Acórdão do Tribunal de Justiça da União Europeia
Processo C-484/24

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Quinta Secção)

18 de junho de 2026 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 5.°, n.° 1, alínea e) — Limitação da conservação — Artigo 6.°, n.° 1, primeiro parágrafo, alínea e) — Licitude do tratamento desses dados relativos a um contrato de trabalho no âmbito de um processo judicial — Artigo 17.°, n.° 3, alínea e) — Inexistência de obrigação de apagar esses dados quando o tratamento for necessário para a declaração, o exercício ou a defesa de direitos num processo judicial — Dados recolhidos pelo empregador para provar um incumprimento grave das obrigações por parte do trabalhador — Utilização de provas obtidas ilicitamente »

No processo C‑484/24,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Landesarbeitsgericht Niedersachsen (Tribunal Superior do Trabalho da Baixa Saxónia, Alemanha), por Decisão de 8 de maio de 2024, que deu entrada no Tribunal de Justiça em 10 de julho de 2024, no processo

NTH Haustechnik GmbH

contra

EM,

O TRIBUNAL DE JUSTIÇA (Quinta Secção),

composto por: M. L. Arastey Sahún, presidente de secção, J. Passer, E. Regan (relator), D. Gratsias e B. Smulders, juízes,

advogado‑geral: D. Spielmann,

secretário: G. Chiapponi, administrador,

vistos os autos e após a audiência de 2 de julho de 2025,

vistas as observações apresentadas:

– em representação do Governo Alemão, por J. Möller e P.‑L. Krüger, na qualidade de agentes,

– em representação do Governo Húngaro, por M. Z. Fehér, K. Szíjjártó e Zs. Biró‑Tóth, na qualidade de agentes,

– em representação do Governo Finlandês, por A. Laine e H. Leppo, na qualidade de agentes,

– em representação da Comissão Europeia, por A. Bouchagiar, F. Erlbacher e H. Kranenborg, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 16 de outubro de 2025,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação dos artigos 5.°, 6.°, 9.°, 13.° e 17.° do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe a NTH Haustechnik GmbH (a seguir «NTH») à sua antiga trabalhadora EM a respeito da indemnização por dano sofrido por esta sociedade devido à venda em linha não autorizada de bens pertencentes a esta sociedade.

Quadro jurídico

Direito da União

3 Os considerandos 1, 2, 4, 7, 10, 20, 39 e 41 do RGPD dispõem:

«(1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia ([a seguir] «Carta») e o artigo 16.°, n.° 1, [TFUE] estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

(2) Os princípios e as regras em matéria de proteção das pessoas singulares relativamente ao tratamento dos seus dados pessoais deverão respeitar, independentemente da nacionalidade ou do local de residência dessas pessoas, os seus direitos e liberdades fundamentais, nomeadamente o direito à proteção dos dados pessoais. O presente regulamento tem como objetivo contribuir para a realização de um espaço de liberdade, segurança e justiça e de uma união económica, para o progresso económico e social, a consolidação e a convergência das economias a nível do mercado interno e para o bem‑estar das pessoas singulares.

[...]

(4) O tratamento dos dados pessoais deverá ser concebido para servir as pessoas. O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdade e os princípios reconhecidos na Carta, consagrados nos Tratados, nomeadamente o respeito pela vida privada e familiar, pelo domicílio e pelas comunicações, a proteção dos dados pessoais, a liberdade de pensamento, de consciência e de religião, a liberdade de expressão e de informação, a liberdade de empresa, o direito à ação e a um tribunal imparcial, e a diversidade cultural, religiosa e linguística.

[...]

(7) Esta evolução exige um quadro de proteção de dados sólido e mais coerente na União [Europeia], apoiado por uma aplicação rigorosa das regras, pois é importante gerar a confiança necessária ao desenvolvimento da economia digital no conjunto do mercado interno. As pessoas singulares deverão poder controlar a utilização que é feita dos seus dados pessoais. Deverá ser reforçada a segurança jurídica e a segurança prática para as pessoas singulares, os operadores económicos e as autoridades públicas.

[...]

(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. No que diz respeito ao tratamento de dados pessoais para cumprimento de uma obrigação jurídica, para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento, os Estados‑Membros deverão poder manter ou aprovar disposições nacionais para especificar a aplicação das regras do presente regulamento. Em conjugação com a legislação geral e horizontal sobre proteção de dados que dá aplicação à Diretiva 95/46/CE [do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31)], os Estados‑Membros dispõem de várias leis setoriais em domínios que necessitam de disposições mais específicas. O presente regulamento também dá aos Estados‑Membros margem de manobra para especificarem as suas regras, inclusive em matéria de tratamento de categorias especiais de dados pessoais [...]. Nessa medida, o presente regulamento não exclui o direito dos Estados‑Membros que define as circunstâncias de situações específicas de tratamento, incluindo a determinação mais precisa das condições em que é lícito o tratamento de dados pessoais.

[...]

(20) Na medida em que o presente regulamento é igualmente aplicável, entre outras, às atividades dos tribunais e de outras autoridades judiciais, poderá determinar‑se no direito da União ou dos Estados‑Membros quais as operações e os procedimentos a seguir pelos tribunais e outras autoridades judiciais para o tratamento de dados pessoais. A competência das autoridades de controlo não abrange o tratamento de dados pessoais efetuado pelos tribunais no exercício da sua função jurisdicional, a fim de assegurar a independência do poder judicial no exercício da sua função jurisdicional, nomeadamente a tomada de decisões. Deverá ser possível confiar o controlo de tais operações de tratamento de dados a organismos específicos no âmbito do sistema judicial do Estado‑Membro, que deverão, nomeadamente, assegurar o cumprimento das regras do presente regulamento, reforçar a sensibilização os membros do poder judicial para as obrigações que lhe são impostas pelo presente regulamento e tratar reclamações relativas às operações de tratamento dos dados.

[...]

(39) O tratamento de dados pessoais deverá ser efetuado de forma lícita e equitativa. Deverá ser transparente para as pessoas singulares que os dados pessoais que lhes dizem respeito são recolhidos, utilizados, consultados ou sujeitos a qualquer outro tipo de tratamento e a medida em que os dados pessoais são ou virão a ser tratados. O princípio da transparência exige que as informações ou comunicações relacionadas com o tratamento desses dados pessoais sejam de fácil acesso e compreensão, e formuladas numa linguagem clara e simples. Esse princípio diz respeito, em particular, às informações fornecidas aos titulares dos dados sobre a identidade do responsável pelo tratamento dos mesmos e os fins a que o tratamento se destina, bem como às informações que se destinam a assegurar que seja efetuado com equidade e transparência para com as pessoas singulares em causa, bem como a salvaguardar o seu direito a obter a confirmação e a comunicação dos dados pessoais que lhes dizem respeito que estão a ser tratados. As pessoas singulares a quem os dados dizem respeito deverão ser alertadas para os riscos, regras, garantias e direitos associados ao tratamento dos dados pessoais e para os meios de que dispõem para exercer os seus direitos relativamente a esse tratamento. Em especial, as finalidades específicas do tratamento dos dados pessoais deverão ser explícitas e legítimas e ser determinadas aquando da recolha dos dados pessoais. Os dados pessoais deverão ser adequados, pertinentes e limitados ao necessário para os efeitos para os quais são tratados. Para isso, é necessário assegurar que o prazo de conservação dos dados seja limitado ao mínimo. Os dados pessoais apenas deverão ser tratados se a finalidade do tratamento não puder ser atingida de forma razoável por outros meios. [...]

[...]

(41) Caso o presente regulamento se refira a um fundamento jurídico ou a uma medida legislativa, não se trata necessariamente de um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. No entanto, esse fundamento jurídico ou essa medida legislativa deverão ser claros e precisos e a sua aplicação deverá ser previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça da União Europeia [...] e pelo Tribunal Europeu dos Direitos do Homem.»

4 O artigo 1.° do RGPD, sob a epígrafe «Objeto e objetivos», dispõe:

«1. O presente regulamento estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

2. O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.

3. A livre circulação de dados pessoais no interior da União não é restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais.»

5 O artigo 2.° do RGPD, sob a epígrafe «Âmbito de aplicação material», prevê, nos seus n.os 1 e 2:

«1. O presente regulamento aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

2. O presente regulamento não se aplica ao tratamento de dados pessoais:

a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União;

b) Efetuado pelos Estados‑Membros no exercício de atividades abrangidas pelo âmbito de aplicação do título V, capítulo 2, do TUE;

c) Efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas;

d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.»

6 O artigo 4.° do RGPD, sob a epígrafe «Definição», dispõe:

«Para efeitos do presente regulamento, entende‑se por:

[...]

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

6) “Ficheiro”, qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;

[...]»

7 O capítulo II do RGPD, intitulado «Princípios», inclui os artigos 5.° a 11.° do mesmo.

8 O artigo 5.° do RGPD, intitulado «Princípios relativos ao tratamento de dados pessoais», dispõe, no seu n.° 1.°

«1. Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; o tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais, em conformidade com o artigo 89.°, n.° 1 (“limitação das finalidades”);

c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

[...]

e) Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.°, n.° 1, sujeitos à aplicação das medidas técnicas e organizativas adequadas exigidas pelo presente regulamento, a fim de salvaguardar os direitos e liberdades do titular dos dados (“limitação da conservação”);

[...]»

9 O artigo 6.° do RGPD, sob a epígrafe «Licitude do tratamento», dispõe:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

d) O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;

e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;

f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.

2. Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.° 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.

3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:

a) Pelo direito da União; ou

b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.° 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações específicas de tratamento em conformidade com o capítulo IX. O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

4. Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.°, n.° 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em conta:

a) Qualquer ligação entre a finalidade para a qual os dados pessoais foram recolhidos e a finalidade do tratamento posterior;

b) O contexto em que os dados pessoais foram recolhidos, em particular no que respeita à relação entre os titulares dos dados e o responsável pelo seu tratamento;

c) A natureza dos dados pessoais, em especial se as categorias especiais de dados pessoais forem tratadas nos termos do artigo 9.°, ou se os dados pessoais relacionados com condenações penais e infrações forem tratados nos termos do artigo 10.°;

d) As eventuais consequências do tratamento posterior pretendido para os titulares dos dados;

e) A existência de salvaguardas adequadas, que podem ser a cifragem ou a pseudonimização.»

10 O artigo 9.° do RGPD, sob a epígrafe «Tratamento de categorias especiais de dados pessoais», prevê:

«1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

2. O disposto no n.° 1 não se aplica se se verificar um dos seguintes casos:

[...]

f) Se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial ou sempre que os tribunais atuem no exercício da suas função jurisdicional;

[...]

3. Os dados pessoais referidos no n.° 1 podem ser tratados para os fins referidos no n.° 2, alínea h), se os dados forem tratados por ou sob a responsabilidade de um profissional sujeito à obrigação de sigilo profissional, nos termos do direito da União ou dos Estados‑Membros ou de regulamentação estabelecida pelas autoridades nacionais competentes, ou por outra pessoa igualmente sujeita a uma obrigação de confidencialidade ao abrigo do direito da União ou dos Estados‑Membros ou de regulamentação estabelecida pelas autoridades nacionais competentes.

4. Os Estados‑Membros podem manter ou impor novas condições, incluindo limitações, no que respeita ao tratamento de dados genéticos, dados biométricos ou dados relativos à saúde.»

11 O capítulo III do RGPD, intitulado «Direitos do titular dos dados», inclui os artigos 12.° a 23.° do mesmo.

12 O artigo 13.° do RGPD, sob a epígrafe «Informações a facultar quando os dados pessoais são recolhidos junto do titular», dispõe:

«1. Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:

a) A identidade e os contactos do responsável pelo tratamento e, se for caso disso, do seu representante;

b) Se for aplicável, os contactos do encarregado da proteção de dados;

c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;

d) Se o tratamento dos dados se basear no artigo 6.°, n.° 1, alínea f), os interesses legítimos do responsável pelo tratamento ou de um terceiro;

e) Os destinatários ou categorias de destinatários dos dados pessoais, se os houver;

f) Se for caso disso, o facto de o responsável pelo tratamento tencionar transferir dados pessoais para um país terceiro ou uma organização internacional, e a existência ou não de uma decisão de adequação adotada pela Comissão ou, no caso das transferências mencionadas nos artigos 46.° ou 47.°, ou no artigo 49.°, n.° 1, segundo parágrafo, a referência às garantias apropriadas ou adequadas e aos meios de obter cópia das mesmas, ou onde foram disponibilizadas.

