Acórdão do Tribunal de Justiça da União Europeia
Processo C-655/23

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Quarta Secção)

4 de setembro de 2025 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Direitos do titular dos dados — Artigo 17.° — Direito ao apagamento dos dados — Artigo 18.° — Direito à limitação do tratamento — Artigo 79.° — Direito à ação judicial — Tratamento ilícito de dados pessoais — Ação inibitória destinada a ordenar ao responsável pelo tratamento que se abstenha de repetir o tratamento ilícito — Fundamento — Condições — Artigo 82.°, n.° 1 — Direito de indemnização — Conceito de “danos imateriais” — Determinação da indemnização — Eventual tomada em consideração do grau de culpa do responsável pelo tratamento — Eventual incidência do benefício de uma “decisão inibitória” »

No processo C‑655/23,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), por Decisão de 26 de setembro de 2023, que deu entrada no Tribunal de Justiça em 7 de novembro de 2023, no processo

IP

contra

Quirin Privatbank AG,

O TRIBUNAL DE JUSTIÇA (Quarta Secção),

composto por: I. Jarukaitis, presidente de secção, N. Jääskinen (relator), A. Arabadjiev, M. Condinanzi e R. Frendo, juízes,

advogado‑geral: M. Campos Sánchez‑Bordona,

secretário: A. Calot Escobar,

vistos os autos,

vistas as observações apresentadas:

– em representação de IP, por M. Rodenhausen, Rechtsanwältin,

– em representação da Quirin Privatbank AG, por F. Buchmann, Rechtsanwalt,

– em representação da Comissão Europeia, por A. Bouchagiar e M. Heller, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 20 de março de 2025,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação dos artigos 17.°, 18.°, 79.°, 82.° e 84.° do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe IP, pessoa singular, à Quirin Privatbank AG, uma sociedade, a respeito do pedido dessa pessoa para que, por um lado, seja ordenado a esta sociedade que se abstenha de uma nova divulgação não autorizada a um terceiro dos seus dados pessoais e, por outro, à indemnização do prejuízo moral alegadamente sofrido na sequência da divulgação inicial desses dados.

Quadro jurídico

Direito da União

3 Os considerandos 1, 10, 11, 75, 85 e 146 do RGPD têm a seguinte redação:

«(1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia ([a seguir] “Carta”) e o artigo 16.°, n.° 1, [TFUE] estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

[...]

(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. [...] O presente regulamento também dá aos Estados‑Membros margem de manobra para especificarem as suas regras, inclusive em matéria de tratamento de categorias especiais de dados pessoais (“dados sensíveis”). Nessa medida, o presente regulamento não exclui o direito dos Estados‑Membros que define as circunstâncias de situações específicas de tratamento, incluindo a determinação mais precisa das condições em que é lícito o tratamento de dados pessoais.

(11) A proteção eficaz dos dados pessoais na União exige o reforço e a especificação dos direitos dos titulares dos dados e as obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados pessoais, bem como poderes equivalentes para controlar e assegurar a conformidade das regras de proteção dos dados pessoais e sanções equivalentes para as infrações nos Estados‑Membros.

[...]

(75) O risco para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, poderá resultar de operações de tratamento de dados pessoais suscetíveis de causar danos físicos, materiais ou imateriais, em especial: quando o tratamento possa dar origem à discriminação, à usurpação ou roubo da identidade, a perdas financeiras, prejuízos para a reputação, perdas de confidencialidade de dados pessoais protegidos por sigilo profissional, à inversão não autorizada da pseudonimização, ou a quaisquer outros prejuízos importantes de natureza económica ou social; quando os titulares dos dados possam ficar privados dos seus direitos e liberdades ou impedidos do exercício do controlo sobre os respetivos dados pessoais; [...]

[...]

(85) Se não forem adotadas medidas adequadas e oportunas, a violação de dados pessoais pode causar danos físicos, materiais ou imateriais às pessoas singulares, como a perda de controlo sobre os seus dados pessoais, a limitação dos seus direitos, a discriminação, o roubo ou usurpação da identidade, perdas financeiras, a inversão não autorizada da pseudonimização, danos para a reputação, a perda de confidencialidade de dados pessoais protegidos por sigilo profissional ou qualquer outra desvantagem económica ou social significativa das pessoas singulares. [...]

[...]

(146) O responsável pelo tratamento ou o subcontratante deverão reparar quaisquer danos de que alguém possa ser vítima em virtude de um tratamento que viole o presente regulamento. O responsável pelo tratamento ou o subcontratante pode ser exonerado da responsabilidade se provar que o facto que causou o dano não lhe é de modo algum imputável. O conceito de dano deverá ser interpretado em sentido lato à luz da jurisprudência do Tribunal de Justiça, de uma forma que reflita plenamente os objetivos do presente regulamento. Tal não prejudica os pedidos de indemnização por danos provocados pela violação de outras regras do direito da União ou dos Estados‑Membros. Os tratamentos que violem o presente regulamento abrangem igualmente os que violem os atos delegados e de execução adotados nos termos do presente regulamento e o direito dos Estados‑Membros que dê execução a regras do presente regulamento. Os titulares dos dados deverão ser integral e efetivamente indemnizados pelos danos que tenham sofrido. [...]»

4 O artigo 1.° do RGPD, sob a epígrafe «Objeto e objetivos», dispõe, no n.° 2:

«O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.»

5 O artigo 4.° deste regulamento, sob a epígrafe «Definições», prevê:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); [...]

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como [...] a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; [...]

[...]

10) “Terceiro”, a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;

[...]

12) “Violação de dados pessoais”, uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;

[...]»

6 O capítulo II do RGPD, intitulado «Princípios», inclui os artigos 5.° a 11.° deste regulamento.

7 O artigo 5.° do referido regulamento, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», prevê:

«1. Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades [...]; (“limitação das finalidades”);

c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

[...]

f) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas (“integridade e confidencialidade”);

2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.° 1 e tem de poder comprová‑lo (“responsabilidade”).»

8 O artigo 6.° do mesmo regulamento, sob a epígrafe «Licitude do tratamento», dispõe, no n.° 1:

«O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

[...]»

9 O capítulo III do RGPD, intitulado «Direitos do titular dos dados», contém os artigos 12.° a 23.° deste regulamento.

10 Incluído na secção 3 deste capítulo III, intitulada «Retificação e apagamento», o artigo 17.° do referido regulamento, sob a epígrafe «Direito ao apagamento dos dados («direito a ser esquecido»)», prevê, no n.° 1:

«O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos:

[...]

c) O titular opõe‑se ao tratamento nos termos do artigo 21.°, n.° 1, e não existem interesses legítimos prevalecentes que justifiquem o tratamento, ou o titular opõe‑se ao tratamento nos termos do artigo 21.°, n.° 2;

d) Os dados pessoais foram tratados ilicitamente;

[...]»

