Direito de acesso a dados pessoais: uma faculdade de conhecer a identidade dos destinatários dos dados ou apenas categorias de destinatários?

PUBLICAÇÕES SÉRVULO 08 Fev 2023

No dia 12 de janeiro de 2023, o Tribunal de Justiça da União Europeia (“TJUE”) proferiu um acórdão[1] pelo qual veio declarar que o artigo 15.º, n.º 1, alínea c) do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (“Regulamento Geral sobre a Proteção de Dados”), doravante “RGPD”, deve ser interpretado no sentido de que o direito de acesso do titular dos dados aos dados pessoais que lhe dizem respeito implica, quando esses dados foram ou serão divulgados a terceiros, a obrigação, por parte do responsável pelo tratamento, de facultar ao titular dos dados em questão a identidade dos destinatários respetivos.

O direito de acesso a dados pessoais

O artigo 15.º do RGPD atribui a qualquer pessoa singular um direito de acesso aos seus dados pessoais que forem objeto de tratamento. Este direito consiste, em primeiro lugar, numa faculdade de obter do responsável pelo tratamento a confirmação de que os dados pessoais são ou não objeto de tratamento. Se forem, a pessoa, titular dos dados, pode, em segundo lugar, exigir saber que dados pessoais são aqueles e obter certas informações elencadas no referido artigo, nomeadamente, entre outras, os destinatários ou categorias de destinatários a quem os dados foram ou serão divulgados. 

O litígio

Um cidadão austríaco, no exercício do referido direito de acesso previsto no artigo 15.º do RGPD, pediu à Österreichische Post AG, sociedade de serviços postais da Áustria e responsável pelo tratamento, o acesso aos dados pessoais que lhe diziam respeito e, caso os mesmos tivessem sido divulgados a terceiros, a identidade deles. Perante a recusa de acesso a tal informação, o cidadão austríaco instaurou uma ação no tribunal. Já no decurso do processo judicial, a Österreichische Post apenas revelou as informações relativas às categorias de destinatários.

Quer o tribunal de primeira instância quer o de recurso concluíram que, referindo-se o artigo 15.º, n.º 1, alínea c) do RGPD a “destinatários ou categorias de destinatários”, tal concede ao responsável pelo tratamento a possibilidade de indicar apenas as categorias de destinatários. Já o Oberster Gerichtshof (Supremo Tribunal da Áustria) ao interrogar-se sobre a interpretação do referido preceito, decidiu suspender a instância e submeter a questão ao TJUE. 

Análise do TJUE

Apesar de reconhecer que o texto do RGPD não é claro quanto a uma ordem de prioridade entre “destinatários” e “categorias de destinatários”, o TJUE sustenta que se trata de uma opção que cabe à própria pessoa que exerce o direito, um tanto diferente aliás da obrigação de informação que o RGPD também impõe ao responsável pelo tratamento, nos artigos 13.º e 14.º de, por iniciativa própria, fornecer ao titular dos dados informações relativas às categorias de destinatários ou aos destinatários concretos dos dados pessoais. O artigo 15.º do RGPD, entende o TJUE, prevê um direito de acesso a favor do titular dos dados que lhe confere a opção de obter as informações relativas aos destinatários específicos a quem os dados foram ou serão divulgados sempre que isso for possível.

O TJUE invoca ainda a ideia fundamental da necessidade do direito de acesso para permitir ao titular dos dados o exercício de outros direitos que o RGPD coloca à sua disposição, por exemplo o direito à retificação, o direito ao apagamento dos dados e o direito à limitação do tratamento. Isto é, para garantir a possibilidade de exercício dos direitos supramencionados, o titular dos dados deve conhecer a identidade dos destinatários, caso os seus dados pessoais já tiverem sido divulgados.

Por último, a transparência no tratamento de dados pessoais é um princípio fundamental, tal como previso no artigo 5.º, n.º 1, alínea a) do RGPD, o que implica que o titular de dados disponha das informações sobre o modo como os seus dados pessoais são tratados e por quem. Assim, as informações obtidas pelo titular dos dados ao abrigo do direito de acesso deve ser o mais exata possível, sendo esta a interpretação que, segundo o TJUE, melhor corresponde à principal finalidade prosseguida pelo RGPD: assegurar um elevado e coerente nível de proteção das pessoas singulares na União Europeia.

Joana Filipe Agostinho | jfa@servulo.com