O Tribunal de Justiça da União Europeia (TJUE) proferiu, no passado dia 11 de novembro, uma decisão no Processo C-61/19 em que abordou o tratamento de dados pessoais e proteção da vida privada, nomeadamente o conceito de “consentimento”, como manifestação de vontade livre, específica e informada.
Este Acórdão, visto em pormenor, é extenso e intenso, tanto no tratamento das várias questões que, à sua maneira, enuncia e resolve, como numa série de outras em que nos faz pensar, o que provavelmente justifica mais do que um post neste blog.
Começando pelo princípio como é habitual e desejável, há que explicar do que se trata. Ninguém melhor que o próprio Tribunal para o fazer, pelo que o seu Comunicado à Imprensa n.º 137/20 pode ser lido na íntegra aqui e o Acórdão aqui.
Resumidamente, neste processo existe um pedido decisão prejudicial apresentado pelo Tribunal Regional de Bucareste, no âmbito de um litígio em que a Orange România SA (Orange) apresentou um recurso destinado a obter a anulação de uma decisão através da qual a ANSPDCP (Autoridade Nacional para a Supervisão do Processamento de Dados Pessoais da Roménia – ANS) lhe aplicou uma coima por ter recolhido e conservado cópias de títulos de identidade dos seus clientes sem o consentimento válido destes e lhe ordenou que destruísse essas cópias.
Aquele pedido teve por objeto a interpretação do artigo 2.°, alínea h), da Diretiva 95/46/CE, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, bem como do artigo 4.°, ponto 11, do Regulamento Geral sobre a Proteção de Dados (RGPD) que revoga aquela Diretiva, questionando-se quais são as condições que, naquele âmbito, devem ser preenchidas para se poder considerar que uma manifestação de vontade é “específica e informada” e “expressa livremente”.
Decide o Tribunal, após estabelecer que cabe ao responsável pelo tratamento dos dados o ónus da prova relativa ao preenchimento dos requisitos do consentimento, o seguinte: “Um contrato relativo ao fornecimento de serviços de telecomunicações que contém uma cláusula segundo a qual a pessoa em causa foi informada e deu o seu consentimento para a recolha e a conservação de uma cópia do seu título de identidade para fins de identificação não é suscetível de demonstrar que essa pessoa deu validamente o seu consentimento, na aceção destas disposições, para essa recolha e para essa conservação, quando
– a opção relativa a essa cláusula foi validada pelo responsável pelo tratamento dos dados antes da assinatura desse contrato ou, quando
– as estipulações contratuais do referido contrato são suscetíveis de induzir a pessoa em causa em erro quanto à possibilidade de celebrar o contrato em questão mesmo que se recuse a autorizar o tratamento dos seus dados, ou quando
– a livre escolha de se opor a essa recolha e a essa conservação é afetada indevidamente por esse responsável, ao exigir que a pessoa em causa, a fim de se recusar a dar o seu consentimento, preencha um formulário suplementar onde fique registada essa recusa.”.
Vamos aqui brevemente analisar a parte em que o Tribunal considera que a existência num contrato de “uma cláusula segundo a qual a pessoa em causa foi informada e deu o seu consentimento”, não é suficiente para demonstrar que “essa pessoa deu validamente o seu consentimento, na aceção destas disposições “ se “a opção relativa a essa cláusula foi validada pelo responsável pelo tratamento dos dados antes da assinatura desse contrato”.
Em primeiro lugar, assinale-se o uso da expressão “Cláusula”, termo tipicamente relativo ao conteúdo dos contratos, para algo que consubstanciaria uma autorização para tratamento de dados pessoais, à partida alheia ao próprio contrato. Tanto mais que, se o Tribunal assim não considerasse, isto é, se considerasse que o tratamento de dados estaria relacionado com a própria execução do contrato, a causa de legitimidade para o tratamento não seria a do artigo 6.º, n.º 1, alínea a) do RGPD, isto é, não seria o consentimento do titular dos dados. A relação entre a proteção de dados e outras áreas do Direito está a crescer e a impor-se. A propósito, e sobre a relação com o Direito do Consumo, pode-se ler neste blog comentário ao recente Acórdão Privacy International.
