Acórdão do Tribunal de Justiça da União Europeia
Processo C-579/21

Edição provisória

CONCLUSÕES DO ADVOGADO‑GERAL

MANUEL CAMPOS SÁNCHEZ‑BORDONA

apresentadas em 15 de dezembro de 2022 (1)

Processo C‑579/21

J. M.

sendo intervenientes:

Apulaistietosuojavaltuutettu,

Pankki S

[pedido de decisão prejudicial apresentado pelo Itä‑Suomen hallinto‑oikeus (Tribunal Administrativo da Finlândia Oriental, Finlândia)]

«Reenvio prejudicial – Tratamento de dados de natureza pessoal – Regulamento (UE) 2016/679 – Dados constantes de um registo de operações – Direito de acesso – Conceito de dados de natureza pessoal – Conceito de destinatário – Pessoal ao serviço do responsável pelo tratamento»

1. Um empregado e, simultaneamente, cliente de uma instituição financeira pediu a esta última que o informasse sobre a identidade das pessoas que consultaram os seus dados pessoais no âmbito de uma investigação interna. Perante a recusa da instituição em prestar‑lhe essas informações, utilizou as vias de recurso correspondentes até chegar ao Itä‑Suomen hallinto‑oikeus (Tribunal Administrativo da Finlândia Oriental, Finlândia).

2. Este órgão jurisdicional submeteu ao Tribunal de Justiça um pedido de decisão prejudicial relativo à interpretação do Regulamento (UE) 2016/679 (2). Ao responder a esse pedido, o Tribunal de Justiça terá de se pronunciar sobre o direito do titular dos dados ao acesso a determinadas informações relativas ao tratamento dos seus dados pessoais.

I. Quadro jurídico

A. Direito da União. RGPD

3. O considerando 11 enuncia:

«A proteção eficaz dos dados pessoais na União exige o reforço e a especificação dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados pessoais, bem como poderes equivalentes para controlar e assegurar a conformidade das regras de proteção dos dados pessoais e sanções equivalentes para as infrações nos Estados‑Membros.»

4. O artigo 4.° («Definições») dispõe:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

9) “Destinatário”, uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro […].»

5. O artigo 15.° («Direito de acesso do titular dos dados»), n.° 1, tem a seguinte redação:

«O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:

a) As finalidades do tratamento dos dados;

b) As categorias dos dados pessoais em questão;

c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;

d) Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;

e) A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;

f) O direito de apresentar reclamação a uma autoridade de controlo;

g) Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;

h) A existência de decisões automatizadas, incluindo a definição de perfis, referida no artigo 22.°, n.os 1 e 4, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.»

6. Nos termos do artigo 24.° («Responsabilidade do responsável pelo tratamento»), n.° 1:

«Tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, o responsável pelo tratamento aplica as medidas técnicas e organizativas que forem adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com o presente regulamento. Essas medidas são revistas e atualizadas consoante as necessidades.»

7. Em conformidade com o artigo 25.° («Proteção de dados desde a conceção e por defeito»), n.° 2:

«O responsável pelo tratamento aplica medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica‑se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. Em especial, essas medidas asseguram que, por defeito, os dados pessoais não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.»

8. O artigo 29.° («Tratamento sob a autoridade do responsável pelo tratamento ou do subcontratante») prevê:

«O subcontratante ou qualquer pessoa que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, tenha acesso a dados pessoais, não procede ao tratamento desses dados exceto por instrução do responsável pelo tratamento, salvo se a tal for obrigado por força do direito da União ou dos Estados‑Membros.»

9. O artigo 30.° («Registos das atividades de tratamento») dispõe:

«1. Cada responsável pelo tratamento e, sendo caso disso, o seu representante conserva um registo de todas as atividades de tratamento sob a sua responsabilidade. Desse registo constam todas as seguintes informações:

a) O nome e os contactos do responsável pelo tratamento e, sendo caso disso, de qualquer responsável conjunto pelo tratamento, do representante do responsável pelo tratamento e do encarregado da proteção de dados;

b) As finalidades do tratamento dos dados;

c) A descrição das categorias de titulares de dados e das categorias de dados pessoais;

d) As categorias de destinatários a quem os dados pessoais foram ou serão divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais;

[…]

f) Se possível, os prazos previstos para o apagamento das diferentes categorias de dados;

g) Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no artigo 32.°, n.° 1.

2. Cada subcontratante e, sendo caso disso, o representante deste, conserva um registo de todas as categorias de atividades de tratamento realizadas em nome de um responsável pelo tratamento, do qual constará:

a) O nome e contactos do subcontratante ou subcontratantes e de cada responsável pelo tratamento em nome do qual o subcontratante atua, bem como, sendo caso disso do representante do responsável pelo tratamento ou do subcontratante e do encarregado da proteção de dados;

b) As categorias de tratamentos de dados pessoais efetuados em nome de cada responsável pelo tratamento;

c) Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais […]

d) Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no artigo 32.°, n.° 1.

3. Os registos a que se referem os n.os 1 e 2 são efetuados por escrito, incluindo em formato eletrónico.

4. O responsável pelo tratamento e, sendo caso disso, o subcontratante, o representante do responsável pelo tratamento ou do subcontratante, disponibilizam, a pedido, o registo à autoridade de controlo.

5. As obrigações a que se referem os n.os 1 e 2 não se aplicam às empresas ou organizações com menos de 250 trabalhadores, a menos que o tratamento efetuado seja suscetível de implicar um risco para os direitos e liberdades do titular dos dados, não seja ocasional ou abranja as categorias especiais de dados […] ou dados pessoais relativos a condenações penais e infrações […].»

10. O artigo 58.° («Poderes»), n.° 1, tem a seguinte redação:

«Cada autoridade de controlo dispõe dos seguintes poderes de investigação:

a) Ordenar que o responsável pelo tratamento e o subcontratante e, se existir, o seu representante, lhe forneçam as informações de que necessite para o desempenho das suas funções;

[…].»