11 Também incluído nesta secção 3, o artigo 18.° do mesmo regulamento, sob a epígrafe «Direito à limitação do tratamento», dispõe, no n.° 1:

«O titular dos dados tem o direito de obter do responsável pelo tratamento a limitação do tratamento, se se aplicar uma das seguintes situações:

[...]

b) O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;

c) O responsável pelo tratamento já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;

[...]»

12 O capítulo VIII do RGPD, sob a epígrafe «Vias de recurso, responsabilidade e sanções», contém os artigos 77.° a 84.° deste regulamento.

13 O artigo 77.° do RGPD tem por epígrafe «Direito de apresentar reclamação a uma autoridade de controlo» e o artigo 78.° deste regulamento tem por epígrafe «Direito à ação judicial contra uma autoridade de controlo».

14 O artigo 79.° do referido regulamento, sob a epígrafe «Direito à ação judicial contra um responsável pelo tratamento ou um subcontratante», prevê, no n.° 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, nomeadamente o direito de apresentar reclamação a uma autoridade de controlo, nos termos do artigo 77.°, todos os titulares de dados têm direito à ação judicial se considerarem ter havido violação dos direitos que lhes assistem nos termos do presente regulamento, na sequência do tratamento dos seus dados pessoais efetuado em violação do referido regulamento.»

15 Nos termos do artigo 82.° do RGPD, sob a epígrafe «Direito de indemnização e responsabilidade»:

«1. Qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos.

[...]

3. O responsável pelo tratamento ou o subcontratante fica isento de responsabilidade nos termos do n.° 2, se provar que não é de modo algum responsável pelo evento que deu origem aos danos.

[...]»

16 O artigo 83.° deste regulamento, sob a epígrafe «Condições gerais para a aplicação de coimas», dispõe, no n.° 2:

«[...] Ao decidir sobre a aplicação de uma coima e sobre o montante da coima em cada caso individual, é tido em devida consideração o seguinte:

a) A natureza, a gravidade e a duração da infração tendo em conta a natureza, o âmbito ou o objetivo do tratamento de dados em causa, bem como o número de titulares de dados afetados e o nível de danos por eles sofridos;

b) O caráter intencional ou negligente da infração;

c) A iniciativa tomada pelo responsável pelo tratamento ou pelo subcontratante para atenuar os danos sofridos pelos titulares;

[...]

k) Qualquer outro fator agravante ou atenuante aplicável às circunstâncias do caso, como os benefícios financeiros obtidos ou as perdas evitadas, direta ou indiretamente, por intermédio da infração.»

17 O artigo 84.° do referido regulamento, sob a epígrafe «Sanções», enuncia, no n.° 1:

«Os Estados‑Membros estabelecem as regras relativas às outras sanções aplicáveis em caso de violação do disposto no presente regulamento, nomeadamente às violações que não são sujeitas a coimas nos termos do artigo 83.°, e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas.»

Direito alemão

18 O § 2, n.° 1, da Grundgesetz für die Bundesrepublik Deutschland (Lei Fundamental da República Federal da Alemanha), de 23 de maio de 1949 (BGBl. 1949 I, p. 1), na sua versão aplicável ao litígio no processo principal, tem a seguinte redação:

«Todos têm direito ao livre desenvolvimento da sua personalidade, desde que não violem os direitos de terceiros, a ordem constitucional ou o direito consuetudinário.»

19 O § 253 do Bürgerliches Gesetzbuch (Código Civil), na sua versão aplicável ao litígio no processo principal (a seguir «BGB»), sob a epígrafe «Danos não patrimoniais», prevê:

«(1) Em caso de dano não patrimonial, apenas é possível exigir uma indemnização pecuniária nos casos previstos na lei.

(2) Em caso de indemnização por ofensa à integridade física, à saúde, à liberdade ou à autodeterminação sexual, pode, igualmente, ser exigida uma indemnização pecuniária equitativa dos danos não patrimoniais.»

20 O § 823 do BGB, sob a epígrafe «Dever de indemnização», dispõe:

«(1) Quem, agindo intencionalmente ou por negligência, atentar ilegalmente contra a vida, corpo, saúde, liberdade, propriedade ou qualquer outro direito de outra pessoa, é responsável perante essa pessoa pelos danos daí resultantes.

(2) Igual obrigação é imposta a quem viole uma lei destinada à proteção de outrem. Se, pelo conteúdo da lei, também for possível violar esta lei sem culpa, a obrigação de indemnização só existe em caso de atuação culposa.»

21 O § 1004 do BGB, sob a epígrafe «Direito de cessação e direito inibitório», prevê, no n.° 1:

«Se a ofensa ao direito de propriedade resultar de uma causa diferente de esbulho ou retenção, o proprietário pode exigir do autor da ofensa que lhe ponha termo. Se existir o receio de nova ofensa, o proprietário pode intentar ação inibitória.»

22 Segundo a decisão de reenvio, o § 1004 do BGB é aplicável por analogia, no processo principal, à violação de direitos absolutos ou à violação de uma lei destinada a proteger outrem na aceção, respetivamente, do n.° 1 e do n.° 2 do § 823 deste código.

Litígio no processo principal e questões prejudiciais

23 O recorrente no processo principal candidatou‑se, através de uma rede social profissional em linha, a um emprego na Quirin Privatbank, uma sociedade de direito alemão. Posteriormente, uma funcionária desta sociedade utilizou o serviço de correio eletrónico dessa rede para enviar a um terceiro, não envolvido nesse processo de recrutamento, uma mensagem destinada unicamente ao recorrente no processo principal, na qual o informava do indeferimento dos seus pedidos salariais e lhe propunha outra remuneração (a seguir «mensagem em causa»). Este terceiro, que conhecia o recorrente no processo principal por ter trabalhado com ele anteriormente, transmitiu‑lhe essa mensagem e perguntou‑lhe se estava à procura de emprego.

24 O recorrente no processo principal intentou, no Landgericht Darmstadt (Tribunal Regional de Darmstadt, Alemanha), uma ação destinada a obter a condenação da Quirin Privatbank, por um lado, a abster‑se de qualquer tratamento dos dados pessoais que lhe dizem respeito relacionados com a sua candidatura que reiterasse a divulgação não autorizada desses dados na sequência do envio da mensagem em causa e, por outro, a pagar‑lhe uma indemnização pelos danos imateriais resultantes desse facto. Sustentou, em substância, que esse dano residia nas suas preocupações decorrentes do facto de, pelo menos a uma terceira pessoa que o conhecia e trabalhava no mesmo setor profissional a quem tinha sido dada a possibilidade de transmitir esses dados confidenciais a antigos ou potenciais empregadores, de beneficiar de uma vantagem em relação a ele numa possível situação de concorrência para um recrutamento e de perceber a humilhação que ele sentira quando as suas negociações salariais fracassaram.