2. Para além das informações referidas no n.° 1, aquando da recolha dos dados pessoais, o responsável pelo tratamento fornece ao titular as seguintes informações adicionais, necessárias para garantir um tratamento equitativo e transparente:

a) Prazo de conservação dos dados pessoais ou, se não for possível, os critérios usados para definir esse prazo;

b) A existência do direito de solicitar ao responsável pelo tratamento acesso aos dados pessoais que lhe digam respeito, bem como a sua retificação ou o seu apagamento, e a limitação do tratamento no que disser respeito ao titular dos dados, ou do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados;

c) Se o tratamento dos dados se basear no artigo 6.°, n.° 1, alínea a), ou no artigo 9.°, n.° 2, alínea a), a existência do direito de retirar consentimento em qualquer altura, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado;

d) O direito de apresentar reclamação a uma autoridade de controlo;

e) Se a comunicação de dados pessoais constitui ou não uma obrigação legal ou contratual, ou um requisito necessário para celebrar um contrato, bem como se o titular está obrigado a fornecer os dados pessoais e as eventuais consequências de não fornecer esses dados;

f) A existência de decisões automatizadas, incluindo a definição de perfis, referida no artigo 22.°, n.os 1 e 4, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.

3. Quando o responsável pelo tratamento pessoais tiver a intenção de proceder ao tratamento posterior dos dados pessoais para um fim que não seja aquele para o qual os dados tenham sido recolhidos, antes desse tratamento o responsável fornece ao titular dos dados informações sobre esse fim e quaisquer outras informações pertinentes, nos termos do n.° 2.

4. Os n.os 1, 2 e 3 não se aplicam quando e na medida em que o titular dos dados já tiver conhecimento das informações.»

13 O artigo 17.° do RGPD, sob a epígrafe «Direito ao apagamento dos dados (“direito a ser esquecido”)», prevê:

«1. O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos:

[...]

b) O titular retira o consentimento em que se baseia o tratamento dos dados nos termos do artigo 6.°, n.° 1, alínea a), ou do artigo 9.°, n.° 2, alínea a) e se não existir outro fundamento jurídico para o referido tratamento;

[...]

d) Os dados pessoais foram tratados ilicitamente;

[...]

3. Os n.os 1 e 2 não se aplicam na medida em que o tratamento se revele necessário:

[...]

e) Para efeitos de declaração, exercício ou defesa de um direito num processo judicial.»

14 O artigo 23.° do RGPD, sob a epígrafe «Limitações», dispõe:

«1. O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.° a 22.° e no artigo 34.°, bem como no artigo 5.°, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.° a 22.°, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente:

[...]

e) Outros objetivos importantes do interesse público geral da União ou de um Estado‑Membro [...]

f) A defesa da independência judiciária e dos processos judiciais;

[...]

i) A defesa do titular dos dados ou dos direitos e liberdades de outrem;

j) A execução de ações cíveis.

2. Em especial, as medidas legislativas referidas no n.° 1 incluem, quando for relevante, disposições explícitas relativas, pelo menos:

a) Às finalidades do tratamento ou às diferentes categorias de tratamento;

b) Às categorias de dados pessoais;

c) Ao alcance das limitações impostas;

d) Às garantias para evitar o abuso ou o acesso ou transferência ilícitos;

e) À especificação do responsável pelo tratamento ou às categorias de responsáveis pelo tratamento;

f) Aos prazos de conservação e às garantias aplicáveis, tendo em conta a natureza, o âmbito e os objetivos do tratamento ou das categorias de tratamento;

g) Aos riscos específicos para os direitos e liberdades dos titulares dos dados; e

h) Ao direito dos titulares dos dados a serem informados da limitação, a menos que tal possa prejudicar o objetivo da limitação.»

Direito alemão

Lei Fundamental da República Federal da Alemanha

15 O § 92 da Grundgesetz für die Bundesrepublik Deutschland (Lei Fundamental da República Federal da Alemanha), de 23 de maio de 1949 (BGBl. 1949 I, p. 1), enuncia:

«O poder jurisdicional é confiado aos juízes; é exercido pelo Bundesverfassungsgericht [Tribunal Constitucional Federal, Alemanha], pelos tribunais federais previstos na presente Lei Fundamental e pelos tribunais dos Länder.»

Código de Processo Civil

16 O § 138 do Zivilprozessordnung (a seguir «Código de Processo Civil»), na sua versão aplicável ao litígio no processo principal, sob a epígrafe «Obrigação de declaração dos factos; obrigação de dizer a verdade», dispõe:

«(1) As partes devem declarar os factos de forma completa e estão obrigadas a dizer a verdade.

(2) Cada uma das partes deve pronunciar‑se sobre os factos alegados pela parte contrária.

(3) Os factos que não sejam expressamente contestados consideram‑se admitidos, a menos que a intenção de os contestar resulte das outras declarações feitas pela parte.

(4) Uma parte só pode invocar desconhecimento relativamente a atos que não sejam da sua própria autoria de que não tenha tido conhecimento.»

17 O § 286 deste código, sob a epígrafe «Livre apreciação da prova», prevê:

«(1) O órgão jurisdicional decide, em função do seu poder de apreciação, e tendo em conta todo o conteúdo das audiências e os resultados obtidos pela produção da prova, se for caso disso, se uma alegação de facto deve ou não ser considerada verdadeira. A decisão deve indicar as razões que fundamentam a convicção do órgão jurisdicional.

(2) O órgão jurisdicional só está vinculado pelas regras legais em matéria de prova nos casos previstos no presente código.»

18 O § 355 do referido código, sob a epígrafe «Caráter imediato da administração da prova», tem a seguinte redação:

«(1) A instrução tem lugar no órgão jurisdicional que conhece do mérito da causa. Só nas situações determinadas pelo presente código é que a obtenção de provas é confiada a um membro desse ou de outro órgão jurisdicional.

(2) A decisão que ordena um ou outro modo de administração da prova não é suscetível de recurso.»

Lei Federal relativa à Proteção de Dados

19 O § 3 da Bundesdatenschutzgesetz (Lei Federal relativa à Proteção de Dados), de 30 de junho de 2017 (BGBl. 2017 I, p. 2097), na sua versão aplicável ao litígio no processo principal, sob a epígrafe «Tratamento de dados pessoais pelos organismos públicos», dispõe:

«Os organismos públicos estão autorizados a tratar dados pessoais se esse tratamento for necessário ao exercício das atribuições de que o responsável pelo tratamento é titular ou ao exercício da autoridade pública de que está investido.

[...]»

20 O § 26 da Lei Federal relativa a Proteção de Dados, na sua versão aplicável ao litígio no processo principal, sob a epígrafe «Tratamento de dados pessoais para efeitos da relação laboral», prevê:

«(1) Os dados pessoais dos trabalhadores podem ser objeto de tratamento para efeitos da relação de trabalho quando tal for necessário para a decisão sobre o estabelecimento de uma relação de trabalho ou, após o estabelecimento da relação de trabalho, para a sua execução ou cessação, ou para o exercício ou o cumprimento dos direitos e obrigações decorrentes da representação dos interesses dos trabalhadores previstos na lei, numa convenção coletiva ou num acordo de empresa público ou privado celebrado com o empregador (convenção coletiva). Para efeitos da deteção de infrações penais, o tratamento de dados pessoais dos trabalhadores pode ser efetuado desde que existam suspeitas baseadas em indícios concretos, que devam ser demonstrados, que o titular dos dados tenha cometido uma infração na relação de trabalho, que o tratamento seja necessário para a deteção da infração e que o interesse legítimo do trabalhador ou dos trabalhadores em excluir o tratamento não prevaleça e, em especial, que a natureza e o alcance do tratamento não sejam desproporcionados em relação aos motivos do tratamento.

(2) Quando o tratamento de dados pessoais relativos aos trabalhadores for efetuado com base num consentimento, é necessário, para apreciar se o consentimento foi prestado livremente, ter em conta, em especial, a dependência do trabalhador na relação de trabalho, bem como as circunstâncias em que o consentimento foi dado. O caráter livre do consentimento pode ser demonstrado, nomeadamente, se existir, para o trabalhador, uma vantagem jurídica ou económica, ou se o empregador e o trabalhador tiverem interesses convergentes. O consentimento deve ser prestado por escrito ou por via eletrónica, salvo se circunstâncias especiais exigirem outra forma. O empregador está obrigado a informar o trabalhador por escrito da finalidade do tratamento dos dados e do seu direito de revogar o seu consentimento, previsto no artigo 7.°, n.° 3, do [RGPD].

[...]

(5) O responsável pelo tratamento deve tomar as medidas adequadas para assegurar em especial a observância dos princípios que regem o tratamento dos dados pessoais enunciados no artigo 5.° do [RGPD].

(6) Os direitos de participação das organizações representativas dos trabalhadores permanecem inalterados.

(7) Os n.os 1 a 6 também são aplicáveis quando os dados pessoais, incluindo categorias especiais de dados pessoais dos trabalhadores, são tratados mesmo que não estejam contidos nem se destinem a constar de um ficheiro.

(8) Para efeitos da presente lei, entende‑se por “trabalhadores”:

1. Os trabalhadores, incluindo os trabalhadores temporários na relação com o utilizador,

[...]»

Litígio no processo principal e questões prejudiciais

21 A NTH, uma empresa de aquecimento e de climatização, empregava EM, que estava casada com o gerente da NTH.

22 Em 31 de outubro de 2019, cessou a relação de trabalho entre a NTH e EM. Em seguida, até à sua separação do gerente da NTH, que ocorreu em 26 de junho de 2022, EM continuou a ter acesso às instalações da NTH e a utilizar os computadores aí situados.

23 Imediatamente após essa separação, agindo principalmente por intermédio do seu trabalhador F., que é filho do gerente da NTH e de EM, a NTH apurou que EM tinha vendido, em seu próprio proveito, através da plataforma de venda em linha eBay, bens cuja propriedade a NTH reivindica, por um valor global de 13 217,09 euros. Tendo em conta o preço de compra desses bens e o montante das despesas administrativas ocasionadas pela necessidade de os substituir, o montante total do prejuízo assim sofrido pela NTH ascende a 46 567,91 euros.

24 EM contesta ter vendido os referidos bens sem o conhecimento da NTH. De facto, estes últimos seriam sobretudo bens devolvidos por clientes, bens com defeito ou obsoletos que a NTH não poderia utilizar e que, por conseguinte, já não teriam valor para esta. A NTH cedeu‑os gratuitamente a EM, que os vendia para fazer face às despesas do agregado familiar que formava com o gerente da NTH.

25 O Landesarbeitsgericht Niedersachsen (Tribunal Superior do Trabalho da Baixa Saxónia, Alemanha), que é o órgão jurisdicional de reenvio, indica que a NTH teve conhecimento das vendas realizadas por EM ao aceder à conta privada desta última na plataforma de venda em linha eBay. Para o efeito, o trabalhador F. utilizou o nome de utilizador e a palavra‑passe de EM nesta plataforma de venda.

26 No que respeita ao modo como esse trabalhador tomou conhecimento do nome de utilizador e dessa palavra‑passe, o gerente da NTH afirma que o trabalhador F. obteve informações sobre a utilização por EM dessa plataforma ao consultar o histórico de navegação do computador pertencente ao gerente, utilizado por EM, e que obteve essa palavra‑passe consultando um «ficheiro familiar» criado no seu servidor. Por seu turno, EM afirma não ter conservado essa palavra‑passe nos dispositivos de armazenamento informático da NTH. Em contrapartida, sustenta que o gerente da NTH declarou ter perdido o telemóvel registado em nome da empresa, que esta utilizava, para obter um novo cartão SIM (Subscriber Identity Module, módulo de identificação do subscritor) ao operador telefónico em causa, o que lhe teria permitido utilizar o número de telefone associado a esse telefone para alterar, na mesma plataforma, a palavra‑passe da sua conta privada e aceder à mesma.