B. Direito nacional

1. Tietosuojalaki (1050/2018) (3)

11. Nos termos do § 30, as disposições relativas ao tratamento de dados pessoais de trabalhadores, aos testes e controlos a realizar aos trabalhadores e aos requisitos que devem ser respeitados no decurso dos mesmos, bem como as disposições relativas ao controlo técnico no local de trabalho e à consulta e visualização de mensagens de correio eletrónico dos trabalhadores, estão contidas na Laki yksityisyyden suojasta työelämässä (759/2004) (4).

12. O § 34, n.° 1, dispõe que o titular dos dados não tem direito de acesso aos dados recolhidos sobre ele, na aceção do artigo 15.° do RGPD se:

1) a disponibilização dos dados for suscetível de pôr em perigo a segurança nacional, a defesa ou a segurança e ordem públicas e a prevenção ou a investigação de infrações penais;

2) a disponibilização dos dados for suscetível de constituir um risco sério para a saúde ou para a assistência a prestar ao titular dos dados ou para os direitos do mesmo ou de um terceiro ou

3) os dados pessoais forem utilizados para atividades de supervisão e controlo e a retenção dos dados for necessária para a proteção de um interesse económico ou financeiro relevante da Finlândia ou da União Europeia.

13. Nos termos do n.° 2 do § 34, se apenas uma parte dos dados previstos no n.° 1 não estiver abrangida pelo direito regulado no artigo 15.° do RGPD, o titular dos dados tem direito a ser informado sobre todos os restantes dados que lhe dizem respeito.

14. O n.° 3 do § 34 prevê que devem ser comunicados ao titular dos dados os motivos da limitação, desde que tal não comprometa o objetivo da limitação.

15. Em conformidade com o n.° 4 do § 34, a pedido do titular dos dados, os dados a que se refere o artigo 15.°, n.° 1, do RGPD devem ser colocados à disposição do encarregado da proteção de dados, quando o titular dos dados não tenha direito a aceder aos dados recolhidos a seu respeito.

2. Laki yksityisyyden suojasta työelämässä (759/2004)

16. Nos termos da secção 2, § 4, n.° 2, o empregador é obrigado a informar previamente o trabalhador sobre a recolha de dados que se destinem a apreciar a sua fiabilidade. Além disso, se o empregador aprecia a capacidade de crédito do trabalhador, deverá comunicar ao trabalhador qual o registo de que foram extraídas as informações relativas ao crédito. Se os dados relativos ao trabalhador tiverem sido recolhidos junto de uma pessoa que não o próprio trabalhador, o empregador deverá comunicar ao trabalhador os dados obtidos antes de os mesmos serem utilizados na tomada de decisões que digam respeito ao trabalhador. As obrigações do responsável pelo tratamento, de colocar dados à disposição do titular dos dados, bem como o direito de acesso aos dados, estão regulados no capítulo III do RGPD.

II. Matéria de facto, litígio e questões prejudiciais

17. Em 2014, J. M. teve conhecimento de que os seus dados pessoais de cliente da instituição financeira Suur‑Savon Osuuspankki (a seguir «Pankki») tinham sido consultados entre 1 de novembro e 31 de dezembro de 2013. Durante esse período, além de cliente, J. M. era empregado do Pankki.

18. Em 29 de maio de 2018, suspeitando que os motivos da consulta não tinham sido totalmente lícitos, J. M. pediu ao Pankki que o informasse sobre a identidade dos empregados que tinham tido acesso aos seus dados no período referido e sobre as finalidades do tratamento dos dados.

19. Entretanto, o Pankki tinha despedido J. M., que fundamentou o seu pedido invocando, nomeadamente, o desejo de clarificar os motivos do seu despedimento.

20. Em 30 de agosto de 2018, o Pankki, na sua qualidade de responsável pelo tratamento, recusou‑se a fornecer a J.M. os nomes dos empregados que tinham procedido ao tratamento dos seus dados pessoais. Alegou que o direito previsto no artigo 15.° do RGPD não é aplicável aos registos diários ou aos protocolos internos dos quais constam quais os empregados que tiveram acesso ao sistema informático que inclui os dados dos clientes, e em que momento. Além disso, as informações pedidas diriam respeito a dados pessoais desses empregados, e não de J. M.

21. A fim de evitar equívocos, o Pankki prestou os seguintes esclarecimentos adicionais a J. M.:

– Em 2014, os serviços internos da instituição tinham investigado os dados de cliente de J. M. correspondentes ao período entre 1 de novembro e 31 de dezembro de 2013.

– Essas investigações estavam relacionadas com o tratamento dos dados de outro cliente do Pankki, das quais decorreria que tinha com J. M. uma ligação que poderia suscitar um conflito de interesses. Por conseguinte, a finalidade do tratamento consistia na clarificação dessa situação (5).

22. J. M. apresentou o caso à autoridade nacional de supervisão (Gabinete da Autoridade para a Proteção de Dados, Finlândia), requerendo que se instasse o Pankki a prestar as informações pedidas.

23. Em 4 de agosto de 2020, a Autoridade Adjunta para a Proteção de Dados indeferiu o pedido de J. M.

24. J. M. intentou uma ação no Itä‑Suomen hallinto‑oikeus (Tribunal Administrativo da Finlândia Oriental), argumentando que, com base no RGPD, tem direito a ser informado sobre a identidade e os cargos das pessoas que consultaram os seus dados na instituição financeira.

25. Neste contexto, esse órgão jurisdicional submeteu ao Tribunal de Justiça as seguintes questões:

«1) Deve o direito de acesso que assiste ao titular dos dados ao abrigo do artigo 15.°, n.° 1, do [RGPD], conjugado com o [conceito] de “dados pessoais” na aceção do artigo 4.°, [ponto] 1, do regulamento, ser interpretado no sentido de que as informações recolhidas pelo responsável pelo tratamento das quais resultam a identidade da pessoa que tratou os dados pessoais do titular dos dados, quando e para que efeito, não constituem informações às quais o titular dos dados tenha direito de acesso, em especial por se tratar de dados relativos a trabalhadores do responsável pelo tratamento?

