização que os titulares fazem do seu direito de apresentar reclamações às autoridades de controlo.

52 Assim, compete aos Estados‑Membros fornecer às autoridades de controlo os meios adequados ao tratamento de todas as reclamações que lhes são apresentadas, eventualmente aumentando esses meios por forma a adaptá‑los à utilização que os titulares fazem do direito, que lhes cabe, de apresentar reclamações ao abrigo do artigo 77.°, n.° 1, do RGPD. Por conseguinte, uma autoridade de controlo não pode invocar, para indeferir uma reclamação ao abrigo do artigo 57.°, n.° 4, deste regulamento, o facto de uma pessoa que apresenta um número de reclamações claramente superior ao número médio de reclamações apresentadas por cada titular dos dados mobilizar um grande número de recursos dessa autoridade, em detrimento do tratamento de reclamações apresentadas por outras pessoas.

53 Além disso, como o advogado‑geral salientou no n.° 76 das suas conclusões, as reclamações apresentadas ao abrigo do artigo 77.°, n.° 1, do RGPD desempenham um papel importante no conhecimento que as autoridades de controlo podem ter de violações dos direitos protegidos por este regulamento. Estas reclamações contribuem, portanto, de forma significativa, para garantir um nível coerente e elevado de proteção das pessoas na União, bem como para reforçar e tornar mais precisos os direitos dessas pessoas, na aceção dos considerandos 10 e 11 do referido regulamento.

54 Consequentemente, permitir que as autoridades de controlo determinem o caráter excessivo das reclamações simplesmente pelo facto de o seu número ser elevado poderia comprometer a realização deste objetivo. Com efeito, um número elevado de reclamações pode ser a consequência direta de um número elevado de falta de respostas ou de indeferimentos, por parte de um ou diversos responsáveis pelo tratamento, dos pedidos de acesso apresentados por uma pessoa para proteger os seus direitos.

55 A este respeito, a consideração apenas do número de reclamações pode levar a uma violação arbitrária dos direitos que o RGPD confere ao titular dos dados, pelo que a declaração da existência de pedidos excessivos, na aceção do artigo 57.°, n.° 4, deste regulamento, deve estar subordinada à demonstração de uma intenção abusiva por parte da pessoa que apresenta essas reclamações.

56 Com base nas circunstâncias próprias de cada caso, cabe, portanto, à autoridade de controlo, à qual foi submetido um número significativo de reclamações, demonstrar que esse número não se deve à vontade do titular dos dados de obter a proteção dos direitos que lhe são conferidos pelo RGPD, mas a outra finalidade, não relacionada com essa proteção. É o que sucede, em especial, quando essas circunstâncias revelam que o número de reclamações tem por objetivo entravar o bom funcionamento dessa autoridade através da mobilização abusiva dos seus recursos.

57 A este respeito, a multiplicação das reclamações apresentadas por um titular de dados pode ser um indício da existência de pedidos excessivos quando se afigure que essas reclamações não são objetivamente justificadas por considerações relativas à proteção dos direitos conferidos pelo RGPD a essa pessoa. Pode ser esse o caso, por exemplo, quando uma pessoa apresenta um número tão elevado de reclamações a uma autoridade de controlo, tendo em vista uma multitude de responsáveis pelo tratamento com os quais não tem necessariamente relação, que esse recurso desmesurado ao seu direito de apresentar reclamações demonstra, em conjugação com outros elementos, tais como o conteúdo dessas reclamações, a sua intenção de paralisar o funcionamento dessa autoridade, saturando‑a com pedidos.

58 No caso em apreço, incumbe ao órgão jurisdicional de reenvio verificar se a DSB demonstrou a existência de uma intenção abusiva por parte do titular dos dados, sem que o número das suas reclamações possa, por si só, justificar o exercício da faculdade prevista no artigo 57.°, n.° 4, do RGPD.

59 Tendo em conta as considerações precedentes, há que responder à segunda questão que o artigo 57.°, n.° 4, do RGPD deve ser interpretado no sentido de que os pedidos não podem ser qualificados de «excessivos», na aceção desta disposição, apenas devido ao seu número durante um determinado período, estando o exercício da faculdade prevista na referida disposição sujeito à demonstração, pela autoridade de controlo, da existência de uma intenção abusiva por parte da pessoa que apresentou esses pedidos.

Quanto à terceira questão

60 Com a sua terceira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 57.°, n.° 4, do RGPD deve ser interpretado no sentido de que a autoridade de controlo, quando confrontada com pedidos excessivos, é livre de optar entre exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou indeferi‑los.

61 No que diz respeito, em primeiro lugar, à redação do artigo 57.°, n.° 4, do RGPD, há que observar que as duas opções aí previstas em caso de pedidos excessivos, a saber, exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou indeferi estes pedidos estão enumeradas de forma sucessiva e separadas pela conjunção coordenativa «ou», sem que seja possível deduzir da formulação escolhida uma ordem de prioridade entre ambas as opções [v., por analogia, Acórdão de 12 de janeiro de 2023, Österreichische Post (Informações relativas aos destinatários de dados pessoais), C‑154/21, EU:C:2023:3, n.° 31)].