Em segundo lugar, assinale-se o uso da expressão (dar, ou não dar), “validamente o seu consentimento”, quando o que estaria em causa seria existir ou não uma causa de licitude do tratamento dos dados. Isto é, efetivamente não se trataria de uma questão de validade de um consentimento, expressão que remete de novo para a típica terminologia contratual, nomeadamente a relativa às declarações negociais, essas sim perfeitas ou com vícios que poderiam levar à invalidade. No caso da proteção de dados, do que se trata é de saber se um determinado tratamento de dados pessoais cabe na regra geral da ilicitude, ou em alguma das suas exceções. No RGPD, regulam essencialmente os artigos 6.º a 11.º. Na Diretiva 95/46, era também de (i)licitude que se tratava, prevendo o seu artigo 5.º que ” Os Estados-membros especificarão, dentro dos limites do disposto no presente capítulo, as condições em que é lícito o tratamento de dados pessoais.”. Sabemos que a expressão “consentimento válido”, no âmbito da proteção de dados, se vulgarizou. A questão é saber se é usada por estar em causa a (in)validade, ou se o seu uso se deve a falta de termos e conceitos que cubram realidades que, não sendo novas, só recentemente suscitam grande atenção.
Em terceiro lugar, saliente-se que o TJUE, no Acórdão Orange, quando trata da existência de opção validada “pelo responsável pelo tratamento dos dados antes da assinatura desse contrato”, socorre-se da célebre decisão do Acórdão Planet 49. Seria uma boa ajuda se os casos tivessem realmente uma substância comum o que, embora ambos se refiram ao “consentimento” relacionado com a proteção de dados e incluam um formulário, não parece acontecer. Ao nível do soundbite, dos títulos de notícias e dos resumos superficiais, a questão aparenta ser idêntica já que tem a ver com a pré-validação de uma opção em que está vertida uma declaração de consentimento do titular para tratamento dos seus dados pessoais antes da finalização do contrato.
No entanto, no Acórdão Planet 49, em que a empresa organizou um jogo promocional no seu sítio Internet onde se inscreviam os que pretendiam participar, existia uma quadrícula de seleção relativa à instalação de cookies para recolha de dados pessoais que “estava pré-validada”. O que significa que o formulário online já trazia a declaração “Concordo” preenchida (Ponto 27.). Decidiu o Tribunal que “um consentimento dado através de uma opção pré-validada não implica um comportamento ativo por parte do utilizador de um sítio Internet.” (Ponto 52.).
Diferente parece ser a situação no caso Orange, já que existiria um processo negocial, com base num guião, em que intervinham diretamente os “agentes de venda” que antes da celebração do contrato informavam os clientes “designadamente sobre as finalidades da recolha e da conservação das cópias dos títulos de identidade, bem como sobre a escolha de que os clientes dispõem quanto a essa recolha e a essa conservação, antes de obterem oralmente o consentimento desses clientes para que se proceda a essa recolha e a essa conservação. Segundo a Orange România, a opção relativa à conservação das cópias de títulos de identidade era, assim, validada unicamente com base no acordo livremente expresso nesse sentido pelos interessados quando da celebração do contrato.” (Ponto 43.). Isto é, a ser verdade este procedimento, e o mesmo não é contestado, o consentimento expresso, livre, específico e informado constaria daquela declaração verbal. Acresce que, após essa manifestação, seria o agente de venda a preencher o campo correspondente à validação, tudo indica que por indicação ou, pelo menos, com a concordância do cliente. Isto é, ao contrário do Acórdão Planet 49, a opção não vinha pré-validada. O formulário seria preenchido, é certo que pelo “agente de venda”, de acordo com a manifestação do consentimento verbal do cliente. O que reduz esta específica questão à prova da declaração verbal de consentimento, não se tendo conhecimento de que houvesse discrepâncias entre o que era declarado e o que era preenchido. No final do processo negocial, o cliente assinava o contrato que incluía aquele consentimento, ou a sua recusa.
Conclui-se, portanto, que no caso Orange, ao contrário do que acontecia no caso Planet 29, não estava realmente em causa a existência de uma opção pré-validada pela empresa, que o cliente precisasse de desmarcar para retirar o seu consentimento.