2) Em caso de resposta afirmativa à primeira questão e se o titular dos dados não tiver, por força do artigo 15.°, n.° 1, do [RGPD], direito de acesso às informações referidas naquela questão por as mesmas não constituírem “dados pessoais” do titular dos dados na aceção do artigo 4.°, [ponto] 1, do [RGPD], devem ainda, no presente caso, ser tidas em conta as informações às quais o titular dos dados tem direito de acesso nos termos do artigo 15.°, n.° 1, alíneas [a) a h)]:

a) Como devem ser interpretadas as “finalidades do tratamento dos dados” na aceção do artigo 15.°, n.° 1, alínea a), à luz do alcance do direito de acesso do titular dos dados, ou seja, podem as finalidades do tratamento justificar um direito de acesso aos dados dos registos dos ficheiros dos utilizadores recolhidos pelo responsável pelo tratamento, tais como, por exemplo, informações relativas a dados pessoais da pessoa que procede ao tratamento, ao momento e à finalidade do tratamento dos dados pessoais?

b) Podem as pessoas que procederam ao tratamento dos dados de cliente de J. M. ser, neste contexto, consideradas destinatárias dos dados pessoais na aceção do artigo 15.°, n.° 1, alínea c), do [RGPD], sobre as quais o titular dos dados tem o direito de obter informações?

3) É relevante para o processo que se trate de um banco que exerce uma atividade regulamentada ou que J. M. tenha sido, em simultâneo, trabalhador do banco e cliente do mesmo?

4) É relevante para a apreciação das questões acima colocadas que os dados de J. M. tenham sido tratados antes da entrada em vigor do [RGPD]?»

III. Tramitação do processo no Tribunal de Justiça

26. O pedido de decisão prejudicial foi registado no Tribunal de Justiça em 22 de setembro de 2021.

27. Apresentaram observações escritas J. M., o Pankki, os Governos austríaco, checo e finlandês e a Comissão Europeia.

28. Na audiência, realizada em 12 de outubro de 2022, compareceram J. M., o Gabinete da Autoridade para a Proteção de Dados, o Pankki, o Governo finlandês e a Comissão.

IV. Análise

29. Uma vez que o órgão jurisdicional de reenvio solicita a interpretação de diversas disposições do RGPD, importa determinar, antes de mais, se este regulamento é, ratione temporis, aplicável ao litígio de origem. A quarta questão prejudicial diz respeito a essa dúvida.

A. Aplicabilidade do RGPD (quarta questão prejudicial)

30. Nos termos do seu artigo 99.°, n.° 1, o RGPD entrou em vigor em 24 de maio de 2016. Todavia, a sua aplicabilidade foi adiada para 25 de maio de 2018 (6).

31. A análise dos dados pessoais de J. M. ocorreu entre 1 de novembro e 31 de dezembro de 2013, ou seja, antes da entrada em vigor e da aplicabilidade do RGPD.

32. No entanto, a data aqui pertinente é a de 29 de maio de 2018, dia em que J. M., invocando o artigo 15.°, n.° 1, do RGPD (aplicável desde 25 de maio de 2018), pediu as informações controvertidas.

33. Como salientou o Governo austríaco, o artigo 15.°, n.° 1, do RGPD confere aos titulares dos dados um direito de caráter processual (direito de acesso) para obterem informações sobre o tratamento dos seus dados pessoais (7). Enquanto regra dessa natureza, aplica‑se desde o momento da sua entrada em vigor (8). Por conseguinte, J. M. podia invocá‑la quando pediu informações ao Pankki.

34. É certo que a licitude do tratamento dos dados recolhidos antes da entrada em vigor do RGPD deve ser ponderada à luz das normas substantivas então em vigor, isto é, a Diretiva 95/46/CE (9) e, no que for aplicável retroativamente, do RGPD (10).

35. Uma vez que não é contestado que as informações solicitadas estavam na posse do responsável pelo tratamento quando J. M. pediu para lhes aceder (que é o direito garantido pelo artigo 15.°, n.° 1, do RGPD), aplicava‑se este último regulamento (11).

36. Por conseguinte, o facto de os dados controvertidos terem sido tratados antes da entrada em vigor do RGPD é irrelevante para efeitos de acesso ou recusa das informações exigidas pelo titular dos dados ao abrigo do artigo 15.°, n.° 1, do RGPD.

B. Primeira e segunda questões prejudiciais

37. As primeira e segunda questões prejudiciais podem ser analisadas em conjunto. Em substância, a questão que colocam consiste em saber se os dados pessoais de J. M., recolhidos e tratados pelo Pankki, correspondem às informações que o titular dos dados tem o direito de obter ao abrigo do artigo 15.°, n.° 1, do RGPD.

1. Identidade do empregado e dados pessoais do titular dos dados

38. Recordo que as informações pedidas por J. M. diziam respeito à identidade dos empregados que tinham consultado os seus dados de cliente durante 2013, bem como ao momento em que o tratamento ocorreu e à sua finalidade.

39. Foi confirmado na audiência que J. M. limitou o seu pedido ao conhecimento da identidade desses empregados. No litígio, é pacífico, em particular, o facto de o tratamento dos seus dados pela instituição bancária ter tido um fundamento lícito (12).

40. Ora:

– No que respeita ao momento do tratamento, como resulta do despacho de reenvio, J. M. já o conhecia aquando da apresentação do seu pedido.

– Quanto à finalidade do tratamento, o Pankki comunicou‑a a J. M. nos termos acima referidos (13).

41. Por conseguinte, o debate incide apenas sobre as informações relativas à identidade dos empregados do Pankki que trataram os dados pessoais de J. M.

