CONCLUSÕES DO ADVOGADO‑GERAL
PEDRO CRUZ VILLALÓN
apresentadas em 25 de junho de 2015 ( 1 )
Processo C‑230/14
Weltimmo s.r.o.
contra
Nemzeti Adatvédelmi és Információszabadság Hatóság
[pedido de decisão prejudicial apresentado pela Kúria (Hungria)]
«Proteção de dados de caráter pessoal — Diretiva 95/46/CE — Artigos 4.°, n.o 1, e 28.°, n.os 1, 3 e 6 — Responsável pelo tratamento de dados estabelecido no território de outro Estado‑Membro — Determinação do direito aplicável e da autoridade de controlo competente — Poderes da autoridade de controlo — Poder de aplicar sanções — Conceito de ‘tratamento de dados’»
1.
As questões prejudiciais submetidas pela Kúria (Tribunal Supremo da Hungria) têm origem num litígio entre a Magyar Adatvédelmi és Információszabadság Hatóság (a seguir «autoridade húngara para a proteção de dados») e uma empresa, registada na Eslováquia, que gere um «sítio Internet» de mediação imobiliária no qual se anunciam imóveis sitos na Hungria.
2.
Verifica‑se, assim, que o presente processo dá uma nova oportunidade ao Tribunal de Justiça de se pronunciar sobre a determinação do direito aplicável ao tratamento de dados nos termos do artigo 4.o, n.o 1, alínea a), da Diretiva 95/46/CE relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados ( 2 ), já interpretado no acórdão Google Spain e Google ( 3 ). Além disso, este processo coloca questões inéditas tanto sobre a determinação da autoridade de controlo competente como sobre o direito nacional aplicável por essa mesma autoridade e os seus poderes de ação, designadamente no que respeita ao poder de aplicar sanções.
I – Quadro normativo
A – Direito da União
3.
A Diretiva 95/46 prevê diferentes critérios para a determinação da lei aplicável ao tratamento de dados pessoais. O seu considerando 18 refere que, «[…] a fim de evitar que uma pessoa seja privada da proteção a que tem direito por força da presente diretiva, é necessário que qualquer tratamento de dados pessoais efetuado na Comunidade respeite a legislação de um dos Estados‑Membros; […] nesse sentido, é conveniente que o tratamento efetuado por uma pessoa que age sob a autoridade do responsável pelo tratamento estabelecido num Estado‑Membro seja regido pela legislação deste Estado‑Membro».
4.
Por outro lado, o considerando 19 da Diretiva 95/46 salienta que […] «o estabelecimento no território de um Estado‑Membro pressupõe o exercício efetivo e real de uma atividade mediante uma instalação estável; que, para o efeito, a forma jurídica de tal estabelecimento, quer se trate de uma simples sucursal ou de uma filial com personalidade jurídica, não é determinante […]». Este mesmo considerando refere que «quando no território de vários Estados‑Membros estiver estabelecido um único responsável pelo tratamento, em especial através de uma filial, deverá assegurar, nomeadamente para evitar que a legislação seja contornada, que cada um dos estabelecimentos cumpra as obrigações impostas pela legislação nacional aplicável às respetivas atividades».
5.
O artigo 4.o, n.o 1, da Diretiva 95/46, cuja alínea a) é aplicável para efeitos do presente litígio, é a regra relativa ao direito aplicável ao tratamento de dados, dispondo que:
«1. Cada Estado‑Membro aplicará as suas disposições nacionais adotadas por força da presente diretiva ao tratamento de dados pessoais quando:
a)
O tratamento for efetuado no contexto das atividades de um estabelecimento do responsável pelo tratamento no território desse Estado‑Membro; se o mesmo responsável pelo tratamento estiver estabelecido no território de vários Estados‑Membros, deverá tomar as medidas necessárias para garantir que cada um desses estabelecimentos cumpra as obrigações estabelecidas no direito nacional que lhe for aplicável;
[…]»
6.
O artigo 28.o, que constitui a disposição relativa às autoridades de controlo em matéria de proteção de dados, dispõe o seguinte nos seus n.os 1, 3, 4 e 6:
«1. Cada Estado‑Membro estabelecerá que uma ou mais autoridades públicas serão responsáveis pela fiscalização da aplicação no seu território das disposições adotadas pelos Estados‑Membros nos termos da presente diretiva.
Essas autoridades exercerão com total independência as funções que lhes forem atribuídas.
[…]
3. Cada autoridade de controlo disporá, nomeadamente:
—
de poderes de inquérito, tais como o poder de aceder aos dados objeto de tratamento e de recolher todas as informações necessárias ao desempenho das suas funções de controlo;
—
de poderes efetivos de intervenção, tais como, por exemplo, o de emitir pareceres previamente à execução adequada desses pareceres, o de ordenar o bloqueio, o apagamento ou a destruição dos dados, o de proibir temporária ou definitivamente o tratamento, o de dirigir uma advertência ou uma censura ao responsável pelo tratamento ou o de remeter a questão para os parlamentos nacionais ou para outras instituições políticas;
—
do poder de intervir em processos judiciais no caso de violação das disposições nacionais adotadas nos termos da presente diretiva ou de levar essas infrações ao conhecimento das autoridades judiciais.
As decisões da autoridade de controlo que lesem interesses são passíveis de recurso jurisdicional.
4. Qualquer pessoa ou associação que a represente pode apresentar à autoridade de controlo um pedido para proteção dos seus direitos e liberdades no que diz respeito ao tratamento de dados pessoais. A pessoa em causa será informada do seguimento dado ao seu pedido.
Em particular, qualquer pessoa pode apresentar à autoridade de controlo um pedido de verificação da licitude de qualquer tratamento de dados, sempre que sejam aplicáveis as disposições nacionais adotadas por força do artigo 13.o O requerente será pelo menos informado da realização da verificação.
[…]
6. Cada autoridade de controlo é competente, independentemente do direito nacional aplicável ao tratamento em causa, para o exercício no território do seu Estado‑Membro dos poderes que lhe foram atribuídos em conformidade com o n.o 3. Cada autoridade de controlo pode ser solicitada a exercer os seus poderes por uma autoridade de outro Estado‑Membro.
As autoridades de controlo cooperarão entre si na medida do necessário ao desempenho das suas funções, em especial através do intercâmbio de quaisquer informações úteis.
[…]»
B – Direito húngaro
7.
A Lei CXII de 2011, sobre o direito à autodeterminação informativa e à liberdade de informação (2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011, a seguir «Lei Info»), constitui a norma nacional de transposição da Diretiva 95/46.
8.
O artigo 2.o da Lei Info dispõe o seguinte:
«(1) A presente lei abrange qualquer tratamento e processamento de dados efetuado no território da Hungria no que respeita a dados de pessoas singulares, bem como a dados de interesse público ou a dados que sejam acessíveis por razões de interesse público.
(2) A presente lei é aplicável tanto ao tratamento como ao processamento de dados, efetuados manualmente ou através de meios total ou parcialmente automáticos.
(3) O disposto na presente lei deve ser aplicado quando o responsável pelo tratamento de dados que procede ao tratamento de dados pessoais fora do território da União Europeia encomenda o processamento de dados a um subcontratante para o processamento de dados que tenha a sua sede social ou um estabelecimento, sucursal, domicílio privado ou residência no território da Hungria ou, ainda, que utilize algum meio situado neste território, salvo se esse meio só for utilizado para trânsito no território da União Europeia. Esse responsável pelo tratamento de dados deve designar um representante no território da Hungria.»
9.
Por seu lado, o artigo 3.o da Lei Info dispõe que, para efeitos de aplicação desta lei, entende‑se por:
«(9) responsável pelo tratamento de dados (‘adatkezelő’): pessoa singular ou coletiva ou entidade sem personalidade jurídica que, individualmente ou em conjunto com outrem, determine a finalidade do tratamento de dados, tome as decisões sobre esse tratamento (incluindo os meios utilizados para o efeito) e as execute por si próprio ou através de um subcontratante para o processamento de dados (‘adatfeldolgozó’);
(10) tratamento de dados (‘adatkezelés’): qualquer operação ou conjunto de operações efetuadas sobre dados, independentemente dos meios usados para esse efeito, designadamente a recolha, obtenção, registo, organização, conservação, alteração, utilização, pedidos, transmissão, publicação, comparação ou interconexão, bloqueio, apagamento ou destruição, bem como a proibição de outra utilização desses dados, a obtenção de fotografias, sons ou imagens, o registo das características físicas destinadas à identificação das pessoas (por exemplo, impressões digitais ou palmares, amostras de ADN ou imagem da íris);
(11) transmissão de dados: colocação dos dados à disposição de um terceiro;
[…]
(17) processamento de dados (‘adatfeldolgozás’): execução de tarefas técnicas relacionadas com as operações de tratamento de dados, independentemente do método e do meio utilizados para as efetuar, bem como do lugar em que se efetuem, bastando que as mesmas sejam executadas sobre os dados;
(18) subcontratante para o processamento de dados (‘adatfeldolgozó’): pessoa singular ou coletiva ou entidade sem personalidade jurídica que, ao abrigo de um contrato, incluindo os contratos cuja celebração seja imposta por lei, efetua o processamento de dados;
[…]»
II – Factos e processo principal
10.
