Acórdão do Tribunal de Justiça da União Europeia
Processo C-65/23

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Oitava Secção)

19 de dezembro de 2024 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 88.°, n.os 1 e 2 — Tratamento no contexto laboral — Dados pessoais dos trabalhadores — Normas mais específicas previstas por um Estado‑Membro ao abrigo deste artigo 88.° — Obrigação de cumprimento do disposto no artigo 5.°, no artigo 6.°, n.° 1, e no artigo 9.°, n.os 1 e 2, deste regulamento — Tratamento com base numa convenção coletiva — Margem de apreciação das partes na convenção coletiva quanto à necessidade do tratamento dos dados pessoais nela previsto — Alcance da fiscalização jurisdicional »

No processo C‑65/23,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Bundesarbeitsgericht (Supremo Tribunal do Trabalho Federal, Alemanha), por Decisão de 22 de setembro de 2022, que deu entrada no Tribunal de Justiça em 8 de fevereiro de 2023, no processo

MK

contra

K GmbH,

O TRIBUNAL DE JUSTIÇA (Oitava Secção),

composto por: N. Jääskinen (relator), presidente da Nona Secção, exercendo funções de presidente da Oitava Secção, M. Gavalec e I. Ziemele, juízes,

advogado‑geral: L. Medina,

secretário: A. Calot Escobar,

vistos os autos,

vistas as observações apresentadas:

– em representação de MK, por J. Zäh, Rechtsanwalt,

– em representação da K GmbH, por B. Geck, Rechtsanwältin,

– em representação da Irlanda, por M. Browne, Chief State Solicitor, A. Joyce e M. Tierney, na qualidade de agentes, assistidos por D. Fennelly, BL,

– em representação do Governo Italiano, por G. Palmieri, na qualidade de agente, assistida por G. Natale, avvocato dello Stato,

– em representação da Comissão Europeia, por A. Bouchagiar, M. Heller e H. Kranenborg, na qualidade de agentes,

vista a decisão tomada, ouvida a advogada‑geral, de julgar a causa sem apresentação de conclusões,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 82.°, n.° 1, e do artigo 88.°, n.os 1 e 2, conjugado com o artigo 5.°, com o artigo 6.°, n.° 1, e com o artigo 9.°, n.os 1 e 2, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe MK, uma pessoa singular, à K GmbH, seu empregador, a respeito da indemnização por danos não patrimoniais que essa pessoa alega ter sofrido com o tratamento que esta sociedade fez dos seus dados pessoais com base num acordo setorial.

Quadro jurídico

Direito da União

3 Os considerandos 8, 10 e 155 do RGPD têm a seguinte redação:

«(8) Caso o presente regulamento preveja especificações ou restrições das suas regras pelo direito de um Estado‑Membro, estes podem incorporar elementos do presente regulamento no respetivo direito nacional, na medida do necessário para manter a coerência e tornar as disposições nacionais compreensíveis para as pessoas a quem se aplicam.

[...]

«(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. [...] O presente regulamento também dá aos Estados‑Membros margem de manobra para especificarem as suas regras, inclusive em matéria de tratamento de categorias especiais de dados pessoais (“dados sensíveis”). Nessa medida, o presente regulamento não exclui o direito dos Estados‑Membros que define as circunstâncias de situações específicas de tratamento, incluindo a determinação mais precisa das condições em que é lícito o tratamento de dados pessoais.

[...]

(155) O direito do Estado‑Membro ou as convenções coletivas (incluindo “acordos setoriais”) podem prever regras específicas para o tratamento de dados pessoais dos trabalhadores no contexto laboral, nomeadamente no que respeita às condições em que os dados pessoais podem ser tratados no contexto laboral, com base no consentimento do assalariado, para efeitos de recrutamento, execução do contrato de trabalho, incluindo o cumprimento das obrigações previstas por lei ou por convenções coletivas, de gestão, planeamento e organização do trabalho, de igualdade e diversidade no trabalho, de saúde e segurança no trabalho, e para efeitos de exercício e gozo, individual ou coletivo, dos direitos e benefícios relacionados com o emprego, bem como para efeitos de cessação da relação de trabalho.»

4 O artigo 4.° deste regulamento, sob a epígrafe «Definições», dispõe:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); [...]

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados […]

[...]

7) “Responsável pelo tratamento”, pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; [...]

[...]»

5 O capítulo II do RGPD, intitulado «Princípios», inclui os artigos 5.° a 11.° deste regulamento.

6 O artigo 5.° deste regulamento, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», prevê:

«1. Os dados pessoais são:

[...]

c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

[...]

f) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas (“integridade e confidencialidade”);

2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.° 1 e tem de poder comprová‑lo (“responsabilidade”).»

7 O artigo 6.° do referido regulamento, sob a epígrafe «Licitude do tratamento», dispõe:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

d) O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;

e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;

f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.

2. Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.° 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.

3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:

a) Pelo direito da União; ou

b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

[...] Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações específicas de tratamento em conformidade com o capítulo IX. [...]