27 O órgão jurisdicional de reenvio não exclui a ilegalidade da recolha de dados efetuada pela NTH para tomar conhecimento das vendas realizadas por EM na plataforma de venda em linha eBay.

28 Em todo o caso, esse órgão jurisdicional indica que tende a considerar que os dados recolhidos pela NTH para fundamentar o seu pedido constituem um tratamento de dados pessoais, na aceção do RGPD.

29 Todavia, de acordo com o referido órgão jurisdicional, a jurisprudência do Tribunal de Justiça não permite determinar com clareza, antes de mais, se as regras do direito processual alemão são suficientemente precisas para respeitar os requisitos do RGPD, nomeadamente no que respeita aos critérios a aplicar para determinar em que circunstâncias a utilização desses dados é proibida; em seguida, se os órgãos jurisdicionais alemães podem invocar o artigo 17.°, n.° 3, alínea e), do RGPD no âmbito do exercício da sua função jurisdicional para tratar esses dados; e, por último, quais são os critérios que se aplicam quando há que proceder a uma apreciação detalhada da questão de saber se um tratamento de dados efetuado no âmbito do exercício dessa função é autorizado, nomeadamente quando, como no caso em apreço, uma parte pôde recolher dados de forma ilícita.

30 Em especial, o órgão jurisdicional de reenvio salienta, em primeiro lugar, que, ao abrigo do artigo 6.°, n.° 3, primeiro parágrafo, do RGPD, o fundamento do tratamento referido no artigo 6.°, n.° 1, primeiro parágrafo, alíneas c) e e), do mesmo regulamento está, na falta de disposições do direito da União, previsto pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito e que deve, de acordo com a leitura que esse órgão jurisdicional faz do artigo 6.°, n.° 3, segundo parágrafo, determinar as finalidades desse tratamento. Além disso, de acordo com o referido órgão jurisdicional, resulta da jurisprudência do Tribunal de Justiça resultante do Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais) (C‑175/20, EU:C:2022:124, n.° 83), que, para cumprir o requisito de proporcionalidade de que o artigo 5.°, n.° 1, alínea c), do RGPD constitui uma expressão específica, a regulamentação que serve de base ao tratamento deve prever regras claras e precisas que regulem o âmbito e a aplicação da medida em causa e impor requisitos mínimos, bem como, em especial, indicar em que circunstâncias e em que condições pode ser adotada uma medida que preveja esse tratamento.

31 O órgão jurisdicional de reenvio interroga‑se, como tal, se o artigo 6.°, n.° 3, segundo parágrafo, do RGPD deve ser interpretado no sentido de que, quando um órgão jurisdicional que atua no exercício das suas funções jurisdicionais adota uma medida que implica uma ingerência nos direitos fundamentais de uma parte e procede ao respetivo tratamento de dados, basta que esse tratamento seja necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública, ou se é necessário, tendo em conta, nomeadamente, o artigo 8.°, n.° 2, da Carta, exigir que o fundamento jurídico desse tratamento contenha precisões sobre as circunstâncias e as condições em que os dados apresentados pelas partes podem ser utilizados por esse órgão jurisdicional.

32 No caso de o Tribunal de Justiça concluir que os atos jurisdicionais de tratamento de dados que implicam violações de direitos fundamentais devem basear‑se em disposições legais que contenham essa precisão, o órgão jurisdicional de reenvio interroga‑se sobre se as regras nacionais, como as que estão em causa no processo principal, cumprem os requisitos enunciados no RGPD. Com efeito, estas regras não contêm nenhuma indicação quanto às condições que devem estar preenchidas nem aos requisitos que devem ser ponderados para determinar se um órgão jurisdicional está autorizado a ter em conta os elementos de facto invocados por uma parte ou administrar os seus oferecimentos de prova. Em especial, o órgão jurisdicional de reenvio tem dúvidas quanto ao impacto da inexistência de uma disposição que trate dos casos em que o titular dos dados obteve de forma ilícita os dados pessoais em que baseia o seu pedido ou dos casos em que se baseia em elementos de prova obtidos através da utilização ilícita de dados pessoais. Interroga‑se também quanto à pertinência do facto de as regras que regulam a utilização desses dados no direito alemão resultarem exclusivamente da jurisprudência.

33 Em segundo lugar, o órgão jurisdicional de reenvio salienta que, na sua jurisprudência, o Bundesarbeitsgericht (Supremo Tribunal do Trabalho Federal, Alemanha) indicou que resulta claramente do artigo 17.° do RGPD que se pode prever que um órgão jurisdicional trate dados pessoais, ainda que a recolha desses dados por uma parte numa fase pré‑contenciosa ou extrajudicial se revele ilícita à luz do RGPD ou da legislação nacional em matéria de proteção de dados em causa e que, por conseguinte, não há que submeter ao Tribunal de Justiça um pedido de decisão prejudicial.

34 No entanto, e ainda segundo o Bundesarbeitsgericht (Supremo Tribunal do Trabalho Federal),embora o artigo 17.°, n.° 3, alínea e), do RGPD preveja uma exceção ao direito ao apagamento dos dados que tenham sido tratados ilicitamente, e isto desde que esse tratamento seja «necessário» para a declaração, o exercício ou a defesa de direitos num processo judicial, esta disposição apenas diz respeito a esse direito ao apagamento.

35 Em todo o caso, o órgão jurisdicional de reenvio considera necessário suscitar a questão de saber se o artigo 6.°, n.° 1, alínea e), ou o artigo 9.°, n.° 2, alínea f), do RGPD constituem o fundamento para o tratamento de dados pessoais pelos órgãos jurisdicionais nacionais no âmbito do exercício da sua função jurisdicional ou se estes últimos podem também invocar o artigo 17.°, n.° 3, alínea e), do RGPD.

36 Na hipótese de o Tribunal de Justiça concluir que o artigo 17.°, n.° 3, alínea e), do RGPD pode constituir esse fundamento para o tratamento efetuado pelos órgãos jurisdicionais nacionais no exercício da sua função jurisdicional, o órgão jurisdicional de reenvio interroga‑se sobre a forma como esta disposição deve ser aplicada e sobre a questão de saber se esta disposição pode mesmo implicar uma obrigação de utilizar os dados, por exemplo, quando a recolha inicial dos dados não foi dissimulada e foi utilizada para determinar que uma obrigação foi intencionalmente violada.

37 Em terceiro lugar, o órgão jurisdicional de reenvio tem dúvidas quanto aos critérios materiais que devem reger o tratamento de dados efetuado no âmbito do exercício de uma função jurisdicional.

38 Em especial, esse órgão jurisdicional interroga‑se, primeiro, sobre se, relativamente a dados obtidos ilicitamente, mas cuja autenticidade e exatidão material não são contestadas enquanto tais, os órgãos jurisdicionais nacionais devem proceder a uma apreciação da proporcionalidade e a uma ponderação aprofundada dos interesses envolvidos. O órgão jurisdicional de reenvio também se interroga sobre se os órgãos jurisdicionais nacionais devem apreciar se há que distinguir essa situação daquela em que a outra parte contesta tanto a forma como os dados em causa foram obtidos, considerando‑os ilícitos, como a autenticidade e/ou a exatidão factual desses dados.

39 Segundo, o órgão jurisdicional de reenvio salienta que EM há muito tempo que não utilizava o sistema informático da NTH quando esta última, para efeitos do processo principal, extraiu uma parte dos dados aí armazenados. Além disso, esse órgão jurisdicional salienta que o artigo 5.°, n.° 1, alínea e), do RGPD prevê, em substância, que os dados pessoais só podem ser conservados durante um período de tempo necessário para as finalidades para as quais são tratados. O órgão jurisdicional de reenvio tem dúvidas sobre as consequências a retirar, para a aplicação desta disposição, do facto de esses dados terem sido recolhidos muito tempo antes, ou mesmo de terem sido conservados durante um longo período de tempo e, por último, de existirem obrigações contratuais de apagamento que não foram respeitadas.

40 Terceiro, o órgão jurisdicional de reenvio tem dúvidas quanto à questão de saber se basta que uma parte invoque um interesse geral na administração de prova ou se o direito da União não exige a tomada em consideração de outros aspetos, dos quais resulta que o interesse na obtenção de provas merece ser protegido apesar de uma violação dos direitos da outra parte.

41 Quarto, esse órgão jurisdicional interroga‑se sobre a possibilidade de a entidade patronal demandante invocar, numa situação como a que está em causa no processo principal, o artigo 47.°, n.° 2, da Carta, para justificar a sua recolha e o seu tratamento de dados pessoais, e sobre as consequências a retirar do facto de o trabalhador não ter respeitado as suas obrigações de informação nos termos do artigo 13.° do RGPD.

42 Quinto, o referido órgão jurisdicional salienta que, no n.° 55 do Acórdão de 2 de março de 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), o Tribunal de Justiça declarou que, para ter em conta o artigo 5.°, n.° 1, do RGPD, e em especial o princípio da «minimização dos dados» que figura na alínea c) desta disposição, está obrigado a determinar se a divulgação dos dados pessoais é adequada e pertinente para salvaguardar o objetivo prosseguido pelas disposições aplicáveis do direito nacional, bem como se esse objetivo não pode ser alcançado com recurso a meios de obtenção de prova menos intrusivos relativamente à proteção dos dados pessoais de um número elevado de terceiros como, por exemplo, a produção de prova testemunhal selecionada. Por conseguinte, interroga‑se sobre se esta solução é transponível para o caso em apreço, uma vez que, por exemplo, os dados dos compradores da plataforma de venda em linha eBay podem ser afetados.

43 Foi nestas circunstâncias que o Landesarbeitsgericht Niedersachsen (Tribunal Superior do Trabalho da Baixa Saxónia) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1. Cumprem as disposições do artigo 92.° da [Lei Fundamental da República Federal da Alemanha], dos §§ 138, 286, 355 e seguintes do [Código de Processo Civil, na versão aplicável ao processo principal], no caso de uma atividade de tratamento judicial independente abrangida pelo artigo 6.°, n.° 1, alínea e), e n.° 3, do RGPD, a exigência de precisão que decorre do artigo 8.°, n.° 2, do artigo 52.°, n.° 1, da Carta e do artigo 5.°, n.° 1, alínea c), do RGPD, na medida em que a atividade de tratamento judicial implica ingerências nos direitos fundamentais de uma parte ou de terceiros?

2. a) Pode um órgão jurisdicional nacional, no âmbito do tratamento de dados, em especial de caráter pessoal, invocar o facto de este tratamento lhe ser permitido ao abrigo do artigo 17.°, n.° 3, alínea e), do RGPD, ou constituem os artigos 6.° e 9.° do RGPD o fundamento exclusivo de uma atividade de tratamento judicial?

b) Se o artigo 17.°, n.° 3, alínea e), do RGPD pode, em princípio, constituir uma base jurídica para a atividade de tratamento [efetuado no âmbito do exercício da função jurisdicional]:

aa) O mesmo também se aplica nos casos em que a recolha inicial desses dados por uma parte processual ou por um terceiro não se tenha realizado de forma lícita?

bb) Conduz o tratamento dos dados inicialmente recolhidos ilicitamente, em conformidade com o princípio geral da lealdade [artigo 5.°, n.° 1, alínea a), do RGPD], a uma restrição do tratamento judicial ao abrigo do direito derivado, no sentido de que o artigo 17.°, n.° 3, alínea e), do RGPD só é aplicável em determinadas condições ou dentro de determinados limites?

cc) Deve a disposição do artigo 17.°, n.° 3, alínea e), do RGPD ser entendida no sentido de que uma proibição da utilização judicial de dados inicialmente obtidos de forma ilícita é sempre excluída — ou seja, a utilização desses dados pelo órgão jurisdicional deve sempre ter lugar — se a recolha original de dados não tiver sido dissimulada e tiver sido utilizada para provar uma violação intencional do dever?

