Acórdão do Tribunal de Justiça da União Europeia
Processo C-710/23

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Primeira Secção)

3 de abril de 2025 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 4.° — Definições — Artigo 6.° — Licitude do tratamento — Artigo 86.° — Acesso do público aos documentos oficiais — Dados relativos ao representante de uma pessoa coletiva — Jurisprudência de um órgão jurisdicional nacional que impõe a obrigação de informar e de consultar o titular dos dados antes da comunicação dos documentos oficiais que contêm esses dados »

No processo C‑710/23,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Nejvyšší správní soud (Supremo Tribunal Administrativo, República Checa), por Decisão de 1 de novembro de 2023, que deu entrada no Tribunal de Justiça em 22 de novembro de 2023,

L. H.

contra

Ministerstvo zdravotnictví,

O TRIBUNAL DE JUSTIÇA (Primeira Secção),

composto por: F. Biltgen, presidente de secção, T. von Danwitz (relator), vice‑presidente do Tribunal de Justiça, A. Kumin, I. Ziemele e S. Gervasoni, juízes,

advogado‑geral: J. Richard de la Tour,

secretário: A. Calot Escobar,

vistos os autos,

vistas as observações apresentadas:

– em representação do Governo Checo, por L. Březinová, M. Smolek e J. Vláčil, na qualidade de agentes,

– em representação da Comissão Europeia, por A. Bouchagiar e P. Ondrůšek, na qualidade de agentes,

vista a decisão tomada, ouvido o advogado‑geral, de julgar a causa sem apresentação de conclusões,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 4.°, ponto 1, e do artigo 6.°, n.° 1, alíneas c) e e), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe L. H. ao Ministerstvo zdravotnictví (Ministério da Saúde, República Checa) a respeito de uma decisão de este último não comunicar a L. H. determinadas informações relativas a representantes de pessoas coletivas, mencionados em contratos de aquisição de testes de despistagem da Covid‑19 e em certificados relativos a estes testes.

Quadro jurídico

Direito da União

3 Os considerandos 1, 4, 10, 14 e 154 do RGPD enunciam:

«(1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia ([a seguir] “Carta”) e o artigo 16.°, n.° 1, [TFUE] estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

[...]

(4) O tratamento dos dados pessoais deverá ser concebido para servir as pessoas. O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. O presente regulamento respeita todos os direitos fundamentais e observa as liberdade e os princípios reconhecidos na Carta, consagrados nos Tratados, nomeadamente o respeito pela vida privada e familiar, pelo domicílio e pelas comunicações, a proteção dos dados pessoais, a liberdade de pensamento, de consciência e de religião, a liberdade de expressão e de informação, a liberdade de empresa, o direito à ação e a um tribunal imparcial, e a diversidade cultural, religiosa e linguística.

[...]

(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. No que diz respeito ao tratamento de dados pessoais para cumprimento de uma obrigação jurídica, para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento, os Estados‑Membros deverão poder manter ou aprovar disposições nacionais para especificar a aplicação das regras do presente regulamento. [...] Nessa medida, o presente regulamento não exclui o direito dos Estados‑Membros que define as circunstâncias de situações específicas de tratamento, incluindo a determinação mais precisa das condições em que é lícito o tratamento de dados pessoais.

[...]

(14) A proteção conferida pelo presente regulamento deverá aplicar‑se às pessoas singulares, independentemente da sua nacionalidade ou do seu local de residência, relativamente ao tratamento dos seus dados pessoais. O presente regulamento não abrange o tratamento de dados pessoais relativos a pessoas coletivas, em especial a empresas estabelecidas enquanto pessoas coletivas, incluindo a denominação, a forma jurídica e os contactos da pessoa coletiva.

[...]