25 Por Sentença de 26 de maio de 2020, o órgão jurisdicional de primeira instância condenou a Quirin Privatbank a abster‑se dos atos referidos no pedido e a pagar ao recorrente no processo principal uma indemnização no montante de 1 000 euros, acrescido de juros. A Quirin Privatbank interpôs recurso desta sentença.

26 Por Acórdão de 2 de março de 2022, o Oberlandesgericht Frankfurt (Tribunal Regional Superior de Frankfurt, Alemanha) reformou parcialmente a referida sentença. Considerou que o recorrente no processo principal tinha o direito, ao abrigo do artigo 17.°, n.° 1, do RGPD, de exigir que a Quirin Privatbank se abstivesse, no futuro, de tratar os seus dados pessoais de forma análoga à da mensagem em causa e que existia um risco de repetição a este respeito. Em contrapartida, julgou improcedente o pedido de indemnização ao abrigo do artigo 82.° deste regulamento, com o fundamento de que tinha havido efetivamente uma violação das regras de proteção de dados pessoais devido à transmissão desses dados a um terceiro não envolvido, mas que a prova de um dano concreto não tinha, todavia, sido apresentada pelo recorrente no processo principal e que, mesmo admitindo que este sofreu uma humilhação, não pode ser qualificada de dano imaterial.

27 O recorrente no processo principal e a Quirin Privatbank interpuseram, cada um, recurso de «Revision» desse acórdão no Bundesgerichtshof (Supremo Tribunal de Justiça Federal, Alemanha), que é o órgão jurisdicional de reenvio. Perante este órgão jurisdicional, o primeiro mantém as suas pretensões iniciais, ao passo que o segundo pede que estas sejam julgadas improcedentes na sua totalidade.

28 O órgão jurisdicional de reenvio considera que as operações contestadas pelo recorrente no processo principal estão abrangidas pelo âmbito de aplicação do RGPD. Indica que estas operações constituem um «tratamento» de «dados pessoais» do «titular dos dados» e que a Quirin Privatbank tem a qualidade de «responsável pelo tratamento», na aceção do artigo 4.°, pontos 1, 2 e 7, deste regulamento. Em seu entender, é ponto assente que as referidas operações, que assumiram a forma de uma transmissão não autorizada desses dados a um «terceiro», na aceção do artigo 4.°, ponto 10, do RGPD, violaram disposições deste regulamento e revestem caráter ilícito por força do seu artigo 6.°, n.° 1, nomeadamente porque o recorrente no processo principal não tinha dado o seu consentimento.

29 Esse órgão jurisdicional interroga‑se, primeiro, sobre se o RGPD confere a uma pessoa cujos dados pessoais foram objeto de tratamento ilícito o direito de exigir que o responsável pelo tratamento se abstenha de repetir esse tratamento, incluindo quando essa pessoa não pede o apagamento dos seus dados. Tendo em conta a jurisprudência nacional e os debates doutrinais a este respeito, o referido órgão jurisdicional pretende saber se esse direito, que é exercido a título puramente preventivo, pode resultar do artigo 17.° deste regulamento, relativo ao direito a esse apagamento, do artigo 18.° do mesmo, relativo ao direito à limitação do tratamento, do artigo 79.° do referido regulamento, relativo ao direito à ação judicial contra o responsável pelo tratamento ou o subcontratante, ou de qualquer outra disposição do mesmo regulamento.

30 Segundo, em caso de resposta afirmativa a estas interrogações, o órgão jurisdicional de reenvio pretende determinar, à luz da sua própria jurisprudência baseada no § 2 da Lei Fundamental da República Federal da Alemanha e numa aplicação conjugada dos §§ 823 e 1004 do BGB, por um lado, se esse direito de exigir que o responsável pelo tratamento se abstenha de uma nova violação do RGPD está subordinado à existência de um risco de repetição e, por outro, se este risco deve, sendo caso disso, ser presumido tendo em conta a violação inicial.

31 Terceiro, na hipótese inversa, em que seja dada uma resposta negativa às duas partes da sua primeira questão, esse órgão jurisdicional pretende saber se resulta de uma leitura conjugada dos artigos 79.° e 84.° do RGPD, relativos, respetivamente, ao direito à ação judicial contra o responsável pelo tratamento e às sanções em caso de violação deste regulamento, que um órgão jurisdicional de um Estado‑Membro está autorizado a impor essa inibição de atuação ao responsável pelo tratamento com fundamento em disposições nacionais, concedendo ao titular dos dados os direitos previstos nos artigos 17.°, 18.° e 82.° do referido regulamento.

32 Quarto, o órgão jurisdicional de reenvio interroga‑se sobre as condições a que está subordinado o direito à indemnização ao abrigo do artigo 82.°, n.° 1, do RGPD, lido à luz dos seus considerandos 75 e 85. Interroga‑se, mais especificamente, sobre quais são os elementos que permitem caracterizar um «dano imaterial», na aceção deste artigo 82.°, n.° 1, no caso de o titular dos dados invocar unicamente sentimentos negativos, que, segundo esse órgão jurisdicional, estão abrangidos pelos riscos gerais da vida corrente.

33 Quinto, o referido órgão jurisdicional interroga‑se sobre se o grau de culpa do responsável pelo tratamento deve ser tomada em consideração na determinação da indemnização por danos imateriais devida nos termos do artigo 82.°, n.° 1, do RGPD. Precisa que, no direito alemão, a indemnização pecuniária de um dano imaterial exige que se tenha em conta, nomeadamente, o grau de culpa do autor do dano, dado que essa indemnização cumpre simultaneamente uma função de compensação do prejuízo sofrido pelo lesado e uma função de satisfação devida a este último por esse autor, em conformidade com a jurisprudência relativa ao § 253 do BGB.

34 Sexto, em caso de resposta afirmativa a uma das duas partes da sua primeira questão ou à sua terceira questão, o órgão jurisdicional de reenvio pretende saber se o direito do titular dos dados de exigir que o responsável pelo tratamento se abstenha de uma nova violação do RGPD constitui um critério pertinente para reduzir, ou mesmo excluir, a indemnização por danos imateriais nos termos do artigo 82.°, n.° 1, deste regulamento, à semelhança do que seria possível ao abrigo do direito alemão.