[...]»

8 O artigo 9.° do mesmo regulamento, sob a epígrafe «Tratamento de categorias especiais de dados pessoais», tem a seguinte redação:

«1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

2. O disposto no n.° 1 não se aplica se se verificar um dos seguintes casos:

a) Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou mais finalidades específicas, exceto se o direito da União ou de um Estado‑Membro previr que a proibição a que se refere o n.° 1 não pode ser anulada pelo titular dos dados;

b) Se o tratamento for necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social, na medida em que esse tratamento seja permitido pelo direito da União ou dos Estados‑Membros ou ainda por uma convenção coletiva nos termos do direito dos Estados‑Membros que preveja garantias adequadas dos direitos fundamentais e dos interesses do titular dos dados;

[...]»

9 No capítulo VIII do RGPD, intitulado «Vias de recurso, responsabilidade e sanções», figura o artigo 82.° deste regulamento, sob a epígrafe «Direito de indemnização e responsabilidade», o qual prevê, no seu n.° 1:

«Qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos.»

10 No capítulo IX do RGPD, intitulado «Disposições relativas a situações específicas de tratamento», figura o artigo 88.° deste regulamento, sob a epígrafe «Tratamento no contexto laboral», que prevê, nos n.os 1 e 2:

«1. Os Estados‑Membros podem estabelecer, no seu ordenamento jurídico ou em convenções coletivas, normas mais específicas para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral, nomeadamente para efeitos de recrutamento, execução do contrato de trabalho, incluindo o cumprimento das obrigações previstas no ordenamento jurídico ou em convenções coletivas, de gestão, planeamento e organização do trabalho, de igualdade e diversidade no local de trabalho, de saúde e segurança no trabalho, de proteção dos bens do empregador ou do cliente e para efeitos do exercício e gozo, individual ou coletivo, dos direitos e benefícios relacionados com o emprego, bem como para efeitos de cessação da relação de trabalho.

2. As normas referidas incluem medidas adequadas e específicas para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais do titular dos dados, com especial relevo para a transparência do tratamento de dados, a transferência de dados pessoais num grupo empresarial ou num grupo de empresas envolvidas numa atividade económica conjunta e os sistemas de controlo no local de trabalho.»

11 O artigo 99.° do RGPD, sob a epígrafe «Entrada em vigor e aplicação», tem a seguinte redação:

«1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

2. O presente regulamento é aplicável a partir de 25 de maio de 2018.»

Direito alemão

12 O § 26 da Bundesdatenschutzgesetz (Lei Federal relativa à Proteção de Dados), de 30 de junho de 2017 (BGBl. 2017 I, p. 2097, a seguir «BDSG»), sob a epígrafe «Tratamento de dados no contexto laboral», prevê, nos seus n.os 1 e 4:

«(1) Os dados pessoais dos trabalhadores podem ser tratados no contexto laboral, se for necessário para decidir da constituição de uma relação laboral ou, após a sua constituição, para a sua execução ou cessação, ou para o exercício dos direitos ou o cumprimento das obrigações relacionados, respetivamente, com a defesa dos interesses dos trabalhadores previstos na lei ou num instrumento de regulamentação coletiva do trabalho, num acordo setorial ou da função pública (convenção coletiva). [...]

[...]

(4) O tratamento de dados pessoais, incluindo de categorias especiais de dados pessoais dos trabalhadores, é autorizado no contexto laboral com base em convenções coletivas. Os negociadores devem respeitar, neste âmbito, o artigo 88.°, n.° 2, do [RGPD].»

Litígio no processo principal e questões prejudiciais

13 O recorrente no processo principal é trabalhador da recorrida no mesmo processo, uma sociedade de direito alemão, e preside à comissão de trabalhadores constituída nessa sociedade.

14 Inicialmente, a referida sociedade procedeu ao tratamento de alguns dos dados pessoais dos seus trabalhadores no âmbito da utilização de um programa informático denominado «SAP» (a seguir «programa informático SAP»), nomeadamente para fins contabilísticos, e celebrou vários acordos setoriais a este respeito com a sua comissão de trabalhadores.

15 Durante o ano de 2017, o grupo de sociedades D, ao qual pertence a recorrida no processo principal (a seguir «grupo D»), introduziu em todo o grupo o programa informático denominado «Workday» (a seguir «programa informático Workday»), que funciona numa nuvem (cloud), como sistema único de gestão das informações relativas ao pessoal. Neste contexto, a recorrida no processo principal transferiu vários dados pessoais dos seus trabalhadores a partir do programa informático SAP para um servidor da sociedade‑mãe do grupo D, situado nos Estados Unidos.

