ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Terceira Secção)

2 de março de 2023 ( *1 )

«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 6.o, n.os 3 e 4 — Licitude do tratamento — Apresentação de um documento que contém dados pessoais no âmbito de um processo cível — Artigo 23.o, n.o 1, alíneas f) e j) — Defesa da independência judiciária e dos processos judiciais — Execução de ações cíveis — Requisitos a respeitar — Tomada em conta dos interesses dos titulares dos dados — Ponderação dos interesses opostos envolvidos — Artigo 5.o — Minimização dos dados pessoais — Carta dos Direitos Fundamentais da União Europeia — Artigo 7.o — Direito ao respeito pela vida privada — Artigo 8.o — Direito à proteção de dados pessoais — Artigo 47.o — Direito a uma tutela jurisdicional efetiva — Princípio da proporcionalidade»

No processo C‑268/21,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.o TFUE, pelo Högsta domstolen (Supremo Tribunal, Suécia), por Decisão de 15 de abril de 2021, que deu entrada no Tribunal de Justiça em 23 de abril de 2021, no processo

Norra Stockholm Bygg AB

contra

Per Nycander AB,

sendo interveniente:

Entral AB,

O TRIBUNAL DE JUSTIÇA (Terceira Secção),

composto por: K. Jürimäe, presidente de secção, M. L. Arastey Sahún, N. Piçarra, N. Jääskinen (relator) e M. Gavalec, juízes,

advogado‑geral: T. Ćapeta,

secretário: C. Strömholm, administradora,

vistos os autos e após a audiência de 27 de junho de 2022,

vistas as observações apresentadas:

em representação da Norra Stockholm Bygg AB, por H. Täng Nilsson e E. Wassén, advokater,

em representação da Per Nycander AB, por P. Degerfeldt e V. Hermansson, advokater,

em representação do Governo sueco, por C. Meyer‑Seitz, H. Shev e O. Simonsson, na qualidade de agentes,

em representação do Governo checo, por O. Serdula, M. Smolek e J. Vláčil, na qualidade de agentes,

em representação do Governo polaco, por B. Majczyna e J. Sawicka, na qualidade de agentes,

em representação da Comissão Europeia, por A. Bouchagiar, M. Gustafsson e H. Kranenborg, na qualidade de agentes,

ouvidas as conclusões da advogada‑geral na audiência de 6 de outubro de 2022,

profere o presente

Acórdão

1

O pedido de decisão prejudicial tem por objeto a interpretação do artigo 6.o, n.os 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2

Este pedido foi apresentado no âmbito de um litígio que opõe a Norra Stockholm Bygg AB (a seguir «Fastec») à Per Nycander AB (a seguir «Nycander»), a respeito de um pedido de apresentação do registo eletrónico do pessoal da Fastec que realizou trabalhos para a Nycander, a fim de determinar o montante que deve ser pago a esta última pelos trabalhos.

Quadro jurídico

Direito da União

3

Os considerandos 1, 2, 4, 20, 26, 45 e 50 do RGPD têm a seguinte redação:

«(1)

A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia (a seguir denominada “Carta”) e o artigo 16.o, n.o 1, do [TFUE] estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

(2)

Os princípios e as regras em matéria de proteção das pessoas singulares relativamente ao tratamento dos seus dados pessoais deverão respeitar, independentemente da nacionalidade ou do local de residência dessas pessoas, os seus direitos e liberdades fundamentais, nomeadamente o direito à proteção dos dados pessoais. O presente regulamento tem como objetivo contribuir para a realização de um espaço de liberdade, segurança e justiça e de uma união económica, para o progresso económico e social, a consolidação e a convergência das economias a nível do mercado interno e para o bem‑estar das pessoas singulares.

[…]

(4)

O tratamento dos dados pessoais deverá ser concebido para servir as pessoas. O direito à proteção de dados pessoais não é absoluto; deve ser considerado em relação à sua função na sociedade e ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. […]

[…]

(20)

Na medida em que o presente regulamento é igualmente aplicável, entre outras, às atividades dos tribunais e de outras autoridades judiciais, poderá determinar‑se no direito da União ou dos Estados‑Membros quais as operações e os procedimentos a seguir pelos tribunais e outras autoridades judiciais para o tratamento de dados pessoais. […]

[…]

(26)