A presente questão prejudicial é suscitada num recurso interposto na Kúria da sentença do Fővárosi Közigazgatási és Munkaügyi Bíróság (Tribunal Administrativo e de Trabalho de Budapeste), no processo contencioso relativo à proteção de dados entre a empresa Weltimmo s.r.o. (a seguir «Weltimmo») e a autoridade húngara para a proteção de dados.
11.
A Weltimmo é uma empresa que gere um sítio Internet de mediação imobiliária, com sede social na Eslováquia. A sua atividade consiste na gestão do referido sítio Internet, o qual publica anúncios de imóveis situados na Hungria. Esses anúncios são gratuitos para o anunciante durante o primeiro mês e, decorrido este, o serviço passa a ser pago. Um elevado número de anunciantes solicitou por correio eletrónico a supressão dos seus respetivos anúncios bem como dos seus próprios dados pessoais por não desejarem passar, após o primeiro mês, à modalidade de serviço pago. No entanto, a Weltimmo não deu seguimento a esses pedidos e, em consequência, procedeu à faturação dos seus serviços. Perante a falta de pagamento dessas faturas, a Weltimmo transmitiu os dados pessoais dos anunciantes a empresas de recuperação de créditos.
12.
Em resposta às queixas apresentadas pelos anunciantes, a autoridade húngara para a proteção de dados declarou‑se competente para delas conhecer, declarando também a aplicabilidade da lei nacional (nos termos do artigo 3.o, n.o 10, da Lei Info, a recolha de dados configura um tratamento de dados), e aplicou uma coima de dez milhões de forints húngaros (HUF). Essa decisão foi impugnada pela Weltimmo no Tribunal Administrativo e de Trabalho de Budapeste que, embora não tenha posto em causa a competência da autoridade para a proteção de dados nem a lei aplicável, anulou a decisão administrativa por falta de clareza de alguns dos factos alegados.
13.
No seu recurso, a Weltimmo solicita, entre outras coisas, que se declare não ser necessário um maior esclarecimento dos factos, uma vez que, de acordo com o artigo 4.o, n.o 1, alínea a), da Diretiva 95/46, a autoridade húngara para a proteção de dados não tem competência para instaurar um processo e aplicar o direito húngaro a um prestador de serviços estabelecido noutro Estado‑Membro, referindo especialmente a este respeito que, nos termos do artigo 28.o, n.o 6, da Diretiva 95/46, essa autoridade devia ter solicitado à sua homóloga eslovaca que agisse contra a demandante.
14.
Com vista a justificar a respetiva competência e a aplicabilidade da lei húngara, a autoridade húngara para a proteção de dados alega, no processo principal, que a Weltimmo tem um «representante húngaro», um dos seus proprietários, de nacionalidade húngara, que a representou, tanto no processo administrativo como no processo judicial nacional. Além disso, refere que os proprietários da Weltimmo são residentes na Hungria. De qualquer forma, esta autoridade considera que o artigo 28.o, n.o 6, da Diretiva 95/46 prevê uma regra de competência a seu favor, independentemente do direito aplicável.
III – Questões prejudiciais e tramitação processual no Tribunal de Justiça
15.
Neste contexto, ao considerar que as disposições aplicáveis da Diretiva 95/46 não são suficientemente claras, a Kúria submeteu, por decisão de 22 de abril de 2014, que deu entrada no Tribunal de Justiça em 12 de maio de 2014, as seguintes questões prejudiciais:
«1)
Deve o artigo 28.o, n.o 1, da Diretiva 95/46 […], ser interpretado no sentido de que a regulamentação nacional de um Estado‑Membro pode aplicar‑se, no seu território, a um responsável pelo tratamento de dados estabelecido exclusivamente noutro Estado‑Membro, que gere uma página Internet de mediação imobiliária onde divulga, entre outros, imóveis situados no território do primeiro Estado‑Membro, sendo que os proprietários dos imóveis forneceram os seus dados pessoais a um meio (servidor) de armazenamento e processamento de dados pertencente ao gestor da página Internet e que está situado noutro Estado‑Membro?
2)
Deve o artigo 4.o, n.o 1, alínea a), da diretiva relativa à proteção de dados, à luz dos seus décimo oitavo e vigésimo considerandos e dos seus artigos 1.°, n.o 2, e 28.°, n.o 1, ser interpretado no sentido de que a [Autoridade húngara para a proteção de dados] não pode aplicar a lei húngara para a proteção de dados, enquanto direito nacional, a um gestor de uma página Internet de mediação imobiliária estabelecido exclusivamente noutro Estado‑Membro, mesmo que este divulgue, entre outros, imóveis húngaros cujos proprietários forneceram, provavelmente a partir do território da Hungria, os dados relativos aos seus imóveis a um meio (servidor) de armazenamento e processamento de dados pertencente ao gestor da página Internet e que está situado noutro Estado‑Membro?
3)
É relevante, para efeitos de interpretação, que o serviço prestado pelo responsável pelo tratamento de dados que gere a página Internet se destine ao território de outro Estado‑Membro?
4)
É relevante, para efeitos de interpretação, que os dados relativos aos imóveis situados no território do outro Estado‑Membro e os dados pessoais dos proprietários tenham sido efetivamente carregados a partir do território desse outro Estado‑Membro?
5)
É relevante, para efeitos de interpretação, que os dados pessoais relacionados com os referidos imóveis sejam dados pessoais de cidadãos de outro Estado‑Membro?
6)
É relevante, para efeitos de interpretação, que os proprietários da empresa estabelecida na Eslováquia tenham domicílio na Hungria?
7)
Se das respostas dadas às perguntas anteriores resultar que a autoridade húngara para a proteção de dados pode instaurar um processo mas não pode aplicar o direito nacional e sim o direito do Estado‑Membro de estabelecimento, deve o artigo 28.o, n.o 6, da diretiva relativa à proteção de dados ser interpretado no sentido de que a autoridade húngara para a proteção de dados só pode exercer os poderes previstos no artigo 28.o, n.o 3, da diretiva relativa à proteção de dados em conformidade com o disposto na lei do Estado‑Membro de estabelecimento e que, por isso, não tem competência para aplicar uma coima?
8)
Pode o conceito de ‘adatfeldolgozás’ [processamento de dados], utilizado tanto no artigo 4.o, n.o 1, alínea a), como no artigo 28.o, n.o 6, da [versão húngara da] diretiva ser considerado idêntico ao conceito de ‘adatkezelés’ [tratamento de dados] utilizado na terminologia da referida diretiva?»
16.
Apresentaram observações escritas o Governo húngaro, o Governo eslovaco, o Governo do Reino Unido, a autoridade húngara para a proteção de dados e a Comissão Europeia. Participaram na audiência, realizada em 12 de março de 2015, o Governo húngaro, o Governo eslovaco, o Governo polaco, a autoridade húngara de proteção de dados e a Comissão Europeia.
IV – Análise
17.
As diversas questões prejudiciais submetidas pela Kúria incidem sobre dois problemas que, embora apresentados como interdependentes, merecem uma atenção individualizada, como também resulta das observações escritas e orais apresentadas no processo no Tribunal de Justiça, a saber, o da lei aplicável ao tratamento de dados e o da determinação da autoridade de controlo competente. Por tal motivo, irei estruturar o meu raciocínio essencialmente em duas partes. Em primeiro lugar, abordarei a questão da lei aplicável ao tratamento dos dados e, em suma, à questão do «estabelecimento», analisando em conjunto as questões 1 a 6. Em segundo lugar, irei analisar a questão da determinação da autoridade de controlo competente e dos seus poderes, analisando, também, a questão da eventual dissociação entre a autoridade de controlo competente e a lei aplicável (sétima questão). Por último, irei ocupar‑me da questão de terminologia colocada na oitava das questões prejudiciais.
A – Quanto à lei aplicável ao tratamento de dados e ao conceito de estabelecimento (questões prejudiciais 1 a 6)
18.
Através das suas questões prejudiciais 1 a 6, que devem ser analisadas em conjunto, a Kúria pretende saber, em substância, se os artigos 4.°, n.o 1, alínea a), e 28.°, n.o 1 da Diretiva 95/46, podem ser interpretados no sentido de que, em circunstâncias como as do processo principal, permitem a aplicação da lei húngara relativa à proteção de dados e que a mesma seja aplicada pela autoridade húngara para a proteção de dados a um gestor de um sítio Internet estabelecido exclusivamente noutro Estado‑Membro. A este respeito, a Kúria pergunta também sobre a relevância de vários fatores específicos, tais como o facto de os serviços da referida empresa se destinarem ao território de outro Estado‑Membro, o lugar a partir do qual os dados relativos aos imóveis foram carregados, a nacionalidade dos interessados ou o facto de os proprietários da empresa terem domicílio na Hungria.