3. Independentemente de a atividade judicial de tratamento de dados se basear no artigo 17.°, n.° 3, alínea e), do RGPD ou no artigo 6.°, n.° 1, alínea c) ou e), e n.° 3, no artigo 9.° do RGPD, ou noutras disposições do direito da União:

a) Deve inferir‑se dos princípios da necessidade e da minimização dos dados enunciados no artigo 52.°, n.° 1, segundo período, da [Carta] e no artigo 5.°, n.° 1, alínea a), do RGPD, em especial no que respeita ao tratamento dos dados inicialmente recolhidos ou conservados ilicitamente, a necessidade de uma análise integral da proporcionalidade e de uma ponderação pelos órgãos jurisdicionais?

b) Qual é o impacto do artigo 5.°, n.° 1, alínea e), do RGPD, que dispõe que os dados pessoais só podem ser conservados durante o período de tempo que a sua finalidade exigir, na atividade judicial subsequente de tratamento de dados, em especial nos casos em que:

– a recolha inicial de dados serviu para outras finalidades, ou

– a recolha ilícita inicial de dados ocorreu há muito tempo, ou

– uma conservação ilícita foi mantida durante longos períodos, ou

– a recolha ilícita de dados diz respeito a dados conservados — eventualmente de forma ilícita — há muito tempo, ou

– o organismo ou a pessoa que trata ou recolhe os dados se compromete, unilateralmente ou por força de um contrato individual ou de um direito coletivo, a apagar os dados dentro de um determinado prazo, mas não procedeu a esse apagamento?

c) Decorre do direito da União, em especial do artigo 8.° da Carta, do artigo 6.°, n.° 1, alínea c) ou e), e n.° 3, do artigo 9.° do RGPD, que o órgão jurisdicional nacional só pode utilizar provas obtidas em violação dos direitos de personalidade se existir um interesse reconhecido da parte a quem cabe o ónus da prova que vá além do mero interesse de prova, ou não decorrem quaisquer requisitos do direito da União a este respeito, pelo que cabe ao ordenamento jurídico nacional adotar disposições a este respeito?

d) Decorre do artigo 47.°, segundo parágrafo, da Carta, que garante o direito a uma tutela jurisdicional efetiva e, em especial, a um processo equitativo, segundo o qual as partes num processo civil devem, em princípio, poder fundamentar e provar suficientemente o seu objetivo de proteção jurídica, que o tratamento judicial dos dados pessoais do trabalhador demandante recolhidos ilegalmente pela entidade patronal só pode ser inadequado e desproporcionado em sentido estrito se a recolha de dados, nos termos do direito da União, se revelar uma violação grave do artigo 7.° e artigo 8.° da Carta e se outras sanções possíveis para a entidade patronal (por exemplo, indemnização por danos nos termos do artigo 82.° do RGPD e aplicação de coimas nos termos do artigo 83.° do RGPD) forem completamente inadequadas, ou a inadequação e a desproporcionalidade podem já surgir no caso de outras violações menos graves da proteção de dados na recolha inicial de dados?

e) Deve o órgão jurisdicional, ao decidir se utiliza os dados inicialmente recolhidos por uma parte ou um terceiro no âmbito da sua atividade judicial de tratamento de dados, ter em conta se o responsável pela recolha de dados cumpriu as suas obrigações de informação nos termos do artigo 13.° do RGPD? Em caso afirmativo: em que condições e com base em que critérios deve o órgão jurisdicional tê‑lo em conta?

f) Inclui o facto de o órgão jurisdicional estar vinculado pelo RGPD e pela Carta dos Direitos Fundamentais da União Europeia no tratamento de dados pessoais também os dados pessoais de terceiros? De que forma uma eventual infração em matéria de proteção de dados contra terceiros na recolha inicial de dados tem efeitos no subsequente tratamento judicial de dados num litígio entre duas partes? Pode uma parte invocar uma infração que não foi cometida contra si, mas contra terceiros, ou não é esse o caso?»

Quanto às questões prejudiciais

Quanto à admissibilidade

44 A título preliminar, importa recordar que, embora, de acordo com jurisprudência constante, as questões relativas à interpretação do direito da União submetidas pelo juiz nacional no quadro normativo e factual que este define sob a sua responsabilidade, e cuja exatidão não cabe ao Tribunal de Justiça verificar, beneficiem de uma presunção de pertinência, essas questões são, no entanto, inadmissíveis quando é manifesto que a interpretação do direito da União pedida não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, quando o problema suscitado seja hipotético ou quando o Tribunal de Justiça não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas [v., neste sentido, Acórdão de 18 de junho de 2024, Bundesrepublik Deutschland (Efeito de uma decisão de concessão do estatuto de refugiado), C‑753/22, EU:C:2024:524, n.° 44 e jurisprudência aí referida].

45 No caso em apreço, importa salientar que, nas suas questões, o órgão jurisdicional de reenvio refere‑se várias vezes ao artigo 9.° do RGPD, que diz respeito a determinadas categorias especiais de dados pessoais, a saber, as que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, de dados biométricos para identificar uma pessoa de forma inequívoca, de dados relativos à saúde ou de dados relativos à vida sexual ou orientação sexual de uma pessoa.

46 Ora, uma vez que resulta dos autos de que dispõe o Tribunal de Justiça que o litígio no processo principal não diz respeito a esses dados, as questões prejudiciais submetidas pelo órgão jurisdicional de reenvio devem ser consideradas inadmissíveis na parte em que têm por objeto a interpretação do artigo 9.° do RGPD.

Quanto à primeira questão

47 A título preliminar, há que observar que a questão submetida assenta na premissa de que o tratamento de dados pessoais efetuado por um órgão jurisdicional que atua no exercício das suas funções jurisdicionais só se pode basear no artigo 6.°, n.° 1, alínea e), do RGPD, que visa o tratamento de dados pessoais necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento.

48 Ora, por um lado, não se pode deixar de observar que, em determinadas situações, podem aplicar‑se várias condições alternativas de licitude a um mesmo tratamento.

49 Por outro lado, embora um determinado tratamento de dados pessoais efetuado por um órgão jurisdicional possa ser considerado necessário ao exercício dessa função no interesse público ou no exercício dessa autoridade, o tratamento de dados pessoais que um órgão jurisdicional pode efetuar, como no processo principal, quando os elementos de prova apresentados em apoio das partes têm a particularidade de ser, em princípio, necessários ao cumprimento de uma obrigação legal que incumbe a esse órgão jurisdicional, a saber, a de se pronunciar sobre a admissibilidade desses elementos de prova e, quando estes tenham sido declarados admissíveis à luz dos critérios previstos para o efeito pelo direito nacional, de ter em conta esses elementos para proferir a sua decisão.

50 Por conseguinte, o Tribunal de Justiça considera que, para dar uma resposta útil ao órgão jurisdicional de reenvio, há que apreciar as diferentes questões que lhe foram submetidas no presente processo à luz do artigo 6.°, n.° 1, alínea c), do RGPD, e não à luz do artigo 6.°, n.° 1, alínea e), do mesmo regulamento.

51 Nestas circunstâncias, há que considerar que, com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e n.° 3, do RGPD, lido à luz do artigo 8.°, n.° 2, e do artigo 52.° da Carta, deve ser interpretado no sentido de que se opõe a uma legislação nacional que, no que respeita ao tratamento de dados pessoais no âmbito da apreciação dos factos e da administração das provas por um órgão jurisdicional, se limita a prever que incumbe às partes apresentar elementos de facto circunstanciados e conformes com a verdade e a impor a esse órgão jurisdicional que os tome plenamente em consideração, antes, sendo caso disso, de proceder à sua apreciação, sem incluir indicações sobre as circunstâncias e as condições em que os factos expostos e os elementos de prova apresentados pelas partes que contêm dados pessoais podem ser utilizados por um órgão jurisdicional.

52 Em primeiro lugar, há que recordar que na fase atual do direito da União, cabe exclusivamente ao direito nacional determinar as regras relativas à admissibilidade e à apreciação dos elementos de facto e de prova (v., neste sentido, Acórdãos de 6 de outubro de 2020, La Quadrature du Net e o., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, n.° 223, e de 5 de abril de 2022, Commissioner of the Garda Síochána e o., C‑140/20, EU:C:2022:258, n.° 127).

53 No entanto, nos termos do seu artigo 2.°, n.° 1, o RGPD aplica‑se a todo o «tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados», sob reserva de determinadas hipóteses previstas no artigo 2.°, n.os 2 e 3, deste regulamento. Ora, uma vez que o tratamento efetuado por órgãos jurisdicionais e outras autoridades judiciais não faz parte das hipóteses previstas no artigo 2.°, n.os 2 e 3, o referido regulamento pode, assim, como aliás confirma o seu considerando 20, aplicar‑se ao tratamento efetuado por esses órgãos jurisdicionais e por essas autoridades.

54 A este respeito, o artigo 4.°, ponto 2, do RGPD define o conceito de «tratamento» como uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou a alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição.

55 A utilização, neste artigo, da expressão «uma operação» implica que o legislador da União pretendeu conferir um alcance amplo ao conceito de «tratamento» (Acórdão de 5 de dezembro de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, n.° 50 e jurisprudência aí referida).

56 É certo que, para que um tratamento de dados pessoais seja abrangido pelo âmbito de aplicação do RGPD, é ainda necessário, em conformidade com o artigo 2.°, n.° 1, deste regulamento, que o tratamento de dados pessoais seja efetuado por meios total ou parcialmente automatizados, ou, se o tratamento não for automatizado, que os dados em causa estejam contidos num ficheiro ou a eles destinados.

57 Ora, por um lado, um tratamento de dados pessoais deve ser considerado automatizado, no todo ou em parte, na aceção desta disposição, quando implique o recurso a operações técnicas sem nenhuma intervenção humana (v., neste sentido e por analogia, Acórdão de 6 de novembro de 2003, Lindqvist, C‑101/01, EU:C:2003:596, n.° 26).

58 Por outro lado, o artigo 4.°, ponto 6, do RGPD define o conceito de «ficheiro» como qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico.

59 No entanto, mesmo que a admissibilidade dos oferecimentos de prova não esteja abrangida pelo âmbito de aplicação do RGPD, deve considerar‑se que um órgão jurisdicional efetua um tratamento de dados pessoais, na aceção deste regulamento, nomeadamente quando junta documentos que contêm dados pessoais a um processo, como o que está em causa no processo principal, desde que este esteja abrangido pelo conceito de «ficheiro», na aceção do artigo 2.°, n.° 1, e do artigo 4.°, ponto 6, do RGPD.

60 Do mesmo modo, quando esses documentos são fornecidos a um órgão jurisdicional em formato eletrónico e esse órgão jurisdicional consulta, extrai, conserva ou utiliza esses dados, procede a um tratamento, na aceção do RGPD.

61 Em especial, dado que cada transmissão de dados a um responsável pelo tratamento distinto do anterior implica um ato de recolha correspondente por parte deste responsável [v., neste sentido, Acórdão de 30 de abril de 2024, La Quadrature du Net e o. (Dados pessoais e combate à contrafação), C‑470/21, EU:C:2024:370, n.° 62], deve considerar‑se que um órgão jurisdicional procede a esse ato de recolha quando procede à recolha, com base em documentos eletrónicos que uma parte lhe transmitiu, determinados dados pessoais que figuram nesses documentos.

62 No caso em apreço, caberá ao órgão jurisdicional de reenvio verificar, à luz das considerações precedentes, se se pode considerar que o tratamento de dados pessoais em causa no processo principal está abrangido pelo âmbito de aplicação do RGPD, quer porque diz respeito a dados que devem estar acessíveis nos autos desse processo segundo critérios específicos, quer porque é automatizado, no todo ou em parte, o que é nomeadamente o caso quando os elementos de prova tenham sido transmitidos em formato eletrónico e esse tratamento tenha consistido em consultar, extrair, conservar ou utilizar dados pessoais que figuram nesses elementos de prova.

63 Em segundo lugar, importa salientar que o objetivo principal prosseguido pelo RGPD, conforme resulta nomeadamente do seu artigo 1.° e dos considerandos 1, 2, 7 e 10 do mesmo regulamento, consiste em garantir um elevado nível de proteção das liberdades e dos direitos fundamentais das pessoas singulares, especialmente, do seu direito à vida privada no que diz respeito ao tratamento de dados pessoais, consagrado no artigo 8.°, n.° 1, da Carta e no artigo 16.°, n.° 1, TFUE (v., neste sentido, Acórdão de 4 de outubro de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, n.° 26 e jurisprudência aí referida).