42. Na realidade, essas informações dizem respeito a um pormenor das operações de tratamento e não, propriamente, aos dados pessoais do titular dos dados, na aceção do artigo 4.°, ponto 1, do RGPD (14).

43. É claro que a pessoa cujos dados foram objeto da consulta foi J. M. (15). Uma vez que este obteve do Pankki a confirmação de que os seus dados tinham sido objeto de tratamento (16), as informações a que tinha direito, nos termos do artigo 15.°, n.° 1, do RGPD, são as constantes das alíneas a) a h) dessa disposição (17) Ao fornecê‑las, propicia‑se o exercício dos direitos que o titular dos dados detém (18), no âmbito dos mecanismos que garantem a licitude do tratamento de dados.

44. Resulta do artigo 15.°, n.° 1, do RGPD que as informações visadas dizem respeito às circunstâncias ligadas ao tratamento dos dados.

45. Com efeito, o artigo 15.°, n.° 1, do RGPD atribui ao titular dos dados o direito de obter do responsável pelo tratamento:

– Em primeiro lugar, a «confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento».

– Em segundo lugar, uma vez confirmada a existência de um tratamento, o «[…] direito de aceder aos seus dados pessoais e às seguintes informações» (19), ou seja, ao que consta das alíneas a) a h) dessa disposição.

46. A disposição diferencia entre os «dados pessoais», por um lado, e as «informações» a que se referem as alíneas do n.° 1, por outro.

47. Por conseguinte, as informações que devem ser fornecidas ao titular dos dados por força das alíneas a) a h) do artigo 15.°, n.° 1, do RGPD não podem ser confundidas com os dados pessoais daquele, na aceção do artigo 4.°, ponto 1, do mesmo regulamento.

48. Não são certamente dados, mas sim informações, as relativas:

– às «finalidades do tratamento dos dados» [alínea a)];

– às «categorias dos dados pessoais em questão» [alínea b)];

– ao «prazo previsto de conservação» [alínea d)];

– aos direitos do titular dos dados referidos nas alíneas e), f) e g) (20);

– à existência de decisões automatizadas [alínea h)].

49. Em todos estes casos, as informações incidem quer sobre determinados direitos do titular dos dados, quer, nomeadamente, sobre elementos relativos ao tratamento efetuado, tais como a sua finalidade (ou como a sua causa) e o seu objeto (as categorias de dados tratados).

50. As informações sobre os destinatários a quem os dados pessoais do seu titular foram ou serão divulgados [artigo 15.°, n.° 1, alínea c), do RGPD] apresentam mais problemas conceptuais aos quais me referirei de imediato.

51. O artigo 15.°, n.° 1, do RGPD prevê, em substância, um direito às informações sobre o próprio facto do tratamento e sobre as suas circunstâncias. A essas informações acrescem as relativas aos direitos de que o titular dos dados dispõe relativamente aos dados objeto do tratamento, como o de reclamar junto de uma autoridade de controlo.

52. Na minha opinião, a simples existência do tratamento e as suas circunstâncias não constituem «dados pessoais» na aceção do artigo 4.°, ponto 1, do RGPD.

53. É certo que, como salientou o órgão jurisdicional de reenvio (21), podem resultar do tratamento dos dados decisões que afetem o seu titular. Mas esse resultado não depende da ou das pessoas singulares em particular que tenham analisado os dados por conta e sob a responsabilidade do Pankki, que são as informações em causa no processo principal.

54. Assim, J. M. teria direito a que o Pankki, enquanto responsável pelo tratamento, o informasse sobre os dados pessoais que detém, quer tenham sido recolhidos junto do próprio J. M. (artigo 13.° RGPD), quer tenham sido recolhidos por outros meios (artigo 14.° RGPD). Em conformidade com o artigo 15.° do RGPD, teria igualmente direito às informações sobre a existência e as circunstâncias de cada tratamento de que tenham sido objeto esses dados, mas não porque este último constitua por si só um «dato pessoal», antes por mandato expresso do artigo 15.° do RGPD (22).

55. Avançando o que explicarei com maior profundidade mais adiante, o que é relevante para este processo é o facto de a identidade dos empregados que consultaram os dados de J. M. não constituir um «dado pessoal» deste.

56. Questão diversa é a que diz respeito ao facto de, dos protocolos ou dos registos a que me referirei adiante, constarem, direta ou indiretamente, dados pessoais do titular dos dados, diferentes da referência a que empregados acederam aos mesmos. Se é ou não esse o caso vai depender em larga medida do conteúdo dos protocolos ou dos registos correspondentes. Mas, repito, uma vez limitado o litígio de origem ao conhecimento da identidade dos empregados do Pankki, há que dizer que esse não é um dado pessoal de J. M., mas sim desses mesmos empregados.

2. Acesso às informações sobre os destinatários a quem os dados pessoais foram divulgados

57. O órgão jurisdicional de reenvio pretende saber se, mesmo não constituindo dados pessoais de J. M., este último teria direito, à luz das alíneas a) e c) do artigo 15.°, n.° 1, do RGPD, a que o Pankki lhe fornecesse informações sobre os empregados que tinham tratado os seus dados pessoais.

58. Nos termos da alínea a), o titular dos dados tem direito a que o responsável pelo tratamento lhe confirme quais são as finalidades do tratamento dos dados. Mas essa alínea (que, no presente processo foi respeitada, dado que o Pankki informou J. M. do objetivo do tratamento) não fornece critérios para determinar quem são os destinatários dos dados pessoais daquele.

59. Pelo contrário, a questão faz todo o sentido quando exige a interpretação da alínea c) do artigo 15.°, n.° 1, do RGPD. Recordo que, nos termos dessa disposição, o titular dos dados tem direito a obter as informações relativas aos «destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados […]».

60. Por seu turno, o artigo 4.°, ponto 9, do RGPD, considera «destinatário» «uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro».