Os princípios da proteção de dados deverão aplicar‑se a qualquer informação relativa a uma pessoa singular identificada ou identificável. Os dados pessoais que tenham sido pseudonimizados, que possam ser atribuídos a uma pessoa singular mediante a utilização de informações suplementares, deverão ser considerados informações sobre uma pessoa singular identificável. […] Os princípios da proteção de dados não deverão, pois, aplicar‑se às informações anónimas, ou seja, às informações que não digam respeito a uma pessoa singular identificada ou identificável nem a dados pessoais tornados de tal modo anónimos que o seu titular não seja ou já não possa ser identificado. […]

[…]

(45)

Sempre que o tratamento dos dados for realizado em conformidade com uma obrigação jurídica à qual esteja sujeito o responsável pelo tratamento, ou se o tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública, o tratamento deverá assentar no direito da União ou de um Estado‑Membro. […] Poderá ser suficiente uma lei para diversas operações de tratamento baseadas numa obrigação jurídica à qual esteja sujeito o responsável pelo tratamento, ou se o tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública. Deverá também caber ao direito da União ou dos Estados‑Membros determinar qual a finalidade do tratamento dos dados. […]

[…]

(50)

O tratamento de dados pessoais para outros fins que não aqueles para os quais os dados pessoais tenham sido inicialmente recolhidos apenas deverá ser autorizado se for compatível com as finalidades para as quais os dados pessoais tenham sido inicialmente recolhidos. Nesse caso, não é necessário um fundamento jurídico distinto do que permitiu a recolha dos dados pessoais. Se o tratamento for necessário para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento, o direito da União ou dos Estados‑Membros pode determinar e definir as tarefas e finalidades para as quais o tratamento posterior deverá ser considerado compatível e lícito. […] O fundamento jurídico previsto no direito da União ou dos Estados‑Membros para o tratamento dos dados pessoais pode igualmente servir de fundamento jurídico para o tratamento posterior. […]

Caso o titular dos dados tenha dado o seu consentimento ou o tratamento se baseie em disposições do direito da União ou de um Estado‑Membro que constituam uma medida necessária e proporcionada, numa sociedade democrática, para salvaguardar, em especial, os importantes objetivos de interesse público geral, o responsável pelo tratamento deverá ser autorizado a proceder ao tratamento posterior dos dados pessoais, independentemente da compatibilidade das finalidades. Em todo o caso, deverá ser garantida a aplicação dos princípios enunciados pelo presente regulamento e, em particular, a obrigação de informar o titular dos dados sobre essas outras finalidades e sobre os seus direitos, incluindo o direito de se opor. […]»

4

O artigo 2.o deste regulamento, sob a epígrafe «Âmbito de aplicação material», dispõe:

«1.   O presente regulamento aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

2.   O presente regulamento não se aplica ao tratamento de dados pessoais:

a)

Efetuado no exercício de atividades não sujeitas à aplicação do direito da União;

b)

Efetuado pelos Estados‑Membros no exercício de atividades abrangidas pelo âmbito de aplicação do título V, capítulo 2, do TUE;

c)

Efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas;

d)

Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.

3.   O Regulamento (CE) n.o 45/2001 [do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO 2001, L 8, p. 1)] aplica‑se ao tratamento de dados pessoais pelas instituições, órgãos, organismos ou agências da União. O Regulamento [n.o 45/2001], bem como outros atos jurídicos da União aplicáveis ao tratamento de dados pessoais, são adaptados aos princípios e regras do presente regulamento nos termos previstos no artigo 98.o»

5

Nos termos do artigo 4.o do referido regulamento:

«Para efeitos do presente regulamento, entende‑se por:

[…]

2)

“Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[…]

5)

“Pseudonimização”, o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;

[…]»

6

O artigo 5.o do mesmo regulamento, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», enuncia, no seu n.o 1:

«Os dados pessoais são:

a)

Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

b)

Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; […] (“limitação das finalidades”);

c)

Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

d)

Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora (“exatidão”);

[…]»

7

O artigo 6.o do RGPD, sob a epígrafe «Licitude do tratamento», prevê:

«1.   O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a)

O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

[…]

c)

O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

[…]

e)

O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;

[…]

3.   O fundamento jurídico para o tratamento referido no n.o 1, alíneas c) e e), é definido:

a)

Pelo direito da União; ou

b)

Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.o 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. […] O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

4.   Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.o, n.o 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em conta:

a)

Qualquer ligação entre a finalidade para a qual os dados pessoais foram recolhidos e a finalidade do tratamento posterior;

[…]»

8

O artigo 23.o deste regulamento, sob a epígrafe «Limitações», dispõe:

«1.   O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o e no artigo 34.o, bem como no artigo 5.o, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente:

[…]

f)

A defesa da independência judiciária e dos processos judiciais;

[…]

j)

A execução de ações cíveis.