(154) O presente regulamento permite tomar em consideração o princípio do direito de acesso do público aos documentos oficiais na aplicação do mesmo. O acesso do público aos documentos oficiais pode ser considerado de interesse público. Os dados pessoais que constem de documentos na posse dessas autoridades públicas ou organismos públicos deverão poder ser divulgados publicamente por tais autoridades ou organismos, se a divulgação estiver prevista no direito da União ou do Estado‑Membro que lhes for aplicável. Essas legislações deverão conciliar o acesso do público aos documentos oficiais e a reutilização da informação do setor público com o direito à proteção dos dados pessoais e podem pois prever a necessária conciliação com esse mesmo direito nos termos do presente regulamento. A referência a autoridades e organismos públicos deverá incluir, nesse contexto, todas as autoridades ou outros organismos abrangidos pelo direito do Estado‑Membro relativo ao acesso do público aos documentos. [...]»

4 O artigo 1.° do RGPD, sob a epígrafe «Objeto e objetivos», dispõe, no n.° 2:

«O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.»

5 Nos termos do artigo 4.° do RGPD, sob a epígrafe «Definições»:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]»

6 O artigo 5.° do RGPD, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», dispõe:

«1. Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

[...]»

7 O artigo 6.° do RGPD, sob a epígrafe «Licitude do tratamento», prevê:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

d) O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;

e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;

f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

[...]

2. Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.° 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.

3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:

a) Pelo direito da União; ou

b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.° 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações específicas de tratamento em conformidade com o capítulo IX. O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

[...]»

8 O artigo 86.° do RGPD, sob a epígrafe «Tratamento e acesso do público aos documentos oficiais», faz parte do capítulo IX deste regulamento, que inclui as disposições relativas a situações específicas de tratamento. Esse artigo dispõe:

«Os dados pessoais que constem de documentos oficiais na posse de uma autoridade pública ou de um organismo público ou privado para a prossecução de atribuições de interesse público podem ser divulgados pela autoridade ou organismo nos termos do direito da União ou do Estado‑Membro que for aplicável à autoridade ou organismo público, a fim de conciliar o acesso do público a documentos oficiais com o direito à proteção dos dados pessoais nos termos do presente regulamento.»

Direito checo

9 A zákon č. 106/1999 Sb., o svobodném přístupu k informacím (Lei n.° 106/1999 relativa ao Livre Acesso à Informação) prevê a obrigação de as autoridades públicas comunicarem informações à pessoa singular ou coletiva que o solicite.

10 Por força do artigo 8.°‑A, n.° 1, desta lei, o responsável pela prestação da informação só comunica informações relativas à personalidade, aos elementos da esfera pessoal, à vida privada de uma pessoa singular e dos dados pessoais em conformidade com a regulamentação que regula a sua proteção.

Litígio no processo principal e questões prejudiciais

11 L. H. apresentou ao Ministério da Saúde um pedido de informações sobre a identificação de pessoas que assinaram contratos de aquisição de testes de despistagem da Covid‑19 celebrados por esse ministério, bem como certificados relativos a esses testes e que demonstram a possibilidade de os utilizar no território da União.

12 O referido ministério deferiu parcialmente o pedido de L. H. e comunicou‑lhe os certificados relativos aos referidos testes, ocultando as informações relativas às pessoas singulares que assinaram esses certificados em nome das pessoas coletivas em questão, incluindo o nome próprio, o apelido, a assinatura e o cargo ocupado por essas pessoas singulares, bem como, em certos casos, o endereço eletrónico, o número de telefone e o sítio Internet dessas pessoas coletivas. A ocultação dessas informações tinha como justificação a proteção dos dados pessoais das pessoas singulares referidas nesses certificados, em conformidade com os requisitos do RGPD.

13 L. H. interpôs recurso de anulação da decisão de comunicação do Ministério da Saúde no Městský soud v Praze (Tribunal Municipal de Praga, República Checa), na medida em que ocultou as referidas informações. Esse órgão jurisdicional deu provimento ao recurso por considerar que o ministério não podia, por princípio, recusar comunicar informações que constituem dados pessoais sem ter previamente informado nem recolhido o parecer dos titulares dos dados sobre o pedido de comunicação desses dados, como prevê a jurisprudência nacional pertinente. Com efeito, segundo o referido órgão jurisdicional, ao agir deste modo, o Ministério da Saúde, por um lado, não reconheceu aos titulares dos dados a qualidade de «partes no processo», na aceção do direito interno, e, por outro, não se assegurou de forma juridicamente bastante de que nenhum dos requisitos de licitude previstos no artigo 6.°, n.° 1, do RGPD estava preenchido.