61. Esta última passagem («independentemente de se tratar ou não de um terceiro») poderia dar origem a equívocos relativamente ao âmbito subjetivo da disposição, como foi afirmado na audiência. Uma leitura superficial e, em minha opinião, errada poderia sustentar a ideia de que «destinatário» seria não apenas qualquer terceiro a quem o Pankki tivesse divulgado dados pessoais de J. M., mas também cada um dos empregados em particular que consultam esses dados em nome e por recondução à pessoa coletiva que é o Pankki.

62. O artigo 4.°, ponto 10, do RGPD define «terceiro» como a «pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais» (23).

63. Ora, tendo em conta essas premissas, considero que o conceito de destinatário não abrange os empregados de uma pessoa coletiva que, ao utilizar o sistema informático desta, consultam os dados pessoais de um cliente por conta dos seus órgãos dirigentes. Ao atuarem sob a autoridade direta do responsável pelo tratamento, esses empregados não adquirem, por esse simples facto, a natureza de «destinatários» dos dados (24).

64. Todavia, pode acontecer que um empregado não respeite os procedimentos instituídos pelo responsável pelo tratamento e, por sua própria iniciativa, aceda ilicitamente aos dados de clientes ou de outros empregados. Nessa situação, o empregado desleal não teria agido por conta e em nome do responsável pelo tratamento.

65. Nessa medida, o empregado desleal poderia ser qualificado de «destinatário» a quem teriam sido «divulgados» (em sentido figurado), ainda que pela sua própria iniciativa e, consequentemente, de forma ilegal, dados pessoais do titular dos dados (25), ou mesmo do responsável (autónomo) pelo tratamento (26).

66. Resulta da descrição dos factos que consta do despacho de reenvio e dos argumentos expostos na audiência pelo Pankki que esta instituição autorizou, sob a sua responsabilidade, os seus empregados a consultarem os dados pessoais de J. M. Por conseguinte, esses empregados seguiram as instruções do responsável pelo tratamento e agiram por conta deste. Consequentemente, não é possível qualificá‑los de destinatários na aceção da alínea c) do artigo 15.°, n.° 1, do RGPD (27).

67. Questão diferente é a respeitante ao facto de a identificação desses empregados e do momento em que qualquer um deles acedeu aos dados pessoais do cliente (isto é, o conteúdo dessas referências nos ficheiros ou nos registos a que me referirei seguidamente) dever ser colocada à disposição das autoridades de controlo para verificar a regularidade da sua ação.

68. Isso é confirmado pelo artigo 29.° do RGPD quando se refere às pessoas que, agindo «0, tenha[m] acesso a dados pessoais». Essas pessoas não procedem ao tratamento desses dados exceto por instrução do seu empregador, que é o verdadeiro responsável pelo tratamento (ou subcontratante).

69. O artigo 15.°, n.° 1, do RGPD visa que o titular dos dados exerça (defenda) de forma eficaz os direitos que lhe são conferidos no que respeita aos seus dados pessoais. Assim, é necessário indicar‑lhe quem é o responsável pelo tratamento e, se for caso disso, a que destinatários esses dados foram divulgados. Com essas informações, o titular dos dados pode dirigir‑se não apenas ao responsável pelo tratamento, mas também aos destinatários que tenham tido conhecimento dos seus dados.

70. É certo que o titular dos dados pode ter dúvidas quanto à regularidade da intervenção de determinadas pessoas na gestão do tratamento dos seus dados por conta do responsável pelo tratamento ou do subcontratante e sob a autoridade destes.

71. Nesse contexto, como afirmou o Governo checo, e como salientou a Comissão na audiência, pode dirigir‑se ao encarregado da proteção de dados (artigo 38.°, n.° 4, do RGPD) ou à autoridade de controlo para apresentar uma reclamação [artigo 15.°, n.° 1, alínea f), e artigo 77.°, ambos do RGPD]. O que não lhe é reconhecido é o direito de recolher diretamente um dado pessoal (a identidade) do empregado que, subordinado ao responsável pelo tratamento ou ao subcontratante, age em princípio em conformidade com as instruções deste.

72. Na audiência, discutiu‑se se a possibilidade de se dirigir ao encarregado da proteção de dados ou à autoridade de controlo constituía uma garantia suficiente do ponto de vista da defesa dos direitos da pessoa cujos dados foram objeto de tratamento.

73. Ao dirimir esse debate pode adotar‑se uma posição maximalista, de forma que todos os titulares de dados teriam o direito de conhecer a identidade dos empregados do responsável pelo tratamento que tenham acedido aos seus dados, ainda que tenha sido em nome e sob a direção desse responsável.

74. Penso que o RGPD não confere sustentação a essa tese, sem prejuízo de um Estado‑Membro a poder adotar na sua legislação interna, para um ou mais setores específicos (28).

75. Na minha opinião, não seria prudente que o Tribunal de Justiça, assumindo funções quase legislativas, emendasse o RGPD para introduzir uma nova obrigação de prestação de informações, sobreposta às do seu artigo 15.°, n.° 1. É o que aconteceria se o responsável pelo tratamento fosse indiscriminadamente obrigado a fornecer ao titular dos dados a identidade já não do destinatário a quem os dados foram divulgados, mas de qualquer empregado, ou pessoa do círculo interno da empresa que a eles teve acesso legítimo (29).

76. Como o Pankki salientou na audiência, a identidade dos empregados individuais que geriram o tratamento dos dados de um cliente constitui uma informação particularmente sensível do ponto de vista da sua segurança, pelo menos em determinados setores económicos.

77. Esses empregados poderiam ser expostos a tentativas de pressão e de influência daqueles que, enquanto clientes da instituição bancária, podem ter interesse em personalizar o seu interlocutor, que já não seria tanto a própria instituição financeira, mas um ou mais dos seus trabalhadores, como elos mais fracos da cadeia empresarial. Isso poderia acontecer, por exemplo, quando o acompanhamento das transações, através da consulta dos dados do cliente, fosse efetuado com vista ao cumprimento das obrigações a que estão sujeitos os bancos em matéria de prevenção e combate à criminalidade financeira.