16 Em 3 de julho de 2017, a recorrida no processo principal e a respetiva comissão de trabalhadores celebraram um acordo que estabelecia uma tolerância quanto à introdução do programa informático Workday (a seguir «acordo setorial que estabelece uma tolerância»), o qual proibia, nomeadamente, que este programa informático fosse utilizado para a gestão dos recursos humanos, nomeadamente para a avaliação de um trabalhador, durante a fase experimental. Segundo o anexo 2 deste acordo, as únicas categorias de dados que poderiam ser transferidas para alimentar o programa informático Workday eram o número de registo de pessoal atribuído ao trabalhador no grupo D, o seu apelido, nome próprio, número de telefone, data da entrada em funções na sociedade em causa, data da entrada em funções no grupo D, local de trabalho, o nome da sociedade em causa, bem como os seus número de telefone e endereço de correio eletrónico profissionais. Os efeitos do referido acordo foram prorrogados até à entrada em vigor de um acordo setorial final, celebrado em 23 de janeiro de 2019.

17 Neste contexto, o recorrente no processo principal apresentou, no Arbeitsgericht (Tribunal do Trabalho, Alemanha) e posteriormente no Landesarbeitsgericht (Tribunal Superior do Trabalho, Alemanha) territorialmente competentes, vários pedidos para obter o acesso a certas informações, o apagamento de alguns dos seus dados e o arbitramento de uma indemnização. Este recorrente alegou, nomeadamente, que a recorrida no processo principal tinha transferido dados pessoais seus para o servidor da sociedade‑mãe, alguns dos quais não eram mencionados no acordo setorial que estabelece uma tolerância, em especial, informações pessoais privadas, pormenores do seu contrato e da sua remuneração, os seus números de segurança social e de identificação fiscal, a sua nacionalidade e o seu estado civil.

18 Não tendo obtido a satisfação integral do seu pedido, o recorrente no processo principal interpôs um recurso de «Revision» para o Bundesarbeitsgericht (Supremo Tribunal Federal do Trabalho, Alemanha), o órgão jurisdicional de reenvio. Apenas permanece pendente o pedido do recorrente para indemnização, com base no RGPD, do dano imaterial que sofreu com o tratamento ilícito dos seus dados pessoais através do programa informático Workday, no período compreendido entre o primeiro dia em que este regulamento se tornou aplicável, a saber, 25 de maio de 2018, e o final do primeiro semestre de 2019.

19 Quanto à ilicitude desse tratamento, o recorrente no processo principal alega, por um lado, que este não era necessário nem no contexto laboral, no qual a recorrida no processo principal utilizava o então programa informático SAP, nem para o funcionamento do programa informático Workday em regime experimental, uma vez que o uso de dados fictícios teria bastado e garantido que nenhum dado real fosse tornado acessível no seio do grupo D. Por outro lado, mesmo admitindo que o acordo setorial que estabelece uma tolerância pudesse constituir uma base válida para o referido tratamento, a autorização que nele figurava foi excedida, uma vez que a recorrida transmitiu dados diferentes dos previstos no anexo 2 desse acordo. Por último, o ónus da prova de que a atuação da referida recorrida está em conformidade com o RGPD cabe a esta última.

20 A recorrida no processo principal objeta que o tratamento em causa cumpre os requisitos do RGPD, que o ónus da prova incumbe ao recorrente no processo principal e que este não demonstrou a existência de um dano imaterial nem o nexo de causalidade entre uma eventual violação deste regulamento e o dano alegado.

21 O órgão jurisdicional de reenvio considera que as operações contestadas pelo recorrente no processo principal pertencem ao âmbito de aplicação material do RGPD, dado que constituem um «tratamento» de «dados pessoais» desse «titular dos dados», na aceção do artigo 4.°, pontos 1 e 2, deste regulamento. Além disso, refere que a recorrida no processo principal tem a qualidade de «[r]esponsável pelo tratamento», na aceção do artigo 4.°, ponto 7, do referido regulamento. No que se refere ao âmbito de aplicação temporal deste último, sublinha que é certo que o tratamento teve início antes da data em que esse instrumento se tornou aplicável, mas que, todavia, continuou após essa data devido a várias prorrogações dos efeitos iniciais do acordo setorial que estabelece uma tolerância.

22 Neste contexto, o órgão jurisdicional de reenvio interroga‑se, em primeiro lugar, sobre a questão de saber se uma norma nacional que regule o tratamento de dados pessoais no contexto laboral, que prevê em substância que esse tratamento, efetuado com base em convenções coletivas, é lícito sem prejuízo do cumprimento do artigo 88.°, n.° 2, do RGPD, tal como a norma do § 26, n.° 4, da BDSG, é compatível com este regulamento ou se, para esse efeito, o tratamento em causa deve igualmente ser conforme com as suas outras disposições deste regulamento. Esse órgão jurisdicional inclina‑se para considerar que, quando o tratamento de dados pessoais dos trabalhadores é regulado por «convenção coletiva», na aceção do artigo 88.° do RGPD, esse tratamento não se pode afastar dos requisitos que decorrem não só deste artigo 88.° mas também do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, deste regulamento, em especial no que respeita ao critério da necessidade do tratamento previsto nestes três últimos artigos.

