A protecção da vida privada e dos dados pessoais na internet Acórdão do Tribunal de Justiça Processo C-101/01 6 de Novembro de 2003

B era catequista numa paróquia da Suécia. Após ter frequentado um curso de informática criou em casa e com o seu computador, páginas de internet com o objectivo de possibilitar aos paroquianos que preparavam o crisma obter informações de que poderiam necessitar. A pedido de B, o administrador do site da Igreja estabeleceu a ligação entre este e as páginas de B.

As páginas continham informações sobre B e 18 dos seus colegas da paróquia: -Nome -Descrição das funções ocupadas pelos colegas -Os seus hábitos de tempos livres -Situação familiar, número de telefone e outros dados Referia ainda que uma das colegas tinha uma lesão no pé e se encontrava de baixa por doença.

B: Não informou os seus colegas da existência das páginas. Não obteve o seu consentimento. Não declarou a sua actuação ao organismo público para a protecção dos dados transmitidos por via informática ( Datainspektion).

B, assim que tomou conhecimento de que alguns dos seus colegas não apreciaram as páginas da Internet retirou-as.

O MP intentou uma acção contra B por violação da lei Sueca relativa aos dados de carácter pessoal (PUL) e pediu a sua condenação por ter: Tratado dados de carácter pessoal, no âmbito de um tratamento automatizado, sem previamente ter notificado por escrito a Datainspektion; Tratado sem autorização dados de carácter pessoal sensíveis, relativos à lesão no pé e à baixa por doença; Transferido para países terceiros dados de carácter pessoal tratados sem autorização;

1- A menção de uma pessoa numa página da internet constitui uma conduta abrangida pelo âmbito de aplicação da Directiva 95/46? O facto de alguém indicar várias pessoas com referência ao seu número de telefone, situação laboral e actividades de tempos livres constitui um tratamento de dados pessoais por meios total ou parcialmente automatizados nos termos do art. 3º/1?

Art. 3º/1 A presente directiva aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.

B: Não se pode considerar que a simples menção do nome de uma pessoa ou de dados de carácter pessoal num texto numa página da internet constitua um tratamento automatizado de dados.

Tribunal de Justiça: A operação que consiste na referência, feita numa página da internet, a várias pessoas e a sua identificação pelo nome ou por outros meios constitui um tratamento de dados pessoais por meios total ou parcialmente automatizados na acepção do art. 3º/1 da Directiva 95/46

2- A conduta que consiste em recolher dados sobre colegas de trabalho numa página de recepção privada, que é contudo acessível a todos os que tenham conhecimento do endereço dessa página, pode ser considerada excluída do âmbito de aplicação da Directiva 95/46 por ser abrangida por qualquer das excepções do art. 3º/2?

Art. 3º/2 A presente directiva não se aplica ao tratamento de dados pessoais: -Efectuado no exercício de actividades não sujeitas à aplicação do direito comunitário (…) e ao tratamento de dados que tenha como objecto a segurança pública, a defesa, a segurança do Estado (…) e as actividades do Estado no domínio do direito penal -Efectuado por uma pessoa singular no exercício de actividades exclusivamente pessoais ou domésticas

B: Um privado que, usando da sua liberdade de expressão cria páginas de internet no âmbito de uma actividade não lucrativa ou dos seus passatempos não exerce uma actividade económica, não lhe sendo por isso aplicável o direito comunitário.

Tribunal de Justiça: As actividades exercidas por B são religiosas ou benévolas, pelo que não são comparáveis às actividades referidas no art. 3º/2, 1º travessão, não estando por isso abrangidas por esta excepção. Quanto à excepção prevista no art. 3º/2, 2º travessão, o considerando 12 da directiva aponta como exemplos de tratamento de dados efectuado por uma pessoa singular no exercício de actividades exclusivamente pessoais ou domésticas a correspondência e as listas de endereços, o que não é o caso do tratamento de dados de carácter pessoal que consiste na sua publicação na internet e disponibilização a um número indefinido de pessoas.