19.
A Kúria, nas suas duas primeiras perguntas, fez referência tanto ao artigo 28.o, n.o 1, como ao artigo 4.o, n.o 1, alínea a), da diretiva. No entanto, para efeitos da resposta às suas perguntas considero que é perfeitamente possível prescindir da análise do alcance do primeiro dos preceitos referidos. Efetivamente, o artigo 28.o, n.o 1, limita‑se a prever que «[c]ada Estado‑Membro estabelecerá que uma ou mais autoridades públicas serão responsáveis pela fiscalização da aplicação no seu território das disposições adotadas pelos Estados nos termos da presente diretiva». Considero que esta disposição não é determinante para efeitos da fixação da lei aplicável. Em primeiro lugar e de uma perspetiva sistemática, o artigo 28.o consta do capítulo VI da diretiva, que tem por objeto a regulamentação da autoridade de controlo bem como do grupo de proteção das pessoas no que diz respeito ao tratamento de dados pessoais, e não a questão da lei aplicável. Em segundo lugar, o próprio teor literal do artigo 28.o, n.o 1, da diretiva, não oferece nenhum critério adicional para determinar a lei aplicável ao tratamento de dados. Em suma, essa disposição não contém qualquer elemento cuja interpretação permita dar uma resposta diferente à questão da determinação da lei aplicável resultante dos critérios previstos no artigo 4.o da referida diretiva, onde se regulamenta especificamente essa questão.
20.
Centrando‑nos já no artigo 4.o, n.o 1, alínea a), da diretiva, convém começar por referir que tanto as observações apresentadas na audiência como as apresentadas na fase escrita são unânimes em referir a importância desta disposição na resposta às questões relacionadas com a lei aplicável, bem como a especial importância de determinar o lugar de estabelecimento da Weltimmo.
21.
A problemática da lei aplicável em situações transfronteiriças relativas ao tratamento de dados configura uma questão controvertida de âmbito internacional há algumas décadas ( 4 ). O artigo 4.o da diretiva, que tem por objeto a determinação do direito nacional aplicável, foi a primeira norma a conseguir estabelecer uma regra de determinação do direito aplicável a este respeito ( 5 ). A referida disposição prevê diferentes critérios para determinar se a legislação nacional adotada com vista à transposição da diretiva é aplicável, estabelecendo assim, de forma indireta (através da indicação da aplicabilidade das referidas disposições nacionais), o âmbito de aplicação territorial da própria diretiva.
22.
Nas situações em que é relevante a questão da lei aplicável entre Estados‑Membros da União tem, assim, especial importância o artigo 4.o, n.o 1, alínea a), da Diretiva 95/46, que dispõe que «[c]ada Estado‑Membro aplicará as suas disposições nacionais adotadas [ ( 6 )] por força da presente diretiva ao tratamento de dados pessoais quando: a) O tratamento for efetuado no contexto das atividades de um estabelecimento do responsável pelo tratamento situado no território desse Estado‑Membro».
23.
O artigo 4.o, n.o 1, alínea a), desempenha assim uma dupla função. Por um lado, permite a aplicação do direito da União através do direito de um dos seus Estados‑Membros se o tratamento de dados for efetuado exclusivamente «no contexto» das atividades de um estabelecimento neles situado, mesmo que o tratamento de dados «propriamente dito» seja efetuado num Estado terceiro (como acontecia no processo Google Spain e Google ( 7 )). Por outro lado, a referida disposição funciona como a regra que determina a lei aplicável entre Estados‑Membros (que é a questão aqui em análise). Nesta segunda situação, o artigo 4.o, n.o 1, alínea a), da diretiva constitui a disposição que determina a lei aplicável como regra de conflito entre as legislações dos diferentes Estados‑Membros.
24.
A este respeito, há que salientar que as questões formuladas pelo órgão jurisdicional nacional dizem respeito ao gestor de um sítio Internet dedicado a anúncios imobiliários que está exclusivamente estabelecido noutro Estado‑Membro, afirmação que é contestada pela autoridade de controlo húngara. O Reino Unido considera evidente que há que determinar que a lei aplicável no presente processo deve ser a do Estado‑Membro de estabelecimento, neste caso, a Eslováquia, estando a autoridade húngara privada da possibilidade de aplicar as normas do seu direito nacional. No mesmo sentido, a Comissão salienta o facto de, independentemente de ser possível aceitar a aplicação da lei húngara se se considerar que a demandante também se encontra estabelecida em território húngaro, a Kúria referir que a empresa está, neste caso, exclusivamente estabelecida noutro Estado‑Membro.
25.
A este respeito, e para além da valoração factual que decorre da redação das questões prejudiciais no que respeita ao lugar efetivo do estabelecimento, as perguntas 3 a 6 submetidas pela Kúria deixam adivinhar alguma incerteza por parte do órgão jurisdicional de reenvio relativamente à noção de estabelecimento, na aceção da diretiva, na medida em que esta noção pode não ser meramente formal. Por tal motivo, considera‑se que uma resposta útil às perguntas 1 a 6 pressupõe que se determinem os critérios que permitam concluir se existe um tratamento de dados efetuado «no contexto das atividades de um estabelecimento do responsável pelo tratamento» em território húngaro, na aceção do artigo 4.o, n.o 1, alínea a), da diretiva.
26.
Assim, no presente processo, para determinar se é aplicável a legislação húngara ou, pelo contrário, a eslovaca, seria necessário desenvolver uma análise em duas etapas, seguindo o método adotado no acórdão Google Spain e Google ( 8 ). Assim, em primeiro lugar, seria necessário averiguar se a Weltimmo dispunha de um estabelecimento no território da Hungria e, em segundo, se o tratamento de dados se efetuou no contexto das atividades do referido estabelecimento. Todavia, há que referir que, nas circunstâncias do presente processo e contrariamente às que estavam subjacentes ao processo Google Spain e Google, não se discute a questão de saber se o tratamento de dados foi efetuado no «contexto das atividades de um estabelecimento». A questão determinante é, sim, a da existência ou não de um estabelecimento na Hungria e/ou na Eslováquia. Por conseguinte, a nossa análise incidirá, fundamentalmente, nesta primeira etapa.
27.
Relativamente a esta questão, o Governo húngaro referiu, nas suas observações escritas, que as diferentes versões linguísticas desta disposição apoiam uma interpretação do conceito de estabelecimento ao qual pode não bastar a mera referência ao estabelecimento na aceção do direito das sociedades. O Governo eslovaco, que aponta também no sentido de uma conceção não formalista do conceito de estabelecimento, salienta que, neste contexto, importa reportar‑se à jurisprudência do Tribunal de Justiça relativa à liberdade de estabelecimento. Além disso, a autoridade húngara para a proteção de dados defende uma conceção do conceito de estabelecimento na qual não seja determinante a forma jurídica e refere que o estabelecimento pode ser constituído pelo representante da Weltimmo na Hungria, S. Benkö, no caso concreto. Com efeito, este representou a referida empresa no processo contencioso em primeira instância, contactou com os lesados que apresentaram as queixas e está inscrito no registo comercial eslovaco com um endereço na Hungria. Além do mais, a autoridade salientou na audiência que a Weltimmo possui uma caixa postal na Hungria para a gestão dos seus assuntos correntes e que, após uma consulta informal à autoridade eslovaca de proteção de dados, esta confirmou que a empresa não tem uma atividade efetiva na Eslováquia. Só o Governo polaco é que persistiu, nas observações apresentadas na audiência, na necessidade de se considerar exclusivamente o registo da sociedade num Estado‑Membro como o único elemento objetivo e determinável.
28.
Dito isto, é obrigatório referir o considerando 19 da Diretiva 95/46, que constitui um elemento interpretativo essencial para determinar o conteúdo do conceito de estabelecimento, na aceção desta mesma diretiva. Na verdade, o referido considerando aponta no sentido de uma conceção flexível do conceito, afastando‑se de uma abordagem formalista, por força da qual uma empresa só se poderia considerar estabelecida no lugar em que estivesse registada. Assim, em primeiro lugar, o referido considerando integra um critério de efetividade e um elemento de permanência ao referir que «o estabelecimento no território de um Estado‑Membro pressupõe o exercício efetivo e real de uma atividade mediante uma instalação estável […]». Em segundo lugar, permite uma flexibilidade considerável ao instituir que, «para o efeito, a forma jurídica de tal estabelecimento, quer se trate de uma simples sucursal ou de uma filial com personalidade jurídica, não é determinante».
29.
Esta conceção do conceito de estabelecimento está de acordo com a interpretação que foi feita do mesmo pela jurisprudência do Tribunal de Justiça noutros domínios do direito da União. Designadamente, segundo jurisprudência assente, «o conceito de estabelecimento, na aceção [das disposições do Tratado relativas à liberdade de estabelecimento], envolve a prossecução efetiva de uma atividade económica, através de uma instalação estável [nesse] Estado‑Membro, por um período indefinido» ( 9 ), o que «pressupõe uma implantação real da sociedade em causa no Estado‑Membro de acolhimento e o exercício de uma atividade económica efetiva neste» ( 10 ).