23 Em segundo lugar, em caso de resposta afirmativa à sua primeira questão, o referido órgão jurisdicional pergunta se as partes nessa convenção coletiva dispõem de uma margem de apreciação sobre a qual deve apenas incidir uma fiscalização jurisdicional restrita no que se refere à avaliação da necessidade do tratamento em causa, na aceção do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, do RGPD. Em seu entender, esta tese encontra sustentação no argumento segundo o qual essas partes estavam muito próximas da vida da empresa e teriam geralmente chegado a um justo equilíbrio entre os interesses em presença. No entanto, a jurisprudência do Tribunal de Justiça relativa a outros atos do direito da União, em especial os Acórdãos de 7 de fevereiro de 1991, Nimz (C‑184/89, EU:C:1991:50), e de 20 de março de 2003, Kutz‑Bauer (C‑187/00, EU:C:2003:168), deixam antes pensar que as disposições de uma convenção coletiva abrangida pelo âmbito de aplicação desse direito não podem ser contrárias ao mesmo e que, se necessário, não deve ser feita aplicação dessas disposições.

24 Em terceiro lugar, em caso de resposta afirmativa à sua segunda questão, o órgão jurisdicional de reenvio pretende conhecer os critérios de apreciação aos quais deve, se for o caso, limitar a sua fiscalização jurisdicional.

25 Por último, a quarta a sexta questões inicialmente submetidas por esse órgão jurisdicional, antes de terem sido por ele retiradas, diziam respeito, em substância, ao direito à reparação dos danos imateriais ao abrigo do artigo 82.°, n.° 1, do RGPD.

26 Nestas circunstâncias, o Bundesarbeitsgericht (Supremo Tribunal do Trabalho Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Deve uma disposição de direito nacional adotada ao abrigo do artigo 88.°, n.° 1, do [RGPD] — como o § 26, n.° 4, [do BDSG] —, na qual se estabelece que é permitido o tratamento de dados pessoais no contexto laboral, incluindo categorias especiais de dados pessoais, relativos aos trabalhadores, com base em convenções coletivas e com respeito do artigo 88.°, n.° 2, do [RGPD], ser interpretada no sentido de que também se tem de respeitar sempre as demais disposições do [RGPD], como o artigo 5.°, o artigo 6.°, n.° 1, e o artigo 9.°, n.os 1 e 2?

2) Em caso de resposta afirmativa à primeira questão:

Pode uma disposição de direito nacional adotada ao abrigo do artigo 88.°, n.° 1, do [RGPD] — como o § 26, n.° 4, [do BDSG] —, ser interpretada no sentido de que as partes numa convenção coletiva (neste caso, as partes num acordo setorial) dispõem, na apreciação da necessidade do tratamento de dados, na aceção do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, do [RGPD], de uma margem de apreciação apenas passível de fiscalização jurisdicional limitada?

3) Em caso de resposta afirmativa à segunda questão:

A que deve limitar‑se essa fiscalização jurisdicional?

4) Deve o artigo 82.°, n.° 1, do [RGPD] ser interpretado no sentido de que as pessoas têm o direito de ser indemnizadas por danos imateriais quando os seus dados pessoais tenham sido tratados em violação do [RGPD], ou o direito ao ressarcimento dos danos imateriais pressupõe, além disso, que se demonstre ter‑se efetivamente sofrido um dano imaterial (com alguma gravidade)?

5) O artigo 82.°, n.° 1, do [RGPD] tem natureza preventiva especial ou geral e impõe se ter isso em conta na determinação do montante da indemnização pelo dano imaterial a cargo do responsável pelo tratamento ou do subcontratante, com base nesse mesmo artigo 82.°, n.° 1?

6) Para efeitos da determinação do montante da indemnização pelo dano imaterial a pagar com fundamento no artigo 82.°, n.° 1, do [RGPD], importa atender ao grau de culpa do responsável pelo tratamento ou do subcontratante? Concretamente, pode a inexistência de culpa ou a reduzida intensidade da mesma por parte do responsável pelo tratamento ou do subcontratante ser tida em conta a seu favor?»

Tramitação processual no Tribunal de Justiça

27 Por Decisão do presidente do Tribunal de Justiça de 24 de janeiro de 2024, os Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais) (C‑300/21, EU:C:2023:370), de 14 de dezembro de 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), de 14 de dezembro de 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), de 21 de dezembro de 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), e de 25 de janeiro de 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), foram notificados ao órgão jurisdicional de reenvio, para que este esclarecesse se, à luz destes acórdãos, pretendia manter o pedido de decisão prejudicial, mais especificamente no que respeita à quarta a sexta questões.

28 Por Decisão do presidente do Tribunal de Justiça de 15 de março de 2024, a instância foi suspensa, nos termos do artigo 55.°, n.° 1, alínea b), do Regulamento de Processo do Tribunal de Justiça, até ser recebida a resposta à questão colocada.

29 Por informação escrita entrada no Tribunal de Justiça em 8 de maio de 2024, o órgão jurisdicional de reenvio informou que retirava a quarta a sexta questões, mas mantinha a primeira a terceira questões.