78. É certo que o cliente pode ter dúvidas quanto à honestidade ou à imparcialidade da pessoa singular que interveio por conta do responsável no tratamento dos seus dados. Essas dúvidas, se fossem razoáveis, poderiam justificar o seu interesse em conhecer a identidade do empregado, com vista ao exercício do seu direito de agir contra ele.

79. Tendo em conta a sensibilidade destas informações, o interesse em conhecer a identidade do empregado colide com o não menos indiscutível interesse dos gestores do tratamento em preservar a discrição sobre a identidade dos seus empregados e com o direito destes últimos à proteção dos seus próprios dados. Em meu entender, o ponto de equilíbrio é alcançado com a intermediação da autoridade de controlo, enquanto árbitro entre esses dois interesses conflituantes.

80. Por conseguinte, numa situação como a do presente processo, terá de ser a autoridade de controlo, a partir da sua posição de imparcialidade, a avaliar se as dúvidas quanto à atuação dos empregados ao serviço da instituição bancária têm fundamento e permitem justificar o sacrifício da reserva quanto à sua identidade.

3. Acesso às referências sobre a identidade dos empregados que figurem nos ficheiros ou nos registos de operações

81. A resposta às primeira e segunda questões prejudiciais poderia ficar por aqui, uma vez que se declarou que os empregados da entidade que atuam por conta desta e sob as suas instruções não são propriamente os destinatários referidos na alínea c) do artigo 15.°, n.° 1, do RGPD.

82. Todavia, importa completar a resposta através da análise do pretenso direito do titular dos dados a conhecer a identidade dos empregados, quando figure nos ficheiros ou nos registos de operações de uma entidade. Ainda que, como já referi, nem todos esses ficheiros ou registos tenham necessariamente um conteúdo idêntico, é geralmente aceite que refletem quem (entre os empregados do responsável pelo tratamento), como e quando consultou os dados dos clientes.

83. Este tipo de registos permite ao responsável pelo tratamento dar cumprimento à sua obrigação de respeitar os princípios enunciados no artigo 5.°, n.° 1, do RGPD e de aplicar as medidas técnicas e organizativas que forem adequadas para assegurar e comprovar a conformidade do tratamento com as exigências desse regulamento (artigos 24.°, n.° 1, e 25.°, n.° 2, do próprio RGPD).

84. No domínio específico da Diretiva (UE) 2016/680 (30), invocada pela Comissão como exemplo (31) de um regime especial de proteção de dados no domínio das infrações penais:

– O seu artigo 24.° impõe que os responsáveis pelo tratamento conservem um registo de todas as categorias de atividades de tratamento sob a sua responsabilidade (n.° 1); e que os subcontratantes conservem um registo de todas as categorias de atividades de tratamento realizadas em nome de um responsável pelo tratamento (n.° 2).

– O seu artigo 25.° exige que «[…] sejam conservados em sistemas de tratamento automatizado registos cronológicos pelo menos das seguintes operações de tratamento: recolha, alteração, consulta, divulgação — incluindo transferências —, interconexão e apagamento. Os registos cronológicos das operações de consulta e divulgação permitem determinar o motivo, a data e a hora dessas operações e, na medida do possível, a identificação da pessoa que consultou ou divulgou dados pessoais, e a identidade dos destinatários desses dados pessoais» (32).

85. Ora, em conformidade com o artigo 14.° da Diretiva 2016/680, as informações relativas, nomeadamente, à identidade do empregado que tenha tratado os dados pessoais não constam entre aquelas a que a pessoa em causa tem direito de acesso.

86. Na mesma ordem de ideias, o artigo 30.° do RGPD prevê a existência do que denomina «registo das atividades de tratamento», cujo conteúdo coincide — com um menor grau de concretização quanto à definição das operações — com o do artigo 25.° da Diretiva 2016/680 (33). E, à semelhança desta última, as informações registadas sobre a identidade do empregado não figuram entre as informações acessíveis ao titular dos dados ao abrigo do artigo 15.° do RGPD.

87. A razão desta assimetria entre as informações registadas, por um lado, e o direito de acesso às mesmas, por outro, reside na diferença das finalidades que servem as disposições que regulam, respetivamente, os registos das atividades de tratamento e a acessibilidade do seu conteúdo.

88. Com os registos a que diz respeito o artigo 30.° do RGPD pretende‑se, repito, assegurar a legalidade do tratamento e garantir a integridade e a segurança dos dados. A responsabilidade de que assim seja é, em geral, da autoridade de controlo, a quem o responsável pelo tratamento e o subcontratante devem disponibilizar os registos (artigo 30.°, n.° 4, do RGPD).

89. No RGPD, o direito a apresentar uma reclamação às autoridades de controlo [artigo 15.°, n.° 1, alínea f)], às quais incumbe assegurar a sua boa aplicação, destina‑se a defender os direitos das pessoas singulares relativamente ao tratamento dos seus dados. É o que prevê o artigo 51.°, n.° 1, do RGPD e o que resulta da enumeração das atribuições que lhes são confiadas pelo artigo 57.° do próprio regulamento.

90. A função geral consistente na fiscalização da aplicação do RGPD e na defesa dos direitos das pessoas singulares justifica as atribuições da autoridade de controlo. Entre elas, a de conhecer as circunstâncias em que se realizaram os tratamentos de dados a cargo de um subcontratante ou de um responsável pelo tratamento. É precisamente uma dessas circunstâncias que aqui importa: a identidade das pessoas que consultem os dados pessoais dos clientes em nome do responsável pelo tratamento ou do subcontratante.

91. Todavia, em nenhum ponto do RGPD é exigido que essas referências relativas à identidade dos empregados que figuram nos registos internos das entidades, com os quais estas podem saber (e, sendo caso disso, colocar à disposição da autoridade de controlo) quem examinou, e quando, os dados pessoais de um cliente, devam estar disponíveis para conhecimento deste último.