30.
Por outro lado, o Parecer 8/2010 do Grupo da Proteção de Dados do Artigo 29.o (a seguir «grupo de trabalho do artigo 29.o») ( 11 ), refere‑se à interpretação do conceito de estabelecimento como elemento de conexão para efeitos fiscais em matéria de IVA ( 12 ). A jurisprudência do Tribunal nesta matéria é especialmente interessante, uma vez que o conceito de estabelecimento funciona como elemento de conexão para determinar a submissão à legislação fiscal nacional, e desenvolve o conceito de estabelecimento estável, o qual «[…] se deve caracterizar por um grau suficiente de permanência e uma estrutura adequada, em termos de recursos humanos e técnicos, que lhe permitam receber e utilizar os serviços que lhe são prestados para as necessidades específicas desse estabelecimento» ( 13 ). Além disso, o conceito de estabelecimento presente tanto no âmbito da Convenção de Roma ( 14 ), como no da Convenção de Bruxelas ( 15 ) apoia igualmente uma conceção não formalista ( 16 ).
31.
Independentemente da óbvia divergência de contextos e objetivos entre os domínios em que se insere a jurisprudência do Tribunal nas matérias a que acabou de se fazer referência e o processo em análise, é ainda assim significativo que o direito da União, em diversos domínios, enfatize uma conceção do conceito de estabelecimento baseada no efetivo exercício das atividades económicas e num certo grau de estabilidade, coincidindo assim com as orientações que também decorrem do considerando 19 da Diretiva 95/46.
32.
Por outro lado, tendo em conta o objetivo específico da Diretiva 95/46, tal como é referido no seu artigo 1.o, n.o 1, de assegurar «a proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento de dados pessoais», consideramos que há que interpretar tanto o grau de estabilidade da instalação como a efetividade do desenvolvimento das atividades tendo em conta a natureza específica das atividades económicas e da prestação de serviços em questão.
33.
Assim, tal como referem a autoridade húngara para a proteção de dados e o Governo eslovaco, e seguindo também os critérios estabelecidos pelo grupo de trabalho do artigo 29.o ( 17 ), um só agente bastaria para se considerar que se está perante uma instalação estável se este agir com um grau de estabilidade suficiente através da presença dos meios necessários para a prestação dos serviços específicos necessários no Estado‑Membro em causa.
34.
Na verdade, tal como referiu o advogado‑geral N. Jääskinen nas suas conclusões no processo Google Spain e Google, o modelo de negócios do interveniente em questão deve ser tido em conta na apreciação dos requisitos do artigo 4.o da Diretiva 95/46 ( 18 ). Por tal motivo, é aqui necessário examinar a especificidade das empresas que operam exclusivamente através da Internet, cujo modelo de negócio relativiza o conceito de instalação física permanente, condicionando também a dimensão dos recursos, tanto humanos como materiais. Com efeito, em determinadas circunstâncias, um agente com uma presença constante equipado com pouco mais que um computador portátil pode configurar uma estrutura suficiente para poder desempenhar uma atividade efetiva, real e com um grau suficiente de estabilidade. À luz destas considerações, torna‑se necessário, a fim de valorar os referidos recursos humanos e técnicos, apreciar cuidadosamente as peculiaridades das empresas que têm por objeto a oferta de serviços através da Internet, tendo em conta as especificidades de cada situação concreta.
35.
Efetivamente, a especificidade das atividades económicas desenvolvidas através da Internet já foi tida em consideração para efeitos de determinar o conteúdo do conceito de estabelecimento noutros instrumentos do direito da União. Em particular, a diretiva sobre o comércio eletrónico ( 19 ) estabelece no seu considerando 19 que «[o] local de estabelecimento, quando se trate de uma sociedade prestadora de serviços através de um sítio internet, não é o local onde se encontra a tecnologia de apoio a esse sítio ou o local em que este é acessível, mas sim o local em que essa sociedade desenvolve a sua atividade económica». Esta definição foi considerada pertinente pelo grupo de trabalho do artigo 29.o para efeitos de interpretação do artigo 4.o da Diretiva 95/46 ( 20 ).
36.
Tendo em mente estas considerações, pode concluir‑se que, sem contestar o facto de a Weltimmo ser uma sociedade formalmente registada na Eslováquia, não é de excluir que a referida sociedade exerça efetiva e realmente a sua atividade no território de outro Estado, no presente caso, a Hungria, através de uma instalação estável, que pode advir da existência de um único agente. Se fosse este o caso, a Weltimmo contaria com um estabelecimento na Hungria, na aceção do artigo 4.o, n.o 1, alínea a), da Diretiva 95/46.
37.
Os diversos fatores adicionais referidos pela Kúria nas suas questões prejudiciais — o local a partir do qual os dados foram carregados, o Estado‑Membro a que se destinem os serviços, a nacionalidade dos lesados, ou o domicílio dos proprietários da empresa —, não têm, a este respeito, uma incidência direta e determinante no estabelecimento do direito aplicável ( 21 ). Na verdade, os referidos elementos não figuram na diretiva como critérios pertinentes que permitam afastar‑se do critério estabelecido pelo artigo 4.o, n.o 1, alínea a) ( 22 ).
38.
Não obstante o anteriormente exposto, vários desses fatores poderiam constituir, em determinadas circunstâncias, indícios do caráter real e efetivo da atividade, para efeitos de determinação do lugar de estabelecimento e, nomeadamente, para determinar se o tratamento de dados ocorreu no âmbito das operações de um estabelecimento do responsável pelo tratamento.
39.
Assim, designadamente no que respeita ao segundo dos elementos — que o tratamento de dados seja efetuado no contexto das atividades do estabelecimento situado num Estado‑Membro —, há que referir a interpretação fixada pelo acórdão Google Spain e Google ( 23 ). Nos termos deste, o artigo 4.o, n.o 1, alínea a), da Diretiva 95/46 «não exige que o tratamento de dados pessoais em questão seja efetuado ‘pelo’ próprio estabelecimento em causa, mas unicamente que o seja ‘no contexto das atividades’ deste» ( 24 ). Além de que, continua o Tribunal, tendo em conta o objetivo da diretiva, «esta última expressão não pode ser objeto de interpretação restritiva» ( 25 ).
40.
A aplicação deste segundo critério é particularmente importante no caso de o órgão jurisdicional de reenvio considerar que a Weltimmo se encontra estabelecida, mediante a aplicação dos critérios anteriormente enunciados, nos dois Estados‑Membros em questão. Neste caso, tal como salientam, nas suas observações escritas, o Governo eslovaco e a Comissão, são precisamente as atividades no âmbito das quais o tratamento foi efetuado e, designadamente, o seu grau de conexão com um determinado estabelecimento, que se devem ter em conta ( 26 ). Além disso, outros elementos determinantes a este respeito foram indicados pelo grupo de trabalho do artigo 29.o relativamente aos motores de busca, os quais podem ser úteis para determinar se as atividades se inserem no contexto do estabelecimento: o facto de o estabelecimento ser responsável pelas relações com os utilizadores; participar na venda de publicidade dirigida à população desse Estado, ou responder perante as autoridades competentes de um Estado‑Membro no que diz respeito aos dados dos utilizadores ( 27 ).
41.
Em suma, no presente processo, para determinar se o direito húngaro pode ser aplicável à atividade da Weltimmo na Hungria, é necessário verificar se a Weltimmo dispõe de um estabelecimento no referido Estado‑Membro, no âmbito de cujas atividades se efetuou o tratamento de dados controvertido. Para tal, importa verificar se o agente a que se refere a decisão de reenvio dispõe de uma instalação estável, qualquer que seja a respetiva forma jurídica, através da qual desempenha o exercício efetivo e real de uma atividade, no contexto da qual ocorreu o tratamento de dados controvertido.
42.
Em conclusão, considero que deve dar‑se uma resposta conjunta às questões 1 a 6 da Kúria no sentido de que o artigo 4.o, n.o 1, alínea a) da Diretiva 95/46 impede que a autoridade húngara de proteção de dados possa aplicar a lei húngara a um responsável pelo tratamento de dados estabelecido exclusivamente noutro Estado‑Membro. Para este efeito, o conceito de estabelecimento deve ser interpretado no sentido da existência de uma instalação estável, qualquer que seja a respetiva forma jurídica, através da qual desempenha o exercício efetivo e real de uma atividade. Um só agente pode ser considerado uma instalação estável se apresentar um grau de estabilidade suficiente através da presença dos meios humanos e técnicos necessários para a prestação dos serviços concretos em causa.
Outros elementos, tais como o lugar a partir do qual foram carregados os dados, a nacionalidade dos lesados, o domicílio dos proprietários da empresa responsável pelo tratamento de dados, ou o facto de o serviço prestado por esse responsável se destinar ao território de outro Estado‑Membro, não têm relevância direta e determinante para a escolha da lei aplicável, independentemente de poderem constituir indícios do caráter real e efetivo da atividade, para efeitos de determinação do lugar de estabelecimento e, nomeadamente, para determinar se o tratamento de dados ocorreu no âmbito das operações desse estabelecimento.