35 Nestas condições, o Bundesgerichtshof (Supremo Tribunal de Justiça Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) a) Deve o artigo 17.° do RGPD ser interpretado no sentido de que o titular cujos dados pessoais tenham sido ilicitamente comunicados pelo responsável pelo tratamento através de um reencaminhamento, dispõe, contra o responsável pelo tratamento, de um direito inibitório de um novo reencaminhamento ilícito dos referidos dados, no caso de o titular dos dados não exigir do responsável pelo tratamento o apagamento dos mesmos?

b) Pode esse direito inibitório decorrer (igualmente) do artigo 18.° do RGPD ou de outra disposição do RGPD?

2) Em caso de resposta afirmativa [à primeira questão, alíneas a) e/ou b)]:

a) O direito inibitório ao abrigo do direito da União só existe quando sejam de recear, no futuro, outras afetações dos direitos do titular dos dados decorrentes do RGPD (risco de repetição)?

b) A violação já verificada do RGPD faz, eventualmente, presumir a existência de um risco de repetição?

3) Em caso de resposta negativa [à primeira questão, alíneas a) e b)]:

Deve o artigo 84.°, lido em conjugação com o artigo 79.° do RGPD, ser interpretado no sentido de que permite que o tribunal nacional reconheça, nos termos de disposições do direito nacional, ao titular cujos dados pessoais tenham sido ilicitamente comunicados pelo responsável pelo tratamento através de um reencaminhamento, para além da indemnização por danos materiais ou imateriais prevista no artigo 82.° do RGPD e dos direitos decorrentes dos artigos 17.° e 18.° do RGPD, um direito inibitório contra o responsável pelo tratamento em relação a um novo reencaminhamento ilícito dos referidos dados?

4) Deve o artigo 82.°, n.° 1, do RGPD ser interpretado no sentido de que simples sentimentos negativos como, por exemplo, a raiva, o desagrado, a insatisfação, a preocupação e o receio, que fazem parte do risco geral da vida e frequentemente da experiência quotidiana, são suficientes para se considerar que existe um dano imaterial na aceção desta disposição? Ou é necessário para se considerar que existe um dano que se verifique uma desvantagem para a pessoa singular titular dos dados que vá para além desses sentimentos?

5) Deve o artigo 82.°, n.° 1, do RGPD ser interpretado no sentido de que o grau de culpa do responsável pelo tratamento ou do subcontratante ou respetivos colaboradores constitui um critério relevante para efeitos de determinação do montante do dano imaterial a indemnizar?

6) Em caso de resposta afirmativa [à primeira questão, alíneas a) ou b), ou à terceira questão]:

Deve o artigo 82.°, n.° 1, do RGPD ser interpretado no sentido de que o facto de o titular dos dados dispor, para além do direito à indemnização, de um direito de inibição do comportamento pode ser suscetível de ser visto como um fator de redução do direito no âmbito da determinação do montante do dano imaterial a indemnizar?»

Quanto às questões prejudiciais

Quanto às três primeiras questões

36 Com as três primeiras questões, que importa examinar em conjunto, o órgão jurisdicional de reenvio pergunta, em substância, se as disposições do RGPD devem ser interpretadas no sentido de que preveem, em benefício do titular dos dados afetado pelo tratamento ilícito de dados pessoais, na hipótese de essa pessoa não pedir que os seus dados sejam apagados, uma via de recurso judicial que lhe permita obter, a título preventivo, que seja ordenado ao responsável pelo tratamento que se abstenha de efetuar no futuro um novo tratamento ilícito, e se, em caso de resposta negativa, essas disposições impedem os Estados‑Membros de prever essa via de recurso nas respetivas ordens jurídicas.

37 A título preliminar, importa recordar que, para interpretar uma disposição do direito da União, há que ter em conta não só os seus termos mas também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte [Acórdão de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.° 52 e jurisprudência referida].

38 A este respeito, em primeiro lugar, há que salientar que o RGPD assenta na existência de um direito reconhecido a qualquer pessoa singular de beneficiar de proteção relativamente ao tratamento dos seus dados pessoais. Esta proteção constitui um direito fundamental, consagrado no artigo 8.°, n.° 1, da Carta, para o qual remete o considerando 1 deste regulamento. O objetivo de garantir a efetividade deste direito fundamental, assegurando uma proteção a um nível elevado e equivalente em todos os Estados‑Membros, preside à aplicação do referido regulamento, como resulta do artigo 1.° e do considerando 10 deste [v., neste sentido, Acórdãos de 5 de outubro de 2023, Ministerstvo zdravotnictví (Aplicação móvel Covid‑19), C‑659/22, EU:C:2023:745, n.° 28; de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.° 28, e de 3 de abril de 2025, Ministerstvo zdravotnictví (Dados relativos ao representante de uma pessoa coletiva), C‑710/23, EU:C:2025:231, n.° 29].

39 Em conformidade com jurisprudência constante do Tribunal de Justiça, qualquer tratamento de dados pessoais deve respeitar os princípios que regem o tratamento desses dados, bem como os direitos do «titular dos dados», na aceção do artigo 4.°, ponto 1, do RGPD, que são enunciados, respetivamente, nos capítulos II e III deste regulamento. Em especial, deve respeitar os princípios relativos ao tratamento desses dados previstos no artigo 5.° do referido regulamento e preencher os requisitos de licitude do tratamento enumerados no artigo 6.° deste [v., neste sentido, Acórdãos de 19 de dezembro de 2024, K GmbH (Tratamento de dados pessoais dos trabalhadores), C‑65/23, EU:C:2024:1051, n.° 46, e de 3 de abril de 2025, Ministerstvo zdravotnictví (Dados relativos ao representante de uma pessoa coletiva), C‑710/23, EU:C:2025:231, n.° 33].

40 Como salientou o advogado‑geral, em substância, nos n.os 32, 34 e 38 das suas conclusões, o artigo 8.° da Carta proclama, no seu n.° 1, o direito à proteção dos dados pessoais, mas impõe também, no seu n.° 2, que esses dados sejam tratados no respeito de determinadas condições, do qual depende a licitude do tratamento em questão. Do mesmo modo, as obrigações enunciadas no capítulo II do RGPD, que recaem sobre o responsável pelo tratamento, têm como contrapartida direitos específicos previstos por este regulamento, que são conferidos aos titulares dos dados. Assim, estes beneficiam de um direito a um tratamento lícito dos seus dados pessoais, que é o corolário da obrigação geral, imposta a esse responsável, de não tratar esses dados de uma maneira não conforme com as exigências do referido regulamento.