Quanto à admissibilidade do pedido de decisão prejudicial

30 A recorrida no processo principal alega que a primeira a terceira questões são inadmissíveis, dado não serem pertinentes para a resolução do litígio submetido ao órgão jurisdicional de reenvio. Em substância, alega que a recorrente no processo principal não contesta o teor do acordo setorial aplicável ao caso em apreço, mas que os limites desse acordo foram excedidos pelo tratamento de dados posto em causa, pelo que este litígio não tem por objeto uma violação dos requisitos do artigo 88.° do RGPD relativos a esse acordo. Acresce que estas questões são hipotéticas, dado que se destinam a permitir a esse órgão jurisdicional fiscalizar globalmente a licitude desse tratamento, e não apenas em relação aos elementos contestados pelo recorrente no processo principal.

31 A este respeito, segundo jurisprudência constante, o juiz nacional, a quem foi submetido o litígio e que deve assumir a responsabilidade pela decisão judicial a tomar, tem competência exclusiva para apreciar, tendo em conta as especificidades do processo, tanto a necessidade de uma decisão prejudicial para poder proferir a sua decisão como a pertinência das questões que submete ao Tribunal de Justiça, as quais gozam de uma presunção de pertinência. Por conseguinte, desde que a questão submetida tenha por objeto a interpretação ou a validade de uma norma do direito da União, o Tribunal de Justiça é, em princípio, obrigado a pronunciar‑se, salvo se for manifesto que a interpretação pedida não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, se o problema for hipotético ou se o Tribunal de Justiça não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil à referida questão (Acórdão de 20 de junho de 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, n.° 18 e jurisprudência referida).

32 No caso concreto, a primeira a terceira questões são relativas à interpretação de várias disposições do direito da União, mais precisamente do artigo 88.° do RGPD, conjugado com os seus artigos 5.°, 6.° e 9.° Além disso, o órgão jurisdicional de reenvio considera que os limites fixados pelo acordo de empresa aplicável ao caso em apreço, que qualifica de «convenção coletiva» na aceção deste regulamento, foram excedidos e que o tratamento de dados pessoais em causa no processo principal deve ser examinado no seu conjunto, dado poder ser ilícito à luz das disposições tanto do n.° 1 como do n.° 4 do § 26 da BDSG, o qual se refere expressamente ao artigo 88.° do RGPD.

33 Daqui resulta que o pedido de decisão prejudicial é admissível.

Quanto às questões prejudiciais

Quanto à primeira questão

34 Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 88.°, n.os 1 e 2, do RGPD deve ser interpretado no sentido de que uma disposição de direito nacional que tenha por objeto o tratamento de dados pessoais no contexto laboral e tenha sido adotada nos termos do artigo 88.°, n.° 1, deste regulamento deve ter por efeito obrigar os seus destinatários a cumprir não só os requisitos decorrentes do artigo 88.°, n.° 2, mas também os que resultam do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, todos do referido regulamento.

35 A este respeito, importa recordar que o RGPD visa assegurar uma harmonização das legislações nacionais relativas à proteção dos dados pessoais que é, em princípio, completa. No entanto, algumas das disposições deste regulamento conferem aos Estados‑Membros a possibilidade de prever regras nacionais adicionais, mais rigorosas ou derrogatórias, e deixam‑lhes uma margem de apreciação quanto ao modo como essas disposições podem ser aplicadas («cláusulas de abertura») (v., neste sentido, Acórdão de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.° 51 e jurisprudência referida).

36 O artigo 88.° do RGPD, relativo ao tratamento de dados pessoais no contexto laboral, determina os pressupostos com base nos quais os Estados‑Membros podem estabelecer «normas mais específicas», no seu ordenamento jurídico ou em convenções coletivas, para garantir a defesa dos direitos e liberdades dos trabalhadores afetados por esse tratamento. O considerando 155 deste regulamento refere, nomeadamente, que o conceito de «convenção coletiva», na aceção deste artigo 88.°, inclui os «acordos setoriais», como o que está em causa no processo principal. Por outro lado, os artigos 5.°, 6.° e 9.° do referido regulamento enunciam, respetivamente, os princípios relativos ao tratamento de dados pessoais, os pressupostos para a licitude desse tratamento e as regras relativas ao tratamento de categorias especiais deste tipo de dados.

37 Segundo jurisprudência constante, os termos de uma disposição do direito da União que, como o artigo 88.° do RGPD, não comporte uma remissão expressa para o direito dos Estados‑Membros para determinar o seu sentido e o seu alcance devem normalmente ser objeto, em toda a União, de uma interpretação autónoma e uniforme, a qual deve, nomeadamente, ser procurada tendo em conta a redação da disposição em causa, os objetivos que prossegue e o contexto em que se insere (v., por analogia, Acórdão de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.° 23 e jurisprudência referida).