64 Em conformidade com este objetivo, para ser lícito, qualquer tratamento de dados pessoais abrangido pelo âmbito de aplicação do RGPD deve respeitar os princípios enunciados no capítulo II deste regulamento, bem como os direitos dos titulares dos dados enunciados no seu capítulo III (v., neste sentido, Acórdão de 2 de março de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, n.° 43 e jurisprudência aí referida).

65 Nos termos do artigo 6.°, n.° 1, primeiro parágrafo do RGPD, um tratamento de dados pessoais abrangido pelo âmbito de aplicação deste regulamento só é lícito se preencher pelo menos uma das condições alternativas de licitude enunciadas nesta disposição [v., neste sentido, Acórdão de 5 de junho de 2023, Comissão/Polónia (Independência e vida privada dos juízes), C‑204/21, EU:C:2023:442, n.° 335 e jurisprudência aí referida].

66 No que diz respeito ao tratamento com base na condição alternativa de licitude prevista no artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, o artigo 6.°, n.° 3, primeiro parágrafo, do mesmo regulamento especifica que o fundamento desse tratamento deve ser definido pelo direito da União ou pelo direito do Estado‑Membro ao qual o responsável pelo referido tratamento está sujeito.

67 Assim, o artigo 6.°, n.° 3, primeiro parágrafo, do RGPD exige, uma vez que o direito da União não regula as modalidades de apresentação dos factos e da administração das provas nos órgãos jurisdicionais nacionais, que o tratamento de dados pessoais efetuado com base neste condição alternativa de licitude, tenha uma base jurídica no direito nacional (v., neste sentido, Acórdão de 2 de março de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, n.° 32).

68 No que respeita à forma e ao conteúdo deste fundamento jurídico, sem prejuízo das exigências relativas à situação prevista no artigo 6.°, n.° 3, terceiro período, do RGPD, esta disposição limita‑se a exigir, no que respeita ao tratamento referido no artigo 6.°, n.° 1, primeiro parágrafo alínea c), deste regulamento, que as finalidades desse tratamento sejam determinadas nesse fundamento jurídico, que esse fundamento jurídico responda a um objetivo de interesse público e que seja proporcionado a esse objetivo.

69 Em contrapartida, não resulta do artigo 6.°, n.° 3, do RGPD nem de nenhuma outra disposição deste regulamento que o objetivo prosseguido pelo fundamento jurídico do direito nacional deva ser enunciado nesse direito nacional, entendendo‑se que o «objetivo» visa os objetivos gerais prosseguidos pelo tratamento em causa e as «finalidades» visam as finalidades específicas e reais desse tratamento [v., neste sentido, Acórdão de 20 de novembro de 2025, Policejní prezidium (Conservação de dados biométricos e genéticos), C‑57/23, EU:C:2025:905, n.° 81].

70 É certo que, quando o legislador de um Estado‑Membro adota uma base jurídica que autoriza o tratamento com fundamento no artigo 6.°, n.° 1, alínea c), do RGPD, esse legislador aplica o direito da União e, por isso, essa base jurídica deve respeitar o artigo 51.°, n.° 1, da Carta.

71 Ora, como salienta o órgão jurisdicional de reenvio, o Tribunal de Justiça deduziu do artigo 8.°, n.° 2, da Carta, que, por si só, mais não faz do que traduzir, ao concretizar, a exigência do artigo 52.° da Carta segundo a qual qualquer restrição ao exercício dos direitos e liberdades reconhecidos por esta deve, nomeadamente, ser prevista por lei [v., neste sentido, Acórdão de 20 de novembro de 2025, Policejní prezidium (Conservação de dados biométricos e genéticos), C‑57/23, EU:C:2025:905, n.° 51], o que implica que qualquer base jurídica que permita a ingerência no direito à proteção de dados pessoais deve definir ela própria o alcance da limitação do exercício desse direito que é suscetível de produzir (v., neste sentido, Acórdão de 6 de outubro de 2020, Privacy International, C‑623/17, EU:C:2020:790, n.° 65 e jurisprudência aí referida).

72 Além disso, o Tribunal de Justiça declarou, no que respeita à exigência estabelecida no artigo 52.° da Carta, que qualquer ingerência no direito à proteção dos dados pessoais deve ser efetuada no respeito do princípio da proporcionalidade, que exige que qualquer regulamentação na origem dessa ingerência enuncie regras claras e precisas que regulem o alcance e a aplicação da medida em causa e imponham requisitos mínimos, de modo que as pessoas cujos dados pessoais são tratados disponham de garantias suficientes de que esses dados serão efetivamente protegidos contra os riscos de abuso, bem como contra qualquer acesso ou utilização ilícitos desses dados [v., neste sentido, Acórdãos de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais), C‑175/20, EU:C:2022:124, n.° 55 e jurisprudência aí referida, e de 16 de novembro de 2023, Roos e o./Parlamento, C‑458/22 P, não publicado, EU:C:2023:871, n.° 69 e jurisprudência aí referida].

73 Em especial, o fundamento jurídico de um tratamento de dados deve indicar em que circunstâncias e sob que condições pode ser adotada uma medida que preveja o tratamento desses dados, garantindo, assim, que a ingerência seja limitada ao estritamente necessário (v., neste sentido, Acórdão de 16 de julho de 2020, Facebook Ireland e Schrems, C‑311/18, EU:C:2020:559, n.° 176 e jurisprudência aí referida).

74 Todavia, o Tribunal de Justiça, referindo‑se a jurisprudência constante do Tribunal Europeu dos Direitos Humanos, esclareceu ainda que o termo «lei», utilizado no artigo 8.°, n.° 2, da Carta, na expressão «fundamento legítimo previsto por lei», deve ser entendido na sua aceção material e não formal (v., neste sentido, Acórdão de 16 de novembro de 2023, Roos e o./Parlamento, C‑458/22 P, EU:C:2023:871, n.° 61 e jurisprudência aí referida).

75 Além disso, de acordo com esta jurisprudência do Tribunal Europeu dos Direitos Humanos, a referida aceção do termo «lei», na expressão «previsto por lei», referida no artigo 8.°, n.° 2, da CEDH, implica que este termo remeta para o texto em vigor, conforme interpretado pelos órgãos jurisdicionais competentes (v., neste sentido, TEDH, 23 de janeiro de 2025, H. W. c. França, CE:ECHR:2025:0123JUD001380521, n.° 65).

76 Aliás, o considerando 41 do RGPD menciona expressamente que, caso o presente regulamento se refira a um fundamento jurídico ou a uma medida legislativa, não se trata necessariamente de um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. No entanto, esse fundamento jurídico ou essa medida legislativa deverão ser claros e precisos e a sua aplicação deverá ser previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça e do Tribunal Europeu dos Direitos Humanos.

77 Por conseguinte, o disposto no artigo 6.°, n.° 3, do RGPD, que exige a previsão de um fundamento jurídico para qualquer tratamento baseado nas condições alternativas de licitude previstas no artigo 6.°, n.° 1, primeiro parágrafo, alíneas c) e), deste regulamento, deve ser entendido no sentido de que não implica necessariamente a existência de um ato legislativo, podendo o conceito de «direito [...] do Estado‑Membro ao qual o responsável pelo tratamento estiver sujeito» abranger também a jurisprudência nacional, desde que esta seja clara e precisa e a sua aplicação seja previsível para os litigantes (v., neste sentido, Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C‑17/22 e C‑18/22, EU:C:2024:738, n.os 71 e 72).

78 Além disso, uma vez que o artigo 6.°, n.° 3, segundo parágrafo, do RGPD exige que o fundamento jurídico do tratamento em causa responda a um objetivo de interesse público e que seja proporcionado ao objetivo legítimo prosseguido, essa jurisprudência também deve preencher essas condições (v., neste sentido, Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV C‑17/22 e C‑18/22, EU:C:2024:738, n.° 73 e jurisprudência aí referida).

79 No caso em apreço, resulta da decisão de reenvio que as disposições legislativas em causa no processo principal não preveem requisitos que devam estar preenchidos para que elementos de prova ou factos que contenham dados pessoais que tenham sido objeto de um tratamento ilícito anterior possam ser considerados admissíveis. Por conseguinte, caberá ao órgão jurisdicional de reenvio, com o objetivo de assegurar a conformidade destas disposições com o RGPD, verificar existe jurisprudência clara e precisa, cuja aplicação seja previsível, e que estabeleça ela própria as circunstâncias e as condições em que os factos invocados e os elementos de prova apresentados pelas partes que contêm dados pessoais podem ser utilizados por um órgão jurisdicional, o que responde a um objetivo de interesse geral e é proporcionado a esse objetivo.

80 Tendo em conta todas as considerações precedentes, há que responder à primeira questão que o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e n.° 3, do RGPD, lido à luz do artigo 8.°, n.° 2, e do artigo 52.° da Carta, deve ser interpretado no sentido de que não se opõe a uma legislação nacional que, no que respeita ao tratamento de dados pessoais efetuado no âmbito da apreciação dos factos e da administração das provas por um órgão jurisdicional, se limita a prever que incumbe às partes apresentar elementos de facto circunstanciados e conformes com a verdade e a impor a esse órgão jurisdicional que tome plenamente em consideração esses elementos, antes, sendo caso disso, de proceder à sua apreciação, sem fornecer nenhuma indicação quanto às circunstâncias e às condições em que os factos expostos e os elementos de prova apresentados pelas partes que contêm dados pessoais podem ser utilizados por esse órgão jurisdicional, desde que exista uma jurisprudência nacional clara e precisa, cuja aplicação seja previsível, e que estabeleça ela própria as circunstâncias e as condições em que os factos expostos e os elementos de prova apresentados pelas partes que contêm dados pessoais podem ser utilizados por um órgão jurisdicional, e que essa jurisprudência responda a um objetivo de interesse público e seja proporcionada a esse objetivo.

Quanto à segunda questão, alínea a)

81 Com a sua segunda questão, alínea a), o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 17.°, n.° 3, alínea e), do RGPD deve ser interpretado no sentido de que enuncia uma condição alternativa de licitude que o tratamento pode cumprir para respeitar o artigo 5.°, n.° 1, alínea a), deste regulamento e que é distinta de uma das enumeradas no artigo 6.°, n.° 1, primeiro parágrafo, do RGPD.

82 A este respeito, importa recordar que, nos termos do artigo 5.°, n.° 1, alínea a), do RGPD, qualquer tratamento de dados pessoais deve, nomeadamente, ser lícito, o que implica, como recordado no n.° 64 do presente acórdão, que esse tratamento respeite todos os princípios enunciados no capítulo II do RGPD e respeite os direitos dos titulares dos dados enumerados no capítulo III do mesmo.

83 Entre estes princípios, o artigo 6.°, n.° 1, primeiro parágrafo, do RGPD enumera exaustiva e taxativamente as situações em que um tratamento de dados pessoais pode ser considerado lícito. Assim, para que possa ser considerado como tal, em conformidade com o artigo 5.°, n.° 1, alínea a), do RGPD, um tratamento deve estar abrangido por um dos casos previstos neste artigo 6.°, n.° 1, primeiro parágrafo [v., neste sentido, Acórdão de 4 de maio de 2023, Bundesrepublik Deutschland (Caixa de correio eletrónico dos tribunais), C‑60/22, EU:C:2023:373, n.° 56 e jurisprudência aí referida].

84 É certo que, nos termos do artigo 17.°, n.° 3, alínea e), do RGPD, o direito dos titulares dos dados de obterem do responsável pelo tratamento o apagamento dos seus dados, nomeadamente, como resulta do artigo 17.°, n.° 1, alínea d), deste regulamento, quando esses dados tenham sido tratados ilicitamente, não se aplica se esse tratamento for necessário para a declaração, o exercício ou a defesa de direitos num processo judicial.