B – Quanto à autoridade de controlo competente e à eventual dissociação entre a lei aplicável e a autoridade competente (sétima questão prejudicial)
43.
Na sétima questão prejudicial, a Kúria pergunta ao Tribunal de Justiça se, «[s]e das respostas dadas às perguntas anteriores resultar que a autoridade húngara para a proteção de dados pode instaurar um processo mas não pode aplicar o direito nacional e sim o direito do Estado‑Membro de estabelecimento, deve o artigo 28.o, n.o 6, da diretiva relativa à proteção de dados ser interpretado no sentido de que a autoridade húngara para a proteção de dados só pode exercer os poderes previstos no artigo 28.o, n.o 3, da diretiva relativa à proteção de dados em conformidade com o disposto na lei do Estado‑Membro de estabelecimento e que, por isso, não tem competência para aplicar uma coima».
44.
Como se vê, esta questão prejudicial é apenas determinante no caso de o órgão jurisdicional de reenvio considerar que, de acordo com os critérios previamente enunciados, a Weltimmo não dispõe de um estabelecimento na Hungria, estando exclusivamente estabelecida na Eslováquia. Por conseguinte, para poder dar uma resposta útil à presente questão prejudicial é necessário prever, e antes de mais, já que tal não resulta expressamente da resposta dada às questões anteriores, a possibilidade de uma autoridade de controlo de um Estado‑Membro poder agir mesmo que, em função dos critérios do artigo 4.o, n.o 1, alínea a), da diretiva, seja aplicável o direito de outro Estado‑Membro. Uma resposta positiva a esta questão levaria, em segundo lugar, à necessidade de determinar a amplitude e o conteúdo das competências dessa autoridade.
45.
Por conseguinte, a título preliminar coloca‑se a questão de saber se o artigo 4.o, relativo ao direito aplicável, constitui, além de uma cláusula de determinação da lei aplicável, uma cláusula de jurisdição e, se for esse o caso, a importância das precisões fornecidas pelo artigo 28.o relativamente à competência das autoridades públicas. E tudo isto no contexto de uma reforma de grande envergadura do direito da União em matéria de proteção de dados ( 28 ).
46.
As observações apresentadas no Tribunal de Justiça invocam diferentes interpretações dos n.os 1, 3 e 6 do artigo 28.o da diretiva. Assim, a autoridade húngara para a proteção de dados invoca a sua própria competência para aplicar uma sanção pecuniária mesmo sendo aplicável o direito de outro Estado‑Membro. Neste mesmo sentido se pronuncia também o Governo húngaro, segundo o qual é evidente que as modalidades do estatuto e do procedimento para o exercício dos poderes das autoridades de controlo enunciadas no artigo 28.o, n.o 3, da diretiva, são reguladas pelo direito nacional do Estado em que essa autoridade tem a sua sede, daí decorrendo que a aplicação de sanções deve ser feita de acordo com o seu próprio direito nacional.
47.
Por seu lado, a Comissão considera que as autoridades de controlo de um Estado‑Membro têm o direito de exercer os poderes enumerados no artigo 28.o, n.o 3, da diretiva, na medida em que o possam fazer no seu próprio território, de acordo com o artigo 28.o, n.os 1 e 6. Pelo contrário, se um determinado poder só puder ser exercido no território de outro Estado‑Membro, esta autoridade não tem outra opção que não seja a de solicitar a cooperação administrativa da autoridade de controlo desse Estado‑Membro. A autoridade de controlo do primeiro Estado‑Membro não pode assim aplicar uma sanção a um responsável pelo tratamento estabelecido exclusivamente noutro Estado‑Membro. No mesmo sentido, o Governo eslovaco considera que, se fosse aplicável o direito eslovaco, a autoridade húngara para a proteção de dados seria competente para, nos termos do artigo 28.o, n.os 3 e 6, levar a cabo um inquérito e apreciar as queixas que lhe fossem apresentadas, agindo segundo as suas próprias regras processuais, mas deveria endereçar um pedido de cooperação à autoridade do Estado‑Membro cuja lei é aplicável, já que seria esta autoridade de controlo quem deveria pronunciar‑se sobre a eventual aplicação de uma sanção. A Polónia sublinha que a possibilidade de o direito material de um Estado‑Membro ser aplicado pelas autoridades de outro não é prevista pela diretiva, acrescentando que se o legislador tivesse querido prever essa possibilidade mais ambiciosa, aquela teria disposições precisas definindo o seu âmbito de aplicação. Por último, o Governo do Reino Unido considera que, tendo em conta a aplicabilidade do direito eslovaco, a autoridade húngara para a proteção de dados não é competente.
48.
Em face do anteriormente exposto, chama a atenção a divergência de posições nas observações apresentadas, das quais apenas as do Reino Unido e da Polónia parecem assumir uma absoluta necessidade de coerência entre o direito aplicável e a jurisdição da autoridade de controlo, de tal forma que a determinação do direito aplicável de acordo com o artigo 4.o, n.o 1, alínea b), da diretiva, determinaria também a autoridade de controlo competente ( 29 ).
49.
Como irei demonstrar em seguida, considero que a complexa questão aqui em análise deve resolver‑se conciliando os objetivos específicos da diretiva e os princípios que regem a atuação das autoridades administrativas de controlo.
50.
À problemática suscitada por esta questão prejudicial subjaz uma importante questão de fundo, que é a de saber se se pode admitir que a diretiva mitigue ou, inclusivamente, revogue a validade da regra segundo a qual as autoridades administrativas de um Estado, em princípio, agem em conformidade com o respetivo direito nacional que também aplicam. Com efeito, relativamente à competência das autoridades públicas, e tratando‑se, por conseguinte, do exercício de poderes de direito público, em especial do ius puniendi, é imperativo partir das exigências decorrentes da soberania territorial do Estado ( 30 ), do princípio da legalidade e, em suma, do conceito de Estado de Direito ( 31 ), as quais obrigam a uma coincidência entre a jurisdição da autoridade de controlo e a lei aplicável ( 32 ). Neste sentido, o exercício do poder de aplicar sanções, que é o que se analisa especificamente no presente processo, regra geral não pode ter lugar fora dos limites legais dentro dos quais uma autoridade administrativa está autorizada a agir nos termos do respetivo direito nacional ( 33 ). Um afastamento dessa regra parece exigir, pelo menos, um fundamento legal específico que autorize e delimite a aplicação do direito público de outro Estado‑Membro e que, além disso, torne possível, com precisão e clareza, que os sujeitos de direito possam prever qual a lei que rege a sua conduta, bem como as respetivas consequências ( 34 ).
51.
Em conformidade com o supra referido, não considero que o artigo 28.o, n.o 6, primeiro período, cujo teor literal dispõe que «[c]ada autoridade de controlo é competente, independentemente do direito nacional aplicável ao tratamento de dados, para o exercício no território do seu Estado‑Membro dos poderes que lhe foram atribuídos em conformidade com o n.o 3», configure uma norma suficiente para que dela possa decorrer uma consequência tão relevante ( 35 ). A referida disposição não estabelece, com efeito, qualquer especificação quanto ao âmbito de aplicação, alcance e garantias que permitam a aplicação pelas autoridades administrativas de um Estado‑Membro das disposições de outro, designadamente das relativas à aplicação de sanções.
52.
Na minha opinião, o artigo 28.o, n.o 1, da diretiva também não constitui fundamento legal suficiente desta pretensão pelo mero facto, alegado pelo Governo húngaro e pela autoridade húngara para a proteção de dados, de que esta disposição utiliza o plural ao prever que «[c]ada Estado‑Membro estabelecerá que uma ou mais autoridades públicas serão responsáveis pela fiscalização da aplicação no seu território das disposições adotadas pelos Estados‑Membros nos termos da presente diretiva» ( 36 ).
53.
Não obstante o anteriormente exposto, estas disposições apontam no sentido de ser possível que se verifique uma certa dissociação entre a autoridade competente e o direito aplicável. De qualquer forma, admitem a possibilidade de a autoridade de um Estado‑Membro fiscalizar as atividades exercidas no seu território mesmo quando seja aplicável a legislação de outro Estado‑Membro.
54.
Chegado a este ponto, considero possível conciliar uma interpretação do artigo 28.o, n.os 1, 3 e 6, com os princípios básicos que regem o exercício do poder administrativo de aplicação de sanções. Tal seria permitido por uma leitura conjunta do primeiro período do primeiro parágrafo do n.o 6 do artigo 28.o e do segundo período do mesmo parágrafo, que considera que a autoridade que exerce os poderes no território do seu Estado‑Membro «pode ser solicitada a exercer os seus poderes por uma autoridade de outro Estado‑Membro», com o segundo parágrafo da mesma disposição, que dispõe que «as autoridades de controlo cooperarão entre si na medida do necessário ao desempenho das suas funções […]».