[…]»

Direito sueco

RB

9

A prova documental rege‑se pelas disposições do capítulo 38 do rättegångsbalken (Código do Processo Judicial, a seguir «RB»).

10

Ao abrigo do artigo 2.o, primeiro parágrafo, do capítulo 38 do RB, qualquer pessoa que esteja na posse de um documento suscetível de ter valor probatório é obrigada a apresentá‑lo.

11

Estão previstas exceções a esta obrigação de apresentação, nomeadamente, no segundo parágrafo deste artigo. O exercício de determinadas funções dispensa a referida obrigação, se se puder presumir que o seu detentor não pode ser ouvido como testemunha a respeito do conteúdo do mesmo. Esta exceção aplica‑se a advogados, médicos, psicólogos, padres e a qualquer outra pessoa a quem tenham sido confiadas informações de modo confidencial no exercício da sua profissão ou em circunstâncias equivalentes. O âmbito da referida obrigação corresponde, assim, à obrigação de depor como testemunha num processo judicial.

12

Se uma pessoa estiver obrigada a apresentar um documento como elemento de prova, o tribunal pode, em conformidade com o § 4, do capítulo 38 do RB, ordenar ao interessado que proceda a essa apresentação.

Lei relativa ao Processo Tributário

13

Nos termos dos §§ 11a a 11c, do capítulo 39 da skatteförfarandelagen (2011:1244) [Lei (2011:1244) relativa ao Processo Tributário], qualquer pessoa que exerça atividade económica na área da construção deve, em certos casos, manter um registo eletrónico do seu pessoal. Devem ser inscritos nesse registo os dados de identificação necessários relativos às pessoas que participam nessa atividade económica. Esta obrigação incumbe ao dono da obra, que pode, todavia, delegá‑la num operador independente. Nos termos do § 12, do capítulo 39 desta lei, o registo de pessoal deve estar à disposição da Autoridade Tributária sueca.

14

Os dados que devem ser registados no registo de pessoal estão enumerados no § 5, do capítulo 9, do skatteförfarandeförordningen (2011:1261) [Regulamento (2011:1261) relativo ao processo tributário]. Trata‑se, nomeadamente, da identidade e do número de identificação nacional de qualquer pessoa que participe na atividade económica, bem como o horário de início e fim do serviço.

Litígio no processo principal e questões prejudiciais

15

A Fastec construiu um edifício de escritórios para a Nycander. As pessoas que trabalhavam no local de construção em causa registaram a sua presença através de um registo eletrónico de pessoal. Este registo era fornecido pela sociedade Entral AB, que atuava em nome da Fastec.

16

A Fastec intentou no tingsrätt (Tribunal de Primeira Instância, Suécia) uma ação relativa ao pagamento dos trabalhos executados. No âmbito desta ação, a Fastec pediu à Nycander o pagamento de um montante que corresponde, segundo a Fastec, à quantia remanescente em dívida pela Nycander. Esta última sociedade opôs‑se ao pedido da Fastec alegando, nomeadamente, que o número de horas trabalhadas pelos empregados da Fastec era inferior ao indicado nesse pedido.

17

Nesse órgão jurisdicional, a Nycander pediu que fosse ordenado à Entral a apresentação do registo de pessoal da Fastec correspondente ao período de 1 de agosto de 2016 a 30 de novembro de 2017, a título principal, na versão original, e, a título subsidiário, com omissão dos números de identificação nacional dos titulares dos dados. Como fundamento desse pedido, a Nycander alegou que a Entral detinha esse registo de pessoal e que o referido registo era suscetível de ter valor probatório significativo para o desfecho da ação da Fastec, uma vez que os dados registados no referido registo de pessoal permitem provar as horas trabalhadas pelos empregados da Fastec.

18

A Fastec opôs‑se a esse pedido alegando, a título principal, que este era contrário ao artigo 5.o, n.o 1, alínea b), do RGPD. O registo de pessoal da Fastec contém dados pessoais recolhidos para efeitos de controlo da atividade desta sociedade pela Autoridade Tributária sueca, e a divulgação desses dados perante o juiz não estaria em conformidade com esse objetivo.