3- Os dados relativos ao facto de uma colega de trabalho, identificada pelo nome, se ter lesionado num pé e estar com baixa por doença, são dados pessoais relativos à saúde,que nos termos do art. 8º/1 não podem ser objecto de tratamento?

Art. 8º/1 Os Estados-Membros proibirão o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, bem como o tratamento de dados relativos à saúde ou à vida sexual.

Tribunal de Justiça: A expressão dados relativos à saúde tem de ser interpretada de forma lata, de modo a que inclua informações relativas a todos os aspectos físicos ou psíquicos da saúde de uma pessoa. O facto de uma pessoa se ter lesionado num pé e estar com baixa por doença constitui um dado de carácter pessoal relativo à saúde na acepção do art. 8º/1 da directiva.

4- A transferência de dados pessoais para países terceiros é, nos termos da Directiva 95/46, proibida. Se uma pessoa na Suécia, com o auxílio de um computador, recolher dados pessoais numa página de recepção que está memorizada num servidor na Suécia, onde os mesmos se tornam acessíveis a cidadãos de países terceiros, tal constitui uma transferência de dados para países terceiros na acepção da Directiva 95/46? A resposta será a mesma se, que se saiba, ninguém de um país terceiro teve efectivamente acesso aos dados ou ao servidor em causa, mesmo que se encontre num país terceiro?

Comissão e Governo Sueco: A inserção, por intermédio de um computador, de dados pessoais numa página de internet, de modo a que estes se tornem acessíveis a nacionais de países terceiros constitui uma transferência de dados para países terceiros na acepção da directiva. A resposta seria a mesma se nenhum nacional de um país terceiro tomasse efectivamente conhecimento dos referidos dados, ou se o servidor onde estão armazenados se encontrasse fisicamente num país terceiro.

Governo Neerlandês: O conceito de tranferência não está definido na Directiva 95/46. Este deve ser entendido como tendo por objecto um acto que visa deliberadamente transferir dados de carácter pessoal de um país para outro, pelo que a inserção de dados de carácter pessoal numa página da internet por intermédio de um computador não pode ser considerada uma transferência para um país terceiro de dados de carácter pessoal na acepção do art. 25º da directiva.

Governo do Reino Unido: O art. 25º tem por objecto as transferências de dados para países terceiros e não a sua acessibilidade a partir de países terceiros. O conceito de transferência implica a transmissão de um dado para uma pessoa situada num local preciso a um terceiro situado noutro local. Só em caso de transferência deste tipo é que o art. 25º da directiva impõe aos Estados Membros velar pelo carácter adequado do nível de protecção dos dados de carácter pessoal num país terceiro.

Tribunal de Justiça: Os dados de carácter pessoal que chegam ao computador de uma pessoa situada num país terceiro, provenientes de uma pessoa que os carregou num site da internet, não foram transferidos directamente entre essas duas pessoas, mas através da infraestrutura informática do fornecedor de serviços de anfitrião onde a página está armazenada. Se o art. 25º da directiva fosse interpretado no sentido de que existe uma transferência para um país terceiro de dados cada vez que são carregados dados de carácter pessoal numa página da internet, essa transferência seria necessariamente uma transferência para todos os países onde existam os meios técnicos necessários para aceder à internet. O art. 25º da directiva deve por isso ser interpretado no sentido de que as operações efectuadas por B não constituem uma transferência de dados para um país terceiro.

5- Pode considerar-se que, num caso como este, as disposições da Directiva 95/46 implicam uma restrição que viola os princípios gerais da liberdade de expressão ou outros direitos e liberdades que vigoram na União Europeia e que correspondem ao art. 10º da Comissão Europeia dos Direitos do Homem?