55.
Neste sentido, a possibilidade de intervenção dada pelo artigo 28.o, n.o 6, às autoridades de controlo, inclusivamente quando o direito do seu Estado‑Membro não seja aplicável, deve ser objeto de uma interpretação sistemática que tenha em consideração tanto a existência de um mandato claro de cooperação entre autoridades administrativas, como o facto de uma autoridade poder ser solicitada a exercer os seus poderes por parte de outra. Com efeito, uma apreciação integrada desta disposição aponta para uma divisão de tarefas entre as diversas autoridades de controlo, num quadro de cooperação e assistência mútua.
56.
O facto de a legislação aplicável ser a de um determinado Estado‑Membro não priva as autoridades de controlo de outros Estados‑Membros da possibilidade de intervir, designadamente, tendo em conta que, em determinadas situações, apesar de ser aplicável o direito de outro Estado‑Membro com base no critério do artigo 4.o, n.o 1, alínea a), da diretiva, podem existir muitos outros elementos de conexão com o território, tais como os meios técnicos ou, nomeadamente, as pessoas lesadas pelo tratamento de dados. Tudo isto exige, para efeitos da efetiva aplicação da diretiva, que a autoridade local possa investigar e adotar certas medidas, mesmo antes de se ter conseguido determinar qual o direito aplicável.
57.
Dito de forma mais específica: uma autoridade de controlo solicitada a intervir através de uma reclamação ou pedido individual que lhe tenham sido apresentados, deve poder por em prática, no seu próprio território, os poderes de instrução processual de que dispõe. Isso é incontestável à luz do artigo 28.o, n.o 4, da diretiva, que estabelece o dever das autoridades de controlo de atender os pedidos que lhe sejam apresentados por qualquer pessoa para proteção dos seus direitos e liberdades no que diz respeito ao tratamento de dados pessoais. Ao mesmo tempo, esta apreciação está em consonância com o disposto pela Convenção 108 do Conselho da Europa de 1981 para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal ( 37 ), cujo artigo 14.o prevê que, se a pessoa residir no território de outra Parte contratante, «deverá gozar da faculdade de apresentar o seu pedido por intermédio da autoridade designada por esta Parte».
58.
Esta forma de proceder pode dar já resposta suficiente à preocupação manifestada pelo Governo húngaro durante a audiência, ao referir que, na falta de competência da autoridade húngara para a proteção de dados, a efetividade das soluções previstas pela diretiva seria desvirtuada se os interessados fossem obrigados a dirigir‑se a autoridades estrangeiras em línguas que desconhecem.
59.
Em suma, cada autoridade de controlo, independentemente do direito material eventualmente aplicável, dispõe das competências de inquérito e de intervenção enunciadas no n.o 3 do artigo 28.o da diretiva, mas reguladas apenas pelo seu direito nacional, na sua área de intervenção territorial ( 38 ), e respeitando os princípios referidos no n.o 50 das presentes conclusões.
60.
Assim, é óbvio que a capacidade de intervenção da autoridade de controlo de um Estado‑Membro, quando seja aplicável a lei substantiva de outro Estado‑Membro, não é ilimitada. Neste ponto, há que referir que continua válido o princípio segundo o qual, no exercício das suas competências, a autoridade de controlo está sujeita aos limites que lhe são impostos pela sua qualidade de sujeito de direito público submetido à lei do seu próprio Estado‑Membro, e só pode exercê‑las no seu próprio território. Designadamente, a eventual apreciação do ilícito e a igualmente eventual aplicação de sanções às infrações decorrentes da ilicitude do tratamento dos dados devem ser obrigatoriamente efetuadas pela autoridade do Estado‑Membro cujo direito material é aplicável ao tratamento de dados, de acordo com o critério do artigo 4.o, n.o 1, alínea a), da diretiva.
61.
Por conseguinte, embora nada impeça que o poder de aplicar sanções possa ser considerado um dos poderes a que se refere o artigo 28.o, n.o 3, da diretiva (cujo terceiro travessão se refere ao «poder de intervir em processos judiciais no caso de violação» das autoridades de controlo), tendo em conta o dever de cooperação previsto no artigo 28.o, n.o 6, da diretiva, deverá pedir‑se à autoridade do Estado‑Membro cuja lei é aplicável ao tratamento dos dados para proceder à eventual determinação da violação em conformidade com a lei aplicável bem como à eventual aplicação de sanções, com base nas informações recolhidas, e eventualmente transmitidas, pela autoridade do primeiro Estado‑Membro.
62.
Esta interpretação não contradiz o parecer expresso em diversos documentos pelo grupo de trabalho do artigo 29.o Em primeiro lugar, tal como salienta o seu Parecer 8/2010, sobre o direito aplicável, a finalidade do artigo 28.o, n.o 6, é precisamente a de «atenuar a eventual divergência entre direito aplicável e competência da autoridade de controlo que pode surgir no domínio da proteção de dados no mercado interno» ( 39 ). Para este efeito, embora o referido parecer refira expressamente que «[…] sendo aplicável o direito relativo à proteção de dados de outro Estado‑Membro, a autoridade de controlo pode exercer no seu território todos os poderes que lhe sejam atribuídos pelo seu sistema jurídico nacional», suscita também dúvidas significativas relativamente à extensão das competências das autoridades de controlo neste domínio ( 40 ). Efetivamente, fruto das reflexões posteriores do grupo de trabalho do artigo 29.o, a instâncias da Comissão, este especificou a sua posição no que respeita à questão da dissociação entre direito aplicável e jurisdição no seu relatório sobre a implementação prática do artigo 28.o, n.o 6 ( 41 ). Numa situação concreta de dissociação, o grupo conclui que a autoridade terá de aplicar as disposições processuais e administrativas do seu próprio sistema jurídico, enquanto os aspetos materiais da proteção de dados caberão ao Estado‑Membro cuja legislação seja aplicável ( 42 ).
63.
As considerações anteriores inserem‑se num contexto jurídico especial em que o instrumento de intervenção do direito da União é uma diretiva, o que permitiu a manutenção de uma amplitude considerável por parte das legislações dos Estados‑Membros no que se refere especialmente à regulamentação e às possibilidades de aplicações de sanções pelas autoridades de controlo ( 43 ). Assim, na ausência de um fundamento legal claro e de garantias que assegurem a cooperação estreita na interpretação das infrações e a equivalência das sanções ( 44 ), seria dificilmente conciliável com as exigências dos princípios da soberania territorial e da legalidade o facto de a dissociação entre autoridade competente e direito aplicável levar, quer à aplicação de sanções de acordo com o direito do Estado da autoridade de controlo local, que podem não estar previstas na ordem jurídica do Estado cuja legislação é aplicável ao tratamento de dados, quer à aplicação, por parte de uma autoridade local, do direito de aplicar sanções de outro Estado‑Membro.
64.
Por fim, não é diferente a conclusão decorrente da invocação da aplicação analógica do acórdão do Tribunal de Justiça no processo UPC DTH ( 45 ), solicitada pelo Governo húngaro e pela autoridade de controlo húngara para justificar a competência desta última para a aplicação de sanções no caso sub iudice. Neste acórdão, relativo à interpretação de determinados instrumentos do quadro regulamentar das comunicações eletrónicas ( 46 ), o Tribunal de Justiça declarou que «os procedimentos de supervisão relativos aos serviços de comunicações eletrónicas […] são da competência das autoridades do Estado‑Membro onde residem os destinatários dos referidos serviços» ( 47 ).
65.
Em resposta a tal alegação, basta referir que, independentemente de a referida interpretação dizer respeito a uma situação de livre prestação de serviços e se restringir a um quadro normativo cujos objetivos e estrutura são substancialmente diferentes daquele que analisamos no presente processo, mais relevante é o facto de estas considerações terem tido lugar numa situação em que não se discutia o direito aplicável ( 48 ).
66.
Por todas estas razões, no estado atual do direito da União, considero que à sétima das questões prejudiciais submetidas pela Kúria deve responder‑se nos seguintes termos:
No caso de o órgão jurisdicional nacional decidir que não é aplicável o seu direito nacional, de acordo com o critério previsto no artigo 4.o, n.o 1, alínea a), da diretiva 95/46, o artigo 28.o, n.o 6, da referida diretiva deve ser interpretado no sentido de que a aplicação de sanções às infrações relacionadas com o tratamento dos dados cabe à autoridade de controlo do Estado‑Membro cujo direito é aplicável, qualquer que seja a autoridade de controlo local com competência para exercer o conjunto dos poderes enumerados no artigo 28.o, n.o 3, no seu território, e segundo as modalidades definidas no seu direito nacional.
C – Quanto ao conceito de «tratamento » de dados (oitava questão prejudicial)
67.
Na sua oitava questão prejudicial, o órgão jurisdicional de reenvio pergunta ao Tribunal de Justiça o seguinte: «Pode o conceito de ‘adatfeldolgozás’ [processamento de dados], utilizado tanto no artigo 4.o, n.o 1, alínea a), como no artigo 28.o, n.o 6, da [versão húngara da] diretiva ser considerado idêntico ao conceito de ‘adatkezelés’ [tratamento de dados] utilizado na terminologia da referida diretiva?»