92. Em contrapartida, à pessoa a quem um determinado tratamento diz respeito terão de ser disponibilizadas as informações necessárias ao conhecimento das circunstâncias pertinentes, a fim de apreciar a licitude do tratamento e de a contestar, se for caso disso, na autoridade de controlo ou, em última instância, na autoridade judiciária.

93. O que precede não exclui que, se nesses registos de operações figurassem de facto dados pessoais do titular dos dados (isto é, que não sejam a simples identidade dos empregados), este teria logicamente o direito de obter do responsável pelo tratamento a confirmação de que os seus dados pessoais são objeto de tratamento. Para esses efeitos, não importa se estes últimos se encontram num registo de operações ou em qualquer outro ficheiro ou base de dados interna da entidade.

C. Terceira questão prejudicial

94. O órgão jurisdicional de reenvio pretende saber se «[é] relevante para o processo que se trate de um banco que exerce uma atividade regulamentada ou que J. M. tenha sido, em simultâneo, trabalhador do banco e cliente do mesmo».

95. Na minha opinião, o que foi afirmado até agora não se altera pelo facto de o responsável pelo tratamento de dados exercer uma atividade regulamentada. Todavia, o facto de esse responsável pelo tratamento ser um banco sujeito à regulamentação específica própria deste tipo de instituições (34) pode ter importância na determinação da legitimidade (a base jurídica) do tratamento quando este decorra do cumprimento das obrigações legais a que está sujeito (35).

96. Em princípio também não é relevante o facto de a pessoa cujos dados foram consultados ter sido trabalhador e, simultaneamente, cliente desse banco. O artigo 15.°, n.° 1, do RGPD não estabelece distinções em função da atividade profissional do titular dos dados, sobreposta à sua qualidade de cliente da instituição financeira (36).

97. É certo que, como salientou a Comissão, o artigo 23.° do RGPD autoriza os Estados‑Membros a limitar legislativamente o alcance das obrigações e dos direitos previstos, entre outros, no seu artigo 15.°, através de disposições setoriais para uma categoria específica de pessoas em causa. Todavia, o órgão jurisdicional de reenvio não refere nenhuma limitação nacional deste tipo.

V. Conclusão

98. Atendendo ao exposto, proponho que o Tribunal de Justiça responda ao Itä‑Suomen hallinto‑oikeus (Tribunal Administrativo da Finlândia Oriental, Finlândia) nos seguintes termos:

«O artigo 15.°, n.° 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), em conjugação com o artigo 4.°, ponto 1, desse regulamento,

deve ser interpretado no sentido de que:

É aplicável quando o pedido de acesso às informações que o titular dos dados dirigiu ao responsável pelo tratamento dos seus dados tiver sido apresentado depois de 25 de maio de 2018.

Não confere ao titular dos dados o direito de tomar conhecimento, de entre as informações de que o responsável pelo tratamento dispõe (se for caso disso, através de registos ou de ficheiros das operações), da identidade do ou dos empregados que, sob a autoridade e seguindo as instruções do responsável pelo tratamento, tenham consultado os seus dados pessoais.»

1 Língua original: espanhol.

2 Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; retificação JO 2021, L 74, p. 35; a seguir «RGPD»).

3 Lei sobre a Proteção de Dados. Nos termos do seu § 1, esta lei implementa e completa o RGPD.

4 Lei sobre a Proteção da Privacidade no Trabalho.

5 O Pankki pretendia esclarecer a eventual existência de um conflito de interesses entre um cliente do banco de cuja conta J. M. era gestor responsável e este último. Acabou por se concluir que J. M. não era suspeito de nenhum comportamento incorreto.

6 Artigo 99.°, n.° 2, do RGPD.

7 No mesmo sentido, v. Conclusões do advogado‑geral G. Pitruzzella no processo Österreichische Post (Informações relativas aos destinatários de dados pessoais) (C‑154/21, EU:C:2022:452, n.° 33): «[…] o direito de acesso previsto no artigo 15.°, n.° 1, alínea c), do RGPD desempenha um papel funcional e instrumental para o exercício de outras prerrogativas do titular dos dados previstas no RGPD».

8 Ou, como aqui acontece, a partir do momento em que a própria norma começa a ser aplicável, se não coincidir com o momento da entrada em vigor.

9 Diretiva do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31).

10 A jurisprudência do Tribunal de Justiça relativa aos efeitos no tempo das alterações normativas é sintetizada no Acórdão de 15 de junho de 2021, Facebook Ireland e o. (C‑645/19, EU:C:2021:483).

11 Referindo‑se à Diretiva 95/46, o Acórdão de 7 de maio de 2009, Rijkeboer (C‑553/07, EU:C.2009:293, n.° 70), declarou que «[o] artigo 12.°, alínea a), da diretiva determina que os Estados‑Membros garantirão um direito de acesso à informação […] não apenas relativamente ao presente mas também no que respeita ao passado. Cabe aos Estados‑Membros fixar o prazo durante o qual essa informação deve ser conservada e o acesso correlativo a esta que representem um equilíbrio justo entre, por um lado, o interesse da pessoa em causa em proteger a sua vida privada, designadamente através das vias de intervenção e de recurso previstas pela diretiva, e, por outro, o ónus que a obrigação de conservar essa informação representa para o responsável pelo tratamento». O sublinhado é meu.

12 Sem prejuízo de este ponto ter de ser esclarecido, se for caso disso, pelo órgão jurisdicional de reenvio, na audiência foram invocados como fundamentos para legitimar o tratamento dos dados, por um lado, as obrigações decorrentes das leis finlandesas por força das quais o Pankki, enquanto instituição financeira, deve assegurar a boa gestão dos riscos e cumprir as regras de prevenção e de luta contra o branqueamento de capitais quanto à rastreabilidade das transações; por outro, os contratos do banco com os seus clientes e empregados, que autorizam a consulta dos seus dados em circunstâncias como as do presente processo.