62 Assim, os termos desta disposição parecem militar a favor de uma interpretação segundo a qual esta autoridade, após ter constatado o caráter excessivo dos pedidos que lhe são submetidos, é livre de escolher uma ou outra das referidas opções.

63 Quanto, em segundo lugar, ao contexto em que se inscreve o artigo 57.°, n.° 4, do RGPD, importa recordar que o considerando 59 deste regulamento enuncia que «[d]everão ser previstas regras para facilitar o exercício pelo titular dos dados dos direitos que lhe são conferidos ao abrigo do presente regulamento, incluindo procedimentos para solicitar e, sendo caso disso, obter a título gratuito, em especial, o acesso a dados pessoais, a sua retificação ou o seu apagamento e o exercício do direito de oposição». Assim, daqui resulta que é possível optar por uma destas duas opções, desde que o exercício efetivo do direito de apresentar reclamações esteja em qualquer caso assegurado.

64 Em terceiro lugar, a interpretação mencionada no n.° 62 do presente acórdão é conforme com os objetivos prosseguidos pelo RGPD.

65 A este respeito, importa recordar que este regulamento tem por finalidade, como indicam os seus considerandos 10 e 11, assegurar um nível de proteção coerente e elevado das pessoas singulares na União e o reforço e a especificação dos direitos dos titulares dos dados [Acórdão de 26 de outubro de 2023, FT (Cópias do registo clínico), C‑307/22, EU:C:2023:811, n.° 47].

66 Além disso, resulta do considerando 129 do referido regulamento que a autoridade de controlo é obrigada a apreciar o caráter manifestamente infundado ou excessivo de tal pedido de forma imparcial e equitativa e a assegurar que a sua escolha seja adequada, necessária e proporcionada, atendendo às circunstâncias pertinentes e evitando custos supérfluos e inconvenientes excessivos para a pessoa em causa.

67 Por conseguinte, tendo em conta a importância que reveste o direito de apresentar reclamações face ao objetivo de garantir um elevado nível de proteção dos dados pessoais, o papel fundamental que o tratamento dessas reclamações ocupa entre as atribuições confiadas às autoridades de controlo e a obrigação que incumbe a essas autoridades de proceder ao tratamento das referidas reclamações com toda a diligência necessária, cabe às referidas autoridades terem em conta todas as circunstâncias pertinentes e certificarem‑se de que a opção escolhida é adequada, necessária e proporcionada.

68 A este respeito, uma autoridade de controlo pode considerar adequado, em função das circunstâncias pertinentes e para pôr termo a uma prática abusiva suscetível de prejudicar o seu bom funcionamento, exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos resultantes da sobrecarga de trabalho causada por reclamações excessivas. Com efeito, o efeito dissuasor desta opção poderia levar essa autoridade a preferi‑la em vez de indeferir imediatamente essas reclamações.

69 Assim, à luz do considerando 129 do RGPD, as autoridades de controlo podem ponderar exigir, num primeiro momento, o pagamento de uma taxa razoável tendo em conta os custos administrativos antes de indeferir, num segundo momento, as reclamações, uma vez que a primeira destas medidas é menos prejudicial para os direitos conferidos pelo presente regulamento aos titulares dos dados do que a segunda. Contudo, o artigo 57.°, n.° 4, do referido regulamento não obriga a autoridade de controlo a recorrer em primeiro lugar, em todos os casos, à opção que consiste em exigir o pagamento de uma taxa razoável.

70 Atendendo às considerações precedentes, há que responder à terceira questão que o artigo 57.°, n.° 4, do RGPD deve ser interpretado no sentido de que a autoridade de controlo, quando confrontada com pedidos excessivos, pode, mediante decisão fundamentada, escolher entre exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou indeferir esses pedidos, tomando em consideração o conjunto das circunstâncias pertinentes e assegurando que a opção escolhida é adequada, necessária e proporcionada.

Quanto às despesas

71 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:

1) O artigo 57.°, n.° 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que:

o conceito de «pedidos», referido neste artigo, inclui as reclamações mencionadas no artigo 57.°, n.° 1, alínea f), e no artigo 77.°, n.° 1, deste regulamento.

2) O artigo 57.°, n.° 4, do Regulamento 2016/679

deve ser interpretado no sentido de que:

os pedidos não podem ser qualificados de «excessivos», na aceção do artigo 57.°, n.° 4, deste regulamento, apenas devido ao seu número durante um determinado período, estando o exercício da faculdade prevista nesta disposição sujeito à demonstração, pela autoridade de controlo, da existência de uma intenção abusiva por parte da pessoa que apresentou esses pedidos.

3) O artigo 57.°, n.° 4, do Regulamento 2016/679

deve ser interpretado no sentido de que:

a autoridade de controlo, quando confrontada com pedidos excessivos, pode, mediante decisão fundamentada, escolher entre exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou indeferir esses pedidos, tomando em consideração o conjunto das circunstâncias pertinentes e assegurando que a opção escolhida é adequada, necessária e proporcionada.

Assinaturas

* Língua do processo: alemão.