14 O Ministério da Saúde interpôs recurso de cassação da decisão do Městský soud v Praze (Tribunal Municipal de Praga) no Nejvyšší správní soud (Supremo Tribunal Administrativo, República Checa), que é o órgão jurisdicional de reenvio. Segundo este ministério, o facto de não ter informado as pessoas singulares, titulares dos dados, do pedido de comunicação dos dados em causa não pode constituir um vício processual. O referido ministério alega que essas pessoas exercem as suas atividades a partir da China e do Reino Unido, onde estão registadas as pessoas coletivas emissoras dos certificados, e que o domicílio das referidas pessoas lhe é desconhecido. Por conseguinte, é‑lhe impossível informá‑los e consultá‑los a este respeito.

15 Neste contexto, o órgão jurisdicional de reenvio interroga‑se, em primeiro lugar, sobre a questão de saber se os dados em causa no processo principal constituem «dados pessoais», na aceção do artigo 4.°, ponto 1, do RGPD. À luz do considerando 14 deste regulamento, tende a considerar que essas informações constituem dados relativos a uma pessoa coletiva, não abrangida pelo âmbito de aplicação do referido regulamento. Todavia, esse órgão jurisdicional observa que a jurisprudência do Tribunal de Justiça privilegia uma interpretação lata do conceito de «dados pessoais», da qual resulta que as informações relativas a pessoas singulares identificáveis, provenientes, em especial, de um registo comercial, estão abrangidas por este conceito.

16 Em segundo lugar, na hipótese de o Tribunal de Justiça considerar que os dados em causa no processo principal constituem dados pessoais, o órgão jurisdicional de reenvio interroga‑se sobre a compatibilidade, com o direito da União, da jurisprudência nacional pertinente, que impõe ao responsável pelo tratamento, ao qual foi apresentado um pedido de comunicação desses dados, que informe o titular dos dados e o consulte antes de comunicar os referidos dados ao requerente. O órgão jurisdicional de reenvio precisa ainda que esta obrigação se impõe também em situações em que o próprio RGPD não exige o consentimento do titular dos dados, a saber, em situações diferentes da referida no artigo 6.°, n.° 1, alínea a), do RGPD. Por conseguinte, a referida obrigação vai além das exigências do RGPD e torna, assim, o acesso aos dados em causa potencialmente mais difícil do que noutros Estados‑Membros. Por outro lado, tendo em conta o âmbito de aplicação do RGPD, seria difícil, ou mesmo impossível, aplicar sistematicamente a obrigação de informação e de consulta prévia, nomeadamente no que respeita a ficheiros relativos a um grande número de pessoas estabelecidas em diferentes países.

17 Nestas condições, o Nejvyšší správní soud (Supremo Tribunal Administrativo) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) A disponibilização do nome próprio, apelido, assinatura e contactos de uma pessoa singular, que é membro do conselho de administração ou representa uma pessoa coletiva, que tem lugar exclusivamente para efeitos de identificação (da pessoa habilitada a agir em nome) de uma pessoa coletiva, constitui um tratamento de “dados pessoais” de uma pessoa singular na aceção do artigo 4.°, ponto 1, do RGPD, estando assim abrangida pelo âmbito de aplicação do RGPD?

2) Pode o direito nacional, incluindo a jurisprudência constante, subordinar a aplicação de um regulamento da União diretamente aplicável, mais concretamente, o artigo 6.°, n.° 1, alínea c), ou, se for caso disso, a alínea e), do RGPD, por uma autoridade administrativa, a condições adicionais que não decorrem da redação do próprio regulamento, mas que alargam efetivamente o nível de proteção do titular dos dados pessoais, mais concretamente à obrigação de a autoridade pública informar previamente o titular dos dados da apresentação de um pedido de transferência dos seus dados pessoais a um terceiro?»