19

O tingsrätt (Tribunal de Primeira Instância) ordenou à Entral que apresentasse, na versão original, o registo de pessoal da Fastec relativamente aos empregados envolvidos na obra em causa no processo principal durante o período considerado. O Svea hovrätt (Tribunal de Recurso de Svea, Suécia) confirmou a decisão do tingsrätt (Tribunal de Primeira Instância).

20

A Fastec interpôs recurso da decisão do Svea hovrätt (Tribunal de Recurso de Svea) para o órgão jurisdicional de reenvio, o Högsta domstolen (Supremo Tribunal, Suécia), e pediu que o pedido da Nycander, mencionado no n.o 17 do presente acórdão, fosse julgado improcedente.

21

O órgão jurisdicional de reenvio interroga‑se sobre a questão de saber se deve aplicar e, se for caso disso, como o deve fazer, as disposições do RGPD no âmbito do processo principal.

22

No que respeita à obrigação de apresentação de documentos, este órgão jurisdicional observa que resulta da sua própria jurisprudência relativa à interpretação das disposições pertinentes do RB que importa proceder a uma ponderação entre a pertinência dos elementos de prova em causa e o interesse da parte contrária em não divulgar esses elementos. Precisa que, no âmbito dessa ponderação, não é tido em conta, em princípio, o caráter privado das informações contidas no documento em causa ou o interesse de outras pessoas em ter acesso ao conteúdo desse documento, além do que possa resultar das exceções especificamente previstas pela legislação.

23

O referido órgão jurisdicional precisa que a obrigação prevista pelo RB de apresentação de um documento visa, nomeadamente, permitir a qualquer pessoa que necessite de um documento enquanto elemento de prova a ter acesso ao mesmo. Trata‑se, em última análise, de assegurar que os particulares possam exercer os seus direitos quando existe um «interesse probatório legítimo».

24

Nestas circunstâncias, o Högsta domstolen (Supremo Tribunal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1)

O artigo 6.o, n.os 3 e 4, do [RGPD] impõe igualmente requisitos à legislação processual nacional relativa à obrigação de apresentação de documentos?

2)

Em caso de resposta afirmativa à primeira questão, o [RGPD] implica que, ao apreciar a questão de saber se deve ser ordenada a apresentação de um documento com dados pessoais, sejam também tomados em conta os interesses dos titulares dos dados? Em tal caso, o direito da União impõe requisitos quanto ao modo, em concreto, como essa apreciação deve ser feita?»

Quanto às questões prejudiciais

Quanto à primeira questão

25

Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 6.o, n.os 3 e 4, do RGPD deve ser interpretado no sentido de que esta disposição se aplica, no âmbito de um processo cível, à apresentação, como elemento de prova, de um registo de pessoal que contém dados pessoais de terceiros recolhidos principalmente para efeitos de inspeção tributária.

26

Para responder a esta questão, há que salientar, em primeiro lugar, que o artigo 2.o, n.o 1, do RGPD prevê que este regulamento se aplica a qualquer «tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados», sem estabelecer distinção em função da identidade do autor do tratamento em causa. Daqui resulta que, sem prejuízo dos casos mencionados no seu artigo 2.o, n.os 2 e 3, o RGPD é aplicável às operações de tratamento efetuadas tanto por entidades privadas como pelas autoridades públicas, incluindo, como indica o seu considerando 20, às atividades das autoridades judiciais, como os tribunais (Acórdão de 24 de março de 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, n.o 25).

27

Em segundo lugar, segundo o artigo 4.o, n.o 2, deste regulamento, é abrangida pela definição de «tratamento» de dados pessoais, entre outros, uma operação efetuada sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização.

28

Daqui resulta que constituem um tratamento de dados pessoais abrangido pelo âmbito de aplicação material do RGPD não só a criação e a conservação do registo de pessoal eletrónico (v., por analogia, Acórdão de 30 de maio de 2013, Worten, C‑342/12, EU:C:2013:355, n.o 19), mas também a apresentação como elemento de prova de um documento, digital ou físico, que contenha dados pessoais, ordenada por um órgão jurisdicional no âmbito de um processo judicial [v., neste sentido, Acórdão de 8 de dezembro de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais ‑ Inquérito penal), C‑180/21, EU:C:2022:967, n.o 72]

29

Em terceiro lugar, importa sublinhar que qualquer tratamento de dados pessoais, incluindo um tratamento efetuado pelas autoridades públicas como os órgãos jurisdicionais, deve preencher os requisitos de licitude estabelecidos pelo artigo 6.o do RGPD.

