Antonio Tejeda Encinas, CEO da Meta Channel Corp. Presidente do Comité Euro Americano Digital Law
1. Introdução
O tratamento de dados pessoais no contexto empresarial sofreu transformações importantes com a aplicação do Regulamento Geral sobre a Proteção de Dados (RGPD). Um dos temas mais controversos é a utilização do «interesse legítimo» como fundamento jurídico para o tratamento de dados, previsto no artigo 6.º, n.º 1, alínea f), do RGPD. O recente acórdão do Tribunal de Justiça da União Europeia (TJUE) no processo C-621/22 suscitou novas discussões sobre a interpretação deste conceito, especialmente no que respeita às atividades comerciais.
O objetivo deste relatório é explorar a forma como o interesse legítimo e o interesse comercial interagem à luz da jurisprudência recente da União Europeia. Além disso, apresentam-se orientações práticas para as empresas, de modo a que possam garantir o cumprimento normativo sem comprometer os seus objetivos comerciais.
O RGPD inclui o interesse legítimo como um dos fundamentos jurídicos para o tratamento de dados pessoais, mas não fornece uma definição detalhada. Nos termos do artigo 6.º, n.º 1, alínea f), o tratamento de dados é lícito se for necessário para efeito dos «interesses legítimos» prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os direitos e liberdades fundamentais da pessoa cujos dados são tratados.
Isto implica que, para determinar se um interesse é legítimo, é necessária uma avaliação contextual, assente nos princípios da realidade e da especificidade. Os considerandos 47, 48 e 49 do RGPD fornecem orientações, indicando que o interesse legítimo deve ser tangível, atual e não meramente especulativo. Assim, a aplicação deste fundamento jurídico deve ocorrer após uma análise cuidadosa dos interesses em causa.
O interesse legítimo pode abranger objetivos como a prevenção da fraude, a segurança das redes e dos sistemas informáticos ou a proteção dos bens da empresa. No entanto, quando se pretende justificar atividades comerciais, como o marketing ou a publicidade, a avaliação torna-se mais exigente, tendo em conta fatores como a previsibilidade para os titulares dos dados e a transparência dos processos.
O interesse comercial, entendido como a intenção de obter benefícios económicos ou uma vantagem competitiva, pode ser aceitável ao abrigo do RGPD se forem cumpridos determinados requisitos. No entanto, a Agencia Española de Protección de Datos (AEPD, a autoridade espanhola de proteção de dados) e o Tribunal Supremo de Espanha manifestaram reservas quanto à prevalência destes interesses quando entram em conflito com os direitos fundamentais das pessoas.
No seu acórdão 840/2020, o Tribunal Supremo afirmou que os objetivos comerciais de uma empresa não podem prevalecer sobre o direito do indivíduo à proteção de dados. Em contrapartida, a Information Commissioner’s Office (ICO) do Reino Unido adotou uma abordagem mais flexível, permitindo determinados tratamentos para fins comerciais desde que seja realizada uma avaliação de proporcionalidade rigorosa.
O acórdão do TJUE no processo C-621/22 aborda esta questão, fornecendo orientações sobre quando um interesse comercial pode ser considerado legítimo. Nesse caso, o interesse dizia respeito à comunicação a terceiros, para fins de marketing, dos dados pessoais dos membros de uma federação desportiva, o que foi posto em causa por não corresponder às expectativas dos titulares dos dados.
O RGPD estabelece que o interesse legítimo só pode ser utilizado como fundamento jurídico se o tratamento for realmente necessário para o objetivo pretendido e não existirem alternativas menos intrusivas. A «necessidade» implica que o tratamento dos dados está diretamente ligado à prossecução da finalidade e que outras opções mais respeitadoras da privacidade não são viáveis.
O acórdão C-621/22 do TJUE sublinha que os responsáveis pelo tratamento devem demonstrar que ponderaram outras alternativas antes de justificarem o tratamento com base no interesse legítimo. Do mesmo modo, o tratamento deve interferir o menos possível com os direitos das pessoas, aplicando os princípios da minimização e da proporcionalidade.
O acórdão C-621/22 aborda questões fundamentais para compreender o alcance do interesse legítimo no contexto do RGPD:
1. Como deve ser entendido o conceito de «interesse legítimo» ao abrigo do RGPD?
2. Pode um interesse puramente comercial ser qualificado como legítimo em determinadas circunstâncias?
O TJUE esclareceu que um interesse legítimo não tem de estar expressamente previsto na lei, mas deve respeitar os princípios da licitude e ser coerente com as expectativas razoáveis das pessoas no momento da recolha dos seus dados. Isto implica que um tratamento baseado exclusivamente num interesse comercial só pode ser considerado legítimo se estiverem reunidas as seguintes condições:
Licitude: o interesse comercial não deve violar nenhuma disposição legal em vigor.
Necessidade: o tratamento deve ser indispensável para alcançar o objetivo comercial pretendido.
Proporcionalidade: deve avaliar-se se o impacto nos direitos dos titulares dos dados é mínimo e se existe um nível de expectativas razoáveis quanto à utilização dos seus dados para essa finalidade.
No caso concreto, o TJUE concluiu que a venda de dados a uma empresa de jogos de fortuna e azar não correspondia às expectativas dos titulares dos dados, o que invalidou a utilização do interesse comercial como fundamento jurídico.