Quanto às questões prejudiciais

Quanto à primeira questão

18 Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 4.°, pontos 1 e 2, do RGPD deve ser interpretado no sentido de que a comunicação do nome próprio, do apelido, da assinatura e dos contactos de uma pessoa singular que representa uma pessoa coletiva constitui um tratamento de dados pessoais, mesmo que essa comunicação seja efetuada com o único objetivo de permitir a identificação da pessoa singular habilitada a agir em nome dessa pessoa coletiva.

19 A título preliminar, importa observar que, segundo as indicações do órgão jurisdicional de reenvio, as pessoas coletivas que emitiram os certificados em causa no litígio no processo principal estão estabelecidas em países terceiros, a saber, na China e no Reino Unido. Embora essas pessoas coletivas possam, sob certas condições, ser sujeitas às regras de publicidade previstas pela Diretiva (UE) 2017/1132 do Parlamento Europeu e do Conselho, de 14 de junho de 2017, relativa a determinados aspetos do direito das sociedades (JO 2017, L 169, p. 46), nomeadamente quanto à publicidade obrigatória da identidade das pessoas que têm o poder de vincular essas pessoas coletivas perante terceiros, nada nos autos de que dispõe o Tribunal de Justiça indica que esta diretiva seja pertinente no caso em apreço.

20 Feita esta observação preliminar, importa recordar que, nos termos do artigo 4.°, ponto 1, do RGPD, «dados pessoais» constituem «informação relativa a uma pessoa singular identificada ou identificável». É considerada «identificável», na aceção desta disposição, «uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular».

21 Segundo jurisprudência constante, a utilização do termo «informação» na definição do conceito de «dados pessoais», que figura nesta disposição, reflete o objetivo de o legislador da União atribuir um sentido amplo a este conceito, o qual abrange potencialmente qualquer tipo de informações, tanto objetivas como subjetivas sob a forma de opiniões ou de apreciações, na condição de «dizerem respeito» à pessoa em causa. Uma informação diz respeito a uma pessoa singular identificada ou identificável quando, devido ao seu conteúdo, à sua finalidade ou ao seu efeito, está relacionada com uma pessoa identificável (Acórdãos de 7 de março de 2024, IAB Europe, C‑604/22, EU:C:2024:214, n.os 36 e 37, e de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.os 130 e 131 e jurisprudência referida).

22 Assim, as informações relativas à identidade das pessoas singulares identificadas ou identificáveis que, na qualidade de órgão legalmente previsto ou membros de tal órgão, têm o poder de vincular uma sociedade perante terceiros constituem «dados pessoais», na aceção do artigo 4.°, ponto 1, do RGPD. O facto de essas informações se inscreverem no contexto de uma atividade profissional não lhes pode retirar a qualificação de dados pessoais (v., por analogia, Acórdão de 9 de março de 2017, Manni, C‑398/15, EU:C:2017:197, n.os 32 e 34 e jurisprudência referida).

23 Como observou a Comissão, tal interpretação não pode ser infirmada pelo considerando 14 do RGPD. Com efeito, a segunda frase deste considerando remete, nomeadamente, para o «apelido» e para os «contactos» da pessoa coletiva, e não das pessoas singulares que atuem em nome ou por conta de uma pessoa coletiva.

24 No caso em apreço, há que constatar que o nome próprio e o apelido de uma pessoa singular identificada ou identificável constituem dados pessoais, na aceção do artigo 4.°, ponto 1, do RGPD. O mesmo se aplica à assinatura dessa pessoa singular (v., neste sentido, Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 136).

25 No que respeita aos outros contactos em causa no processo principal, incumbe ao órgão jurisdicional de reenvio verificar, tendo em conta a jurisprudência recordada no n.° 21 do presente acórdão, se esses contactos estão ligados a uma pessoa singular identificada ou identificável.

26 Quanto ao conceito de «tratamento», na aceção do artigo 4.°, ponto 2, do RGPD, esta disposição define‑o como «uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição».