38 Primeiro, resulta da redação do artigo 88.° do RGPD que o seu n.° 1 impõe que as «normas mais específicas» autorizadas por esta disposição tenham um conteúdo normativo próprio do domínio regulamentado e distinto das normas gerais deste regulamento, ao passo que o seu n.° 2 abrange, em conformidade com o objetivo de harmonização visado pelo referido regulamento, a margem de apreciação dos Estados‑Membros que pretendem aprovar legislação nacional com base nesse n.° 1 (v., neste sentido, Acórdão de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.os 61, 65, 72 e 75).

39 Em contrapartida, esta redação não fornece uma indicação expressa quanto à questão de saber se as «normas mais específicas» que os Estados‑Membros têm, assim, a possibilidade de adotar devem ter como único objetivo o cumprimento dos requisitos enunciados no artigo 88.°, n.° 2, do RGPD ou também os de outras disposições deste regulamento, pelo que os tratamentos de dados pessoais realizados em aplicação dessas normas devem, além disso, estar em conformidade com estas últimas disposições.

40 Segundo, no que respeita aos objetivos do artigo 88.° do RGPD, o Tribunal de Justiça já declarou que este artigo constitui uma «cláusula de abertura» e que a faculdade conferida aos Estados‑Membros pelo seu n.° 1, tendo em conta as particularidades desse tratamento, é explicada, nomeadamente, pela existência de um vínculo de subordinação entre o trabalhador e o empregador. O Tribunal de Justiça esclareceu que os pressupostos que o artigo 88.°, n.° 2, deste regulamento impõe refletem os limites da margem de apreciação deixada aos Estados‑Membros, no sentido de que a falta de harmonização que lhe é inerente só pode ser admitida quando as diferenças que subsistem são acompanhadas de garantias específicas e adequadas a defender os direitos e as liberdades dos trabalhadores no que respeita ao tratamento dos seus dados pessoais no contexto laboral (v., neste sentido, Acórdão de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.os 52, 53 e 73).

41 Além disso, o Tribunal de Justiça sublinhou que, quando os Estados‑Membros exercem a faculdade que lhes é concedida pelo artigo 88.° do RGPD, devem utilizar a sua margem de apreciação segundo os pressupostos e nos limites previstos pelas disposições desse regulamento, devendo, assim, legislar de modo que não prejudique o conteúdo e os objetivos do referido regulamento, o qual tem por objeto, nomeadamente, garantir um nível de proteção elevado das liberdades e dos direitos fundamentais dos titulares dos dados no que diz respeito ao tratamento destes, como resulta do seu considerando 10. Por conseguinte, as regras adotadas por um Estado‑Membro com base nesse artigo 88.° devem ter por objetivo defender os direitos e as liberdades dos trabalhadores no que respeita ao tratamento dos seus dados pessoais (v., neste sentido, Acórdão de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.os 54, 59, 62 e 74).

42 Ora, sob pena de prejudicar todas estas finalidades, e mais especificamente a que visa assegurar um nível de proteção elevado dos trabalhadores em caso de tratamento dos seus dados pessoais no contexto laboral, o artigo 88.° do RGPD não pode ser interpretado no sentido de que as «normas mais específicas» que os Estados‑Membros têm a faculdade de adotar ao abrigo deste artigo podem ter por objetivo, ou por efeito, contornar as obrigações do responsável pelo tratamento, ou mesmo do subcontratante, resultantes de outras disposições deste regulamento.

43 Daqui resulta que há que interpretar o artigo 88.°, n.os 1 e 2, do RGPD no sentido de que, mesmo quando os Estados‑Membros se baseiam neste artigo para introduzir «normas mais específicas», no respetivo ordenamento jurídico interno ou em convenções coletivas, os requisitos decorrentes das demais disposições especialmente visadas pela presente questão, a saber, o artigo 5.°, o artigo 6.°, n.° 1, e o artigo 9.°, n.os 1 e 2, deste regulamento, devem igualmente estar preenchidos. É o que sucede, nomeadamente, com a observância do critério da necessidade do tratamento previsto nessas disposições, a respeito do qual o órgão jurisdicional de reenvio questiona mais especificamente.

44 Terceiro, o contexto em que o artigo 88.° do RGPD se insere corrobora esta interpretação.

45 Com efeito, o artigo 88.° do RGPD figura no capítulo IX deste regulamento, intitulado «Disposições relativas a situações específicas de tratamento», ao passo que os artigos 5.°, 6.° e 9.° figuram no seu capítulo II, intitulado «Princípios», tendo, portanto, um alcance mais geral. Por outro lado, resulta claramente da redação deste artigo 6.°, que se refere expressamente, nos n.os 2 e 3, às disposições desse capítulo IX, que os pressupostos de licitude previstos no referido artigo 6.° são vinculativos mesmo no âmbito das «situações específicas» reguladas pelas disposições do referido capítulo IX.