68.
Todas as observações apresentadas no Tribunal de Justiça concordam em concluir que a diferença de terminologia referida na decisão de reenvio não tem qualquer relevância.
69.
A Diretiva 95/46 apenas utiliza sistematicamente nas suas disposições o termo «[adat]feldolgozás» para se referir ao conceito de tratamento de dados, tal como é definido no artigo 2.o, alínea b), da diretiva. Só na Lei Info é que aparece a dissociação entre os conceitos de «adatkezelés» e «adatfeldolgozás» ( 49 ), definindo este último termo como a «execução de tarefas técnicas relacionadas com as operações de tratamento de dados […]» ( 50 ).
70.
Ora, a definição do conceito de «[adat]feldolgozás» contida no artigo 2.o, alínea b), da diretiva, e utilizada tanto no artigo 4.o, n.o 1, alínea a), como no artigo 28.o, n.o 6, é muito ampla e inclui qualquer operação sobre dados pessoais, seja ou não efetuada através de procedimentos automatizados. Assim, este conceito amplo de tratamento incluiria o conceito mais limitado da execução de tarefas técnicas relacionadas com as operações de tratamento de dados.
71.
Por esta razão, proponho ao Tribunal de Justiça que responda à oitava questão prejudicial da seguinte forma:
O conceito de «adatfeldolgozás» utilizado nos artigos 4.°, n.o 1, alínea a), e 28.°, n.o 6, da versão húngara da Diretiva 95/46, deve ser interpretado no sentido de que inclui tanto o tratamento de dados em sentido amplo, como a execução de tarefas técnicas relacionadas com as operações de tratamento de dados.
V – Conclusão
72.
Em face dos argumentos expostos, proponho ao Tribunal de Justiça que responda da seguinte forma às perguntas submetidas pela Kúria:
«1)
O artigo 4.o, n.o 1, alínea a) da Diretiva 95/46 impede que a autoridade húngara de proteção de dados possa aplicar a lei húngara a um responsável pelo tratamento de dados estabelecido exclusivamente noutro Estado‑Membro. Para este efeito, o conceito de estabelecimento deve ser interpretado no sentido da existência de uma instalação estável, qualquer que seja a respetiva forma jurídica, através da qual desempenha o exercício efetivo e real de uma atividade. Um só agente pode ser considerado uma instalação estável se apresentar um grau de estabilidade suficiente através da presença dos meios humanos e técnicos necessários para a prestação dos serviços concretos em causa.
Outros elementos, tais como o lugar a partir do qual foram carregados os dados, a nacionalidade dos lesados, o domicílio dos proprietários da empresa responsável pelo tratamento de dados, ou o facto de o serviço prestado por esse responsável se destinar ao território de outro Estado‑Membro, não têm relevância direta e determinante para a escolha da lei aplicável, independentemente de poderem constituir indícios do caráter real e efetivo da atividade, para efeitos de determinação do lugar de estabelecimento e, nomeadamente, para determinar se o tratamento de dados ocorreu no âmbito das operações desse estabelecimento.
2)
No caso de o órgão jurisdicional nacional decidir que não é aplicável o seu direito nacional, de acordo com o critério previsto no artigo 4.o, n.o 1, alínea a), da Diretiva 95/46, o artigo 28.o, n.o 6, da referida diretiva deve ser interpretado no sentido de que a aplicação de sanções às infrações relacionadas com o tratamento dos dados cabe à autoridade de controlo do Estado‑Membro cujo direito é aplicável, qualquer que seja a autoridade de controlo local com competência para exercer o conjunto dos poderes enumerados no artigo 28.o, n.o 3, no seu território, e segundo as modalidades definidas no seu direito nacional.
3)
O conceito de ‘adatfeldolgozás’ utilizado nos artigos 4.°, n.o 1, alínea a), e 28.°, n.o 6, da versão húngara da Diretiva 95/46, deve ser interpretado no sentido de que inclui tanto o tratamento de dados em sentido amplo, como a execução de tarefas técnicas relacionadas com as operações de tratamento de dados.»
( 1 ) Língua original: espanhol.
( 2 ) Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO L 281, p. 31).
( 3 ) C‑131/12, EU:C:2014:317.
( 4 ) V., nomeadamente, Rigaux, F. «La loi applicable à la protection des individus à l’égard du traitement automatisé des données à caractère personnel», Revue critique de droit international privé, 1980, pp. 443 a 478.
( 5 ) Bygrave, L., «Determining applicable law pursuant to European Data Protection Legislation», Computer Law and Security Report, n.o 16, 2000, p. 252.
( 6 ) Existe um pequeno erro na tradução espanhola desta disposição na medida em que o verbo aparece no singular. Isto parece ser confirmado por outras versões linguísticas «each Member State shall apply the national provisions it adopts pursuant to this Directive […]», «chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive», etc.
( 7 ) C‑131/12, EU:C:2014:317.
( 8 ) C‑131/12, EU:C:2014:317, n.os 48 a 50.
( 9 ) V. acórdãos Factortame e o., C‑221/89, EU:C:1991:320, n.o 20, bem como Comissão/Reino Unido,C‑246/89, EU:C:1991:375, n.o 21.
( 10 ) Acórdão Cadbury Schweppes e Cadbury Schweppes Overseas, C‑196/04, EU:C:2006:544, n.o 54.
( 11 ) Parecer sobre o direito aplicável, emitido em 16 de dezembro de 2010, 0836‑02/10/ES, WP 179.
( 12 ) Com efeito, o referido parecer faz referência aos acórdãos Berkholz, 168/84, EU:C:1985:299, n.o 18, e Lease Plan, C‑390/96, EU:C:1998:206, que diziam respeito à interpretação do artigo 9.o, n.o 1, da Sexta Diretiva 77/388/CEE do Conselho, de 17 de maio de 1977, relativa à harmonização das legislações dos Estados‑Membros respeitantes aos impostos sobre o volume de negócios — Sistema comum do imposto sobre o valor acrescentado: matéria coletável uniforme (JO L 145, p. 1; EE 09 F1 p. 54).
( 13 ) Acórdão Welmory, C‑605/12, EU:C:2014:2298, n.o 58, relativamente à interpretação do artigo 44.o da Diretiva 2006/112/CE do Conselho, de 28 de novembro de 2006, relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 347, p. 1), conforme alterada pela Diretiva 2008/8/CE do Conselho, de 12 de fevereiro de 2008 (JO L 44, p. 11). V. também o acórdão Planzer Luxembourg, C‑73/06, EU:C:2007:397, n.o 54 e jurisprudência referida.
( 14 ) Convenção sobre a lei aplicável às obrigações contratuais, aberta à assinatura em Roma, em 19 de junho de 1980 (JO L 266, p. 1; EE 01 F3 p. 36).
( 15 ) Convenção de Bruxelas, de 27 de setembro de 1968, relativa à Competência Jurisdicional e à Execução de Decisões em matéria civil e comercial (JO 1972, L 299, p. 32; EE 01 F1 p. 186).
( 16 ) Referindo que «o conceito de sucursal, agência ou qualquer outro estabelecimento implica um centro de operações que se manifesta de forma duradoura para o exterior, como o prolongamento de uma administração principal, dotado de uma direção e materialmente equipado de maneira a poder celebrar negócios com terceiros […]» (acórdãos Somafer, 33/78, EU:C:1978:205, n.o 12, e Blanckaert & Willems, 139/80, EU:C:1981:70, n.o 11), e insistindo que «[…] o termo estabelecimento visa toda a estrutura estável de uma empresa. Consequentemente, não apenas as filiais e as sucursais mas também outras unidades, como as instalações de uma empresa, poderiam constituir estabelecimentos na aceção do artigo 6.o, n.o 2, alínea b), da Convenção de Roma, ainda que não fossem dotados de personalidade jurídica» (acórdão Voogsgeerd, C‑384/10, EU:C:2011:842, n.o 54).
( 17 ) Parecer 8/2010, p. 14.
( 18 ) C‑131/12, EU:C:2013:424, ponto 65.
( 19 ) Diretiva 2000/31/CE, do Parlamento Europeu e do Conselho, de 8 de junho de 2000, relativa a certos aspetos legais dos serviços da sociedade de informação, em especial do comércio eletrónico, no mercado interno (JO L 178, p. 1).
( 20 ) V. o documento de trabalho sobre a aplicação internacional da legislação comunitária relativa à proteção de dados ao tratamento de dados pessoais na Internet por sítios estabelecidos fora da UE, WP 56, 5035/01/ES/Final, 30 de maio de 2002, p. 8.