27 Assim, resulta da expressão «uma operação» que o legislador pretendeu dar a este conceito um alcance amplo, o que é corroborado pelo caráter não exaustivo, expresso pela locução «tais como», das operações enumeradas na referida disposição, que incluem a divulgação por transmissão, difusão e qualquer outra forma de disponibilização, podendo estas operações ser efetuadas por meios automatizados ou não automatizados (v., neste sentido, Acórdão de 7 de março de 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, n.os 29 e 30 e jurisprudência referida).

28 Em todo o caso, não resulta de modo nenhum da redação do artigo 4.°, ponto 2, do RGPD que o legislador da União tenha pretendido reservar a qualificação de «tratamento» a essas operações em função da sua finalidade.

29 Tal interpretação é conforme com o objetivo prosseguido pelo RGPD, conforme resulta do seu artigo 1.°, bem como dos seus considerandos 1 e 10, que visa, nomeadamente, garantir um elevado nível de proteção das liberdades e dos direitos fundamentais das pessoas singulares, particularmente, do seu direito à vida privada no que diz respeito ao tratamento de dados pessoais, consagrado no artigo 8.°, n.° 1, da Carta e no artigo 16.°, n.° 1, TFUE (v., neste sentido, Acórdão de 9 de janeiro de 2025, Mousse, C‑394/23, EU:C:2025:2, n.° 21 e jurisprudência referida).

30 No caso em apreço, a comunicação de dados como o nome próprio, o apelido, a assinatura e os contactos de uma pessoa singular que representa uma pessoa coletiva está abrangida pelo conceito de «tratamento», na aceção do artigo 4.°, ponto 2, do RGPD. Como resulta dos n.os 27 a 29 do presente acórdão, a circunstância de a comunicação desses dados ter por única finalidade permitir a identificação de uma pessoa singular habilitada a agir em nome de uma pessoa coletiva não é pertinente para efeitos da qualificação de «tratamento», na aceção desta disposição.

31 Tendo em conta as considerações precedentes, há que responder à primeira questão que o artigo 4.°, pontos 1 e 2, do RGPD deve ser interpretado no sentido de que a comunicação do nome próprio, do apelido, da assinatura e dos contactos de uma pessoa singular que representa uma pessoa coletiva constitui um tratamento de dados pessoais. A circunstância de essa comunicação ser efetuada com o único objetivo de permitir a identificação da pessoa singular habilitada a agir em nome dessa pessoa coletiva não é pertinente a este respeito.

Quanto à segunda questão

32 Com a sua segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 6.°, n.° 1, alíneas c) e e), do RGPD deve ser interpretado no sentido de que se opõe a uma jurisprudência nacional que impõe a um responsável pelo tratamento, que é uma autoridade pública encarregada de conciliar o direito de acesso do público aos documentos oficiais com o direito à proteção dos dados pessoais, que informe e consulte a pessoa singular titular dos dados antes da comunicação dos documentos oficiais que contenham esses dados.

33 Em conformidade com o objetivo prosseguido pelo RGPD, como recordado no n.° 29 do presente acórdão, qualquer tratamento de dados pessoais deve, nomeadamente, respeitar os princípios relativos ao tratamento de tais dados enunciados no artigo 5.° deste regulamento e preencher os requisitos de licitude enumeradas no artigo 6.° do referido regulamento (Acórdão de 9 de janeiro de 2025, Mousse, C‑394/23, EU:C:2025:2, n.° 22 e jurisprudência referida).

34 A este respeito, o artigo 5.°, n.° 1, alínea a), do RGPD dispõe que os dados pessoais são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados.

35 O artigo 6.°, n.° 1, alínea c), do RGPD prevê que o tratamento pode ser lícito se, e na medida em que, for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito. Nos termos do artigo 6.°, n.° 1, alínea e), deste regulamento, esse tratamento pode também ser lícito se, e na medida em que, for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento.

36 Segundo o artigo 6.°, n.° 2, do RGPD, os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras desse regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.° 1, alíneas c) e e), desse artigo, determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento, referidas no capítulo IX do RGPD.