30

A este respeito, há que salientar, primeiro, que, segundo o artigo 6.o, n.o 1, alínea e), do RGPD, o tratamento de dados pessoais é lícito se for necessário para efeitos do exercício de funções de interesse público ou de funções abrangidas pelo exercício da autoridade pública de que está investido o responsável pelo tratamento.

31

Em conformidade com o artigo 6.o, n.o 3, do RGPD, em conjugação com o considerando 45 do mesmo, o fundamento jurídico do tratamento referido no artigo 6.o, n.o 1, alínea e), deste regulamento é definido pelo direito da União ou pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito. Além disso, o direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

32

As disposições conjugadas do artigo 6.o, n.o 1, alínea e), do RGPD e do artigo 6.o, n.o 3, deste regulamento exigem, portanto, a existência de um fundamento jurídico, nomeadamente nacional, que sirva de base ao tratamento de dados pessoais pelos responsáveis pelo referido tratamento que atuam no âmbito do exercício de funções de interesse público ou de funções abrangidas pelo exercício da autoridade pública, como as executadas pelos órgãos jurisdicionais no âmbito das suas funções jurisdicionais.

33

Segundo, quando o tratamento dos dados pessoais é efetuado para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos, resulta do artigo 6.o, n.o 4, do RGPD, lido à luz do considerando 50 deste regulamento, que esse tratamento é permitido desde que se baseie, nomeadamente, no direito de um Estado‑Membro e constitua uma medida necessária e proporcionada numa sociedade democrática para salvaguardar um dos objetivos referidos no artigo 23.o, n.o 1, do RGPD. Como este considerando indica, a fim de salvaguardar esses importantes objetivos de interesse público geral, o responsável pelo tratamento está assim autorizado a proceder ao tratamento posterior dos dados pessoais, independentemente da compatibilidade desse tratamento com as finalidades para as quais os dados pessoais tenham sido inicialmente recolhidos.

34

No caso em apreço, as disposições pertinentes do capítulo 38 do RB, que preveem a obrigação de apresentação de um documento como elemento de prova e a possibilidade de os órgãos jurisdicionais nacionais ordenarem a apresentação desse documento, constituem o fundamento jurídico que serve de base ao tratamento de dados pessoais. Embora essas disposições constituam, em princípio, um fundamento jurídico suficiente para autorizar esse tratamento, resulta da decisão de reenvio que este fundamento jurídico é diferente do constituído pela Lei relativa ao processo tributário, com base no qual o registo de pessoal em causa no processo principal foi elaborado para efeitos de inspeção tributária. Além disso, a obrigação de apresentação prevista nessas disposições do RB visa, segundo o órgão jurisdicional de reenvio, permitir a qualquer pessoa que necessite de um documento como elemento de prova a ter acesso ao mesmo. Trata‑se, em seu entender, de assegurar que os particulares possam exercer os seus direitos quando exista um «interesse probatório legítimo».

35

Segundo o órgão jurisdicional de reenvio, resulta dos trabalhos preparatórios que conduziram à Lei relativa ao Processo Tributário que os dados pessoais registados no registo de pessoal visam permitir aos agentes da Autoridade Tributária sueca proceder à confrontação de dados durante as inspeções no local. O objetivo principal consiste na prevenção do trabalho não declarado e na criação de melhores condições de concorrência. O tratamento de dados pessoais justifica‑se pela necessidade de cumprir a obrigação jurídica à qual o responsável pelo tratamento está sujeito, a saber, a conservação de um registo de pessoal.

36

Por conseguinte, há que considerar que o tratamento desses dados no âmbito de um processo judicial, como o que está em causa no processo principal, constitui um tratamento efetuado para outro fim que não aquele para o qual os dados tenham sido recolhidos, a saber, para efeitos de inspeção tributária, e não se baseia no consentimento dos titulares dos dados, na aceção do artigo 6.o, n.o 1, alínea a), do RGPD.

37

Nestas circunstâncias, o tratamento de dados pessoais para fins que não sejam aqueles para os quais esses dados foram recolhidos deve basear‑se não só no direito nacional, como as disposições do capítulo 38 do RB, mas também constituir uma medida necessária e proporcionada numa sociedade democrática, na aceção do artigo 6.o, n.o 4, do RGPD, e salvaguardar um dos objetivos referidos no artigo 23.o, n.o 1, do RGPD.