85 No entanto, o facto de o artigo 17.°, n.° 3, alínea e), do RGPD introduzir uma exceção a este direito ao apagamento não significa que esta disposição deva ser interpretada no sentido de que estabelece, enquanto tal, uma condição alternativa de licitude autónoma, na qual o tratamento de dados pessoais necessário para a declaração, o exercício ou a defesa de direitos num processo judicial se pode basear para respeitar o artigo 5.°, n.° 1, alínea a), do RGPD. De facto, uma vez que a lista das condições alternativas de licitude que figura no artigo 6.°, n.° 1, primeiro parágrafo, do RGPD é exaustiva e taxativa, como resulta do n.° 83 do presente acórdão, a situação prevista no artigo 17.°, n.° 3, alínea e), deste regulamento não pode ser considerada uma condição de licitude alternativa.

86 Tendo em conta todas as considerações precedentes, há que responder à segunda questão, alínea a), que o artigo 17.°, n.° 3, alínea e), do RGPD deve ser interpretado no sentido de que esta disposição não enuncia uma condição alternativa de licitude que um tratamento possa preencher para respeitar o artigo 5.°, n.° 1, alínea a), do RGPD e que seja distinta de uma das enumeradas no artigo 6.°, n.° 1, primeiro parágrafo, do RGPD.

Quanto à segunda questão, alínea b)

87 Tendo em conta a resposta dada à segunda questão, alínea a), não há que responder à segunda questão, alínea b).

Quanto à terceira questão, alínea a)

88 Antes de mais, importa salientar que o princípio da «minimização dos dados», sobre o qual incide exclusivamente a terceira questão, alínea a), não é, como parece considerar o órgão jurisdicional de reenvio, tendo em conta a redação desta questão, enunciado no artigo 5.°, n.° 1, alínea a), do RGPD, mas sim no artigo 5.°, n.° 1, alínea c), do mesmo regulamento.

89 Além disso, resulta do pedido de decisão prejudicial que, quando se refere a um exame da proporcionalidade do tratamento previsto e a uma «ponderação» exaustiva dos interesses em presença, esse órgão jurisdicional interroga‑se sobre a necessidade, ao abrigo do artigo 52.°, n.° 1, segundo período, da Carta, de verificar, para cada tratamento de dados pessoais efetuado, se os dados tratados nessa ocasião são suscetíveis de permitir a realização do objetivo prosseguido por esse tratamento e se são estritamente necessários à sua realização, e se a gravidade da ingerência nos direitos fundamentais que implica a tomada em consideração desses dados para proceder ao tratamento em causa é proporcionada ao interesse que o responsável pelo tratamento tem em utilizar esses dados para efetuar o referido tratamento.

90 Por conseguinte, há que entender que, com a sua terceira questão, alínea a), o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 5.°, n.° 1, alínea c), do RGPD, lido em conjugação com o artigo 52.°, n.° 1, segundo período, da Carta, deve ser interpretado no sentido de que o princípio da «minimização dos dados» impõe a um órgão jurisdicional que assegure, para cada tratamento de dados pessoais que efetua, o respeito do princípio da proporcionalidade, ao assegurar que os dados tratados nessa ocasião são suscetíveis de permitir a realização do objetivo prosseguido por esse tratamento e são estritamente necessários à sua realização, e que a gravidade da ingerência nos direitos fundamentais que implica a tomada em consideração desses dados para proceder ao tratamento em causa seja proporcionada ao interesse que esse órgão jurisdicional tem em utilizar esses dados para proceder a esse tratamento.

91 A este respeito, por um lado, como resulta do artigo 52.°, n.° 1, segundo período, da Carta, para que sejam introduzidas restrições ao exercício dos direitos fundamentais garantidos por esta, na observância do princípio da proporcionalidade, essas restrições só podem ser introduzidas se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União, ou à necessidade de proteção dos direitos e liberdades de terceiros.

92 Mais especificamente, as derrogações à proteção dos dados pessoais e as respetivas restrições devem ocorrer na estrita medida do necessário, entendendo‑se que, quando exista uma escolha entre várias medidas adequadas à satisfação dos objetivos legítimos prosseguidos, se deve recorrer à menos restritiva. Além disso, um objetivo de interesse geral não pode ser legitimamente prosseguido sem ter em conta o facto de que deve ser conciliado com os direitos fundamentais afetados pela medida em causa, através de uma ponderação equilibrada entre o objetivo de interesse geral e os direitos em causa, para assegurar que os inconvenientes causados por esta medida não sejam desproporcionados relativamente aos objetivos prosseguidos. Assim, a questão de saber se uma restrição aos direitos garantidos nos artigos 7.° e 8.° da Carta pode ser justificada deve ser apreciada através da aferição da gravidade da ingerência que tal restrição implica e da verificação de que a importância do objetivo de interesse geral prosseguido por essa restrição está relacionada com essa gravidade (Acórdão de 21 de março de 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, n.° 83 e jurisprudência aí referida).

93 Consequentemente, o respeito do princípio da proporcionalidade exige que só possam ser introduzidas restrições aos direitos fundamentais garantidos pela Carta se, primeiro, a medida em causa prosseguir um ou vários objetivos de interesse geral reconhecidos pela União e for efetivamente suscetível de permitir a realização desses objetivos, segundo, quando as ingerências que daí resultam se limitem ao estritamente necessário, no sentido de que os referidos objetivos não podem ser razoavelmente alcançados de forma igualmente eficaz por outros meios menos lesivos dos referidos direitos fundamentais das pessoas em causa, e, terceiro, quando essas ingerências não sejam desproporcionadas em relação aos mesmos objetivos, o que implica, nomeadamente, uma ponderação destes últimos e da gravidade das referidas ingerências (Acórdão de 21 de março de 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, n.° 84 e jurisprudência aí referida).

94 Por outro lado, o artigo 5.°, n.° 1, alínea c), do RGPD, ao prever que os dados pessoais objeto de tratamento devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados, sujeita o tratamento dos dados pessoais ao respeito do princípio da «minimização dos dados» [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.° 104].

95 Ora, embora este princípio constitua uma «expressão» do princípio da proporcionalidade (v., neste sentido, Acórdão de 9 de janeiro de 2025, Association Mousse, C‑394/23, EU:C:2025:2, n.° 24 e jurisprudência aí referida), esta circunstância não significa que esta disposição aplique, por si só, o princípio da proporcionalidade e, como tal, os três requisitos mencionados no n.° 91 do presente acórdão.

96 A este respeito, importa salientar que os requisitos previstos no artigo 5.°, n.° 1, alínea c), do RGPD, que são suficientes para justificar que esta disposição seja considerada a expressão do princípio da proporcionalidade, são suscetíveis de garantir que a escolha de utilizar determinados dados em vez de outros preenche os dois primeiros requisitos que decorrem do respeito deste princípio.

97 Por um lado, resulta do próprio sentido dos termos «adequado» e «pertinente» que, quando os dados satisfazem estes dois primeiros requisitos, estes dados são suscetíveis de alcançar as finalidades do tratamento em causa e, a fortiori, de realizar o objetivo desse tratamento. Por outro lado, uma vez que estes dados se limitam ao que é necessário tendo em conta as finalidades para as quais são tratados, também são limitados em relação ao objetivo prosseguido de forma mais geral quando foi decidido utilizar esses dados para efetuar o tratamento em causa.

98 No que respeita ao terceiro requisito recordado no n.° 91 do presente acórdão, há que constatar que o preenchimento de uma das condições alternativas de licitude previstas no artigo 6.°, n.° 1, do RGPD já limita, em princípio, o tratamento de dados que pode ser efetuado não só a um tratamento necessário à realização de um objetivo legítimo mas também a um tratamento com um interesse legítimo que prevalece sobre a gravidade da ingerência nos direitos fundamentais garantidos nos artigos 7.° e 8.° da Carta que esse tratamento implica.

99 No que respeita ao tratamento abrangido pelo âmbito de aplicação do artigo 6.°, n.° 1, alínea c), do RGPD, a saber, os necessários ao cumprimento de uma obrigação jurídica a qual o responsável pelo tratamento está sujeito, o artigo 6.°, n.° 3, segundo parágrafo, deste regulamento prevê expressamente que o direito da União ou do Estado‑Membro que constitui o fundamento jurídico desse tratamento, e que, por conseguinte, estabelece a obrigação que o tratamento deve respeitar, deve responder a um objetivo de interesse público e ser proporcionado ao objetivo legítimo prosseguido.

100 Ao fazê‑lo, a referida disposição prevê expressamente que a obrigação legal a que o responsável pelo tratamento está sujeito e que constitui o fundamento do tratamento de dados pessoais deve resultar de uma ponderação, na adoção dessa base jurídica, entre, por um lado, os direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais consagrados nos artigos 7.° e 8.° da Carta e, por outro, os objetivos legitimamente prosseguidos nessa ocasião pelo direito da União ou pelo direito dos Estados‑Membros (v., por analogia, Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 124 e jurisprudência aí referida).

101 Ora, uma vez que, em conformidade com o artigo 5.°, n.° 1, alínea c), do RGPD, só os dados adequados, pertinentes e limitados ao que é necessário para as finalidades prosseguidas podem ser utilizados para efetuar um tratamento, quando essa obrigação resulta dessa ponderação, os dados que cumprem esses requisitos serão necessariamente apenas dados cujo interesse legítimo no tratamento seja superior à gravidade da ingerência nos direitos fundamentais garantidos nos artigos 7.° e 8.° da Carta envolvida nesse tratamento.

102 No que respeita a um tratamento de dados pessoais que um órgão jurisdicional deve realizar na apreciação dos oferecimentos de prova em apoio das partes, uma vez que esse tratamento é necessário para respeitar o direito a um processo equitativo, há que considerar que, para respeitar o princípio da «minimização dos dados», um órgão jurisdicional só deve verificar se os dados que trata preenchem os requisitos previstos no artigo 5.°, n.° 1, alínea c), do RGPD, sem ter de proceder a uma ponderação dos interesses em presença, independentemente do caráter exaustivo ou não dessa ponderação, e isto além da obrigação, prevista no artigo 6.°, n.° 3, segundo parágrafo, do RGPD, de que o fundamento jurídico que exige o tratamento em causa seja proporcionado ao objetivo legítimo prosseguido.

103 Tendo em conta todas as considerações precedentes, há que responder à terceira questão, alínea a), que o artigo 5.°, n.° 1, alínea c), do RGPD, lido em conjugação com o artigo 52.°, n.° 1, segundo período, da Carta, deve ser interpretado no sentido de que o princípio da «minimização dos dados» não impõe a um órgão jurisdicional que assegure, para cada tratamento de dados pessoais que efetua, o respeito do princípio da proporcionalidade, ao assegurar que os dados tratados nessa ocasião são suscetíveis de permitir a realização do objetivo prosseguido por esse tratamento e são estritamente necessários à sua realização, e que a gravidade da ingerência nos direitos fundamentais que implica a tomada em consideração desses dados para proceder a esse tratamento é proporcionada ao interesse que esse órgão jurisdicional tem em utilizar esses dados para proceder a esse tratamento, desde que estejam preenchidos os requisitos previstos no artigo 5.°, n.° 1, alínea c), do RGPD.

Quanto à terceira questão, alíneas b) a d)

104 Tendo em conta as considerações que figuram no n.° 49 do presente acórdão, há que considerar que, com a sua terceira questão, alíneas b) a d), o órgão jurisdicional de reenvio pergunta, em substância, se os artigos 7.° e 8.° da Carta, o artigo 5.°, n.° 1, do RGPD, o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, lido em conjugação com o artigo 6.°, n.° 3, do mesmo, e o princípio da «minimização dos dados» devem ser interpretados no sentido de que se opõem a que um juiz nacional utilize elementos de prova que contenham dados pessoais obtidos em violação do direito à proteção da vida privada e do direito à proteção dos dados pessoais pela parte que lhe transmitiu esses dados, quando essa parte não tem um interesse legítimo nesse tratamento que seja superior ao de simplesmente estabelecer os elementos de facto que invoca.