37 O artigo 6.°, n.° 3, do RGPD prevê que o fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), deste artigo 6.° é definido, consoante o caso, pelo direito da União ou pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito. A base jurídica pertinente deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do RGPD, tais como, nomeadamente, as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento ou as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, à semelhança das medidas relativas a outras situações específicas de tratamento referidas no capítulo IX do RGPD.

38 Importa ainda salientar que, em matéria de acesso do público aos documentos oficiais, o artigo 86.° do RGPD, que faz parte do seu capítulo IX, prevê que os dados pessoais que constem de documentos oficiais na posse de uma autoridade pública ou de um organismo público ou privado para a prossecução de atribuições de interesse público podem ser divulgados por essa autoridade ou organismo nos termos do direito da União ou do Estado‑Membro pertinente, a fim de conciliar o acesso do público a documentos oficiais com o direito à proteção dos dados pessoais.

39 Este artigo deve ser lido à luz, primeiro, do considerando 4 do RGPD, que enuncia, nomeadamente, que o direito à proteção dos dados pessoais não é absoluto, segundo, do considerando 154 deste regulamento, do qual resulta, entre outros, que o acesso do público aos documentos oficiais pode ser considerado de interesse público, e, terceiro, da jurisprudência segundo a qual o princípio da transparência, conforme decorre dos artigos 1.° e 10.° TUE e do artigo 15.° TFUE, permite assegurar uma melhor participação dos cidadãos no processo decisório, bem como garantir uma maior legitimidade, eficácia e responsabilidade da administração perante os cidadãos num sistema democrático (Acórdão de 22 de novembro de 2022, Luxembourg Business Registers, C‑37/20 e C‑601/20, EU:C:2022:912, n.° 60 e jurisprudência referida).

40 Embora, como resulta do considerando 10 do RGPD, os Estados‑Membros estejam habilitados a manter ou a aprovar disposições nacionais para especificar a aplicação das regras deste regulamento, esses Estados devem, todavia, utilizar a sua margem de apreciação nas condições e nos limites previstos pelo referido regulamento e devem, assim, legislar de modo que não prejudiquem o conteúdo e os objetivos do mesmo (v., neste sentido, Acórdão de 30 de março de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, n.° 59 e jurisprudência referida).

41 Além disso, em conformidade com o princípio da proporcionalidade, os Estados‑Membros devem assegurar‑se de que as consequências práticas, nomeadamente de ordem organizacional, geradas pelos requisitos adicionais que fixaram não são excessivas (v., neste sentido, Acórdão de 21 de dezembro de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, n.° 67).

42 No caso em apreço, o tratamento em causa no processo principal é suscetível de ser abrangido tanto pela alínea c) como pela alínea e) do artigo 6.°, n.° 1, do RGPD, uma vez que é imposto ao responsável pelo tratamento pela Lei n.° 106/1999, no exercício de uma missão de interesse público que consiste em garantir o acesso do público aos documentos oficiais. A este respeito, é pacífico que esta lei obriga as autoridades públicas a comunicar informações, incluindo documentos oficiais, às pessoas que o solicitem.

43 No entanto, quando as informações pedidas contêm dados pessoais, a referida lei prevê que esses dados só podem ser comunicados em conformidade com a regulamentação relativa à sua proteção, a qual, como observa o órgão jurisdicional de reenvio, inclui o RGPD. Resulta da decisão de reenvio que a jurisprudência do órgão jurisdicional de reenvio enuncia obrigações suplementares, que acrescem às expressamente previstas por este regulamento. Com efeito, impõe às autoridades públicas que informem e consultem o titular dos dados antes de procederem a qualquer comunicação dos referidos dados.

44 No que respeita à compatibilidade de uma jurisprudência nacional, como a que está em causa no processo principal, com o RGPD, há que constatar que, por força das disposições referidas nos n.os 36 e 37 do presente acórdão, os Estados‑Membros podem aprovar disposições específicas para garantir a licitude e lealdade do tratamento em situações específicas de tratamento, como a referida no artigo 86.° do RGPD. A este respeito, tal jurisprudência é suscetível de fazer parte do fundamento jurídico do tratamento, na aceção do artigo 6.°, n.° 3, do RGPD.