38

Entre esses objetivos figura, em conformidade com o artigo 23.o, n.o 1, alínea f), deste regulamento, «a defesa da independência judiciária e dos processos judiciais», devendo esse objetivo, como observou a Comissão Europeia nas suas observações escritas, ser entendido no sentido de que se destina à defesa da administração da justiça contra ingerências internas ou externas, mas também à boa administração da justiça. Além disso, segundo a alínea j), do n.o 1 deste artigo, a execução de ações cíveis constitui também um objetivo suscetível de justificar um tratamento de dados pessoais para fins que não sejam aqueles para os quais foram recolhidos. Por conseguinte, não está excluído que o tratamento de dados pessoais de terceiros no âmbito de um processo cível se possa basear nesses objetivos.

39

Contudo, cabe ao órgão jurisdicional de reenvio verificar se as disposições pertinentes do capítulo 38 do RB, por um lado, correspondem a um e/ou a outro desses objetivos e, por outro, são necessárias e proporcionadas aos referidos objetivos, para que sejam suscetíveis de estar abrangidas pelos casos de tratamento de dados pessoais considerados lícitos ao abrigo das disposições do artigo 6.o, n.os 3 e 4, do RGPD, em conjugação com o artigo 23.o, n.o 1, alíneas f) e j), do mesmo.

40

A este respeito, é indiferente que o tratamento de dados pessoais se baseie numa disposição do direito nacional substantivo ou processual, uma vez que as disposições do artigo 6.o, n.o 3, alínea b), e n.o 4, deste regulamento não estabelecem qualquer distinção entre esses dois tipos de disposições.

41

Tendo em conta todas as considerações precedentes, há que responder à primeira questão que o artigo 6.o, n.os 3 e 4, do RGPD deve ser interpretado no sentido de que esta disposição se aplica, no âmbito de um processo cível, à apresentação como elemento de prova de um registo de pessoal que contém dados pessoais de terceiros recolhidos principalmente para efeitos de inspeção tributária.

Quanto à segunda questão

42

Com a sua segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se os artigos 5.o e 6.o do RGPD devem ser interpretados no sentido de que, na apreciação da questão de saber se a apresentação de um documento que contém dados pessoais deve ser ordenada no âmbito de um processo cível, o órgão jurisdicional nacional deve ter em conta os interesses dos titulares dos dados. Em caso afirmativo, esse órgão jurisdicional pergunta, além disso, se o direito da União, e nomeadamente o RGPD, impõe requisitos específicos em relação ao modo, em concreto, como essa apreciação deve ser feita.

43

Antes de mais, há que sublinhar que qualquer tratamento de dados pessoais deve, sem prejuízo das derrogações admitidas no seu artigo 23.o, respeitar os princípios que regulam os tratamentos de dados pessoais, assim como os direitos do titular dos dados, enunciados, respetivamente, nos capítulos II e III deste regulamento. Em particular, qualquer tratamento de dados pessoais deve, por um lado, respeitar os princípios consagrados no artigo 5.o do referido regulamento e, por outro, preencher os requisitos de licitude enumerados no artigo 6.o do mesmo regulamento (v., neste sentido, Acórdão de 6 de outubro de 2020, La Quadrature du Net e o., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, n.o 208 e jurisprudência referida).

44

No caso em apreço, o órgão jurisdicional de reenvio salienta que as disposições pertinentes do capítulo 38 do RB não exigem expressamente, na apreciação da questão de saber se a apresentação de um documento que contém dados pessoais deve ser ordenada, a tomada em consideração dos interesses dos titulares cujos dados pessoais estão em causa. Em conformidade com a jurisprudência nacional, essas disposições exigem apenas uma ponderação entre a pertinência da prova e o interesse da parte contrária em não divulgar as informações em causa.

45

Como foi constatado no n.o 39 do presente acórdão, uma vez que estas disposições de direito nacional visam a apresentação de um documento como elemento de prova, são suscetíveis de estar abrangidas pelos casos de tratamento de dados pessoais considerados lícitos ao abrigo das disposições do artigo 6.o, n.os 3 e 4, do RGPD, em conjugação com o artigo 23.o, n.o 1, alíneas f) e j), do mesmo. Assim sucede uma vez que as referidas disposições, por um lado, têm por objetivo assegurar o bom desenrolar do processo judicial, garantindo que os particulares possam exercer os seus direitos quando exista um «interesse probatório legítimo» e, por outro, sejam necessárias e proporcionadas a esse objetivo.