105 A este respeito, importa salientar, por um lado, que, embora o direito à proteção da vida privada e o direito à proteção dos dados pessoais, referidos nos artigos 7.° e 8.° da Carta, sejam suscetíveis, em certas situações, de entrar em conflito com o direito à ação, garantido no artigo 47.° da Carta, para os tratamentos de dados pessoais abrangidos pelo RGPD, os mecanismos que permitem ponderar os diferentes direitos e interesses fundamentais em presença devem ser considerados como estando contidos no próprio regulamento (v., neste sentido, Acórdão de 17 de junho de 2021, M.I.C.M., C‑597/19, EU:C:2021:492, n.° 112).

106 Em especial, a proporcionalidade das ingerências que podem ocorrer no direito à proteção da vida privada e no direito à proteção dos dados pessoais, previstos nos artigos 7.° e 8.° da Carta, através de um tratamento abrangido pelo âmbito de aplicação do RGPD é garantida pela aplicação conjugada dos princípios enunciados no artigo 5.°, n.° 1, deste regulamento e das exigências inerentes a cada condição alternativa de licitude enunciada no artigo 6.°, n.° 1, do referido regulamento, lido, sendo caso disso, em conjugação com o seu artigo 6.°, n.° 3.

107 Por conseguinte, enquanto estiverem preenchidas as condições que regulam um tratamento lícito de dados pessoais ao abrigo do mesmo regulamento, esse tratamento cumpre, em princípio, as exigências dos artigos 7.° e 8.° da Carta [Acórdão de 5 de junho de 2023, Comissão/Polónia (Independência e vida privada dos juízes), C‑204/21, EU:C:2023:442, n.° 332].

108 Por outro lado, como o advogado‑geral salientou, em substância, no n.° 32 das suas conclusões, nem o artigo 5.°, n.° 1, do RGPD nem nenhum dos outros direitos e princípios enunciados nos capítulos II e III deste regulamento preveem uma proibição geral e absoluta que impeça uma autoridade pública, como um órgão jurisdicional, de tomar em consideração dados pessoais que tenham sido objeto de um tratamento ilícito anterior, na aceção do referido regulamento, pela pessoa que transmitiu esses dados a essa autoridade.

109 É certo que o artigo 5.°, n.° 1, alínea a), do RGPD estabelece, em princípio, que o tratamento de dados pessoais deve ser não só lícito e transparente mas também leal.

110 Todavia, resulta do considerando 39 deste regulamento que o objetivo prosseguido por este princípio da lealdade, que se confunde com o prosseguido pelo princípio da transparência, é assegurar às pessoas em causa o conhecimento do tratamento dos seus dados pessoais e que, nessa ocasião, recebam as informações necessárias ao exercício dos seus direitos.

111 Por conseguinte, o impacto do facto de os dados tratados terem sido objeto de um tratamento ilícito anterior, na aceção do artigo 5.°, n.° 1, alínea a), do RGPD, pela parte que transmitiu esses dados depende da condição alternativa de licitude invocada pelo responsável pelo tratamento para justificar esse tratamento. Com efeito, algumas dessas condições alternativas podem ser inaplicáveis a esses dados devido às exigências que enunciam.

112 Assim, no que respeita à condição alternativa de licitude prevista no artigo 6.°, n.° 1, alínea f), do RGPD, o facto de o responsável pelo tratamento saber ou dever saber que certos dados que lhe tinham sido transmitidos tinham sido, nomeadamente, objeto de uma recolha ou de uma conservação de forma ilícita anteriores opõe‑se a que se possa considerar que a recolha desses dados, efetuada por esse responsável na sequência da sua transmissão, prossegue interesses legítimos e, como tal, preenche essa condição alternativa de licitude.

113 No entanto, há que considerar que o tratamento de dados pessoais efetuado por um órgão jurisdicional em relação aos dados pessoais contidos em oferecimentos de prova em apoio das partes é, em princípio, necessário para respeitar uma obrigação legal desse órgão jurisdicional, a saber, a de se pronunciar sobre a admissibilidade desses elementos e, quando estes tenham sido declarados admissíveis à luz dos critérios previstos para o efeito pelo direito nacional, de os ter em conta para proferir a sua decisão.

114 Ora, o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD não faz referência a nenhum requisito suscetível de impedir um órgão jurisdicional invocar esta condição alternativa de licitude quando os dados pessoais em causa constantes de elementos de prova tenham sido objeto de um tratamento ilícito anterior, na aceção do referido regulamento, pela pessoa que transmitiu esses dados.

115 É certo que o artigo 6.°, n.° 3, do RGPD enuncia que o fundamento jurídico dos tratamentos de dados pessoais com base no artigo 6.°, n.° 1, primeiro parágrafo, alínea c), deste regulamento deve ser previsto pelo direito da União ou pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito, que esse fundamento jurídico pode conter disposições específicas para adaptar a aplicação das regras deste regulamento às necessidades que prossegue e que, em todo o caso, o direito da União ou de um Estado‑Membro deve responder a um objetivo de interesse público e ser proporcionado ao objetivo legítimo prosseguido (v., neste sentido, Acórdão de 2 de março de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, n.° 31).

116 No que respeita a este requisito de proporcionalidade e às exigências que impõe, importa recordar que, de acordo com a jurisprudência recordada no n.° 91 do presente acórdão, primeiro, o fundamento jurídico em que se baseia o tratamento em causa deve ser suscetível de permitir responder ao objetivo de interesse público prosseguido, segundo, deve apenas autorizar um tratamento que não ultrapasse o estritamente necessário, o que pressupõe a inexistência de outras medidas menos lesivas dos direitos e liberdades dos titulares dos dados que permitam alcançar esse objetivo de forma tão eficaz, e, terceiro, que esse fundamento jurídico deve ser proporcionado, em sentido estrito, no sentido de que, após ter ponderado todos os elementos pertinentes, não pode autorizar um tratamento que implique limitações desproporcionadas aos direitos e liberdades dos titulares dos dados, tendo em conta a importância da realização desse objetivo.

117 Ora, a circunstância de a obrigação legal que torna necessário o tratamento dos dados pessoais contidos em elementos de prova formulados pelas partes também se aplicar aos dados pessoais obtidos em violação do direito à proteção da vida privada e do direito à proteção dos dados pessoais pela parte que transmitiu esses dados não se afigura suscetível de excluir que este fundamento jurídico possa satisfazer essas exigências.

118 Antes de mais, no que respeita à primeira exigência recordada no n.° 91 do presente acórdão, quando um órgão jurisdicional trata dados pessoais, a obrigação legal que impõe a esse órgão jurisdicional de se pronunciar sobre a admissibilidade dos oferecimentos de prova apresentados em apoio das partes e, quando esses elementos de prova sejam admissíveis, de os tomar em consideração para proferir a sua decisão, deve ser considerada como prosseguindo um objetivo de interesse público, uma vez que tem por objeto o respeito de um direito fundamental, a saber, o direito a um processo equitativo, consagrado no artigo 47.° da Carta.

119 Em seguida, também se deve considerar que esta obrigação é suscetível de permitir alcançar esse objetivo de interesse público, e que é estritamente necessária à realização desse objetivo, mesmo quando os dados em causa tenham sido obtidos de forma ilícita. Em especial, uma vez que o direito a um processo equitativo impõe ao juiz que se pronuncie sobre a admissibilidade dos oferecimentos de prova apresentados em apoio das partes e, quando esses oferecimentos de prova sejam admissíveis, que os tome em consideração para proferir a sua decisão, nenhuma outra medida se afigura suscetível de alcançar esse objetivo de forma tão eficaz como a que permite ao juiz tratar dados pessoais que figuram nos oferecimentos de prova apresentados em apoio das partes.

120 Por último, importa recordar que, como confirma o considerando 4 do RGPD, o direito à proteção dos dados pessoais não é um direito absoluto, mas deve ser tomado em consideração em relação à sua função na sociedade e ser equilibrado, em conformidade com o princípio da proporcionalidade, com outros direitos fundamentais, como o direito a uma tutela jurisdicional efetiva, consagrado no artigo 47.° da Carta (v., neste sentido, Acórdão de 2 de março de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, n.° 49).

121 Tendo em conta a função essencial que o direito a um processo equitativo desempenha na sociedade, o facto de impor a um órgão jurisdicional o tratamento dos dados pessoais contidos nos oferecimentos de prova apresentados em apoio das partes, incluindo quando esses dados tenham sido obtidos em violação do direito à proteção da vida privada e do direito à proteção dos dados pessoais, não se afigura suscetível de implicar uma ingerência desproporcionada nesses direitos, conforme garantidos nos artigos 7.° e 8.° da Carta.

122 Por conseguinte, a obrigação que incumbe ao juiz, ao abrigo do direito a um processo equitativo, de tratar todos os dados pessoais constantes dos elementos de prova apresentados cumpre os requisitos do artigo 6.°, n.° 3, do RGPD, mesmo que essa obrigação diga respeito a dados obtidos em violação dos direitos de personalidade e que essa parte não tenha um interesse legítimo nesse tratamento que seja superior ao de simplesmente estabelecer os elementos de facto que invoca.

123 No entanto, os dados utilizados nessas ocasiões devem, em conformidade com o artigo 5.°, n.° 1, alínea c), do RGPD, limitar‑se aos dados que sejam adequados, pertinentes e necessários para as finalidades para as quais são tratados.

124 Ora, a este respeito, relativamente, em primeiro lugar, aos dados pessoais utilizados no tratamento efetuado por um órgão jurisdicional para decidir, à luz das regras pertinentes do direito nacional, se os oferecimentos de prova apresentados em apoio são admissíveis e se os factos invocados por uma parte são pertinentes, há que constatar que o direito a um processo equitativo, conforme reconhecido no artigo 47.° da Carta, implica que as partes possam apresentar a um órgão jurisdicional os elementos de prova que considerem pertinentes.

125 Por conseguinte, no que respeita às ações judiciais destinadas a garantir a salvaguarda dos direitos conferidos aos litigantes pelo direito da União, o facto de, para decidir sobre a admissibilidade dos oferecimentos de prova apresentados em apoio, um órgão jurisdicional ser obrigado a tratar dados pessoais não implica, em princípio, nenhuma violação do princípio da «minimização dos dados», uma vez que, nessa fase, esses dados são adequados, pertinentes e necessários para permitir a esse órgão jurisdicional pronunciar‑se sobre essa admissibilidade. O mesmo se aplica às ações judiciais em que o direito da União não é invocado, quando o direito do Estado‑Membro em causa confere às partes um direito de alcance semelhante ao direito a um processo equitativo, garantido pelo artigo 47.° da Carta.

126 Em contrapartida, uma vez que um órgão jurisdicional tenha declarado a admissibilidade dos documentos que contêm os dados pessoais que lhe foram transmitidos à luz das regras previstas para esse efeito pelo direito nacional, esse órgão jurisdicional deve, antes de os juntar aos autos, apreciar se esses dados se limitam aos dados necessários à luz das finalidades prosseguidas, a saber, permitir a esse órgão jurisdicional tomar a decisão o mais esclarecida possível à luz das circunstâncias pertinentes do processo e respeitar o princípio do contraditório, ou se esse órgão jurisdicional deve tomar certas medidas para reduzir a quantidade de dados assim em causa, como a anonimização total ou parcial dos documentos em causa, sem, no entanto, violar os direitos das outras partes.

127 No entanto, a circunstância de os dados em causa terem sido obtidos em violação do direito à proteção da vida privada e do direito à proteção dos dados pessoais, previstos nos artigos 7.° e 8.° da Carta, não se afigura, por si só, determinante, uma vez que os critérios previstos no artigo 5.°, n.° 1, alínea c), do RGPD exigem que esses dados sejam adequados, pertinentes e limitados ao que é necessário à luz dos objetivos prosseguidos.

128 No que respeita, em segundo lugar, aos dados pessoais utilizados num tratamento efetuado por um órgão jurisdicional para adotar a sua decisão, tendo em conta o direito a um processo equitativo, todos os dados constantes de documentos declarados admissíveis e juntos aos autos devem, em princípio, ser considerados adequados, pertinentes e limitados ao que é necessário à luz da finalidade desse tratamento, uma vez que, em conformidade com esse direito a um processo equitativo, esse órgão jurisdicional é obrigado a ter em conta todos esses elementos para, nomeadamente, apreciar a sua pertinência.