46 Além disso, é jurisprudência constante que qualquer tratamento de dados pessoais deve respeitar os princípios que regem o tratamento desses dados, bem como os direitos do titular dos dados enunciados, respetivamente, nos capítulos II e III do RGPD. Em especial, deve respeitar os princípios relativos ao tratamento desses dados, previstos no artigo 5.° deste regulamento, e preencher os pressupostos de licitude do tratamento enumerados no seu artigo 6.° [v., neste sentido, Acórdãos de 2 de março de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, n.° 43, e de 11 de julho de 2024, Meta Platforms Ireland (Ação coletiva), C‑757/22, EU:C:2024:598, n.° 49 e jurisprudência referida].

47 No que respeita, mais especificamente, à articulação entre o artigo 88.° do RGPD e outras disposições deste regulamento, o Tribunal de Justiça salientou, nomeadamente à luz do seu considerando 8, que, não obstante a eventual existência de «normas mais específicas» adotadas pelos Estados‑Membros com fundamento no artigo 88.°, n.° 1, do referido regulamento, qualquer tratamento de dados pessoais deve respeitar as obrigações decorrentes das disposições dos capítulos II e III do mesmo regulamento, bem como, em especial, dos seus artigos 5.° e 6.° (v., neste sentido, Acórdão de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.os 67 a 71).

48 Do mesmo modo, as obrigações resultantes do artigo 9.° do RGPD devem ser respeitadas em qualquer tratamento de dados pessoais abrangido por este regulamento, incluindo quando haja «normas mais específicas», adotadas nos termos do seu artigo 88.°, n.° 1. Com efeito, este artigo 9.°, que regula o tratamento de categorias especiais de dados que enumera, figura no capítulo II do referido regulamento, à semelhança dos seus artigos 5.° e 6.°, cujos requisitos são, aliás, cumulativos com os que decorrem do referido artigo 9.° (v., neste sentido, Acórdão de 21 de dezembro de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, n.os 73, 77 a 79). Além disso, esta interpretação é conforme com a finalidade do mesmo artigo 9.°, que consiste em assegurar uma proteção acrescida contra tratamentos que, em razão da especial sensibilidade dos dados que deles são objeto, podem constituir uma ingerência particularmente grave nos direitos fundamentais dos titulares dos dados (v., neste sentido, Acórdão de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.° 89 e jurisprudência referida).

49 Assim, no caso de o direito interno de um Estado‑Membro conter «normas mais específicas», na aceção do artigo 88.°, n.° 1, do RGPD, os tratamentos de dados pessoais abrangidos por essas normas devem preencher não só os pressupostos previstos nos n.os 1 e 2 deste artigo mas também os previstos nos artigos 5.°, 6.° e 9.° deste regulamento, conforme interpretados pela jurisprudência do Tribunal de Justiça.

50 Tendo em conta os fundamentos precedentes, importa responder à primeira questão que uma disposição de direito nacional que tenha por objeto o tratamento de dados pessoais no contexto laboral e tenha sido adotada nos termos do artigo 88.°, n.° 1, deste regulamento deve ter por efeito obrigar os seus destinatários a cumprir não só os requisitos decorrentes do artigo 88.°, n.° 2, mas também os que resultam do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, todos do referido regulamento.

Quanto à segunda questão

51 Com a sua segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 88.°, n.° 1, do RGPD deve ser interpretado no sentido de que, quando uma convenção coletiva esteja abrangida pelo âmbito de aplicação desta disposição, a margem de apreciação de que as partes nessa convenção dispõem para determinar o caráter «necessário» de um tratamento de dados pessoais, na aceção do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, deste regulamento, tem por efeito impedir o juiz nacional de exercer uma fiscalização jurisdicional completa a este respeito.

52 Importa começar por recordar que, como foi sublinhado no n.° 41 do presente acórdão, os Estados‑Membros que exercem a faculdade que lhes é concedida pelo artigo 88.° do RGPD devem utilizar a sua margem de apreciação segundo os pressupostos e nos limites prescritos pelas disposições desse regulamento e assegurar assim que as «normas mais específicas» que inserem no seu ordenamento jurídico interno não prejudicam o conteúdo e os objetivos do referido regulamento. Essas regras devem ter por objetivo, nomeadamente, garantir um nível de proteção elevado das liberdades e dos direitos fundamentais dos trabalhadores no que diz respeito ao tratamento dos seus dados pessoais no contexto laboral.

53 No que respeita ao alcance da fiscalização jurisdicional que pode ser exercida em relação a tais normas específicas, o Tribunal de Justiça já declarou que cabe ao órgão jurisdicional nacional chamado a pronunciar‑se, o único competente para interpretar o direito nacional, apreciar se as referidas normas cumprem efetivamente os pressupostos e os limites prescritos, em especial, pelo artigo 88.° do RGPD. Em conformidade com o princípio do primado do direito da União, se esse órgão jurisdicional chegar à conclusão de que as disposições nacionais em causa não cumprem esses pressupostos e limites, incumbe‑lhe então não aplicar as referidas disposições. Na falta de normas mais específicas que cumpram os requisitos deste artigo 88.°, o tratamento de dados pessoais no contexto laboral é diretamente regido por este regulamento (v., neste sentido, Acórdão de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.os 80, 82 a 84 e 89).