46

Com efeito, decorre do artigo 6.o, n.o 4, do RGPD que tais tratamentos de dados pessoais são lícitos desde que constituam medidas necessárias e proporcionadas numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.o do RGPD que prosseguem. Daqui resulta que, para proceder à verificação destes requisitos, um órgão jurisdicional nacional deve ter em conta os interesses opostos envolvidos quando aprecia a possibilidade de ordenar a apresentação de um documento que contém dados pessoais de terceiros.

47

A este respeito, importa sublinhar que o resultado da ponderação a que o órgão jurisdicional nacional deve proceder pode variar tanto em função das circunstâncias de cada caso concreto como do tipo de processo em causa.

48

No que respeita aos interesses envolvidos no âmbito de um processo cível, o órgão jurisdicional nacional deve, como decorre nomeadamente dos considerandos 1 e 2 do RGPD, assegurar a proteção das pessoas singulares relativamente ao tratamento de dados pessoais, que é um direito fundamental consagrado no artigo 8.o, n.o 1, da Carta e no artigo 16.o TFUE. Esse órgão jurisdicional deve igualmente assegurar o direito ao respeito pela vida privada, consagrado no artigo 7.o da Carta, que está estreitamente ligado ao direito à proteção dos dados pessoais.

49

Contudo, como enuncia o considerando 4 do RGPD, o direito à proteção de dados pessoais não é absoluto, mas deve ser tomado em consideração em relação à sua função na sociedade e ser equilibrado, em conformidade com o princípio da proporcionalidade, com outros direitos fundamentais, como o direito a uma tutela jurisdicional efetiva, consagrado no artigo 47.o da Carta.

50

Ora, a apresentação de um documento que contém dados pessoais de terceiros no âmbito de um processo cível contribui, como salientou, em substância, a advogada‑geral no n.o 61 das suas conclusões, para o respeito desse direito a uma tutela jurisdicional efetiva.

51

A este propósito, uma vez que o artigo 47.o, segundo parágrafo, da Carta corresponde ao artigo 6.o, n.o 1, da Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, assinada em Roma em 4 de novembro de 1950, o seu sentido e alcance são, por força do artigo 52.o, n.o 3, da Carta, iguais aos conferidos por essa convenção no artigo 6.o, n.o 1.

52

Segundo jurisprudência constante do Tribunal Europeu dos Direitos Humanos, tendo em conta o lugar de destaque que o direito a um processo equitativo ocupa numa sociedade democrática, é essencial que o particular tenha a possibilidade de defender utilmente a sua causa perante um tribunal e que beneficie da igualdade de armas com a parte contrária [v., neste sentido, TEDH, 24 de junho de 2022, Zayidov c. Azerbaïdjan (n.o 2), CE:ECHR:2022:0324JUD000538610, § 87 e jurisprudência referida]. Daqui resulta, nomeadamente, que o particular deve poder beneficiar de um processo contraditório e apresentar, em diferentes fases do processo, os argumentos que considere pertinentes para a defesa da sua causa (TEDH, 21 de janeiro de 1999, García Ruiz c. Espanha, CE:ECHR:1999:0121JUD003054496, § 29).

53

Por conseguinte, a fim de assegurar que os particulares possam gozar do direito a uma tutela jurisdicional efetiva e nomeadamente do direito a um processo equitativo, na aceção do artigo 47.o, segundo parágrafo, da Carta, há que considerar que as partes num processo cível devem poder aceder às provas necessárias para demonstrar juridicamente o mérito das suas alegações, que podem eventualmente incluir dados pessoais das partes ou de terceiros.

54

Dito isto, como indicado no n.o 46 do presente acórdão, a tomada em consideração dos interesses envolvidos insere‑se no âmbito da análise da necessidade e da proporcionalidade da medida, previstas no artigo 6.o, n.os 3 e 4, do RGPD e que condicionam a licitude do tratamento de dados pessoais. A este respeito, importa, portanto, ter igualmente em conta o artigo 5.o, n.o 1, do mesmo e, em especial, o princípio da «minimização dos dados» que figura na alínea c) desta disposição, que dá expressão ao princípio da proporcionalidade. Segundo esse princípio da minimização dos dados, os dados pessoais devem ser adequados, pertinentes e limitados ao necessário relativamente às finalidades para que são tratados [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.o 98 e jurisprudência referida].