( 21 ) No que respeita a estes fatores, as observações apresentadas no Tribunal de Justiça diferem entre si. Enquanto a autoridade húngara para a proteção de dados os considera pertinentes, o Reino Unido entende que nenhum dos fatores enunciados é relevante, uma vez que o artigo 4.o, n.o 1, da diretiva não faz menção a nenhum deles. Em sentido idêntico se pronuncia a Comissão Europeia. Para o Governo húngaro, apenas seriam relevantes o facto de os serviços se destinarem ao território de um Estado‑Membro e o lugar onde os dados foram carregados no sistema informático. O Governo eslovaco considera que nem o lugar a partir do qual os dados são comunicados, nem a nacionalidade dos lesados, nem a residência dos proprietários da empresa são pertinentes para determinar o direito nacional aplicável.
( 22 ) Neste sentido se pronuncia também o grupo de trabalho do artigo 29.o, ao referir que «nem a nacionalidade ou o domicílio habitual dos interessados, nem a localização física dos dados pessoais são decisivos [para efeitos de determinar o direito aplicável.]» Parecer 8/2010, p. 10. V., também, os pontos 55 a 58 das conclusões do advogado‑geral N. Jääskinen no processo Google Spain e Google, C‑131/12, EU:C:2013:424.
( 23 ) C‑131/12, EU:C:2014:317, n.os 48 a 50.
( 24 ) Idem, n.o 52.
( 25 ) Idem, n.o 53.
( 26 ) V. também, sobre este aspeto, o Parecer 8/2010 do grupo de trabalho do artigo 29.o
( 27 ) Parecer 1/2008 sobre questões de proteção de dados relacionadas com motores de busca, emitido em 4 de abril de 2008, WP 148, 00737/ES.
( 28 ) Proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, COM (2012) 11 final.
( 29 ) Por outro lado, a doutrina encontra‑se dividida a este respeito. Alguns autores consideram o artigo 4.o da diretiva uma norma também determinante da jurisdição (por exemplo, Bing, J., «Data Protection, Jurisdiction and the Choice of Law», Privacy Law & Policy Reporter, 1999), enquanto outros consideram o contrário. V., por exemplo, Swire, P. P., «Of Elephants, Mice and Privacy: International Choice of Law and the Internet», The International Lawyer, 1998, p. 991. Além disso, sobre esta discussão, Kuner, C., «Data Protection Law and International Jurisdiction on the Internet (Part 1)», International Journal of Law and Information Technology, n.o 18, 2010, p. 176.
( 30 ) O considerando 21 da diretiva refere expressamente que a mesma «não prejudica as regras de territorialidade aplicáveis em matéria de direito penal». Considero que a mesma apreciação pode ser aplicada às sanções administrativas.
( 31 ) Cujo núcleo fundamental pode ser definido no sentido de que todas as autoridades públicas, a todos os níveis, «must exercise the powers conferred on them reasonably, in good faith, for the purpose for which the powers were conferred and without exceeding the limits of such powers», Lord Bingham, «The Rule of Law», The Cambridge Law Journal, n.o 66, 2007, p. 78.
( 32 ) A doutrina referiu que, «em resultado do caráter essencialmente administrativo ou jurídico‑público do regime de controlo, existe uma estreita correlação entre a lei aplicável e a autoridade competente para aplicar sanções a eventuais infrações», de Miguel Asensio, P. A., Derecho Privado de Internet, 4.a ed., Madrid, 2011, p. 333. Em sentido análogo se pronunciou a doutrina relativamente às competências das autoridades de controlo em matéria de competência, referindo que, no âmbito dos poderes públicos, a aplicabilidade da norma determina a competência da autoridade que a deve aplicar. V., por exemplo, Basedow, J., «Antitrust or Competition Law, International», in Wolfrum, R. (ed.), Max Planck Encyclopedia of Public International Law, 2009.
( 33 ) Neste sentido, Rigaux: «On ne conçoit guère que les autorités administratives, les commissions de contrôle […] les organes de surveillance soumettent les fichiers du secteur privé à d’autres normes de conduite et qu’ils obéissent eux‑mêmes à d’autres règles de fonctionnement qu’à celles qui sont contenues dans la lex fori», op. cit., p. 469.
( 34 ) C. Ohler, Die Kollisionsordnung des allgemeinen Verwaltungsrechts, Mohr Siebeck, 2005, pp. 109 e 314.
( 35 ) O itálico é meu.
( 36 ) O itálico é meu. Sobre esta discussão, v. Damman U. e Simitis S., EG‑Datenschutzrichtlinie, Nomos Verlagsgesellschaft, Baden‑Baden, 1997, p. 306.
( 37 ) (ETS 108), de que são parte todos os Estados‑Membros. Segundo o considerando 11 da diretiva, esta precisa e amplia a proteção oferecida pela referida Convenção.
( 38 ) Sobre esta questão, Damman U. e Simitis S., op. cit., p. 313.
( 39 ) Parecer 8/2010 sobre o direito aplicável, p. 29.
( 40 ) Assim, por um lado, o Parecer 8/2010 do grupo de trabalho do artigo 29.o salienta que o conteúdo da cooperação entre autoridades de controlo, como aliás refere, não abrange apenas a troca de informação mas também «o tratamento de reclamações transfronteiriças, a obtenção de provas para outras autoridades de proteção de dados ou a aplicação de sanções» (p. 31). Todavia, o referido parecer coloca diversas questões no que respeita à esfera das competências que devem ser exercidas por cada autoridade de proteção: «nomeadamente, até que ponto a autoridade de proteção de dados local pode exercer os seus poderes no que respeita à aplicação dos princípios materiais e das sanções? Deve limitar o exercício dos seus poderes à verificação dos factos? Pode adotar medidas de execução provisórias ou, inclusivamente, medidas definitivas? Pode fazer a sua própria interpretação das disposições do direito aplicável ou tal é apanágio da autoridade para a proteção de dados do Estado‑Membro cujo direito se aplique? […]» (p. 30).
( 41 ) Advice paper on the practical implementation of the Article 28(6) of the Directive 95/46/EC, Ref. Ares (2011)444105, de 20 de abril de 2011.
( 42 ) Ibidem, p. 31. Para este efeito, é muito ilustrativo o exemplo n.o 10 dado pelo parecer, segundo o qual, num caso hipotético em que o direito alemão é aplicável a um tratamento de dados efetuado no Reino Unido, «é preciso que a autoridade de controlo do Reino Unido tenha o poder de inspecionar os locais situados no Reino Unido e estabelecer as conclusões a enviar à autoridade de controlo alemã. A autoridade de controlo alemã deveria poder aplicar uma sanção ao responsável do tratamento estabelecido na Alemanha com base nos resultados obtidos pela autoridade de controlo do Reino Unido».
( 43 ) Assim o reconhece o considerando 9 da diretiva. A este respeito, pode ver‑se o documento elaborado pela Agência dos Direitos Fundamentais, Data Protection in the European Union: the role of National Data Protection Authorities, 2010, que salienta os diferentes poderes das autoridades de controlo nos Estados‑Membros.
( 44 ) Neste sentido, é indubitável a importância e o caráter inovador do direito da União em matéria de proteção de dados no espaço administrativo europeu. Caso venha a ser aprovada, a proposta de um novo regulamento geral sobre a proteção de dados implicará uma considerável transformação na matéria, designadamente no que respeita à implementação de um complexo e elaborado sistema de cooperação, coordenação e repartição de responsabilidades entre as diversas autoridades de controlo.
( 45 ) C‑475/12, EU:C:2014:285.
( 46 ) Em particular, a Diretiva 2002/20/CE do Parlamento Europeu e do Conselho, de 7 de março de 2002, relativa à autorização de redes e serviços de comunicações eletrónicas (JO L 108, p. 21), conforme alterada pela Diretiva 2009/140/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009 (diretiva autorização) (JO L 337, p. 37) e a Diretiva 2002/21/CE do Parlamento Europeu e do Conselho, de 7 de março de 2002, relativa a um quadro regulamentar comum para as redes e serviços de comunicações eletrónicas (JO L 108, p. 33), conforme alterada pela Diretiva 2009/140.
( 47 ) Acórdão UPC DTH, C‑475/12, EU:C:2014:285, n.o 88.
( 48 ) Com efeito, a sanção aplicada no referido processo teve origem na recusa da sociedade em questão de fornecer informação à autoridade nacional das comunicações e dos meios de comunicação. O Tribunal de Justiça referiu que «por força do artigo 11.o, n.o 1, alínea b), da diretiva autorização […] as autoridades nacionais podem pedir às empresas as informações que sejam razoavelmente necessárias e objetivamente justificadas para permitir verificar o respeito pelas condições relativas à proteção dos consumidores, quando recebam uma queixa ou realizem um inquérito por sua própria iniciativa», ibidem, n.o 85.
( 49 ) Na diretiva só aparece uma palavra decorrente do termo «adatkezelés», ao referir o responsável pelo tratamento de dados.
( 50 ) Artigo 3.o, n.o 17, da Lei Info. O n.o 10 do artigo 3.o da Lei Info define a noção de «adatkezelés» de uma forma ampla, que corresponde, no essencial, à noção de tratamento de dados definida no artigo 2.o, alínea b), da Diretiva 95/46.
Full & Egal Universal Law Academy