45 Por conseguinte, o artigo 6.°, n.° 1, alíneas c) e e), do RGPD não se opõe, em princípio, a uma jurisprudência nacional que prevê uma obrigação de informação e de consulta do titular dos dados antes de qualquer comunicação de dados pessoais que lhe digam respeito. Com efeito, tal obrigação é suscetível de garantir a essa pessoa um tratamento lícito, leal e transparente, na aceção do artigo 5.°, n.° 1, alínea a), do RGPD, permitindo‑lhe exprimir a sua opinião quanto à comunicação prevista. Esta obrigação contribui assim para a realização do objetivo recordado no n.° 29 do presente acórdão, permitindo simultaneamente à autoridade pública proceder à conciliação exigida pelo artigo 86.° do RGPD com pleno conhecimento de causa.

46 No entanto, tendo em conta a jurisprudência recordada nos n.os 40 e 41 do presente acórdão, uma aplicação absoluta da referida obrigação poderia dar lugar a uma restrição desproporcionada do direito de acesso do público aos documentos oficiais. Com efeito, é concebível que, por diferentes razões, a informação e/ou a consulta do titular dos dados se revelem impossíveis de concretizar ou exijam esforços desproporcionados. Neste contexto, a invocação de uma impossibilidade prática de informar e de consultar essa pessoa para justificar a recusa sistemática de qualquer comunicação de informações relativas à referida pessoa conduziria à exclusão de qualquer tentativa de conciliação dos interesses em causa, quando essa conciliação está expressamente prevista no artigo 86.° do RGPD.

47 No caso em apreço, sob reserva de verificação pelo órgão jurisdicional de reenvio, o Ministério da Saúde parece ter baseado a sua decisão de não comunicar todas as informações solicitadas apenas nessa impossibilidade prática, sem ter tentado minimamente proceder a uma conciliação de interesses.

48 Tendo em conta todas as considerações precedentes, há que responder à segunda questão que o artigo 6.°, n.° 1, alíneas c) e e), do RGPD, lido em conjugação com o artigo 86.° deste regulamento, deve ser interpretado no sentido de que não se opõe a uma jurisprudência nacional que impõe a um responsável pelo tratamento, que é uma autoridade pública encarregada de conciliar o direito de acesso do público aos documentos oficiais com o direito à proteção dos dados pessoais, que informe e consulte a pessoa singular titular dos dados antes da comunicação dos documentos oficiais que contenham esses dados, desde que tal obrigação não seja impossível de executar nem exija esforços desproporcionados e, por conseguinte, não conduza a uma restrição desproporcionada do direito de acesso do público a esses documentos.

Quanto às despesas

49 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:

1) O artigo 4.°, pontos 1 e 2, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que:

a comunicação do nome próprio, do apelido, da assinatura e dos contactos de uma pessoa singular que representa uma pessoa coletiva constitui um tratamento de dados pessoais. A circunstância de essa comunicação ser efetuada com o único objetivo de permitir a identificação da pessoa singular habilitada a agir em nome dessa pessoa coletiva não é pertinente a este respeito.

2) O artigo 6.°, n.° 1, alíneas c) e e), do Regulamento 2016/679, lido em conjugação com o artigo 86.° deste regulamento,

deve ser interpretado no sentido de que:

não se opõe a uma jurisprudência nacional que impõe a um responsável pelo tratamento, que é uma autoridade pública encarregada de conciliar o direito de acesso do público aos documentos oficiais com o direito à proteção dos dados pessoais, que informe e consulte a pessoa singular titular dos dados antes da comunicação dos documentos oficiais que contenham esses dados, desde que tal obrigação não seja impossível de executar nem exija esforços desproporcionados e, por conseguinte, não conduza a uma restrição desproporcionada do direito de acesso do público a esses documentos.

Assinaturas

* Língua do processo: checo.