B: A directiva e a PUL, na medida em que prevêem condições de consentimento e notificação prévias a uma autoridade de controlo, assim como a proibição de tratamento de dados de carácter pessoal de natureza sensível, são contrários à liberdade de expressão. A definição de tratamentos de dados pessoais por meios total ou parcialmente automatizados não cumpre os critérios de previsibilidade e de precisão. O Facto de citar nominativamente uma pessoa singular, revelar os seus contactos telefónicos e as suas condições de trabalho, informações que são públicas, notórias ou triviais, não constitui uma violação substancial do direito ao respeito da vida privada.

Tribunal de Justiça: O considerando 3 da Directiva 95/46 refere que a harmonização dos regimes nacionais deve ter como objecto não apenas a livre circulação de dados entre Estados-Membros, mas também a protecção dos direitos fundamentais das pessoas. É por isso necessário ponderar entre a liberdade de expressão de B no âmbito do seu trabalho como catequista e a liberdade de exercer actividades que contribuem para a vida religiosa, e a protecção da vida privada das pessoas em relação às quais B introduziu dados no seu site da internet. As disposições da directiva não contêm por isso uma restrição contrária à liberdade de expressão. Compete aos órgãos jurisdicionais nacionais assegurar um justo equilíbrio entre os direitos e os interesses em causa.

6- Pode um Estado-Membro, nesta situação conferir uma protecção mais extensa aos dados pessoais ou um âmbito de aplicação mais amplo do que o que resulta da directiva, mesmo que não se verifique nenhuma das circunstâncias previstas no art. 13º?

Comissão e Governo Sueco: Um Estado-Membro não pode prever uma protecção de dados de carácter pessoal mais extensa ou um âmbito de aplicação mais amplo do que o que resulta da directiva.

Tribunal de Justiça: As medidas adoptadas pelos Estados-Membros para assegurar a protecção de dados de carácter pessoal devem estar em conformidade quer com as disposições da Directiva 95/46 quer com o seu objectivo de manter um equilíbrio entre a livre circulação dos dados de carácter pessoal e a protecção da vida privada. Em contrapartida, nada se opõe a que um Estado- Membro alargue o alcance da legislação nacional aquando da transposição da directiva a domínios não incluidos no seu âmbito de aplicação.

A Directiva 96/46/CE ainda se mostra adequada e suficiente no quadro da actual sociedade de informação?

Comunicação da Comissão Europeia Uma abordagem global da protecção de dados pessoais na União Europeia

1.Equacionar o impacto das novas tecnologias 2.Reforçar a vertende de protecção de dados no mercado interno 3.Equacionar a globalização e melhorar as transferências de dados internacionais 4.Conseguir um quadro institucional mais firme para a aplicação efectiva das normas de protecção de dados 5.Aumentar a coerência do quadro normativo que rege a protecção de dados

Abordagem global e coerente que assegure que o direito fundamental das pessoas singulares à protecção de dados é plenamente respeitado dentro e fora da União Europeia

Objectivos principais Reforçar os direitos das pessoas, garantindo- lhes uma protecção adequada e em conformidade com a Carta dos Direitos Fundamentais da União Europeia

Aprofundar a vertente relativa ao mercado interno: - aumentando a segurança jurídica e assegurando a igualdade de condições para os responsáveis pelo tratamento dos dados; -clarificando as normas sobre a lei aplicável e a responsabilidade dos Estados-Membros; -aumentando a responsabilidade dos responsáveis pelo tratamento de dados

Rever as normas de protecção de dados no domínio da cooperação policial e judiciária em matéria penal Uma dimensão mundial da protecção de dados Um quadro institucional mais forte para uma melhor aplicação das normas de protecção de dados

Qual o futuro quadro legal para a protecção de dados pessoais?

Cidadãos: Há um aumento da perda de controlo sobre os seus dados pessoais, pelo que é necessária mais e melhor protecção dos mesmos.

Organizações: Apesar da Directiva manter válidos os seus princípios, a sua aplicação aos novos desenvolvimentos, como as tecnologias e a globalização, não é a mais eficaz.

Autoridades Públicas: É necessária uma maior harmonização entre os Estados-Membros e uma optimização da partilha de dados pessoais com países fora da União Europeia.