55

O órgão jurisdicional nacional está assim obrigado a determinar se a divulgação dos dados pessoais é adequada e pertinente para salvaguardar o objetivo prosseguido pelas disposições aplicáveis do direito nacional e se esse objetivo não pode ser alcançado com recurso a meios de obtenção de prova menos intrusivos relativamente à proteção dos dados pessoais de um número elevado de terceiros como, por exemplo, a audição de testemunhas selecionadas.

56

Na hipótese em que se justifique a apresentação do documento que contém dados pessoais, decorre, além disso, do referido princípio que, quando só uma parte desses dados se afigura necessária para efeitos probatórios, o órgão jurisdicional nacional deve considerar a adoção de medidas suplementares em matéria de proteção de dados, como a pseudonimização, definida no artigo 4.o, n.o 5, do RGPD, dos nomes dos titulares dos dados ou qualquer outra medida destinada a minimizar o entrave ao direito à proteção dos dados pessoais que a apresentação desse documento constitui. Essas medidas podem incluir, nomeadamente, a limitação do acesso do público aos autos ou uma injunção dirigida às partes a quem os documentos que contêm dados pessoais tenham sido apresentados para não utilizarem esses dados para outro fim que não o da produção da prova no processo judicial em causa.

57

A este respeito, importa precisar que decorre do artigo 4.o, ponto 5, do RGPD, em conjugação com o considerando 26 deste regulamento, que os dados pessoais que tenham sido pseudonimizados, que possam ser atribuídos a uma pessoa singular mediante a utilização de informações suplementares, deverão ser considerados informações sobre uma pessoa singular identificável, às quais se aplicam os princípios da proteção de dados. Em contrapartida, decorre deste considerando que esses princípios não se aplicam «às informações anónimas, ou seja, às informações que não digam respeito a uma pessoa singular identificada ou identificável nem a dados pessoais tornados de tal modo anónimos que o seu titular não seja ou já não possa ser identificado».

58

Daqui resulta que um órgão jurisdicional nacional pode considerar que os dados pessoais das partes ou de terceiros lhe devem ser apresentados a fim de poder ponderar, com todo o conhecimento de causa e no cumprimento do princípio da proporcionalidade, os interesses envolvidos. Esta apreciação pode, se for caso disso, levá‑lo a autorizar a divulgação completa ou parcial à parte contrária dos dados pessoais que lhe foram comunicados, se considerar que essa divulgação não vai além do necessário para garantir o gozo efetivo dos direitos que os particulares retiram do artigo 47.o da Carta.

59

Tendo em conta todas as considerações precedentes, há que responder à segunda questão que os artigos 5.o e 6.o do RGPD devem ser interpretados no sentido de que, na apreciação da questão de saber se a apresentação de um documento que contém dados pessoais deve ser ordenada, o órgão jurisdicional nacional deve ter em conta os interesses dos titulares dos dados e ponderá‑los em função das circunstâncias de cada caso concreto, do tipo de processo em causa e tendo devidamente em conta os requisitos resultantes do princípio da proporcionalidade, bem como, em especial, os resultantes do princípio da minimização dos dados previsto no artigo 5.o, n.o 1, alínea c), deste regulamento.

Quanto às despesas

60

Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

 

Pelos fundamentos expostos, o Tribunal de Justiça (Terceira Secção) declara:

 

1)

O artigo 6.o, n.os 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que:

esta disposição se aplica, no âmbito de um processo cível, à apresentação como elemento de prova de um registo de pessoal que contém dados pessoais de terceiros recolhidos principalmente para efeitos de inspeção tributária.

 

2)

Os artigos 5.o e 6.o, do Regulamento 2016/679

devem ser interpretados no sentido de que:

na apreciação da questão de saber se a apresentação de um documento que contém dados pessoais deve ser ordenada, o órgão jurisdicional nacional deve ter em conta os interesses dos titulares dos dados e ponderá‑los em função das circunstâncias de cada caso concreto, do tipo de processo em causa e tendo devidamente em conta os requisitos resultantes do princípio da proporcionalidade, bem como, em especial, os resultantes do princípio da minimização dos dados previsto no artigo 5.o, n.o 1, alínea c), deste regulamento.

 

Assinaturas


( *1 ) Língua do processo: sueco.