54 Estas considerações também valem para as partes numa convenção coletiva como a que está em causa no processo principal, referida no artigo 88.° do RGPD. Com efeito, como salientou a Comissão Europeia, em substância, nas suas observações escritas, as partes numa convenção coletiva devem poder dispor de uma margem de apreciação equivalente à que é reconhecida aos Estados‑Membros, em especial no que respeita aos seus limites, uma vez que as «normas mais específicas» referidas no n.° 1 deste artigo 88.° podem resultar, designadamente, de convenções coletivas. O considerando 155 deste regulamento refere igualmente que essas normas podem ser previstas pelo direito dos Estados‑Membros ou por convenções coletivas, incluindo os «acordos setoriais».

55 Assim, não obstante a margem de apreciação que o artigo 88.° do RGPD deixa às partes numa convenção coletiva, a fiscalização jurisdicional exercida em relação a tal convenção deve, à semelhança da relativa a uma norma de direito nacional adotada ao abrigo dessa disposição, poder incidir sem nenhuma restrição sobre a observância de todos os pressupostos e limites prescritos pelas disposições deste regulamento para o tratamento de dados pessoais.

56 Em seguida, importa esclarecer que essa fiscalização jurisdicional deve, mais especificamente, visar a verificação do caráter «necessário» do tratamento de tais dados, na aceção dos artigos 5.°, 6.° e 9.° do RGPD. Dito de outra forma, o artigo 88.° deste regulamento não pode ser interpretado no sentido de que as partes numa convenção coletiva dispõem de um poder de apreciação que lhes permite introduzir «normas mais específicas» que levam a aplicar de forma menos estrita, ou mesmo a afastar, o referido requisito da necessidade.

57 É certo que, como o órgão jurisdicional de reenvio e a Irlanda observaram no essencial, as partes numa convenção coletiva estão geralmente bem posicionadas para avaliar se um tratamento de dados reveste caráter necessário num contexto profissional concreto, uma vez que possuem habitualmente um amplo conhecimento quanto às necessidades próprias do domínio do trabalho e do setor de atividade em causa. Todavia, esse processo de avaliação não deve levar a que as referidas partes assumam compromissos, de ordem económica ou por comodidade, suscetíveis de prejudicar indevidamente o objetivo do RGPD, que consiste em assegurar um nível de proteção elevado das liberdades e dos direitos fundamentais dos trabalhadores no que diz respeito ao tratamento dos seus dados pessoais.

58 Por conseguinte, uma interpretação do artigo 88.° do RGPD segundo a qual os órgãos jurisdicionais nacionais não poderão exercer uma fiscalização jurisdicional completa de uma convenção coletiva, em especial para verificar se as justificações apresentadas pelas partes nessa convenção fazem prova do caráter necessário do tratamento de dados pessoais que dela decorre, não é compatível com este regulamento, tendo em conta o objetivo de proteção recordado no número anterior do presente acórdão.

59 Por último, há que sublinhar que, no caso de o órgão jurisdicional nacional chegar à conclusão, no termo da fiscalização que lhe compete efetuar, de que certas disposições da convenção coletiva em causa não cumprem os pressupostos e os limites prescritos pelo RGPD, incumbe‑lhe então não aplicar essas disposições, em conformidade com a jurisprudência referida no n.° 53 do presente acórdão.

60 Tendo em conta os fundamentos precedentes, importa responder à segunda questão que o artigo 88.°, n.° 1, do RGPD deve ser interpretado no sentido de que, quando uma convenção coletiva esteja abrangida pelo âmbito de aplicação desta disposição, a margem de apreciação de que as partes nessa convenção dispõem para determinar o caráter «necessário» de um tratamento de dados pessoais, na aceção do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, deste regulamento, não impede o juiz nacional de exercer uma fiscalização jurisdicional completa a este respeito.

Quanto à terceira questão

61 Atendendo à resposta dada à segunda questão, não há que responder à terceira questão.

Quanto às despesas

62 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Oitava Secção) declara:

1) O artigo 88.°, n.os 1 e 2, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que:

uma disposição de direito nacional que tenha por objeto o tratamento de dados pessoais no contexto laboral e tenha sido adotada nos termos do artigo 88.°, n.° 1, deste regulamento deve ter por efeito obrigar os seus destinatários a cumprir não só os requisitos decorrentes do artigo 88.°, n.° 2, mas também os que resultam do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, todos do referido regulamento.

2) O artigo 88.°, n.° 1, do Regulamento 2016/679

deve ser interpretado no sentido de que:

quando uma convenção coletiva esteja abrangida pelo âmbito de aplicação desta disposição, a margem de apreciação de que as partes nessa convenção dispõem para determinar o caráter «necessário» de um tratamento de dados pessoais, na aceção do artigo 5.°, do artigo 6.°, n.° 1, e do artigo 9.°, n.os 1 e 2, deste regulamento, não impede o juiz nacional de exercer uma fiscalização jurisdicional completa a este respeito.

Assinaturas

* Língua do processo: alemão.