41 Em segundo lugar, o Tribunal de Justiça já declarou reiteradamente que o direito da União, incluindo as disposições da Carta, não tem por efeito obrigar os Estados‑Membros a instituírem vias processuais diferentes das previstas no direito interno, a menos, porém, que resulte da sistemática da ordem jurídica nacional em causa que não existe nenhuma via processual que permita, ainda que a título incidental, assegurar o respeito pelos direitos conferidos aos particulares pelo direito da União (Acórdão de 8 de maio de 2025, Barało, C‑530/23, EU:C:2025:322, n.° 99 e jurisprudência referida).

42 No caso em apreço, importa começar por sublinhar que a situação em causa no processo principal não diz respeito à possibilidade de um órgão jurisdicional nacional adotar medidas provisórias, mas à eventual possibilidade de o titular dos dados obter, quanto ao mérito, através de uma ação judicial de caráter preventivo, uma decisão inibitória que proíba o responsável pelo tratamento de cometer uma nova violação desses direitos.

43 A este respeito, cabe salientar que o RGPD não contém disposições que prevejam, explícita ou implicitamente, que o titular dos dados beneficia, como prevê o órgão jurisdicional de reenvio, de um direito a obter de forma preventiva, por via de ação judicial, que o responsável pelo tratamento de dados pessoais seja obrigado a abster‑se, no futuro, de cometer uma violação das disposições deste regulamento, mais especificamente sob a forma de uma repetição de um tratamento ilícito. Em especial, como salientou o advogado‑geral nos n.os 54 a 69 das suas conclusões, esse direito não pode ser deduzido do artigo 17.° nem do artigo 18.° do referido regulamento.

44 Quanto ao capítulo VIII do RGPD, cumpre recordar que este capítulo regula, nomeadamente, as vias de recurso que permitem proteger os direitos do titular dos dados quando os dados pessoais que lhe dizem respeito tenham sido objeto de um tratamento alegadamente contrário às disposições deste regulamento. A proteção desses direitos pode ser reclamada, em especial, diretamente pelo titular dos dados, em aplicação dos artigos 77.° a 79.° do referido regulamento, que preveem diferentes vias de recurso, que podem ser exercidas de forma concorrente e independente por essa pessoa (v., neste sentido, Acórdãos de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.° 47 e jurisprudência referida, e de 30 de abril de 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 e C‑332/23, EU:C:2025:303, n.° 128 e jurisprudência referida).

45 Resulta da redação das disposições do capítulo VIII do RGPD que nenhuma delas obriga os Estados‑Membros a prever uma ação preventiva como a descrita no n.° 42 do presente acórdão. Em especial, o texto do artigo 79.°, n.° 1, deste regulamento não contém uma proibição dessa ação se esta estiver prevista no direito nacional aplicável, limitando se a prever que, sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, todos os titulares de dados têm direito à ação judicial se considerarem ter havido violação dos direitos que lhes assistem nos termos do referido regulamento, na sequência do tratamento dos seus dados pessoais efetuado em violação do mesmo regulamento. A redação desta disposição não impõe aos Estados‑Membros que prevejam uma via de recurso específica que permita obter, por via jurisdicional, a título preventivo, uma decisão inibitória como a prevista pelo órgão jurisdicional de reenvio.

46 Dito isto, tendo em conta a redação das disposições do capítulo VIII do RGPD e, nomeadamente, o reconhecimento, no seu artigo 79.°, n.° 1, do direito de cada titular de dados à ação judicial se considerar que os direitos que lhe são conferidos por este regulamento foram violados na sequência de um tratamento dos seus dados pessoais efetuado em violação do referido regulamento, «sem prejuízo» de qualquer outra via de recurso administrativo ou extrajudicial, há que considerar que os Estados‑Membros não são impedidos de prever essa via de recurso preventiva tendo em vista ordenar ao responsável pelo tratamento que se abstenha de qualquer nova violação desses direitos (v., neste sentido, Acórdão de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.° 53).

47 Importa sublinhar, a este respeito, que, embora o RGPD vise assegurar uma harmonização das legislações nacionais relativas à proteção dos dados pessoais que é, em princípio, completa, não deixa de ser verdade que várias disposições deste regulamento conferem expressamente aos Estados‑Membros a possibilidade de preverem regras nacionais adicionais, mais rigorosas ou derrogatórias, que lhes deixam uma margem de apreciação quanto ao modo como essas disposições podem ser aplicadas («cláusulas de abertura») (Acórdão de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.° 57 e jurisprudência referida).

48 É certo que as disposições do capítulo VIII do RGPD não preveem especificamente essa cláusula de abertura que permita expressamente aos Estados‑Membros prever a possibilidade de o titular dos dados que pretenda impedir o responsável pelo tratamento de violar disposições materiais deste regulamento de intentar uma ação para obter, contra este, uma decisão inibitória de agir nesse sentido. Todavia, o legislador da União não pretendeu proceder a uma harmonização exaustiva das vias de recurso disponíveis em caso de violação das disposições do referido regulamento e, nomeadamente, não quis excluir tal possibilidade de recurso (v., neste sentido, Acórdão de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.os 59 e 60).

49 Esta interpretação é confirmada pelos objetivos prosseguidos pelo RGPD. Com efeito, este regulamento visa, nomeadamente, como resulta do seu considerando 10, assegurar um nível de proteção coerente e elevado das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais. Além disso, o considerando 11 do referido regulamento enuncia, especificamente, que uma proteção efetiva desses dados exige o reforço dos direitos dos titulares dos dados e das obrigações dos responsáveis pelo tratamento e pela definição do tratamento dos dados (v., neste sentido, Acórdão de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.° 61).

50 Ora, a possibilidade de o titular dos dados intentar uma ação judicial para que seja ordenado a um responsável pelo tratamento que se abstenha, no futuro, de uma violação das disposições materiais do RGPD não só não prejudica estes objetivos, como é, pelo contrário, suscetível de reforçar o efeito útil destas disposições e, assim, o elevado nível de proteção dos titulares dos dados relativamente ao tratamento dos seus dados pessoais, visado por este regulamento. Por conseguinte, as disposições do capítulo VIII do RGPD não se opõem a uma regulamentação nacional que confere essa possibilidade de recurso preventivo ao titular dos dados (v., neste sentido, Acórdão de 4 de outubro de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, n.os 62 e 73).

51 Daqui resulta que o RGPD não se opõe a que um direito de recurso que visa obter uma decisão inibitória que permite prevenir uma eventual violação das disposições materiais deste regulamento, nomeadamente através de uma potencial repetição de um tratamento ilícito, esteja disponível com fundamento em disposições do direito de um Estado‑Membro que sejam aplicáveis no órgão jurisdicional nacional chamado a pronunciar‑se.