129 Em terceiro e último lugar, no que respeita à divulgação desses dados por um órgão jurisdicional no momento da notificação ou da publicação da sua decisão, esse tratamento exige, para garantir que esses dados sejam limitados ao que é necessário tendo em conta as finalidades para as quais são tratados, que esse órgão jurisdicional tenha em conta, nomeadamente, não só a necessidade de permitir a execução da decisão, a necessidade de informar os terceiros que também possam ser afetados pelos factos em causa e a necessidade de proteger os litigantes contra os abusos de uma justiça secreta (v., neste sentido, TEDH, 2 de junho de 2022, Straume c. Letónia, CE:ECHR:2022:0602JUD005940214, § 124) mas também a possibilidade de tomar determinadas medidas, como a anonimização desses dados ou a pseudonimização desses dados, com vista a minimizar o entrave ao direito à proteção dos dados pessoais que tal divulgação possa implicar.

130 Tendo em conta todas as considerações precedentes, há que responder à terceira questão, alíneas b) a d), que os artigos 7.° e 8.° da Carta, o artigo 5.°, n.° 1, do RGPD, o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), deste regulamento, lido em conjugação com o artigo 6.°, n.° 3, do mesmo, e o princípio da «minimização dos dados» devem ser interpretados no sentido de que não se opõem a que um juiz nacional utilize elementos de prova que contenham dados pessoais obtidos em violação do direito à proteção da vida privada e do direito à proteção dos dados pessoais pela parte que lhe transmitiu esses dados, quando essa parte não tem um interesse legítimo nesse tratamento que seja superior ao de simplesmente estabelecer os elementos de facto que invoca. Em contrapartida, antes de divulgar esses dados às partes ou a terceiros, esse órgão jurisdicional deve verificar se esses dados se limitam ao que é necessário tendo em conta as finalidades para as quais essa divulgação é efetuada e, se for caso disso, tomar certas medidas para reduzir ao mínimo o entrave ao direito à proteção dos dados pessoais que essa divulgação pode implicar.

Quanto à terceira questão, alínea e)

131 Com a sua terceira questão, alínea e), o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 13.°, n.os 1 e 2, do RGPD deve ser interpretado no sentido de que se opõe a que um órgão jurisdicional nacional, agindo no exercício das suas funções jurisdicionais, utilize dados recolhidos por uma pessoa que não cumpriu as obrigações de informação que incumbem a essa pessoa ao abrigo desta disposição.

132 A este respeito, resulta do artigo 13.°, n.os 1 e 2, do RGPD que, quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as informações enumeradas nesses números.

133 Tendo em conta que esta disposição faz parte do capítulo III do RGPD, deve considerar‑se que estes números estabelecem requisitos que devem ser cumpridos para que a recolha de dados pessoais seja lícita.

134 De resto, a obrigação prevista no artigo 13.° contribui para o cumprimento do requisito previsto no artigo 5.°, n.° 1, alínea a), do RGPD, que faz parte do capítulo II deste regulamento, de acordo com o qual qualquer tratamento de dados pessoais deve ser leal e transparente, pelo que também deve ser respeitada a este título.

135 No entanto, sem que seja necessário determinar se, para preservar o efeito útil do artigo 17.°, n.° 3, alínea e), do RGPD, esta disposição deve ser interpretada no sentido de que o facto de a parte em causa ter recolhido os dados em causa sem respeitar esta obrigação não implica que um tratamento que consiste em transmitir a um órgão jurisdicional elementos de prova que contenham esses dados deva ser considerado ilícito, importa recordar que, como foi salientado no n.° 108 do presente acórdão, nem o artigo 5.°, n.° 1, do RGPD nem nenhum dos outros direitos e princípios enunciados nos capítulos II e III deste regulamento prevê uma proibição geral e absoluta que impeça um responsável pelo tratamento de ter em conta dados pessoais que tenham sido objeto de um tratamento ilícito anterior, para efeitos do RGPD, pela pessoa que transmitiu esses dados ao responsável pelo tratamento.

136 Por conseguinte, há que responder à terceira questão, alínea e), que o artigo 13.°, n.os 1 e 2, do RGPD deve ser interpretado no sentido de que não se opõe a que um órgão jurisdicional nacional, agindo no exercício das suas funções jurisdicionais, utilize dados recolhidos por uma parte ou por um terceiro que não cumpriu as obrigações de informação que lhe incumbem ao abrigo desta disposição.

Quanto à terceira questão, alínea f)

137 Com a sua terceira questão, alínea f), o órgão jurisdicional de reenvio pergunta, em substância, se o RGPD deve ser interpretado no sentido de que um órgão jurisdicional está obrigado, no exercício das suas funções jurisdicionais, a assegurar o cumprimento deste regulamento quando trata dados pessoais de pessoas que não são partes no processo nele pendente. O direito da União exige que uma das partes nesse processo possa invocar o facto de a outra parte ter recolhido ou conservado ilicitamente dados, na aceção do referido regulamento, em violação dos direitos que o mesmo regulamento confere a esses terceiros.

138 A este respeito, resulta do artigo 288.° TFUE que um regulamento é um ato de alcance geral, obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados‑Membros.

139 Uma vez que os princípios enunciados no capítulo II do RGPD se aplicam independentemente de qualquer consideração relativa à situação processual dos titulares dos dados ou ao facto de o responsável pelo tratamento ser um órgão jurisdicional, este regulamento, lido em conjugação com o artigo 288.° TFUE, deve ser interpretado no sentido de que um órgão jurisdicional está obrigado, no exercício das suas funções jurisdicionais, a respeitar o referido regulamento quando trata dados pessoais relativos a pessoas que não são partes no litígio nele pendente.

140 Em contrapartida, no que respeita à possibilidade de uma parte invocar um ato ilícito prejudicial a um terceiro, esta questão enquadra‑se, na falta de disposição na matéria no direito da União, na autonomia processual dos Estados‑Membros.

141 É certo que, no que respeita às ações judiciais destinadas a garantir a salvaguarda dos direitos conferidos aos litigantes pelo direito da União, ao abrigo do princípio da autonomia processual, que se aplica na falta de qualquer disposição prevista no direito da União, as modalidades processuais dessas ações não devem ser menos favoráveis do que as que dizem respeito a ações semelhantes de natureza interna (princípio da equivalência) nem suscetíveis de tornar impossível, na prática, ou excessivamente difícil o exercício dos direitos conferidos pela ordem jurídica da União (v., neste sentido, Acórdão de 6 de outubro de 2020, La Quadrature du Net e o., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, n.° 223 e jurisprudência aí referida).

142 Além disso, estas modalidades processuais também devem respeitar o direito a um processo equitativo, conforme garantido no artigo 47.° da Carta, uma vez que esta é aplicável, em conformidade com o seu artigo 51.°, em todas as situações em que os Estados‑Membros apliquem o direito da União.

143 Todavia, não se pode deixar de observar que nem o princípio da efetividade nem o direito a um processo equitativo garantido no artigo 47.° da Carta exigem, em princípio, que seja reconhecida às partes num processo judicial a possibilidade de invocarem uma violação do RGPD em detrimento de pessoas que não são partes nesse processo.

144 Por conseguinte, há que responder à terceira questão, alínea f), que o RGPD deve ser interpretado no sentido de que um órgão jurisdicional está obrigado, no exercício das suas funções jurisdicionais, a assegurar o cumprimento deste regulamento quando trata dados pessoais de pessoas que não são partes no litígio. O direito da União não exige que uma das partes nesse processo possa invocar o facto de a outra parte ter recolhido ou conservado ilicitamente dados, na aceção do referido regulamento, em violação dos direitos que o mesmo regulamento confere a esses terceiros.

Quanto às despesas

145 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Quinta Secção) declara:

1) O artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e n.° 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), lido à luz do artigo 8.°, n.° 2, e do artigo 52.° da Carta dos Direitos Fundamentais da União Europeia,

deve ser interpretado no sentido de que:

não se opõe a uma legislação nacional que, no que respeita ao tratamento de dados pessoais efetuado no âmbito da apreciação dos factos e da administração das provas por um órgão jurisdicional, se limita a prever que incumbe às partes apresentar elementos de facto circunstanciados e conformes com a verdade e a impor a esse órgão jurisdicional que tome plenamente em consideração esses elementos, antes, sendo caso disso, de proceder à sua apreciação, sem fornecer nenhuma indicação quanto às circunstâncias e às condições em que os factos expostos e os elementos de prova apresentados pelas partes que contêm dados pessoais podem ser utilizados por esse órgão jurisdicional, desde que exista uma jurisprudência nacional clara e precisa, cuja aplicação seja previsível, e que estabeleça ela própria as circunstâncias e as condições em que os factos expostos e os elementos de prova apresentados pelas partes que contêm dados pessoais podem ser utilizados por um órgão jurisdicional, e que essa jurisprudência responda a um objetivo de interesse público e seja proporcionada a esse objetivo.

2) O artigo 17.°, n.° 3, alínea e), do Regulamento 2016/679

deve ser interpretado no sentido de que:

esta disposição não enuncia uma condição alternativa de licitude que um tratamento possa preencher para respeitar o artigo 5.°, n.° 1, alínea a), deste regulamento e que seja distinta de uma das enumeradas no artigo 6.°, n.° 1, primeiro parágrafo, do referido regulamento.

3) O artigo 5.°, n.° 1, alínea c), do Regulamento 2016/679, lido em conjugação com o artigo 52.°, n.° 1, segundo período, da Carta dos Direitos Fundamentais,

deve ser interpretado no sentido de que:

o princípio da «minimização dos dados» não impõe a um órgão jurisdicional que assegure, para cada tratamento de dados pessoais que efetua, o respeito do princípio da proporcionalidade, ao assegurar que os dados tratados nessa ocasião são suscetíveis de permitir a realização do objetivo prosseguido por esse tratamento e são estritamente necessários à sua realização, e que a gravidade da ingerência nos direitos fundamentais que implica a tomada em consideração desses dados para proceder a esse tratamento é proporcionada ao interesse que esse órgão jurisdicional tem em utilizar esses dados para proceder a esse tratamento, desde que estejam preenchidos os requisitos previstos no artigo 5.°, n.° 1, alínea c), do Regulamento 2016/679.

4) Os artigos 7.° e 8.° da Carta dos Direitos Fundamentais, o artigo 5.°, n.° 1, do Regulamento 2016/679, o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do mesmo regulamento, lido em conjugação com o artigo 6.°, n.° 3, do mesmo, bem como o princípio da «minimização dos dados»,

devem ser interpretados no sentido de que:

não se opõem a que um juiz nacional utilize elementos de prova que contenham dados pessoais obtidos em violação do direito à proteção da vida privada e do direito à proteção dos dados pessoais pela parte que lhe transmitiu esses dados, quando essa parte não tem um interesse legítimo nesse tratamento que seja superior ao de simplesmente estabelecer os elementos de facto que invoca. Em contrapartida, antes de divulgar esses dados às outras partes ou a terceiros, esse órgão jurisdicional deve verificar se esses dados se limitam ao que é necessário tendo em conta as finalidades para as quais essa divulgação é efetuada e, se for caso disso, tomar certas medidas para reduzir ao mínimo o entrave ao direito à proteção dos dados pessoais que essa divulgação pode implicar.

5) O artigo 13.°, n.os 1 e 2, do Regulamento 2016/679

deve ser interpretado no sentido de que:

não se opõe a que um órgão jurisdicional nacional, agindo no exercício das suas funções jurisdicionais, utilize dados recolhidos por uma parte ou por um terceiro que não cumpriu as obrigações de informação que lhe incumbem ao abrigo desta disposição.

6) O Regulamento 2016/679

deve ser interpretado no sentido de que:

um órgão jurisdicional está obrigado, no exercício das suas funções jurisdicionais, a assegurar o cumprimento deste regulamento quando trata dados pessoais de pessoas que não são partes no litígio. O direito da União não exige que uma das partes nesse processo possa invocar o facto de a outra parte ter recolhido ou conservado ilicitamente dados, na aceção do referido regulamento, em violação dos direitos que o mesmo regulamento confere a esses terceiros.

Assinaturas

* Língua do processo: alemão.