13 V. n.° 21 das presentes conclusões.

14 Nos termos dessa disposição, constitui dados pessoais a «informação relativa a uma pessoa singular identificada ou identificável», ou seja, «que possa ser identificada, direta ou indiretamente».

15 A sua identidade não foi especificada como consequência ou como efeito do tratamento, uma vez que este foi realizado precisamente após a identificação de J. M.

16 Como observou a Comissão, J. M. poderia considerar que as informações fornecidas não são suficientes ou são imprecisas. Em todo o caso, e de acordo com o artigo 15.°, n.° 1, do RGPD, J. M. tem direito a que lhe seja confirmado se os seus dados foram ou são objeto de tratamento (o que implica a indicação do momento) e as finalidades desse tratamento. Compete ao órgão jurisdicional de reenvio determinar se essas informações lhe foram fornecidas de forma suficiente.

17 V. transcrição no n.° 9 das presentes conclusões.

18 Como o Tribunal de Justiça afirmou a propósito da Diretiva 95/46 e em termos suscetíveis de serem aplicados ao RGPD, os princípios da proteção assegurada pelo direito da União neste domínio «encontram a sua expressão, por um lado, nas obrigações que impendem sobre as pessoas responsáveis pelo tratamento de dados, em especial no que respeita à qualidade dos dados, à segurança técnica, à notificação à autoridade de controlo, às circunstâncias em que o tratamento pode ser efetuado, e, por outro, nos direitos das pessoas cujos dados são tratados de serem informadas sobre esse tratamento, poderem ter acesso aos dados, poderem solicitar a sua retificação e mesmo, em certas circunstâncias, poderem opor‑se ao tratamento» (Acórdão de 20 de dezembro de 2017, Nowak, C‑434/16, EU:C:2017:582, n.° 48).

19 O sublinhado é meu.

20 Direitos de solicitar a retificação, o apagamento ou a limitação do tratamento dos dados ou o direito de oposição a esse tratamento; de reclamar junto de uma autoridade de controlo e de ser informado sobre a origem dos dados que não tiverem sido recolhidos junto do titular.

21 N.° 38 do despacho de reenvio.

22 Os artigos 13.°, 14.° e 15.° do RGPD, incluídos no capítulo III («Direitos do titular dos dados»), secção 2 («Informação e acesso aos dados pessoais»), constituem um sistema baseado no reconhecimento do direito a conhecer: a) os dados pessoais na posse do responsável pelo tratamento, independentemente do modo como tenham sido recolhidos (artigos 13.° e 14.°); e b) as circunstâncias de cada tratamento desses dados, em especial (artigo 15.°).

23 O sublinhado é meu.

24 É o que defende igualmente o Comité Europeu para a Proteção de Dados nas suas Orientações 07/2020, adotadas em 2 de setembro de 2020, sobre os conceitos de responsável pelo tratamento e subcontratante no RGPD, n.os 83 a 90.

25 Nessa situação, seria aplicável o artigo 34.°, n.° 1, do RGPD.

26 O Comité Europeu para a Proteção de Dados partilha desta opinião nas Orientações 07/2020, já referidas, n.° 86: «An employee […] who obtains access to data that he or she is not authorised to access and for other purposes than that of the employer does not fall within this category. Instead, this employee should be considered as a third party vis-à-vis the processing undertaken by the employer. Insofar as the employee processes personal data for his or her own purposes, distinct from those of his or her employer, he or she will then be considered a controller and take on all the resulting consequences and liabilities in terms of personal data processing».

27 O mesmo resultado é obtido interpretando as referências feitas pelos artigos 13.° e 14.° do RGPD, e pelo seu considerando 61, ao momento em que as informações sobre o tratamento dos dados pessoais divulgados aos destinatários devem ser fornecidas aos titulares dos dados. Dessas referências resulta que o destinatário é uma entidade ou uma pessoa externa ao responsável pelo tratamento/subcontratante.

28 Na audiência, o Governo finlandês afirmou que o tinha feito no que respeita aos dados de saúde.

29 As consequências do reconhecimento dessa obrigação são dificilmente previsíveis para a atividade quotidiana das empresas, em especial para as que são obrigadas a tratar (logicamente, por intermédio dos seus empregados) milhões de dados pessoais dos seus clientes.

30 Diretiva do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89).

31 Na audiência clarificou‑se que a referência à Diretiva 2016/680 não implicava a sua aplicabilidade ao presente processo, desprovido de conotação penal.

32 Previsões que são reproduzidas no artigo 88.° do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.° 45/2001 e a Decisão n.° 1247/2002/CE (JO 2018, L 295, p. 39), acrescentando‑se, no seu n.° [2], que os registos cronológicos são apagados ao fim de três anos, salvo se forem necessários para controlos em curso.

33 O artigo 25.°, n.° 1, da Diretiva 2016/680 refere‑se explicitamente à «pessoa que consultou ou divulgou dados pessoais». De forma mais geral, e sem fazer referência a cada atividade de tratamento concreta, mas sim às «categorias de atividades de tratamento realizadas em nome de um responsável pelo tratamento», o artigo 30.°, n.° 2, alínea a), do RGPD menciona o «nome e contactos do subcontratante», ou seja, nos termos do artigo 4.°, ponto 8, do RGPD, «uma pessoa […] que trate os dados pessoais por conta do responsável pelo tratamento destes».

34 Por exemplo, essa regulamentação específica pode implicar, como enuncia o considerando 11 da Diretiva 2016/680, que as «[…] instituições financeiras […] ret[enham], para efeitos de investigação, deteção ou repressão de infrações penais, certos dados pessoais por si tratados e os forne[çam] apenas às autoridades nacionais competentes em casos específicos e nos termos do direito dos Estados‑Membros».

35 V. nota 12 das presentes conclusões.

36 O órgão jurisdicional de reenvio não se interroga sobre a eventual violação dos direitos de que J. M. dispõe, enquanto trabalhador ao serviço do Pankki.