52 Tendo em conta todos os fundamentos precedentes, há que responder às primeiras três questões que as disposições do RGPD devem ser interpretadas no sentido de que não preveem, em benefício do titular dos dados afetado pelo tratamento ilícito de dados pessoais, na hipótese de essa pessoa não pedir que os seus dados sejam apagados, uma via de recurso judicial que lhe permita obter, a título preventivo, que seja ordenado ao responsável pelo tratamento que se abstenha de efetuar no futuro um novo tratamento ilícito. Todavia, estas disposições não impedem os Estados‑Membros de prever essa via de recurso nas respetivas ordens jurídicas.

Quanto à quarta questão

53 Com a sua quarta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que o conceito de «danos imateriais» que figura nesta disposição engloba sentimentos negativos sofridos pelo titular dos dados na sequência de uma transmissão não autorizada dos seus dados pessoais a um terceiro, como o receio ou o desagrado, que são suscitados por uma perda de controlo sobre esses dados, por uma potencial utilização abusiva dos mesmos ou por uma ofensa à sua reputação.

54 Importa recordar que o artigo 82.°, n.° 1, do RGPD prevê que qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação deste regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos.

55 Em conformidade com jurisprudência constante, tendo em conta a inexistência de qualquer referência, no artigo 82.°, n.° 1, do RGPD, ao direito interno dos Estados‑Membros, o conceito de «danos imateriais», na aceção desta disposição, deve ser objeto de uma definição autónoma e uniforme, própria do direito da União (v., neste sentido, Acórdãos de 25 de janeiro de 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, n.° 64, e de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 139 e jurisprudência referida).

56 A este respeito, o Tribunal de Justiça tem reiterado, nomeadamente à luz dos considerandos 75, 85 e 146 do RGPD, que a simples violação deste regulamento não é suficiente para conferir um direito de indemnização ao abrigo do seu artigo 82.°, n.° 1. A existência de um «dano», material ou imaterial, ou de um «prejuízo» que tenha sido «sofrido» devido a uma violação de disposições do referido regulamento e de um nexo de causalidade entre esse dano e essa violação constituem as três condições cumulativas, necessárias e suficientes, desse direito a indemnização. Assim, o titular dos dados que pede a reparação de um dano imaterial com base neste artigo 82.°, n.° 1, é obrigado a demonstrar não só a violação deste regulamento, mas também que essa violação lhe causou efetivamente esse dano [v., neste sentido, Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.os 32, 33, 37 e 42; de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.os 140 a 142; e de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.os 24 e 25].

57 No caso em apreço, o órgão jurisdicional de reenvio expõe que o recorrente no processo principal invoca essencialmente, a título dos danos imateriais que afirma ter sofrido devido à violação do RGPD em causa, «o receio da transmissão dos dados a terceiros que trabalham no mesmo setor, o facto de uma pessoa ter tido conhecimento de informações relativamente às quais a discrição é, em princípio, rigorosa [bem como] a humilhação ligada ao indeferimento das suas pretensões salariais e ao facto de terceiros dela terem tido conhecimento». Esse órgão jurisdicional pretende saber se «sentimentos negativos, como, por exemplo, a raiva, o desagrado, a insatisfação, a preocupação e o receio», que qualifica de «riscos gerais da vida», são suficientes para demonstrar a existência de «danos imateriais», na aceção do artigo 82.° deste regulamento, ou se é necessário que o titular dos dados tenha sofrido um dano que vá além desses sentimentos.

58 A este respeito, em primeiro lugar, decorre da jurisprudência do Tribunal de Justiça que o artigo 82.°, n.° 1, do RGPD se opõe a uma norma ou a uma prática nacional que subordina a indemnização de um «dano imaterial», na aceção desta disposição, à condição de o dano sofrido pelo titular dos dados atingir um certo grau de gravidade. A referida disposição não exige que um dano imaterial alegado pelo titular dos dados deva atingir um «limiar mínimo» para que esse dano possa ser reparado [v., neste sentido, Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.° 51, e de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.os 147 e 149].

59 Em segundo lugar, como a Comissão Europeia salientou nas suas observações escritas, situações como as invocadas no litígio no processo principal, relativas a uma «ofensa à reputação» resultante de uma violação de dados pessoais ou a uma «perda de controlo» sobre esses dados, figuram expressamente entre os exemplos de possíveis danos enumerados nos considerandos 75 e 85 do RGPD.

60 Em especial, o Tribunal de Justiça sublinhou que resulta da lista ilustrativa dos «danos» ou dos «prejuízos» suscetíveis de ser sofridos pelos titulares dos dados que figura no considerando 85, primeiro período, do RGPD, que o legislador da União pretendeu incluir nestes dois conceitos, nomeadamente, a simples «perda de controlo» sobre os seus próprios dados pessoais, na sequência de uma violação deste regulamento, ainda que não tenha havido uma utilização efetivamente abusiva dos dados em causa. Essa perda de controlo pode ser suficiente para causar «danos imateriais», na aceção do artigo 82.°, n.° 1, do referido regulamento, desde que o titular dos dados demonstre que sofreu efetivamente esse dano, por mínimo que seja, sem que este conceito de «danos imateriais» exija a demonstração da existência de consequências negativas tangíveis adicionais (v., neste sentido, Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.os 145, 150 e 156 e jurisprudência referida).

61 Em terceiro lugar, o Tribunal de Justiça já declarou que o receio, sentido pelo titular dos dados, de que os seus dados pessoais sejam objeto de uma utilização abusiva no futuro, na sequência de uma violação do RGPD, é suscetível de constituir, por si só, um «dano imaterial», na aceção do artigo 82.°, n.° 1, deste, desde que esse receio, com as suas consequências negativas, seja devidamente provado, o que cabe ao órgão jurisdicional nacional chamado a pronunciar‑se verificar [v., neste sentido, Acórdãos de 20 de junho de 2024, PS (Endereço errado), C‑590/22, EU:C:2024:536, n.os 32, 35 e 36, e de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.os 143, 144 e 155 e jurisprudência referida].

62 Assim, embora os sentimentos mencionados pelo órgão jurisdicional de reenvio, em especial o receio ou o desagrado, possam, por outro lado, fazer parte dos riscos gerais da vida, como o próprio órgão jurisdicional observa, esses sentimentos negativos são suscetíveis de constituir «danos imateriais», na aceção do artigo 82.°, n.° 1, do RGPD, desde que, em conformidade com a exigência de um nexo de causalidade recordada no n.° 56 do presente acórdão, o titular dos dados demonstre que tem esses sentimentos, com as suas consequências negativas, precisamente devido à violação em causa deste regulamento, como uma transmissão não autorizada dos seus dados pessoais a um terceiro que gera o risco de uma utilização abusiva dos mesmos, o que incumbe aos juízes nacionais chamados a conhecer do litígio apreciar.

63 Em quarto e último lugar, esta interpretação é conforme com a redação do artigo 82.°, n.° 1, do RGPD, lido à luz dos considerandos 85 e 146 deste regulamento, que convidam a adotar uma conceção ampla do conceito de «danos imateriais», na aceção deste artigo 82.°, n.° 1. Além disso, é corroborada pelo objetivo do referido regulamento, resultante do artigo 1.° e dos considerandos 1 e 10 que consiste em assegurar um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais (v., por analogia, Acórdãos de 14 de dezembro de 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, n.os 19 e 20, e de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.os 144 e 146).

64 Tendo em conta os fundamentos precedentes, há que responder à quarta questão que o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que o conceito de «danos imateriais» que figura nesta disposição engloba sentimentos negativos sofridos pelo titular dos dados na sequência de uma transmissão não autorizada dos seus dados pessoais a um terceiro, como o receio ou o desagrado, que são suscitados por uma perda de controlo sobre esses dados, por uma potencial utilização abusiva dos mesmos ou por uma ofensa à sua reputação, desde que o titular dos dados demonstre que tem esses sentimentos, com as suas consequências negativas, devido à violação em causa deste regulamento.

Quanto à quinta questão

65 Com a sua quinta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que autoriza que o grau de culpa do responsável pelo tratamento seja tido em conta para efeitos da determinação da indemnização por danos imateriais devida nos termos deste artigo 82.°, n.° 1.

66 A este respeito, resulta da jurisprudência do Tribunal de Justiça que, uma vez que o RGPD não contém disposições que tenham por objeto definir as regras relativas à determinação da indemnização devida a título do direito de indemnização consagrado no artigo 82.° deste regulamento, os juízes nacionais devem, para o efeito, aplicar as normas internas de cada Estado‑Membro relativas ao alcance da indemnização pecuniária, desde que sejam respeitados os princípios da equivalência e da efetividade do direito da União [v., neste sentido, Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.os 54 e 59, e de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.° 32].

67 No caso em apreço, o órgão jurisdicional de reenvio interroga‑se sobre se o grau de culpa do autor do dano, que é um critério previsto no direito alemão para a avaliação da indemnização pecuniária dos danos imateriais, pode ser igualmente aplicado no que respeita à indemnização de danos imateriais baseada no artigo 82.° do RGPD.

68 Resulta dos acórdãos do Tribunal de Justiça, alguns dos quais foram proferidos após a apresentação do presente pedido de decisão prejudicial, que há que dar uma resposta negativa a esta quinta questão.

69 Com efeito, o Tribunal de Justiça declarou que, tendo em conta a função compensatória do direito de indemnização previsto no artigo 82.° do RGPD, os juízes nacionais são obrigados a assegurar uma indemnização «integral e efetiva» do dano sofrido, como indicado no considerando 146 deste regulamento, sem que seja necessário, para efeitos dessa compensação integral, impor o pagamento de uma indemnização de natureza punitiva [v., neste sentido, Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.os 57 e 58, e de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.° 34].

70 Diversamente do que prevê o artigo 83.° do RGPD para as coimas, cujos critérios não são aplicáveis mutatis mutandis no quadro do artigo 82.° deste regulamento, o direito de indemnização previsto neste artigo 82.°, nomeadamente em caso de danos imateriais, desempenha uma função exclusivamente compensatória, na medida em que uma indemnização pecuniária baseada no referido artigo 82.° deve permitir compensar integralmente o prejuízo sofrido concretamente devido à violação do referido regulamento, e não uma função dissuasiva ou punitiva (v., neste sentido, Acórdãos de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 153, e de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.os 39 a 41).

71 Assim, por um lado, a responsabilidade do responsável pelo tratamento a título do artigo 82.° do RGPD está subordinada à existência de culpa deste, a qual se presume a menos que este prove que o facto que provocou o dano não lhe é de modo nenhum imputável, e, por outro, este artigo 82.° não exige que a gravidade dessa culpa seja tida em conta quando da fixação do montante da indemnização concedida a título de reparação de um dano imaterial ao abrigo do referido artigo (Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 154).

72 Mais especificamente, a função exclusivamente compensatória do direito de indemnização previsto no artigo 82.°, n.° 1, do RGPD opõe‑se a que o grau de gravidade e o eventual caráter doloso da violação deste regulamento cometida pelo responsável pelo tratamento sejam tidos em conta para efeitos da indemnização de danos com este fundamento. Daqui resulta que, no quadro desta disposição, a atitude e a motivação do responsável pelo tratamento não podem ser tidas em conta para, se for caso disso, conceder ao titular dos dados uma indemnização inferior ao dano que efetivamente sofreu, quer quanto ao montante quer quanto à forma dessa reparação (v., neste sentido, Acórdão de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.os 42 a 45 e jurisprudência referida).

73 Tendo em conta os fundamentos precedentes, há que responder à quinta questão que o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que se opõe a que o grau de culpa do responsável pelo tratamento seja tido em conta para efeitos da determinação da indemnização por danos imateriais devida nos termos deste artigo.

Quanto à sexta questão

74 A sexta questão é submetida na eventualidade de o Tribunal de Justiça responder afirmativamente a uma das partes da primeira questão ou à terceira questão, ou seja, se se considerar, em substância, que o direito de exigir que o responsável pelo tratamento se abstenha no futuro de uma nova violação de dados pessoais é reconhecido, a favor do titular dos dados, pelo RGPD, diretamente por força de disposições deste ou através de uma aplicação de disposições nacionais autorizada por este regulamento. Tendo em conta a resposta dada, conjuntamente, às primeiras três questões, que figura no n.° 52 do presente acórdão, há que responder a esta sexta questão.

75 Para precisar o objeto desta última questão, o órgão jurisdicional de reenvio indica que, segundo o direito alemão e a sua própria jurisprudência, a circunstância de uma pessoa que sofreu um dano imaterial ter pedido, ou mesmo obtido, que o seu autor seja obrigado a abster‑se de novos atos lesivos pode ser tida em conta para diminuir, ou mesmo excluir, uma indemnização pecuniária a título desse dano. Pretende saber se este critério de apreciação da indemnização dos danos também pode ser aplicado no âmbito do RGPD, nomeadamente à luz do princípio da efetividade do direito da União, e, em caso afirmativo, em que medida.

76 Assim, com a sua questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que a circunstância de o titular dos dados ter obtido, ao abrigo do direito nacional aplicável, uma decisão inibitória da repetição de uma violação deste regulamento, oponível ao responsável pelo tratamento, pode ser tida em conta para reduzir o alcance da indemnização pecuniária por danos imateriais devida ao abrigo deste artigo 82.°, n.° 1, ou mesmo para substituir essa indemnização.

77 A este respeito, importa recordar que, como mencionado no n.° 66 do presente acórdão, o RGPD não contém disposições que definam as regras relativas à determinação da indemnização devida nos termos do artigo 82.° deste regulamento, pelo que os juízes nacionais devem, para esse efeito, aplicar as regras internas de cada Estado‑Membro relativas ao alcance da indemnização pecuniária, sem prejuízo do respeito dos princípios da equivalência e da efetividade do direito da União.

78 Em especial, importa sublinhar que os critérios de determinação da indemnização devida no âmbito das ações destinadas a assegurar a salvaguarda dos direitos conferidos aos particulares pelo artigo 82.° do RGPD, critérios que são fixados na ordem jurídica de cada Estado‑Membro, devem permitir assegurar uma indemnização integral e efetiva do dano sofrido pelo titular dos dados na sequência de uma violação deste regulamento (v., neste sentido, Acórdãos de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 152, e de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.° 34 e jurisprudência referida).

79 O Tribunal de Justiça já admitiu que, dentro dos limites decorrentes do princípio da efetividade, certas circunstâncias podem influenciar a determinação da indemnização devida nos termos do artigo 82.° do RGPD, em especial, para restringir essa indemnização. Foi declarado que, não sendo grave o prejuízo sofrido pelo titular dos dados, um órgão jurisdicional nacional pode conceder‑lhe uma indemnização mínima, desde que o montante pouco elevado da indemnização assim atribuída seja suscetível de compensar integralmente esse dano, o que cabe a esse órgão jurisdicional verificar. Do mesmo modo, a apresentação de um pedido de desculpas pode constituir uma reparação adequada de um dano imaterial com fundamento neste artigo 82.°, nomeadamente quando seja impossível restabelecer a situação anterior à verificação desse dano, desde que essa forma de reparação, na medida em que esteja prevista pelo direito nacional, permita essa compensação integral do referido prejuízo (v., neste sentido, Acórdão de 4 de outubro de 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, n.os 35 a 37 e jurisprudência referida).

80 No caso em apreço, a questão submetida destina‑se a determinar se, no âmbito de aplicação do artigo 82.° do RGPD, um órgão jurisdicional nacional tem a possibilidade de ter em conta o facto de o titular dos dados beneficiar de uma decisão inibitória para reduzir a indemnização suscetível de ser concedida a essa pessoa a título de danos imateriais, de modo que esse órgão jurisdicional, na prática, ordene a reparação desse dano em parte sob forma pecuniária e em parte sob a forma dessa decisão inibitória, ou unicamente sob esta última forma.

81 Ora, resulta da jurisprudência referida nos n.os 78 e 79 do presente acórdão que uma forma de indemnização prevista pelo direito nacional aplicável só pode ser considerada conforme com o RGPD se essa forma respeitar os princípios da equivalência e da efetividade do direito da União, o que pressupõe, nomeadamente, que seja suscetível de assegurar uma indemnização integral e efetiva do dano sofrido pelo titular dos dados.

82 Em especial, uma indemnização devida nos termos do artigo 82.° deste regulamento não pode ser atribuída sob a forma, em parte ou na totalidade, de uma decisão inibitória, uma vez que o direito à reparação de um dano previsto neste artigo 82.° cumpre uma função exclusivamente compensatória, como recordado no n.° 70 do presente acórdão, ao passo que uma decisão inibitória oposta ao autor do dano tem uma finalidade puramente preventiva. Com efeito, como salientou, em substância, o advogado‑geral no n.° 86 das suas conclusões, uma decisão desta natureza visa impedir a repetição de comportamentos que causaram danos, a fim de evitar a ocorrência de novos danos, mas não repara os que já foram sofridos pelo titular dos dados.

83 Tendo em conta os fundamentos precedentes, há que responder à sexta questão que o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que se opõe a que a circunstância de o titular dos dados ter obtido, ao abrigo do direito nacional aplicável, uma decisão inibitória da repetição de uma violação deste regulamento, oponível ao responsável pelo tratamento, seja tida em conta para reduzir o alcance da indemnização pecuniária por danos imateriais devida nos termos deste artigo ou, a fortiori, para substituir essa indemnização.

Quanto às despesas

84 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Quarta Secção) declara:

1) As disposições do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

devem ser interpretadas no sentido de que:

não preveem, em benefício do titular dos dados afetado pelo tratamento ilícito de dados pessoais, na hipótese de essa pessoa não pedir que os seus dados sejam apagados, uma via de recurso judicial que lhe permita obter, a título preventivo, que seja ordenado ao responsável pelo tratamento que se abstenha de efetuar no futuro um novo tratamento ilícito. Todavia, estas disposições não impedem os Estados‑Membros de prever essa via de recurso nas respetivas ordens jurídicas.

2) O artigo 82.°, n.° 1, do Regulamento 2016/679

deve ser interpretado no sentido de que:

o conceito de «danos imateriais» que figura nesta disposição engloba sentimentos negativos sofridos pelo titular dos dados na sequência de uma transmissão não autorizada dos seus dados pessoais a um terceiro, como o receio ou o desagrado, que são suscitados por uma perda de controlo sobre esses dados, por uma potencial utilização abusiva dos mesmos ou por uma ofensa à sua reputação, desde que o titular dos dados demonstre que tem esses sentimentos, com as suas consequências negativas, devido à violação em causa deste regulamento.

3) O artigo 82.°, n.° 1, do Regulamento 2016/679

deve ser interpretado no sentido de que:

se opõe a que o grau de culpa do responsável pelo tratamento seja tido em conta para efeitos da determinação da indemnização por danos imateriais devida nos termos deste artigo.

4) O artigo 82.°, n.° 1, do Regulamento 2016/679

deve ser interpretado no sentido de que:

se opõe a que a circunstância de o titular dos dados ter obtido, ao abrigo do direito nacional aplicável, uma decisão inibitória da repetição de uma violação deste regulamento, oponível ao responsável pelo tratamento, seja tida em conta para reduzir o alcance da indemnização pecuniária por danos imateriais devida ao abrigo deste artigo ou, a fortiori, para substituir essa indemnização.

Assinaturas

* Língua do processo: alemão.